Prompt file imported from antoniopaya22/GestorNominas (.github/prompts/security-audit.prompt.md). Copyright stays with the author.

/security-audit — Auditoría de Seguridad

Name: security-audit
Author: antoniopaya22

Realiza una auditoría de seguridad completa de GestorNominas basada en OWASP Top 10, adaptada al stack del proyecto.

Alcance

Analizar sistemáticamente:

Backend (`backend/src/`)

Autenticación y sesiones (routes/auth.ts, middleware/auth.ts)
- ¿JWT_SECRET suficientemente fuerte?
- ¿Token expiry razonable?
- ¿Bcrypt cost ≥ 12?
- ¿Rate limiting en login/register?
Autorización (middleware/auth.ts, todas las rutas)
- ¿Todas las rutas protegidas requieren auth?
- ¿Se verifica ownership de recursos?
- ¿Hay escalación de privilegios posible?
Validación de inputs (todos los archivos en routes/)
- ¿Todos los endpoints validan inputs con Zod?
- ¿Queries usan parámetros de Drizzle (no SQL concatenado)?
- ¿Se sanitizan strings que se almacenan?
Uploads y archivos (middleware/upload.ts, parsers/)
- ¿Se verifican magic bytes (no solo extensión)?
- ¿Límite de tamaño de archivo?
- ¿Se sanitizan nombres de archivo?
- ¿Los archivos se almacenan fuera del directorio público?
Configuración (config.ts, index.ts)
- ¿Helmet configurado?
- ¿CORS restringido?
- ¿Variables de entorno validadas?
- ¿Stack traces ocultados en producción?
Dependencias
- Ejecutar npm audit para vulnerabilidades conocidas

Frontend (`frontend/src/`)

Auth client (lib/api.ts, components/AuthProvider.tsx)
- ¿Token almacenado de forma segura?
- ¿Se limpia auth en 401?
- ¿Se protegen rutas en el cliente?
XSS potencial (todos los componentes)
- ¿Se usa dangerouslySetInnerHTML?
- ¿Se renderizan datos del usuario sin sanitizar?

Formato del Reporte

# 🔒 Auditoría de Seguridad — GestorNominas

**Fecha**: [fecha]
**Alcance**: [archivos analizados]

## Resumen Ejecutivo
- 🔴 Críticos: [N]
- 🟡 Medios: [N]
- 🟢 Bajos: [N]
- ✅ Buenas prácticas detectadas: [N]

## Hallazgos

### 🔴 [CRÍTICO] Título
**Archivo**: ruta:línea
**Descripción**: ...
**Impacto**: ...
**Remediación**: ...

## Buenas Prácticas Detectadas
- ✅ [práctica positiva encontrada]

## Recomendaciones Generales
- [mejoras sugeridas no urgentes]

# /security-audit — Auditoría de Seguridad Realiza una auditoría de seguridad completa de GestorNominas basada en OWASP Top 10, adaptada al stack del proyecto. ## Alcance Analizar sistemáticamente: ### Backend (`backend/src/`) 1. **Autenticación y sesiones** (`routes/auth.ts`, `middleware/auth.ts`) - ¿JWT_SECRET suficientemente fuerte? - ¿Token expiry razonable? - ¿Bcrypt cost ≥ 12? - ¿Rate limiting en login/register? 2. **Autorización** (`middleware/auth.ts`, todas las rutas) - ¿Todas las rutas protegidas requieren auth? - ¿Se verifica ownership de recursos? - ¿Hay escalación de privilegios posible? 3. **Validación de inputs** (todos los archivos en `routes/`) - ¿Todos los endpoints validan inputs con Zod? - ¿Queries usan parámetros de Drizzle (no SQL concatenado)? - ¿Se sanitizan strings que se almacenan? 4. **Uploads y archivos** (`middleware/upload.ts`, `parsers/`) - ¿Se verifican magic bytes (no solo extensión)? - ¿Límite de tamaño de archivo? - ¿Se sanitizan nombres de archivo? - ¿Los archivos se almacenan fuera del directorio público? 5. **Configuración** (`config.ts`, `index.ts`) - ¿Helmet configurado? - ¿CORS restringido? - ¿Variables de entorno validadas? - ¿Stack traces ocultados en producción? 6. **Dependencias** - Ejecutar `npm audit` para vulnerabilidades conocidas ### Frontend (`frontend/src/`) 7. **Auth client** (`lib/api.ts`, `components/AuthProvider.tsx`) - ¿Token almacenado de forma segura? - ¿Se limpia auth en 401? - ¿Se protegen rutas en el cliente? 8. **XSS potencial** (todos los componentes) - ¿Se usa `dangerouslySetInnerHTML`? - ¿Se renderizan datos del usuario sin sanitizar? ## Formato del Reporte ```markdown # 🔒 Auditoría de Seguridad — GestorNominas **Fecha**: [fecha] **Alcance**: [archivos analizados] ## Resumen Ejecutivo - 🔴 Críticos: [N] - 🟡 Medios: [N] - 🟢 Bajos: [N] - ✅ Buenas prácticas detectadas: [N] ## Hallazgos ### 🔴 [CRÍTICO] Título **Archivo**: ruta:línea **Descripción**: ... **Impacto**: ... **Remediación**: ... ## Buenas Prácticas Detectadas - ✅ [práctica positiva encontrada] ## Recomendaciones Generales - [mejoras sugeridas no urgentes] ```

{ "prompt": "# /security-audit — Auditoría de Seguridad\n\nRealiza una auditoría de seguridad completa de GestorNominas basada en OWASP Top 10, adaptada al stack del proyecto.\n\n## Alcance\n\nAnalizar sistemáticamente:\n\n### Backend (`backend/src/`)\n1. **Autenticación y sesiones** (`routes/auth.ts`, `middleware/auth.ts`)\n - ¿JWT_SECRET suficientemente fuerte?\n - ¿Token expiry razonable?\n - ¿Bcrypt cost ≥ 12?\n - ¿Rate limiting en login/register?\n\n2. **Autorización** (`middleware/auth.ts`, todas las rutas)\n - ¿Todas las rutas protegidas requieren auth?\n - ¿Se verifica ownership de recursos?\n - ¿Hay escalación de privilegios posible?\n\n3. **Validación de inputs** (todos los archivos en `routes/`)\n - ¿Todos los endpoints validan inputs con Zod?\n - ¿Queries usan parámetros de Drizzle (no SQL concatenado)?\n - ¿Se sanitizan strings que se almacenan?\n\n4. **Uploads y archivos** (`middleware/upload.ts`, `parsers/`)\n - ¿Se verifican magic bytes (no solo extensión)?\n - ¿Límite de tamaño de archivo?\n - ¿Se sanitizan nombres de archivo?\n - ¿Los archivos se almacenan fuera del directorio público?\n\n5. **Configuración** (`config.ts`, `index.ts`)\n - ¿Helmet configurado?\n - ¿CORS restringido?\n - ¿Variables de entorno validadas?\n - ¿Stack traces ocultados en producción?\n\n6. **Dependencias**\n - Ejecutar `npm audit` para vulnerabilidades conocidas\n\n### Frontend (`frontend/src/`)\n7. **Auth client** (`lib/api.ts`, `components/AuthProvider.tsx`)\n - ¿Token almacenado de forma segura?\n - ¿Se limpia auth en 401?\n - ¿Se protegen rutas en el cliente?\n\n8. **XSS potencial** (todos los componentes)\n - ¿Se usa `dangerouslySetInnerHTML`?\n - ¿Se renderizan datos del usuario sin sanitizar?\n\n## Formato del Reporte\n\n```markdown\n# 🔒 Auditoría de Seguridad — GestorNominas\n\n**Fecha**: [fecha]\n**Alcance**: [archivos analizados]\n\n## Resumen Ejecutivo\n- 🔴 Críticos: [N]\n- 🟡 Medios: [N]\n- 🟢 Bajos: [N]\n- ✅ Buenas prácticas detectadas: [N]\n\n## Hallazgos\n\n### 🔴 [CRÍTICO] Título\n**Archivo**: ruta:línea\n**Descripción**: ...\n**Impacto**: ...\n**Remediación**: ...\n\n## Buenas Prácticas Detectadas\n- ✅ [práctica positiva encontrada]\n\n## Recomendaciones Generales\n- [mejoras sugeridas no urgentes]\n```", "variables": [], "notes": "Auditoría de seguridad OWASP del código actual, enfocada en el stack del proyecto Tools: file_search, grep_search, read_file, semantic_search, get_errors.", "metadata": { "source": { "provider": "github-prompts", "repository": "https://github.com/antoniopaya22/GestorNominas", "path": ".github/prompts/security-audit.prompt.md", "ref": "baa9eb866d0ac4ea72541ddd114c936536c50abc", "url": "https://github.com/antoniopaya22/GestorNominas/blob/baa9eb866d0ac4ea72541ddd114c936536c50abc/.github/prompts/security-audit.prompt.md", "key": "antoniopaya22/GestorNominas/.github/prompts/security-audit.prompt.md" } } }

security-audit

About

/security-audit — Auditoría de Seguridad

Alcance

Backend (`backend/src/`)

Frontend (`frontend/src/`)

Formato del Reporte

Use it

Manifest

Reviews

About

/security-audit — Auditoría de Seguridad

Alcance

Backend (backend/src/)

Frontend (frontend/src/)

Formato del Reporte

Use it

Manifest

Reviews

Backend (`backend/src/`)

Frontend (`frontend/src/`)