Auditoría de seguridad de Cloudflare

Imagina que tu proyecto es una casa. Tiene puertas, ventanas y una caja fuerte con las cosas de la gente que lo usa: sus correos, sus contraseñas, sus pagos. Un hueco de seguridad es una puerta que se puede abrir desde la calle sin llave.

Una skill es un manual que Claude lee y sigue al pie de la letra. Esta la escribió Cloudflare, una de las empresas que más tráfico de internet protege en el mundo, y le enseña a Claude a revisar tu casa como lo haría su equipo de seguridad.

Lo que la hace distinta es que no confía en sí misma. Un agente busca puertas abiertas. Cuando cree que encontró una, se la pasa a otro agente nuevo, que no vio nada de lo anterior, y su único trabajo es demostrar que el primero se equivocó. Si no lo logra, el hallazgo se queda. Si lo logra, se descarta y se apunta por qué.

Tres cosas que la vuelven útil

Claude Code también vive dentro de la app de Claude, en la pestaña que dice Code. Ahí Claude puede leer tu proyecto, correr comandos e instalar cosas, siempre pidiéndote permiso antes. No tienes que escribir nada raro: le pegas un mensaje y él hace el resto.

1. 1

   Abre la pestaña Code y elige tu proyecto

   En la app de Claude, cambia a Code y escoge la carpeta de tu proyecto. Fíjate que la sesión corra en tu compu (local) y no en la nube: una sesión en la nube no ve lo que instalas en tu compu.

2. 2

   Pega el prompt de abajo

   Claude corre el comando de instalación por ti. Te va a pedir permiso para usar la terminal: dile que sí. Tarda menos de un minuto.

3. 3

   Comprueba que quedó

   Escribe una diagonal (/) en la caja de mensaje y busca security-audit en la lista. Si no aparece, abre una sesión nueva en la misma carpeta y vuelve a buscar.

Instala la skill de auditoría de seguridad de Cloudflare para Claude Code. Corre este comando en la terminal:

npx skills@latest add cloudflare/security-audit-skill --skill security-audit -g -a claude-code -y

Antes de instalar, enséñame la tabla de auditoría que imprime el instalador. Cuando termine, dime en qué carpeta quedó la skill y si tengo que abrir una sesión nueva para usarla.

Si ya usas Claude Code en la terminal, es una sola línea. Elige una de las dos según dónde la quieras.

La skill tiene dos formas de trabajar, y cuál usa depende de cómo le hables. Si le haces una pregunta suelta, contesta esa pregunta y ya. Si le pides una auditoría completa, arranca las seis fases y te deja un reporte. Si no le queda claro cuál quieres, te pregunta.

Todos los prompts empiezan con /security-audit. Así Claude usa la skill seguro, en vez de adivinar si la necesita.

/security-audit Haz una auditoría de seguridad completa de este proyecto con el perfil quick. Usa la carpeta de reportes que trae por defecto.

Al terminar, explícame en español sencillo, como si yo no supiera de seguridad:
- cuántos huecos confirmados encontraste y qué tan graves son, del más grave al menos grave
- qué quedó como "falta comprobar" y qué tendría que revisar yo para resolverlo
- qué arreglarías primero

No cambies nada de mi código.

/security-audit No hagas la auditoría completa. Solo revisa cómo maneja este proyecto el inicio de sesión y dime si alguien podría entrar a una cuenta que no es suya. Si encuentras algo, enséñame el archivo y la línea, y explícamelo en palabras sencillas.

/security-audit Haz una auditoría de seguridad solo de la carpeta donde están las rutas de la API de este proyecto (búscala tú). Todo lo demás márcalo como fuera de alcance. Al final explícame en español qué encontraste.

/security-audit Corre otra auditoría de seguridad de este proyecto. Lee primero las corridas anteriores en la carpeta de reportes y concéntrate en lo que no se revisó o quedó pendiente. Al final dime qué encontraste que la vuelta anterior no vio.

Lee el REPORT.md de la última auditoría de seguridad de este proyecto. Explícamelo como si tuviera cinco años: qué puerta está abierta, quién podría entrar y qué se llevaría. Para cada hueco confirmado, dime cuál es el cambio más chico que lo cierra. No cambies código todavía.

Arregla el hueco más grave del último reporte de seguridad, con el cambio más chico que propone el reporte. Antes de arreglarlo, escribe una prueba que demuestre el problema y que falle. Después del arreglo, la misma prueba tiene que pasar. Enséñame la prueba fallando y luego pasando, y no toques nada más.

Los tres tamaños de auditoría

También le puedes poner un tope: "no uses más de 30 agentes". Si el tope no alcanza ni para lo mínimo, no arranca y te pide más o un alcance más chico. Nunca se pasa del tope sin decirte.

En la auditoría completa, Claude hace de jefe de equipo. No revisa todo él solo: reparte el trabajo entre muchos agentes, cada uno con una tarea chica y su propia carpeta, y él es el único que escribe el reporte final.

1. Fase 1 · Reconocimiento

   Dibuja el mapa de la casa.

   Anota cuáles son las puertas, quién puede tocar cada una y qué hay detrás. Deja un mapa (architecture.md) y una lista de cada cuarto que hay que revisar (coverage-ledger.json).

2. Fase 2 · Cacería

   Manda detectives a cada cuarto.

   Cada agente revisa un pedazo de la lista con una forma de ataque distinta. Luego un crítico mira la lista y busca los cuartos que nadie revisó.

3. Fase 3 · Validación

   Otro detective intenta desmentirlo.

   Cada posible hueco pasa a un agente nuevo que no vio nada de antes y trata de demostrar que no existe.

4. Fase 4 · Salida ordenada

   Llena un formulario para cada hallazgo.

   Todo se apunta en findings.json con un formato fijo, y un programa sin IA revisa que el formulario esté bien llenado.

5. Fase 5 · Verificación final

   Alguien más relee todo antes de entregarlo.

   Agentes nuevos comprueban otra vez cada afirmación contra tu código. Si algo cambia mucho, entra otro revisor.

6. Fase 6 · Reporte

   Escribe la carta para el dueño de la casa.

   Saca REPORT.md, FINDINGS-DETAIL.md y NEEDS-VALIDATION.md a partir de lo ya verificado. Nunca escribe el reporte antes de la verificación.

Cómo leer cada hallazgo

Cuando instalas la skill no instalas un programa. Instalas una carpeta con manuales para Claude y dos revisores automáticos. Esto es lo que hay adentro, explicado sin tecnicismos.

Piensa en un caballo muy fuerte. Solo, corre para donde quiere. Con un arnés lo puedes enganchar a una carreta, dirigirlo y hacer que trabaje todo el día. En la IA es igual: el modelo es el caballo y el arnés es todo lo que lo rodea para que haga un trabajo largo sin perderse.

Esta skill es un manual que Claude sigue en una sola sesión. Cloudflare la usó, vio dónde se quedaba corta y construyó alrededor un arnés: un sistema que corre hasta 200 revisiones al mismo tiempo, apunta todo fuera de la cabeza del modelo y no pierde el avance si algo se cae. Les tomó como seis semanas pasar de la skill al escáner que hoy revisa 128 de sus repos.

Las piezas esenciales del arnés de Cloudflare

Las dos etapas

Los números que publicó Cloudflare

Cloudflare aclara que todo salió de un experimento aislado en ambientes de prueba, no de huecos abiertos en producción. Y una herramienta clásica de análisis de código que tenían a la mano, Semgrep, la llamaron cero veces en un mes.

• No arregla tu código. Te dice qué cambiar y tú decides. El prompt 6 de la sección 04 es para eso.
• No revisa tu sitio en vivo. Solo lee tu proyecto. Lo que depende de tu servidor o tu hosting queda como falta comprobar.
• Una vuelta no basta. Cloudflare lo midió: una sola corrida encontró como la mitad de lo que encontraron varias juntas. Que no aparezca nada no quiere decir que no haya nada.
• Gasta bastante. La auditoría completa lanza muchos agentes y se nota en el uso de tu plan. En un proyecto grande, empieza por quick o por una sola carpeta.
• Necesita Node en tu compu para los dos revisores automáticos.
• No sustituye a una persona. Si tu proyecto maneja dinero o datos delicados de mucha gente, úsala para llegar mejor preparado con un experto en seguridad, no en lugar de él.