security-audit - Prompt - OpenSmartRoute

Promptv1.0.0

security-audit

Name: security-audit
Author: Guilhem-Bonnet

Audit de sécurité infrastructure — OWASP, least privilege, secrets, CVEs

by Guilhem-Bonnet(0) 0 installs

Free

Free account. Installing gives you the manifest plus copy-paste snippets.

See reviews

About

Prompt file imported from Guilhem-Bonnet/grimoire-forge (.github/prompts/team-ops/security-audit.prompt.md). Fill in {{scope}}, {{image}}, {{date}}, {{score}} before use. Copyright stays with the author.

Skill: Security Audit — Infrastructure & Code

Effectue un audit de sécurité complet sur {{scope}}.

Mode

[PLAN] — lister tous les findings. Puis [ACT] sur validation pour les corrections automatisables.

Scope

Périmètre : {{scope}} (ex: "infra Terraform + API Go", "Docker + K8s", "tout")
Standards : OWASP Top 10, CIS Benchmarks, principe de moindre privilège

Checklist par Couche

🔴 Secrets & Credentials

Secrets dans le code source (et l'historique git)
Variables d'environnement exposées dans les logs
Clés API avec permissions trop larges
Rotation des secrets en place ?
Vault ou solution de gestion des secrets utilisée ?

Commandes :

# Détecter secrets dans le code
grep -r "password\|secret\|api_key\|token" --include="*.go,*.py,*.ts,*.yaml,*.env" . | grep -v "_test\.\|\.example\|\.tpl"
# Truffledog / gitleaks si installé
trufflehog git file://. 2>/dev/null | head -50

🔴 Authentification & Autorisation

Endpoints sans authentification (les identifier explicitement)
JWT : algorithme vérifié, expiration courte, refresh token rotation
RBAC : les rôles sont-ils correctement appliqués ?
Accès admin protégé par MFA ?

🔴 Infrastructure

Ports exposés non nécessaires (principe : ouvrir le minimum)
Security Groups / Firewall rules trop permissifs (ex: 0.0.0.0/0)
Images Docker non officielles ou non pinned
Containers tournant en root
Kubernetes : RBAC activé, Network Policies en place ?

🟡 Dépendances

Vulnérabilités CVE connues dans les dépendances directes

# Go
govulncheck ./...
# Node
npm audit --audit-level=high
# Python
pip-audit
# Docker images
docker scout cves {{image}}

🟡 Configuration

HTTPS/TLS partout (pas de HTTP en production)
CORS configuré (pas wildcard en prod)
Rate limiting présent sur les endpoints publics
Headers sécurité HTTP (CSP, HSTS, X-Frame-Options)

🟢 Observabilité Sécurité

Logs des accès et des échecs d'auth
Alertes sur les patterns suspects (brute force, enumération)

Output Format

## Security Audit Report — {{scope}} — {{date}}

### Score Global : {{score}}/10

### 🔴 Critiques (corriger immédiatement)
| ID | Localisation | Problème | CVSS | Fix recommandé |
|----|-------------|----------|------|----------------|
| SEC-001 | `infra/main.tf:45` | Security group 0.0.0.0/0 sur port 22 | 9.8 | Restreindre à IP bureau |

### 🟡 Importants (corriger avant prochaine release)
| ID | Localisation | Problème | CVSS | Fix recommandé |

### 🟢 Suggestions
- [S1]

### Actions Correctives (par priorité)
- [ ] [SEC-001] Fermer port 22 public → responsable: ops → délai: aujourd'hui
- [ ] [SEC-002] Activer gitleaks en pre-commit → responsable: dev → délai: cette semaine

Sauvegarder dans _grimoire-runtime-output/implementation-artifacts/security-audit-{{date}}.md

Use it

Copy one of these into your project. Installing also returns the manifest and these snippets.

# Skill: Security Audit — Infrastructure & Code

Effectue un audit de sécurité complet sur `{{scope}}`.

## Mode
`[PLAN]` — lister tous les findings. Puis `[ACT]` sur validation pour les corrections automatisables.

## Scope
- **Périmètre** : `{{scope}}` (ex: "infra Terraform + API Go", "Docker + K8s", "tout")
- **Standards** : OWASP Top 10, CIS Benchmarks, principe de moindre privilège

## Checklist par Couche

### 🔴 Secrets & Credentials
- [ ] Secrets dans le code source (et l'historique git)
- [ ] Variables d'environnement exposées dans les logs
- [ ] Clés API avec permissions trop larges
- [ ] Rotation des secrets en place ?
- [ ] Vault ou solution de gestion des secrets utilisée ?

**Commandes** :
```bash
# Détecter secrets dans le code
grep -r "password\|secret\|api_key\|token" --include="*.go,*.py,*.ts,*.yaml,*.env" . | grep -v "_test\.\|\.example\|\.tpl"
# Truffledog / gitleaks si installé
trufflehog git file://. 2>/dev/null | head -50
```

### 🔴 Authentification & Autorisation
- [ ] Endpoints sans authentification (les identifier explicitement)
- [ ] JWT : algorithme vérifié, expiration courte, refresh token rotation
- [ ] RBAC : les rôles sont-ils correctement appliqués ?
- [ ] Accès admin protégé par MFA ?

### 🔴 Infrastructure
- [ ] Ports exposés non nécessaires (principe : ouvrir le minimum)
- [ ] Security Groups / Firewall rules trop permissifs (ex: 0.0.0.0/0)
- [ ] Images Docker non officielles ou non pinned
- [ ] Containers tournant en root
- [ ] Kubernetes : RBAC activé, Network Policies en place ?

### 🟡 Dépendances
- [ ] Vulnérabilités CVE connues dans les dépendances directes

```bash
# Go
govulncheck ./...
# Node
npm audit --audit-level=high
# Python
pip-audit
# Docker images
docker scout cves {{image}}
```

### 🟡 Configuration
- [ ] HTTPS/TLS partout (pas de HTTP en production)
- [ ] CORS configuré (pas wildcard en prod)
- [ ] Rate limiting présent sur les endpoints publics
- [ ] Headers sécurité HTTP (CSP, HSTS, X-Frame-Options)

### 🟢 Observabilité Sécurité
- [ ] Logs des accès et des échecs d'auth
- [ ] Alertes sur les patterns suspects (brute force, enumération)

## Output Format

```markdown
## Security Audit Report — {{scope}} — {{date}}

### Score Global : {{score}}/10

### 🔴 Critiques (corriger immédiatement)
| ID | Localisation | Problème | CVSS | Fix recommandé |
|----|-------------|----------|------|----------------|
| SEC-001 | `infra/main.tf:45` | Security group 0.0.0.0/0 sur port 22 | 9.8 | Restreindre à IP bureau |

### 🟡 Importants (corriger avant prochaine release)
| ID | Localisation | Problème | CVSS | Fix recommandé |

### 🟢 Suggestions
- [S1]

### Actions Correctives (par priorité)
- [ ] [SEC-001] Fermer port 22 public → responsable: ops → délai: aujourd'hui
- [ ] [SEC-002] Activer gitleaks en pre-commit → responsable: dev → délai: cette semaine
```

Sauvegarder dans `_grimoire-runtime-output/implementation-artifacts/security-audit-{{date}}.md`

Manifest

The prompt text and its fill-in variables. Copy it or fetch it by URL from your own code.

guilhem-bonnet-grimoire-forge-security-audit-prompt.prompt.jsonjson

{
  "prompt": "# Skill: Security Audit — Infrastructure & Code\n\nEffectue un audit de sécurité complet sur `{{scope}}`.\n\n## Mode\n`[PLAN]` — lister tous les findings. Puis `[ACT]` sur validation pour les corrections automatisables.\n\n## Scope\n- **Périmètre** : `{{scope}}` (ex: \"infra Terraform + API Go\", \"Docker + K8s\", \"tout\")\n- **Standards** : OWASP Top 10, CIS Benchmarks, principe de moindre privilège\n\n## Checklist par Couche\n\n### 🔴 Secrets & Credentials\n- [ ] Secrets dans le code source (et l'historique git)\n- [ ] Variables d'environnement exposées dans les logs\n- [ ] Clés API avec permissions trop larges\n- [ ] Rotation des secrets en place ?\n- [ ] Vault ou solution de gestion des secrets utilisée ?\n\n**Commandes** :\n```bash\n# Détecter secrets dans le code\ngrep -r \"password\\|secret\\|api_key\\|token\" --include=\"*.go,*.py,*.ts,*.yaml,*.env\" . | grep -v \"_test\\.\\|\\.example\\|\\.tpl\"\n# Truffledog / gitleaks si installé\ntrufflehog git file://. 2>/dev/null | head -50\n```\n\n### 🔴 Authentification & Autorisation\n- [ ] Endpoints sans authentification (les identifier explicitement)\n- [ ] JWT : algorithme vérifié, expiration courte, refresh token rotation\n- [ ] RBAC : les rôles sont-ils correctement appliqués ?\n- [ ] Accès admin protégé par MFA ?\n\n### 🔴 Infrastructure\n- [ ] Ports exposés non nécessaires (principe : ouvrir le minimum)\n- [ ] Security Groups / Firewall rules trop permissifs (ex: 0.0.0.0/0)\n- [ ] Images Docker non officielles ou non pinned\n- [ ] Containers tournant en root\n- [ ] Kubernetes : RBAC activé, Network Policies en place ?\n\n### 🟡 Dépendances\n- [ ] Vulnérabilités CVE connues dans les dépendances directes\n\n```bash\n# Go\ngovulncheck ./...\n# Node\nnpm audit --audit-level=high\n# Python\npip-audit\n# Docker images\ndocker scout cves {{image}}\n```\n\n### 🟡 Configuration\n- [ ] HTTPS/TLS partout (pas de HTTP en production)\n- [ ] CORS configuré (pas wildcard en prod)\n- [ ] Rate limiting présent sur les endpoints publics\n- [ ] Headers sécurité HTTP (CSP, HSTS, X-Frame-Options)\n\n### 🟢 Observabilité Sécurité\n- [ ] Logs des accès et des échecs d'auth\n- [ ] Alertes sur les patterns suspects (brute force, enumération)\n\n## Output Format\n\n```markdown\n## Security Audit Report — {{scope}} — {{date}}\n\n### Score Global : {{score}}/10\n\n### 🔴 Critiques (corriger immédiatement)\n| ID | Localisation | Problème | CVSS | Fix recommandé |\n|----|-------------|----------|------|----------------|\n| SEC-001 | `infra/main.tf:45` | Security group 0.0.0.0/0 sur port 22 | 9.8 | Restreindre à IP bureau |\n\n### 🟡 Importants (corriger avant prochaine release)\n| ID | Localisation | Problème | CVSS | Fix recommandé |\n\n### 🟢 Suggestions\n- [S1]\n\n### Actions Correctives (par priorité)\n- [ ] [SEC-001] Fermer port 22 public → responsable: ops → délai: aujourd'hui\n- [ ] [SEC-002] Activer gitleaks en pre-commit → responsable: dev → délai: cette semaine\n```\n\nSauvegarder dans `_grimoire-runtime-output/implementation-artifacts/security-audit-{{date}}.md`",
  "variables": [
    "scope",
    "image",
    "date",
    "score"
  ],
  "notes": "Audit de sécurité infrastructure — OWASP, least privilege, secrets, CVEs",
  "metadata": {
    "source": {
      "provider": "github-prompts",
      "repository": "https://github.com/Guilhem-Bonnet/grimoire-forge",
      "path": ".github/prompts/team-ops/security-audit.prompt.md",
      "ref": "d109f34501c7f8718e514d7303a7438dea151433",
      "url": "https://github.com/Guilhem-Bonnet/grimoire-forge/blob/d109f34501c7f8718e514d7303a7438dea151433/.github/prompts/team-ops/security-audit.prompt.md",
      "key": "Guilhem-Bonnet/grimoire-forge/.github/prompts/team-ops/security-audit.prompt.md"
    }
  }
}

Fetch it by URL: GET /api/v1/registry/guilhem-bonnet-grimoire-forge-security-audit-prompt/manifest?version=1.0.0