בדיקת אבטחה והקשחה
בודק אפליקציה מהגבול של בסיס הנתונים (הרשאות שורה, תפקידים, מפתחות, JWT) ועד השכבה שסביבו: webhooks של תשלומים, קריאות מהשרת, מגבלות קצב וגודל, סשנים, הפרדת סודות, כותרות דפדפן, תלויות, אחסון וכלי AI. שואל קודם מה ההיגיון העסקי, מאמת כל ממצא בבדיקה אמיתית ובטוחה, ומחזיר דוח לפי חומרה — ולצידו סיכום בשפה של בעל האתר.
מתי מפעילים אותולפני השקה, אחרי שמחברים תשלומים או התחברות, או כשהשאלה היא פשוט "זה מאובטח?".
אני לא מומחית אבטחה, ואני לא יכולה להתחייב לאבטחה לפי שום תקן.
מה יש בחבילה
- SKILL.md
- interview.md — השאלות לפני הבדיקה
- rls.md + auth.md + authz.md — בסיס הנתונים וההרשאות
- app-layer.md + secrets.md
- lint-and-prove.md + audit.md + report.md
הפרומפט
פרומפט פתיחהמה שבסוגריים המרובעים — זה מה שממלאים
תשתמש בסקיל security-audit. האפליקציה: [מה היא עושה ומה יש בה — תשלומים, התחברות, העלאות]. הקוד: [נתיב]. הכתובת: [כתובת]. תשאל אותי קודם מה שצריך על ההיגיון העסקי, ואז תבדוק. בדיקות קריאה בלבד, בלי לשנות נתונים ובלי להדפיס סודות. בסוף: דוח לפי חומרה, ועוד עמוד אחד בשפה שאני יכולה להעביר הלאה.