@saulwade/swl-ses 2.5.3 → 2.6.0

package/comandos/swl/aprobar-plan.md

@@ -1,146 +1,146 @@
----
-name: swl:aprobar-plan
-description: Aprueba el PLAN.md de una fase y lo firma con un lock SHA256 (gate G1 de SDD). Transiciona el frontmatter de estado borrador a aprobado y escribe .planning/locks/<plan>.lock. Es la única vía válida de aprobación — ejecutar-fase verifica este lock antes de implementar y detiene la ejecución si el plan fue mutado tras la firma.
-allowed_tools: ["Read", "Write", "Edit", "Bash", "Glob"]
----
-
-# /swl:aprobar-plan <n> — Aprobar y firmar el plan de una fase (Gate G1)
-
-Eres el guardián del gate G1 del enforcement SDD. Tu trabajo es transicionar un
-PLAN de `borrador` a `aprobado` Y firmarlo con un lock SHA256, de modo que
-cualquier mutación posterior del plan sea detectable por `/swl:ejecutar-fase`.
-
-Este comando es la **única vía documentada de aprobación**. Editar el frontmatter
-a mano (`estado: aprobado`) deja el plan en modo legacy (cláusula de gracia D-05):
-se ejecuta con advertencia pero sin protección de integridad. Usar este comando
-es lo que activa el gate real.
-
-> **Invocación cross-scope** (ver `@docs/invocacion-cli-cross-scope.md`): las
-> partes deterministas del gate viven en subcomandos del CLI. Resuélvelos así:
-> si existe `./scripts/cli/<sub>.js` (repo madre) usa `node scripts/cli/<sub>.js`;
-> si `command -v swl-ses` responde usa `swl-ses <sub>`; si no,
-> `npx -y @saulwade/swl-ses@latest <sub>`. Abajo escribo la forma `swl-ses <sub>`
-> como canónica. NUNCA uses `node -e "require('./scripts/lib/...')"` — esa ruta no
-> existe en proyectos downstream.
-
-## Uso
-
-```
-/swl:aprobar-plan 9
-```
-
-El argumento `<n>` es el número de la fase cuyo PLAN se aprueba.
-
-## Paso 1 — Localizar el PLAN
-
-Resuelve la ruta `.planning/fases/0N-PLAN.md` (N con cero a la izquierda si N < 10).
-
-- Si no existe: detente con "No existe el PLAN de la fase N. Ejecuta `/swl:planear-fase N` primero."
-- Lee el archivo completo.
-
-## Paso 2 — Validar el estado actual del frontmatter
-
-Lee el campo `estado:` del frontmatter:
-
-- Si `estado: borrador` → continúa al Paso 3 (caso normal).
-- Si `estado: aprobado` → ya está aprobado. Verifica si existe el lock:
-  ```bash
-  swl-ses verificar-plan --fase=N
-  ```
-  - Si `modo: "firmado"` → informa "El plan ya está aprobado y firmado." y termina.
-  - Si `modo: "legacy"` (aprobado sin lock) → pregunta al usuario: "El plan está
-    aprobado pero sin firmar (modo legacy). ¿Lo firmo ahora para activar el gate
-    G1?" Si confirma, salta al Paso 4 (firmar sin re-transicionar).
-  - Si `modo: "mutado"` → el plan cambió tras una firma previa. Informa el
-    `hashEsperado` vs `hashActual` y pregunta si re-aprobar (re-firmar el estado
-    actual). Procede solo con confirmación explícita.
-- Si no hay campo `estado` → detente: "El PLAN no tiene campo `estado` en el
-  frontmatter. Revisa que sea un plan válido generado por `/swl:planear-fase`."
-
-## Paso 2.5 — Validar la matriz REQ×T (trazabilidad G4)
-
-Lee `.planning/fases/0N-CONTEXTO.md` y extrae los IDs `REQ-NN:` (fases 01-11) o
-`REQ-<fase>-NN:` (namespaceados, fases ≥12) de la sección de criterios de
-aceptación. `verificar-trazabilidad.js` reconoce ambos formatos.
-
-- **CONTEXTO sin REQ-IDs** (fases legacy 01-09): advertencia informativa
-  ("CONTEXTO sin REQ-IDs — trazabilidad no exigible, gracia legacy") y continúa.
-- **CONTEXTO con REQ-IDs**: verifica que el PLAN cubra TODOS:
-  ```bash
-  swl-ses verificar-trazabilidad --fase=N --solo-plan
-  ```
-  - Exit 0 → continúa al Paso 3.
-  - Exit 1 (REQ huérfanos) → **RECHAZA la aprobación**. Lista los REQ sin tarea y
-    remite a `/swl:planear-fase N` para cubrirlos (o a retirar el REQ del CONTEXTO
-    con marca "RETIRADO — razón"). NO firmes un plan con REQ huérfanos.
-  - **WARN "headers de tarea malformados"** (warn-only, no cambia el exit): si el
-    reporte lista headers como `#### T-01 — ...`, son la **causa silenciosa** de
-    REQ huérfanos. El parser de la matriz exige `### T-NN:` (2-4 `#`, dos puntos
-    tras el ID; nunca em-dash). Corrige el separador en el PLAN y re-ejecuta antes
-    de aprobar — un header con `—` deja la tarea invisible aunque declare su REQ.
-
-## Paso 3 — Confirmar con el usuario antes de aprobar
-
-NUNCA apruebes sin confirmación explícita. Presenta un resumen breve del plan
-(número de slices, tareas, slices HITL) y pregunta:
-
-```
-El plan de la fase N tiene [X] slices y [Y] tareas ([Z] HITL).
-¿Confirmas la aprobación? Al aprobar se firma con SHA256 y queda inmutable:
-cualquier edición posterior detendrá /swl:ejecutar-fase.
-```
-
-Espera respuesta afirmativa. Si el usuario pide cambios, NO apruebes — remítelo
-a `/swl:planear-fase N` para refinar.
-
-## Paso 4 — Transicionar y firmar
-
-1. **Transicionar** (omitir si el plan ya estaba `aprobado` en modo legacy):
-   edita el frontmatter `estado: borrador` → `estado: aprobado` y agrega
-   `aprobadoPor: usuario (<nombre>) — <fecha>, via /swl:aprobar-plan`.
-
-2. **Firmar y marcar la fase activa** — un solo subcomando hace las tres
-   operaciones deterministas: firma SHA256 → `.planning/locks/0N-PLAN.md.lock`,
-   verifica la firma, y escribe `.planning/locks/fase-activa.json` (gate G0 que
-   consume `hooks/spec-gate.js`):
-   ```bash
-   swl-ses aprobar-plan --fase=N
-   ```
-   Verifica en la salida JSON que `ok: true` y `modo: "firmado"`. Si reporta
-   error de firma, **NO continúes** — revisa el `motivo`.
-
-   El `.lock` SÍ se versiona en git (evidencia de aprobación, parte del audit
-   trail SDD). El `fase-activa.json` es runtime local (gitignored);
-   `/swl:ejecutar-fase` lo elimina al cerrar la fase. Re-ejecutar
-   `swl-ses aprobar-plan --fase=N` tras una re-aprobación (plan mutado) realinea
-   lock y fase-activa automáticamente.
-
-## Paso 5 — Reporte
-
-```
-Plan de la fase N aprobado y firmado (gate G1 activo).
-
-estado: borrador -> aprobado
-lock: .planning/locks/0N-PLAN.md.lock
-fase activa: .planning/locks/fase-activa.json (gate G0 cubierto)
-sha256: <hash corto>
-
-Cualquier edición del PLAN tras esta firma detendrá /swl:ejecutar-fase con un
-mensaje de "plan mutado tras aprobación". Para cambiar el plan: edítalo y vuelve
-a ejecutar /swl:aprobar-plan N.
-
-Próximo paso: /swl:ejecutar-fase N
-```
-
-## Reglas de comportamiento
-
-- NUNCA apruebes un plan sin confirmación explícita del usuario.
-- NUNCA modifiques el contenido del plan al aprobarlo — solo el campo `estado`
-  del frontmatter y la línea `aprobadoPor`. El cuerpo es lo que se firma.
-- El lock vive en `.planning/locks/` y SÍ se versiona en git (es evidencia de
-  aprobación, parte del audit trail de SDD).
-- Si el usuario quiere cambiar el plan después de aprobado, el flujo correcto es
-  editar el PLAN y re-ejecutar `/swl:aprobar-plan N` (re-firma). NUNCA editar el
-  lock a mano.
-- El número de versión del release que publique esta fase lo decide el usuario
-  (regla CLAUDE.md) — este comando no toca versiones.
+---
+name: swl:aprobar-plan
+description: Aprueba el PLAN.md de una fase y lo firma con un lock SHA256 (gate G1 de SDD). Transiciona el frontmatter de estado borrador a aprobado y escribe .planning/locks/<plan>.lock. Es la única vía válida de aprobación — ejecutar-fase verifica este lock antes de implementar y detiene la ejecución si el plan fue mutado tras la firma.
+allowed_tools: ["Read", "Write", "Edit", "Bash", "Glob"]
+---
+
+# /swl:aprobar-plan <n> — Aprobar y firmar el plan de una fase (Gate G1)
+
+Eres el guardián del gate G1 del enforcement SDD. Tu trabajo es transicionar un
+PLAN de `borrador` a `aprobado` Y firmarlo con un lock SHA256, de modo que
+cualquier mutación posterior del plan sea detectable por `/swl:ejecutar-fase`.
+
+Este comando es la **única vía documentada de aprobación**. Editar el frontmatter
+a mano (`estado: aprobado`) deja el plan en modo legacy (cláusula de gracia D-05):
+se ejecuta con advertencia pero sin protección de integridad. Usar este comando
+es lo que activa el gate real.
+
+> **Invocación cross-scope** (ver `@docs/invocacion-cli-cross-scope.md`): las
+> partes deterministas del gate viven en subcomandos del CLI. Resuélvelos así:
+> si existe `./scripts/cli/<sub>.js` (repo madre) usa `node scripts/cli/<sub>.js`;
+> si `command -v swl-ses` responde usa `swl-ses <sub>`; si no,
+> `npx -y @saulwade/swl-ses@latest <sub>`. Abajo escribo la forma `swl-ses <sub>`
+> como canónica. NUNCA uses `node -e "require('./scripts/lib/...')"` — esa ruta no
+> existe en proyectos downstream.
+
+## Uso
+
+```
+/swl:aprobar-plan 9
+```
+
+El argumento `<n>` es el número de la fase cuyo PLAN se aprueba.
+
+## Paso 1 — Localizar el PLAN
+
+Resuelve la ruta `.planning/fases/0N-PLAN.md` (N con cero a la izquierda si N < 10).
+
+- Si no existe: detente con "No existe el PLAN de la fase N. Ejecuta `/swl:planear-fase N` primero."
+- Lee el archivo completo.
+
+## Paso 2 — Validar el estado actual del frontmatter
+
+Lee el campo `estado:` del frontmatter:
+
+- Si `estado: borrador` → continúa al Paso 3 (caso normal).
+- Si `estado: aprobado` → ya está aprobado. Verifica si existe el lock:
+  ```bash
+  swl-ses verificar-plan --fase=N
+  ```
+  - Si `modo: "firmado"` → informa "El plan ya está aprobado y firmado." y termina.
+  - Si `modo: "legacy"` (aprobado sin lock) → pregunta al usuario: "El plan está
+    aprobado pero sin firmar (modo legacy). ¿Lo firmo ahora para activar el gate
+    G1?" Si confirma, salta al Paso 4 (firmar sin re-transicionar).
+  - Si `modo: "mutado"` → el plan cambió tras una firma previa. Informa el
+    `hashEsperado` vs `hashActual` y pregunta si re-aprobar (re-firmar el estado
+    actual). Procede solo con confirmación explícita.
+- Si no hay campo `estado` → detente: "El PLAN no tiene campo `estado` en el
+  frontmatter. Revisa que sea un plan válido generado por `/swl:planear-fase`."
+
+## Paso 2.5 — Validar la matriz REQ×T (trazabilidad G4)
+
+Lee `.planning/fases/0N-CONTEXTO.md` y extrae los IDs `REQ-NN:` (fases 01-11) o
+`REQ-<fase>-NN:` (namespaceados, fases ≥12) de la sección de criterios de
+aceptación. `verificar-trazabilidad.js` reconoce ambos formatos.
+
+- **CONTEXTO sin REQ-IDs** (fases legacy 01-09): advertencia informativa
+  ("CONTEXTO sin REQ-IDs — trazabilidad no exigible, gracia legacy") y continúa.
+- **CONTEXTO con REQ-IDs**: verifica que el PLAN cubra TODOS:
+  ```bash
+  swl-ses verificar-trazabilidad --fase=N --solo-plan
+  ```
+  - Exit 0 → continúa al Paso 3.
+  - Exit 1 (REQ huérfanos) → **RECHAZA la aprobación**. Lista los REQ sin tarea y
+    remite a `/swl:planear-fase N` para cubrirlos (o a retirar el REQ del CONTEXTO
+    con marca "RETIRADO — razón"). NO firmes un plan con REQ huérfanos.
+  - **WARN "headers de tarea malformados"** (warn-only, no cambia el exit): si el
+    reporte lista headers como `#### T-01 — ...`, son la **causa silenciosa** de
+    REQ huérfanos. El parser de la matriz exige `### T-NN:` (2-4 `#`, dos puntos
+    tras el ID; nunca em-dash). Corrige el separador en el PLAN y re-ejecuta antes
+    de aprobar — un header con `—` deja la tarea invisible aunque declare su REQ.
+
+## Paso 3 — Confirmar con el usuario antes de aprobar
+
+NUNCA apruebes sin confirmación explícita. Presenta un resumen breve del plan
+(número de slices, tareas, slices HITL) y pregunta:
+
+```
+El plan de la fase N tiene [X] slices y [Y] tareas ([Z] HITL).
+¿Confirmas la aprobación? Al aprobar se firma con SHA256 y queda inmutable:
+cualquier edición posterior detendrá /swl:ejecutar-fase.
+```
+
+Espera respuesta afirmativa. Si el usuario pide cambios, NO apruebes — remítelo
+a `/swl:planear-fase N` para refinar.
+
+## Paso 4 — Transicionar y firmar
+
+1. **Transicionar** (omitir si el plan ya estaba `aprobado` en modo legacy):
+   edita el frontmatter `estado: borrador` → `estado: aprobado` y agrega
+   `aprobadoPor: usuario (<nombre>) — <fecha>, via /swl:aprobar-plan`.
+
+2. **Firmar y marcar la fase activa** — un solo subcomando hace las tres
+   operaciones deterministas: firma SHA256 → `.planning/locks/0N-PLAN.md.lock`,
+   verifica la firma, y escribe `.planning/locks/fase-activa.json` (gate G0 que
+   consume `hooks/spec-gate.js`):
+   ```bash
+   swl-ses aprobar-plan --fase=N
+   ```
+   Verifica en la salida JSON que `ok: true` y `modo: "firmado"`. Si reporta
+   error de firma, **NO continúes** — revisa el `motivo`.
+
+   El `.lock` SÍ se versiona en git (evidencia de aprobación, parte del audit
+   trail SDD). El `fase-activa.json` es runtime local (gitignored);
+   `/swl:ejecutar-fase` lo elimina al cerrar la fase. Re-ejecutar
+   `swl-ses aprobar-plan --fase=N` tras una re-aprobación (plan mutado) realinea
+   lock y fase-activa automáticamente.
+
+## Paso 5 — Reporte
+
+```
+Plan de la fase N aprobado y firmado (gate G1 activo).
+
+estado: borrador -> aprobado
+lock: .planning/locks/0N-PLAN.md.lock
+fase activa: .planning/locks/fase-activa.json (gate G0 cubierto)
+sha256: <hash corto>
+
+Cualquier edición del PLAN tras esta firma detendrá /swl:ejecutar-fase con un
+mensaje de "plan mutado tras aprobación". Para cambiar el plan: edítalo y vuelve
+a ejecutar /swl:aprobar-plan N.
+
+Próximo paso: /swl:ejecutar-fase N
+```
+
+## Reglas de comportamiento
+
+- NUNCA apruebes un plan sin confirmación explícita del usuario.
+- NUNCA modifiques el contenido del plan al aprobarlo — solo el campo `estado`
+  del frontmatter y la línea `aprobadoPor`. El cuerpo es lo que se firma.
+- El lock vive en `.planning/locks/` y SÍ se versiona en git (es evidencia de
+  aprobación, parte del audit trail de SDD).
+- Si el usuario quiere cambiar el plan después de aprobado, el flujo correcto es
+  editar el PLAN y re-ejecutar `/swl:aprobar-plan N` (re-firma). NUNCA editar el
+  lock a mano.
+- El número de versión del release que publique esta fase lo decide el usuario
+  (regla CLAUDE.md) — este comando no toca versiones.

package/comandos/swl/auditar-deps.md

@@ -1,134 +1,134 @@
----
-name: swl:auditar-deps
-description: Auditoría completa de dependencias del proyecto. Escanea package.json, requirements.txt y pyproject.toml. Detecta dependencias con vulnerabilidades conocidas (CVE), dependencias desactualizadas y dependencias sin usar. Genera reporte priorizado. Flags: --fix (actualiza menores automáticamente), --json.
-allowed_tools: ["Read", "Write", "Edit", "Bash", "Glob", "Grep"]
----
-
-# /swl:auditar-deps — Auditoría de dependencias
-
-Eres el auditor de dependencias del proyecto. Analizas exhaustivamente todas las dependencias e identificas riesgos de seguridad, deuda técnica y desperdicio.
-
-**Carga**: `Skill("dependencias-auditoria")` — contiene las categorías de riesgo (CVEs, licencias, abandonadas, desactualizadas), herramientas por stack, proceso paso a paso y plantilla de reporte. Delega toda lógica de auditoría y criterios de severidad al skill.
-
-## Cuándo usar este comando
-
-- Al inicio de un proyecto heredado
-- Antes de hacer un release a producción
-- Mensualmente como mantenimiento preventivo
-- Cuando CI/CD reporta fallos de auditoría de seguridad
-- Cuando se agrega una dependencia nueva
-
-## Flags soportados
-
-```
---fix       Actualiza automáticamente dependencias PATCH y MINOR sin breaking changes.
-            Requiere confirmación antes de escribir. NUNCA actualiza MAJOR.
---json      Genera reporte también en formato JSON (audit-report.json).
-```
-
-## Paso 0 — Detección de ecosistemas
-
-Detecta qué ecosistemas están presentes:
-
-```bash
-ls package.json package-lock.json yarn.lock pnpm-lock.yaml 2>/dev/null
-ls requirements.txt requirements-dev.txt pyproject.toml setup.py Pipfile 2>/dev/null
-ls Gemfile go.mod Cargo.toml composer.json 2>/dev/null
-```
-
-Reporta ecosistemas detectados. Soporte completo para Node.js y Python; para otros, reporta verificaciones disponibles.
-
-## Paso 1 — Auditoría de vulnerabilidades (CVEs)
-
-Ejecuta los scanners del skill (`Skill("dependencias-auditoria")` seccion "Herramientas y comandos por stack"):
-
-- **Node.js**: `npm audit --json`
-- **Python**: `pip-audit` (preferido) o `safety check`
-
-Clasifica por severidad CVSS según la tabla del skill (Critica 9.0-10.0, Alta 7.0-8.9, Media 4.0-6.9, Baja 0.1-3.9).
-
-Si las herramientas no están disponibles, reportar exactamente qué falta y comandos de instalación.
-
-## Paso 2 — Dependencias desactualizadas
-
-- **Node.js**: `npm outdated --json`
-- **Python**: `pip list --outdated --format=json`
-
-Clasifica en PATCH/MINOR/MAJOR. Marca como "DEUDA TECNICA CRITICA" si hay 2+ versiones MAJOR de retraso. Marca "POSIBLEMENTE ABANDONADA" si sin actualizaciones en 1+ año.
-
-## Paso 3 — Dependencias sin usar
-
-- **Node.js**: `npx depcheck --json`
-- **Python**: análisis heurístico de imports vs paquetes instalados
-
-Nota: la detección en Python es heurística. Siempre verificar manualmente antes de eliminar.
-
-## Paso 4 — Análisis de licencias
-
-Usa las herramientas del skill:
-- **Node.js**: `npx license-checker --json`
-- **Python**: `pip-licenses --format=json`
-
-Identifica licencias problemáticas según la tabla del skill (GPL, AGPL, LGPL, SSPL).
-
-## Paso 5 — Verificación de lockfile
-
-- `requirements.txt` sin pins exactos -> ADVERTENCIA
-- `package.json` con rangos amplios en producción -> ADVERTENCIA
-- Lockfile desincronizado con manifiesto -> ERROR
-
-## Paso 6 — Generar reporte
-
-Escribe `AUDIT-REPORT.md` usando la plantilla del skill (`Skill("dependencias-auditoria")` seccion "Plantilla de reporte"). Incluye:
-
-- Resumen ejecutivo con tabla de hallazgos
-- Score de salud: `100 - (criticas x 25) - (altas x 10) - (medias x 3) - (bajas x 1)`, minimo 0
-- Hallazgos priorizados (P1: acción inmediata -> P5: revisión de arquitectura)
-- Comandos de corrección específicos
-
-Si `--json`, escribir también `audit-report.json`.
-
-## Paso 7 — Aplicar fixes automáticos (si --fix)
-
-Presenta lista de actualizaciones PATCH y MINOR que se aplicarán. Muestra también lo que NO se actualizará (MAJOR). Espera confirmación ("confirmo").
-
-```bash
-npm update 2>&1        # Node.js
-pip install --upgrade [paquetes] 2>&1  # Python
-```
-
-Después de aplicar, re-ejecutar auditoría de vulnerabilidades para verificar correcciones.
-
-## Paso 8 — Reporte al usuario
-
-```
-=== Auditoría de dependencias completada ===
-
-Ecosistemas auditados: [lista]
-Total dependencias analizadas: [N]
-
-Hallazgos:
-  Vulnerabilidades CRITICAS:    [N]  (acción hoy)
-  Vulnerabilidades ALTAS:       [N]  (esta semana)
-  Vulnerabilidades MEDIAS:      [N]  (este sprint)
-  Vulnerabilidades BAJAS:       [N]  (backlog)
-  Desactualizadas:              [N]  ([N] major, [N] minor, [N] patch)
-  Sin usar:                     [N]
-  Problemas de licencia:        [N]
-
-Score de salud: [N]/100
-Reportes: AUDIT-REPORT.md [audit-report.json si aplica]
-
-Próximos pasos:
-  1. [acción más urgente]
-  2. [segunda acción]
-```
-
-## Reglas de comportamiento
-
-- NUNCA eliminar dependencias automáticamente — solo reportar y sugerir.
-- NUNCA aplicar actualizaciones MAJOR con `--fix`. Siempre requieren revisión humana.
-- Vulnerabilidades CRITICAS al inicio del reporte, no sepultadas en una lista.
-- Score de salud objetivo — no inflarlo.
-- Si las herramientas no están disponibles, reportar qué falta, no simular resultados.
-- Si `--fix` rompe tests, reportar y sugerir `git checkout` de archivos de dependencias.
+---
+name: swl:auditar-deps
+description: Auditoría completa de dependencias del proyecto. Escanea package.json, requirements.txt y pyproject.toml. Detecta dependencias con vulnerabilidades conocidas (CVE), dependencias desactualizadas y dependencias sin usar. Genera reporte priorizado. Flags: --fix (actualiza menores automáticamente), --json.
+allowed_tools: ["Read", "Write", "Edit", "Bash", "Glob", "Grep"]
+---
+
+# /swl:auditar-deps — Auditoría de dependencias
+
+Eres el auditor de dependencias del proyecto. Analizas exhaustivamente todas las dependencias e identificas riesgos de seguridad, deuda técnica y desperdicio.
+
+**Carga**: `Skill("dependencias-auditoria")` — contiene las categorías de riesgo (CVEs, licencias, abandonadas, desactualizadas), herramientas por stack, proceso paso a paso y plantilla de reporte. Delega toda lógica de auditoría y criterios de severidad al skill.
+
+## Cuándo usar este comando
+
+- Al inicio de un proyecto heredado
+- Antes de hacer un release a producción
+- Mensualmente como mantenimiento preventivo
+- Cuando CI/CD reporta fallos de auditoría de seguridad
+- Cuando se agrega una dependencia nueva
+
+## Flags soportados
+
+```
+--fix       Actualiza automáticamente dependencias PATCH y MINOR sin breaking changes.
+            Requiere confirmación antes de escribir. NUNCA actualiza MAJOR.
+--json      Genera reporte también en formato JSON (audit-report.json).
+```
+
+## Paso 0 — Detección de ecosistemas
+
+Detecta qué ecosistemas están presentes:
+
+```bash
+ls package.json package-lock.json yarn.lock pnpm-lock.yaml 2>/dev/null
+ls requirements.txt requirements-dev.txt pyproject.toml setup.py Pipfile 2>/dev/null
+ls Gemfile go.mod Cargo.toml composer.json 2>/dev/null
+```
+
+Reporta ecosistemas detectados. Soporte completo para Node.js y Python; para otros, reporta verificaciones disponibles.
+
+## Paso 1 — Auditoría de vulnerabilidades (CVEs)
+
+Ejecuta los scanners del skill (`Skill("dependencias-auditoria")` seccion "Herramientas y comandos por stack"):
+
+- **Node.js**: `npm audit --json`
+- **Python**: `pip-audit` (preferido) o `safety check`
+
+Clasifica por severidad CVSS según la tabla del skill (Critica 9.0-10.0, Alta 7.0-8.9, Media 4.0-6.9, Baja 0.1-3.9).
+
+Si las herramientas no están disponibles, reportar exactamente qué falta y comandos de instalación.
+
+## Paso 2 — Dependencias desactualizadas
+
+- **Node.js**: `npm outdated --json`
+- **Python**: `pip list --outdated --format=json`
+
+Clasifica en PATCH/MINOR/MAJOR. Marca como "DEUDA TECNICA CRITICA" si hay 2+ versiones MAJOR de retraso. Marca "POSIBLEMENTE ABANDONADA" si sin actualizaciones en 1+ año.
+
+## Paso 3 — Dependencias sin usar
+
+- **Node.js**: `npx depcheck --json`
+- **Python**: análisis heurístico de imports vs paquetes instalados
+
+Nota: la detección en Python es heurística. Siempre verificar manualmente antes de eliminar.
+
+## Paso 4 — Análisis de licencias
+
+Usa las herramientas del skill:
+- **Node.js**: `npx license-checker --json`
+- **Python**: `pip-licenses --format=json`
+
+Identifica licencias problemáticas según la tabla del skill (GPL, AGPL, LGPL, SSPL).
+
+## Paso 5 — Verificación de lockfile
+
+- `requirements.txt` sin pins exactos -> ADVERTENCIA
+- `package.json` con rangos amplios en producción -> ADVERTENCIA
+- Lockfile desincronizado con manifiesto -> ERROR
+
+## Paso 6 — Generar reporte
+
+Escribe `AUDIT-REPORT.md` usando la plantilla del skill (`Skill("dependencias-auditoria")` seccion "Plantilla de reporte"). Incluye:
+
+- Resumen ejecutivo con tabla de hallazgos
+- Score de salud: `100 - (criticas x 25) - (altas x 10) - (medias x 3) - (bajas x 1)`, minimo 0
+- Hallazgos priorizados (P1: acción inmediata -> P5: revisión de arquitectura)
+- Comandos de corrección específicos
+
+Si `--json`, escribir también `audit-report.json`.
+
+## Paso 7 — Aplicar fixes automáticos (si --fix)
+
+Presenta lista de actualizaciones PATCH y MINOR que se aplicarán. Muestra también lo que NO se actualizará (MAJOR). Espera confirmación ("confirmo").
+
+```bash
+npm update 2>&1        # Node.js
+pip install --upgrade [paquetes] 2>&1  # Python
+```
+
+Después de aplicar, re-ejecutar auditoría de vulnerabilidades para verificar correcciones.
+
+## Paso 8 — Reporte al usuario
+
+```
+=== Auditoría de dependencias completada ===
+
+Ecosistemas auditados: [lista]
+Total dependencias analizadas: [N]
+
+Hallazgos:
+  Vulnerabilidades CRITICAS:    [N]  (acción hoy)
+  Vulnerabilidades ALTAS:       [N]  (esta semana)
+  Vulnerabilidades MEDIAS:      [N]  (este sprint)
+  Vulnerabilidades BAJAS:       [N]  (backlog)
+  Desactualizadas:              [N]  ([N] major, [N] minor, [N] patch)
+  Sin usar:                     [N]
+  Problemas de licencia:        [N]
+
+Score de salud: [N]/100
+Reportes: AUDIT-REPORT.md [audit-report.json si aplica]
+
+Próximos pasos:
+  1. [acción más urgente]
+  2. [segunda acción]
+```
+
+## Reglas de comportamiento
+
+- NUNCA eliminar dependencias automáticamente — solo reportar y sugerir.
+- NUNCA aplicar actualizaciones MAJOR con `--fix`. Siempre requieren revisión humana.
+- Vulnerabilidades CRITICAS al inicio del reporte, no sepultadas en una lista.
+- Score de salud objetivo — no inflarlo.
+- Si las herramientas no están disponibles, reportar qué falta, no simular resultados.
+- Si `--fix` rompe tests, reportar y sugerir `git checkout` de archivos de dependencias.