Auditoria de segurança grátis da Cloudflare no Claude Code: como instalar e usar a security-audit-skill

O que faz diferença

Conferido em 23/10/2026. A security-audit-skill é uma skill grátis e de código aberto (licença MIT) da própria Cloudflare. Skill é um pacote de instruções que você instala no seu agente de código (o Claude Code, por exemplo) e que ensina o agente a fazer um trabalho. Essa ensina a fazer uma auditoria de segurança no CÓDIGO do seu projeto. Ela não analisa o link do site: precisa da pasta do projeto no seu computador. No GitHub, o repositório tem 39,9 mil estrelas. Link oficial: github.com/cloudflare/security-audit-skill Post da Cloudflare que explica de onde ela veio: blog.cloudflare.com/build-your-own-vulnerability-harness/ De onde veio: segundo a Cloudflare, foi dessa skill que nasceu o sistema interno que eles usam hoje pra caçar vulnerabilidades. O sistema completo é bem maior e não foi liberado; o que saiu foi a skill que deu origem a ele. Como ela trabalha (6 fases, cada uma com vários agentes): 1. Reconhecimento: mapeia como o sistema é montado e por onde entram os dados. 2. Caça: vários agentes isolados procuram falhas, cada um numa parte do código. 3. Validação: um verificador novo tenta provar que cada achado é alarme falso. O agente que confere nunca é o mesmo que achou. 4. Saída organizada: grava os achados num arquivo (findings.json). 5. Verificação independente: outros agentes conferem de novo o que ficou. 6. Relatório: gera o REPORT.md, o FINDINGS-DETAIL.md e o NEEDS-VALIDATION.md. No relatório, cada achado aparece como confirmed (falha confirmada), needs_validation (precisa conferir) ou rejected (descartada). Onde roda: no seu computador, dentro de um agente de código que use ferramentas e rode subagentes em paralelo. Precisa do Node.js instalado. Passo a passo pra instalar e usar (as fotos estão em "Resultados de exemplo", mais abaixo): 1. Instale o Node.js, se ainda não tiver (nodejs.org). 2. Abra o terminal e rode o comando de instalação: ``` npx skills add github.com/cloudflare/security-audit-skill --skill security-audit ``` Quer deixar instalada pra todos os seus projetos? Use a mesma linha com --global no fim: ``` npx skills add github.com/cloudflare/security-audit-skill --skill security-audit --global ``` 3. Abra o seu agente (o Claude Code, por exemplo) DENTRO da pasta do projeto. 4. Cole o pedido: security audit this codebase (ou, pra olhar só uma pasta: find security vulnerabilities in ./src) 5. Espere terminar. Por padrão o relatório fica fora do projeto, em ~/security-audit-skill/<nome-do-projeto>/run-N. Abra primeiro o REPORT.md. 6. Rode mais de uma vez. As rodadas se somam: a seguinte usa o que a anterior já cobriu pra procurar onde ainda não olhou. No teste da própria Cloudflare, uma rodada só achou mais ou menos metade das falhas que várias rodadas acharam juntas. O que ainda não dá: - A skill é grátis, mas roda no seu agente e gasta o plano ou os créditos dele. - Pra executar o código do projeto (testes, build), ela exige um ambiente isolado do sistema: sem internet e gravando só em pastas de rascunho (sandbox). Sem isso, ela não executa o código e deixa a suspeita como "precisa conferir". - Não é garantia de 100%: pode deixar falha passar. Revise e teste cada correção antes de publicar. - Os comandos e o relatório são em inglês. Se travar, cole o relatório no prompt acima pra entender em português.