How long does the integration take?

Change one base URL in an OpenAI-compatible client, or install the Python or TypeScript SDK; the quickstart routes a first request in a few minutes.

Will this lock us into another vendor?

No. The router is Apache-2.0 open source, your provider keys stay yours, and the API is OpenAI-compatible, so leaving is a change of base URL.

What happens when a provider fails?

The router falls back to the next model your policy allows and records the fallback in the trace, so an outage costs a retry, not an incident.

revisar-seguridad - Prompt

Name: revisar-seguridad
Author: CARuizDiazFP

Prompt file imported from CARuizDiazFP/LAS-FOCAS (.claude/commands/revisar-seguridad.md). Fill in {{arguments}} before use. Copyright stays with the author.

Nombre de archivo: revisar-seguridad.md

Ubicación de archivo: .claude/commands/revisar-seguridad.md

Descripción: Comando Claude Code para auditoría proactiva de seguridad

Realiza una auditoría de seguridad del proyecto. Argumento opcional: {{arguments}} (alcance y foco; por ejemplo: "full con prioridad en .env y rutas FastAPI"; por defecto: revisión integral).

Objetivo

detectar secretos expuestos, configuraciones riesgosas y dependencias vulnerables
revisar código con enfoque SAST sobre inputs, auth, queries, logging y ejecución de procesos
devolver hallazgos ordenados por severidad con parche o mitigación sugerida

Flujo de trabajo

1. Delimitar superficie de ataque

identificar servicios, rutas, scripts, manifests y configuraciones tocadas
priorizar .env, deploy/compose.yml, Dockerfiles, Keys/, .github/workflows/, .claude/ y autenticación/sesiones

2. Detección de secretos y credenciales

rg -n --hidden --glob '!*.pyc' --glob '!node_modules/**' '(password|secret|token|api[_-]?key|authorization|bearer|private[_-]?key)'
git ls-files | rg '(^|/)\.env($|\.)|Keys/|credentials|\.pem$|\.key$'

3. Auditoría de dependencias

source .venv/bin/activate
pip-audit -r requirements.txt
pip-audit -r requirements-dev.txt
pip-audit -r api/requirements.txt
pip-audit -r nlp_intent/requirements.txt
pip-audit -r bot_telegram/requirements.txt
pip-audit -r office_service/requirements.txt
cd web/frontend && npm audit --audit-level=high

4. SAST de código

rg -n '@app\.(get|post|put|delete)|@router\.(get|post|put|delete)' api web
rg -n 'subprocess|os\.system|shell=True|eval\(|exec\(|yaml\.load\(|pickle\.loads' core api web modules bot_telegram
rg -n 'Authorization|SessionMiddleware|secret_key|password|token|LOG_RAW_TEXT' core api web nlp_intent bot_telegram

5. Hardening de contenedores y red

rg -n 'ports:|expose:|privileged:|user:|read_only:|no-new-privileges|cap_drop' deploy/compose.yml
rg -n 'chmod 777|sudo|chown.*root' scripts deploy .

6. Correlación y parche sugerido

Correlacionar hallazgos entre código, configuración y despliegue
Proponer fix concreto: rotación, pin de versión, validación adicional, cambio de permisos
Distinguir hallazgo confirmado, sospecha y recomendación

Tabla de severidad

Severidad	Criterio	Acción
Critical	Secreto real expuesto, RCE, bypass de auth	Parche inmediato
High	Validación insuficiente, dependencia con exploit viable	Corregir antes de merge
Medium	Configuración insegura compensable, logging riesgoso	Plan priorizado
Low	Mejora preventiva sin explotación clara	Registrar y calendarizar

Reglas obligatorias

Reportar hallazgos ordenados por severidad.
Incluir archivo o componente afectado cuando sea posible.
No exponer secretos completos; enmascararlos.
Distinguir entre hallazgos confirmados, sospechas y recomendaciones.
Si no se encuentra ningún hallazgo, decirlo explícitamente y mencionar gaps de cobertura.

Checklist de revisión

No hay secretos expuestos en código o git
Dependencias críticas revisadas
Inputs sensibles revisados con enfoque SAST
Servicios internos no están expuestos indebidamente
Logging no filtra datos sensibles
Validación de entrada, auth y acceso a datos revisados

Salida esperada

Hallazgos críticos, altos, medios y bajos listados.
Evidencia o comando usado cuando aporte valor.
Parche o mitigación por cada hallazgo importante o crítico.
Estado general y cobertura de la revisión.
Propuesta de actualización de docs/Seguridad.md si aplica.

Skills de referencia

Ver detalle en: security-scan, secret-detection, dependency-audit, sast-analysis en .github/skills/.

Install revisar-seguridad and it becomes one more candidate the router can pick - when it fits.

A listing is a routing target with a manifest: what it does, which domains it covers, what it costs and who publishes it. Once installed it sits beside your own models and tools, is scored like any other candidate for each request, and shows up in the trace when it wins. Ratings come from workspaces that installed it, one per account.

# Nombre de archivo: revisar-seguridad.md # Ubicación de archivo: .claude/commands/revisar-seguridad.md # Descripción: Comando Claude Code para auditoría proactiva de seguridad Realiza una auditoría de seguridad del proyecto. Argumento opcional: {{arguments}} (alcance y foco; por ejemplo: "full con prioridad en .env y rutas FastAPI"; por defecto: revisión integral). ## Objetivo - detectar secretos expuestos, configuraciones riesgosas y dependencias vulnerables - revisar código con enfoque SAST sobre inputs, auth, queries, logging y ejecución de procesos - devolver hallazgos ordenados por severidad con parche o mitigación sugerida ## Flujo de trabajo ### 1. Delimitar superficie de ataque - identificar servicios, rutas, scripts, manifests y configuraciones tocadas - priorizar `.env`, `deploy/compose.yml`, Dockerfiles, `Keys/`, `.github/workflows/`, `.claude/` y autenticación/sesiones ### 2. Detección de secretos y credenciales ```bash rg -n --hidden --glob '!*.pyc' --glob '!node_modules/**' '(password|secret|token|api[_-]?key|authorization|bearer|private[_-]?key)' git ls-files | rg '(^|/)\.env($|\.)|Keys/|credentials|\.pem$|\.key$' ``` ### 3. Auditoría de dependencias ```bash source .venv/bin/activate pip-audit -r requirements.txt pip-audit -r requirements-dev.txt pip-audit -r api/requirements.txt pip-audit -r nlp_intent/requirements.txt pip-audit -r bot_telegram/requirements.txt pip-audit -r office_service/requirements.txt cd web/frontend && npm audit --audit-level=high ``` ### 4. SAST de código ```bash rg -n '@app\.(get|post|put|delete)|@router\.(get|post|put|delete)' api web rg -n 'subprocess|os\.system|shell=True|eval\(|exec\(|yaml\.load\(|pickle\.loads' core api web modules bot_telegram rg -n 'Authorization|SessionMiddleware|secret_key|password|token|LOG_RAW_TEXT' core api web nlp_intent bot_telegram ``` ### 5. Hardening de contenedores y red ```bash rg -n 'ports:|expose:|privileged:|user:|read_only:|no-new-privileges|cap_drop' deploy/compose.yml rg -n 'chmod 777|sudo|chown.*root' scripts deploy . ``` ### 6. Correlación y parche sugerido - Correlacionar hallazgos entre código, configuración y despliegue - Proponer fix concreto: rotación, pin de versión, validación adicional, cambio de permisos - Distinguir hallazgo confirmado, sospecha y recomendación ## Tabla de severidad | Severidad | Criterio | Acción | |---|---|---| | Critical | Secreto real expuesto, RCE, bypass de auth | Parche inmediato | | High | Validación insuficiente, dependencia con exploit viable | Corregir antes de merge | | Medium | Configuración insegura compensable, logging riesgoso | Plan priorizado | | Low | Mejora preventiva sin explotación clara | Registrar y calendarizar | ## Reglas obligatorias 1. Reportar hallazgos ordenados por severidad. 2. Incluir archivo o componente afectado cuando sea posible. 3. No exponer secretos completos; enmascararlos. 4. Distinguir entre hallazgos confirmados, sospechas y recomendaciones. 5. Si no se encuentra ningún hallazgo, decirlo explícitamente y mencionar gaps de cobertura. ## Checklist de revisión - [ ] No hay secretos expuestos en código o git - [ ] Dependencias críticas revisadas - [ ] Inputs sensibles revisados con enfoque SAST - [ ] Servicios internos no están expuestos indebidamente - [ ] Logging no filtra datos sensibles - [ ] Validación de entrada, auth y acceso a datos revisados ## Salida esperada 1. Hallazgos críticos, altos, medios y bajos listados. 2. Evidencia o comando usado cuando aporte valor. 3. Parche o mitigación por cada hallazgo importante o crítico. 4. Estado general y cobertura de la revisión. 5. Propuesta de actualización de `docs/Seguridad.md` si aplica. ## Skills de referencia Ver detalle en: `security-scan`, `secret-detection`, `dependency-audit`, `sast-analysis` en `.github/skills/`.

{ "prompt": "# Nombre de archivo: revisar-seguridad.md\n# Ubicación de archivo: .claude/commands/revisar-seguridad.md\n# Descripción: Comando Claude Code para auditoría proactiva de seguridad\n\nRealiza una auditoría de seguridad del proyecto. Argumento opcional: {{arguments}} (alcance y foco; por ejemplo: \"full con prioridad en .env y rutas FastAPI\"; por defecto: revisión integral).\n\n## Objetivo\n\n- detectar secretos expuestos, configuraciones riesgosas y dependencias vulnerables\n- revisar código con enfoque SAST sobre inputs, auth, queries, logging y ejecución de procesos\n- devolver hallazgos ordenados por severidad con parche o mitigación sugerida\n\n## Flujo de trabajo\n\n### 1. Delimitar superficie de ataque\n\n- identificar servicios, rutas, scripts, manifests y configuraciones tocadas\n- priorizar `.env`, `deploy/compose.yml`, Dockerfiles, `Keys/`, `.github/workflows/`, `.claude/` y autenticación/sesiones\n\n### 2. Detección de secretos y credenciales\n\n```bash\nrg -n --hidden --glob '!*.pyc' --glob '!node_modules/**' '(password|secret|token|api[_-]?key|authorization|bearer|private[_-]?key)'\ngit ls-files | rg '(^|/)\\.env($|\\.)|Keys/|credentials|\\.pem$|\\.key$'\n```\n\n### 3. Auditoría de dependencias\n\n```bash\nsource .venv/bin/activate\npip-audit -r requirements.txt\npip-audit -r requirements-dev.txt\npip-audit -r api/requirements.txt\npip-audit -r nlp_intent/requirements.txt\npip-audit -r bot_telegram/requirements.txt\npip-audit -r office_service/requirements.txt\ncd web/frontend && npm audit --audit-level=high\n```\n\n### 4. SAST de código\n\n```bash\nrg -n '@app\\.(get|post|put|delete)|@router\\.(get|post|put|delete)' api web\nrg -n 'subprocess|os\\.system|shell=True|eval\\(|exec\\(|yaml\\.load\\(|pickle\\.loads' core api web modules bot_telegram\nrg -n 'Authorization|SessionMiddleware|secret_key|password|token|LOG_RAW_TEXT' core api web nlp_intent bot_telegram\n```\n\n### 5. Hardening de contenedores y red\n\n```bash\nrg -n 'ports:|expose:|privileged:|user:|read_only:|no-new-privileges|cap_drop' deploy/compose.yml\nrg -n 'chmod 777|sudo|chown.*root' scripts deploy .\n```\n\n### 6. Correlación y parche sugerido\n\n- Correlacionar hallazgos entre código, configuración y despliegue\n- Proponer fix concreto: rotación, pin de versión, validación adicional, cambio de permisos\n- Distinguir hallazgo confirmado, sospecha y recomendación\n\n## Tabla de severidad\n\n| Severidad | Criterio | Acción |\n|---|---|---|\n| Critical | Secreto real expuesto, RCE, bypass de auth | Parche inmediato |\n| High | Validación insuficiente, dependencia con exploit viable | Corregir antes de merge |\n| Medium | Configuración insegura compensable, logging riesgoso | Plan priorizado |\n| Low | Mejora preventiva sin explotación clara | Registrar y calendarizar |\n\n## Reglas obligatorias\n\n1. Reportar hallazgos ordenados por severidad.\n2. Incluir archivo o componente afectado cuando sea posible.\n3. No exponer secretos completos; enmascararlos.\n4. Distinguir entre hallazgos confirmados, sospechas y recomendaciones.\n5. Si no se encuentra ningún hallazgo, decirlo explícitamente y mencionar gaps de cobertura.\n\n## Checklist de revisión\n\n- [ ] No hay secretos expuestos en código o git\n- [ ] Dependencias críticas revisadas\n- [ ] Inputs sensibles revisados con enfoque SAST\n- [ ] Servicios internos no están expuestos indebidamente\n- [ ] Logging no filtra datos sensibles\n- [ ] Validación de entrada, auth y acceso a datos revisados\n\n## Salida esperada\n\n1. Hallazgos críticos, altos, medios y bajos listados.\n2. Evidencia o comando usado cuando aporte valor.\n3. Parche o mitigación por cada hallazgo importante o crítico.\n4. Estado general y cobertura de la revisión.\n5. Propuesta de actualización de `docs/Seguridad.md` si aplica.\n\n## Skills de referencia\n\nVer detalle en: `security-scan`, `secret-detection`, `dependency-audit`, `sast-analysis` en `.github/skills/`.", "variables": [ "arguments" ], "notes": "Auditoría de seguridad: secretos, CVEs de dependencias, SAST y red/contenedores Arguments: full | secrets | dependencies | sast | foco libre.", "metadata": { "source": { "provider": "github-claude-commands", "repository": "https://github.com/CARuizDiazFP/LAS-FOCAS", "path": ".claude/commands/revisar-seguridad.md", "ref": "f760377c5f15751bfecfc073555953651e777c08", "url": "https://github.com/CARuizDiazFP/LAS-FOCAS/blob/f760377c5f15751bfecfc073555953651e777c08/.claude/commands/revisar-seguridad.md", "key": "CARuizDiazFP/LAS-FOCAS/.claude/commands/revisar-seguridad.md" } } }

revisar-seguridad

About