theus-cli-linux-arm64 0.2.84

package/vendor/theus-arsenal/skills/revision-seguridad/SKILL.md

@@ -0,0 +1,505 @@
+---
+name: revision-seguridad
+description: >
+  Usa esta skill al añadir autenticación, manejar entrada de usuarios, trabajar con secretos,
+  crear endpoints de API o implementar funcionalidades de pago o datos sensibles. Proporciona
+  una checklist de seguridad completa y patrones de referencia.
+---
+
+# Skill de revisión de seguridad
+
+Esta skill garantiza que todo el código siga buenas prácticas de seguridad e identifica vulnerabilidades potenciales.
+
+## Cuándo activarla
+
+- Al implementar autenticación o autorización
+- Al manejar entrada de usuarios o subida de archivos
+- Al crear nuevos endpoints de API
+- Al trabajar con secretos o credenciales
+- Al implementar funcionalidades de pago
+- Al almacenar o transmitir datos sensibles
+- Al integrar APIs de terceros
+
+## Checklist de seguridad
+
+### 1. Gestión de secretos
+
+#### FALLA: NUNCA hagas esto
+```typescript
+const apiKey = "sk-proj-xxxxx"  // Secreto hardcodeado
+const dbPassword = "password123" // En el código fuente
+```
+
+#### PASA: SIEMPRE haz esto
+```typescript
+const apiKey = process.env.OPENAI_API_KEY
+const dbUrl = process.env.DATABASE_URL
+
+// Verificar que los secretos existen
+if (!apiKey) {
+  throw new Error('OPENAI_API_KEY no está configurada')
+}
+```
+
+#### Pasos de verificación
+- [ ] No hay API keys, tokens ni contraseñas hardcodeadas
+- [ ] Todos los secretos están en variables de entorno
+- [ ] `.env.local` está en el .gitignore
+- [ ] No hay secretos en el historial de git
+- [ ] Los secretos de producción viven en la plataforma de hosting (Vercel, Railway)
+
+### 2. Validación de entrada
+
+#### Valida siempre la entrada del usuario
+```typescript
+import { z } from 'zod'
+
+// Definir el esquema de validación
+const CreateUserSchema = z.object({
+  email: z.string().email(),
+  name: z.string().min(1).max(100),
+  age: z.number().int().min(0).max(150)
+})
+
+// Validar antes de procesar
+export async function createUser(input: unknown) {
+  try {
+    const validated = CreateUserSchema.parse(input)
+    return await db.users.create(validated)
+  } catch (error) {
+    if (error instanceof z.ZodError) {
+      return { success: false, errors: error.issues }
+    }
+    throw error
+  }
+}
+```
+
+#### Validación de subida de archivos
+```typescript
+function validateFileUpload(file: File) {
+  // Chequeo de tamaño (máx. 5 MB)
+  const maxSize = 5 * 1024 * 1024
+  if (file.size > maxSize) {
+    throw new Error('Archivo demasiado grande (máx. 5 MB)')
+  }
+
+  // Chequeo de tipo
+  const allowedTypes = ['image/jpeg', 'image/png', 'image/gif']
+  if (!allowedTypes.includes(file.type)) {
+    throw new Error('Tipo de archivo inválido')
+  }
+
+  // Chequeo de extensión
+  const allowedExtensions = ['.jpg', '.jpeg', '.png', '.gif']
+  const extension = file.name.toLowerCase().match(/\.[^.]+$/)?.[0]
+  if (!extension || !allowedExtensions.includes(extension)) {
+    throw new Error('Extensión de archivo inválida')
+  }
+
+  return true
+}
+```
+
+#### Pasos de verificación
+- [ ] Todas las entradas de usuario se validan con esquemas
+- [ ] Las subidas de archivos están restringidas (tamaño, tipo, extensión)
+- [ ] No se usa entrada de usuario directamente en consultas
+- [ ] Validación por lista blanca (no lista negra)
+- [ ] Los mensajes de error no filtran información sensible
+
+### 3. Prevención de inyección SQL
+
+#### FALLA: NUNCA concatenes SQL
+```typescript
+// PELIGROSO - vulnerabilidad de inyección SQL
+const query = `SELECT * FROM users WHERE email = '${userEmail}'`
+await db.query(query)
+```
+
+#### PASA: SIEMPRE usa consultas parametrizadas
+```typescript
+// Seguro - consulta parametrizada
+const { data } = await supabase
+  .from('users')
+  .select('*')
+  .eq('email', userEmail)
+
+// O con SQL crudo
+await db.query(
+  'SELECT * FROM users WHERE email = $1',
+  [userEmail]
+)
+```
+
+#### Pasos de verificación
+- [ ] Todas las consultas a la base de datos usan parámetros
+- [ ] No hay concatenación de strings en SQL
+- [ ] El ORM/query builder se usa correctamente
+- [ ] Las consultas de Supabase están debidamente sanitizadas
+
+### 4. Autenticación y autorización
+
+#### Manejo de tokens JWT
+```typescript
+// FALLA: MAL: localStorage (vulnerable a XSS)
+localStorage.setItem('token', token)
+
+// PASA: CORRECTO: cookies httpOnly
+res.setHeader('Set-Cookie',
+  `token=${token}; HttpOnly; Secure; SameSite=Strict; Max-Age=3600`)
+```
+
+#### Chequeos de autorización
+```typescript
+export async function deleteUser(userId: string, requesterId: string) {
+  // SIEMPRE verificar la autorización primero
+  const requester = await db.users.findUnique({
+    where: { id: requesterId }
+  })
+
+  if (requester.role !== 'admin') {
+    return NextResponse.json(
+      { error: 'No autorizado' },
+      { status: 403 }
+    )
+  }
+
+  // Proceder con la eliminación
+  await db.users.delete({ where: { id: userId } })
+}
+```
+
+#### Row Level Security (Supabase)
+```sql
+-- Habilitar RLS en todas las tablas
+ALTER TABLE users ENABLE ROW LEVEL SECURITY;
+
+-- Los usuarios solo pueden ver sus propios datos
+CREATE POLICY "Users view own data"
+  ON users FOR SELECT
+  USING (auth.uid() = id);
+
+-- Los usuarios solo pueden actualizar sus propios datos
+CREATE POLICY "Users update own data"
+  ON users FOR UPDATE
+  USING (auth.uid() = id);
+```
+
+#### Pasos de verificación
+- [ ] Los tokens se almacenan en cookies httpOnly (no en localStorage)
+- [ ] Hay chequeos de autorización antes de operaciones sensibles
+- [ ] Row Level Security habilitado en Supabase
+- [ ] Control de acceso basado en roles implementado
+- [ ] Gestión de sesiones segura
+
+### 5. Prevención de XSS
+
+#### Sanitiza el HTML
+```typescript
+import DOMPurify from 'isomorphic-dompurify'
+
+// SIEMPRE sanitizar el HTML aportado por el usuario
+function renderUserContent(html: string) {
+  const clean = DOMPurify.sanitize(html, {
+    ALLOWED_TAGS: ['b', 'i', 'em', 'strong', 'p'],
+    ALLOWED_ATTR: []
+  })
+  return <div dangerouslySetInnerHTML={{ __html: clean }} />
+}
+```
+
+#### Content Security Policy
+
+Empieza estricto y afloja solo con un plan de retiro documentado. No uses por defecto
+`'unsafe-inline'` ni `'unsafe-eval'`; neutralizan gran parte de la protección de la CSP
+y deben tratarse como deuda temporal de compatibilidad.
+
+```typescript
+// next.config.js
+const securityHeaders = [
+  {
+    key: 'Content-Security-Policy',
+    value: `
+      default-src 'self';
+      base-uri 'self';
+      object-src 'none';
+      frame-ancestors 'none';
+      script-src 'self';
+      style-src 'self';
+      img-src 'self' data: https:;
+      font-src 'self';
+      connect-src 'self' https://api.example.com;
+    `.replace(/\s{2,}/g, ' ').trim()
+  }
+]
+```
+
+#### Pasos de verificación
+- [ ] HTML aportado por el usuario sanitizado
+- [ ] Cabeceras CSP configuradas
+- [ ] No se renderiza contenido dinámico sin validar
+- [ ] Se aprovecha la protección XSS integrada de React
+
+### 6. Protección CSRF
+
+#### Tokens CSRF
+```typescript
+import { csrf } from '@/lib/csrf'
+
+export async function POST(request: Request) {
+  const token = request.headers.get('X-CSRF-Token')
+
+  if (!csrf.verify(token)) {
+    return NextResponse.json(
+      { error: 'Token CSRF inválido' },
+      { status: 403 }
+    )
+  }
+
+  // Procesar la solicitud
+}
+```
+
+#### Cookies SameSite
+```typescript
+res.setHeader('Set-Cookie',
+  `session=${sessionId}; HttpOnly; Secure; SameSite=Strict`)
+```
+
+#### Pasos de verificación
+- [ ] Tokens CSRF en operaciones que cambian estado
+- [ ] SameSite=Strict en todas las cookies
+- [ ] Patrón de doble envío de cookie implementado
+
+### 7. Limitación de tasa (rate limiting)
+
+#### Rate limiting de API
+```typescript
+import rateLimit from 'express-rate-limit'
+
+const limiter = rateLimit({
+  windowMs: 15 * 60 * 1000, // 15 minutos
+  max: 100, // 100 solicitudes por ventana
+  message: 'Demasiadas solicitudes'
+})
+
+// Aplicar a las rutas
+app.use('/api/', limiter)
+```
+
+#### Operaciones costosas
+```typescript
+// Rate limiting agresivo para búsquedas
+const searchLimiter = rateLimit({
+  windowMs: 60 * 1000, // 1 minuto
+  max: 10, // 10 solicitudes por minuto
+  message: 'Demasiadas solicitudes de búsqueda'
+})
+
+app.use('/api/search', searchLimiter)
+```
+
+#### Pasos de verificación
+- [ ] Rate limiting en todos los endpoints de API
+- [ ] Límites más estrictos en operaciones costosas
+- [ ] Rate limiting por IP
+- [ ] Rate limiting por usuario (autenticado)
+
+### 8. Exposición de datos sensibles
+
+#### Logging
+```typescript
+// FALLA: MAL: registrar datos sensibles
+console.log('Inicio de sesión:', { email, password })
+console.log('Pago:', { cardNumber, cvv })
+
+// PASA: CORRECTO: censurar datos sensibles
+console.log('Inicio de sesión:', { email, userId })
+console.log('Pago:', { last4: card.last4, userId })
+```
+
+#### Mensajes de error
+```typescript
+// FALLA: MAL: exponer detalles internos
+catch (error) {
+  return NextResponse.json(
+    { error: error.message, stack: error.stack },
+    { status: 500 }
+  )
+}
+
+// PASA: CORRECTO: mensajes de error genéricos
+catch (error) {
+  console.error('Error interno:', error)
+  return NextResponse.json(
+    { error: 'Ocurrió un error. Inténtalo de nuevo.' },
+    { status: 500 }
+  )
+}
+```
+
+#### Pasos de verificación
+- [ ] No hay contraseñas, tokens ni secretos en los logs
+- [ ] Mensajes de error genéricos de cara al usuario
+- [ ] Errores detallados solo en los logs del servidor
+- [ ] No se exponen stack traces a los usuarios
+
+### 9. Seguridad blockchain (Solana)
+
+#### Verificación de wallet
+```typescript
+import { verify } from '@solana/web3.js'
+
+async function verifyWalletOwnership(
+  publicKey: string,
+  signature: string,
+  message: string
+) {
+  try {
+    const isValid = verify(
+      Buffer.from(message),
+      Buffer.from(signature, 'base64'),
+      Buffer.from(publicKey, 'base64')
+    )
+    return isValid
+  } catch (error) {
+    return false
+  }
+}
+```
+
+#### Verificación de transacciones
+```typescript
+async function verifyTransaction(transaction: Transaction) {
+  // Verificar el destinatario
+  if (transaction.to !== expectedRecipient) {
+    throw new Error('Destinatario inválido')
+  }
+
+  // Verificar el monto
+  if (transaction.amount > maxAmount) {
+    throw new Error('El monto excede el límite')
+  }
+
+  // Verificar que el usuario tiene saldo suficiente
+  const balance = await getBalance(transaction.from)
+  if (balance < transaction.amount) {
+    throw new Error('Saldo insuficiente')
+  }
+
+  return true
+}
+```
+
+#### Pasos de verificación
+- [ ] Firmas de wallet verificadas
+- [ ] Detalles de la transacción validados
+- [ ] Chequeos de saldo antes de las transacciones
+- [ ] Sin firma de transacciones a ciegas
+
+### 10. Seguridad de dependencias
+
+#### Actualizaciones periódicas
+```bash
+# Buscar vulnerabilidades
+npm audit
+
+# Corregir automáticamente lo corregible
+npm audit fix
+
+# Actualizar dependencias
+npm update
+
+# Buscar paquetes desactualizados
+npm outdated
+```
+
+#### Archivos de lock
+```bash
+# SIEMPRE commitear los archivos de lock
+git add package-lock.json
+
+# Usar en CI/CD para builds reproducibles
+npm ci  # En lugar de npm install
+```
+
+#### Pasos de verificación
+- [ ] Dependencias actualizadas
+- [ ] Sin vulnerabilidades conocidas (npm audit limpio)
+- [ ] Archivos de lock commiteados
+- [ ] Dependabot habilitado en GitHub
+- [ ] Actualizaciones de seguridad periódicas
+
+## Testing de seguridad
+
+### Tests de seguridad automatizados
+```typescript
+// Probar autenticación
+test('requiere autenticación', async () => {
+  const response = await fetch('/api/protected')
+  expect(response.status).toBe(401)
+})
+
+// Probar autorización
+test('requiere rol de admin', async () => {
+  const response = await fetch('/api/admin', {
+    headers: { Authorization: `Bearer ${userToken}` }
+  })
+  expect(response.status).toBe(403)
+})
+
+// Probar validación de entrada
+test('rechaza entrada inválida', async () => {
+  const response = await fetch('/api/users', {
+    method: 'POST',
+    body: JSON.stringify({ email: 'no-es-un-email' })
+  })
+  expect(response.status).toBe(400)
+})
+
+// Probar rate limiting
+test('aplica los límites de tasa', async () => {
+  const requests = Array(101).fill(null).map(() =>
+    fetch('/api/endpoint')
+  )
+
+  const responses = await Promise.all(requests)
+  const tooManyRequests = responses.filter(r => r.status === 429)
+
+  expect(tooManyRequests.length).toBeGreaterThan(0)
+})
+```
+
+## Checklist de seguridad previa al despliegue
+
+Antes de CUALQUIER despliegue a producción:
+
+- [ ] **Secretos**: sin secretos hardcodeados, todo en variables de entorno
+- [ ] **Validación de entrada**: todas las entradas de usuario validadas
+- [ ] **Inyección SQL**: todas las consultas parametrizadas
+- [ ] **XSS**: contenido de usuario sanitizado
+- [ ] **CSRF**: protección habilitada
+- [ ] **Autenticación**: manejo correcto de tokens
+- [ ] **Autorización**: chequeos de rol en su lugar
+- [ ] **Rate limiting**: habilitado en todos los endpoints
+- [ ] **HTTPS**: forzado en producción
+- [ ] **Cabeceras de seguridad**: CSP, X-Frame-Options configuradas
+- [ ] **Manejo de errores**: sin datos sensibles en los errores
+- [ ] **Logging**: sin datos sensibles en los logs
+- [ ] **Dependencias**: actualizadas, sin vulnerabilidades
+- [ ] **Row Level Security**: habilitado en Supabase
+- [ ] **CORS**: configurado correctamente
+- [ ] **Subida de archivos**: validada (tamaño, tipo)
+- [ ] **Firmas de wallet**: verificadas (si hay blockchain)
+
+## Recursos
+
+- [OWASP Top 10](https://owasp.org/www-project-top-ten/)
+- [Seguridad en Next.js](https://nextjs.org/docs/security)
+- [Seguridad en Supabase](https://supabase.com/docs/guides/auth)
+- [Web Security Academy](https://portswigger.net/web-security)
+
+---
+
+**Recuerda**: la seguridad no es opcional. Una sola vulnerabilidad puede comprometer toda la plataforma. Ante la duda, elige siempre el lado de la precaución.