theus-cli-linux-arm64 0.2.84

package/vendor/theus-arsenal/skills/revision-seguridad/cloud-infrastructure-security.md

@@ -0,0 +1,361 @@
+| name | description |
+|------|-------------|
+| cloud-infrastructure-security | Usa esta skill al desplegar en plataformas cloud, configurar infraestructura, gestionar políticas IAM, montar logging/monitoreo o implementar pipelines de CI/CD. Proporciona una checklist de seguridad cloud alineada con las mejores prácticas. |
+
+# Skill de seguridad cloud e infraestructura
+
+Esta skill garantiza que la infraestructura cloud, los pipelines de CI/CD y las configuraciones de despliegue sigan buenas prácticas de seguridad y cumplan estándares de la industria.
+
+## Cuándo activarla
+
+- Al desplegar aplicaciones en plataformas cloud (AWS, Vercel, Railway, Cloudflare)
+- Al configurar roles y permisos IAM
+- Al montar pipelines de CI/CD
+- Al implementar infraestructura como código (Terraform, CloudFormation)
+- Al configurar logging y monitoreo
+- Al gestionar secretos en entornos cloud
+- Al configurar seguridad de CDN y edge
+- Al implementar estrategias de recuperación ante desastres y respaldos
+
+## Checklist de seguridad cloud
+
+### 1. IAM y control de acceso
+
+#### Principio de mínimo privilegio
+
+```yaml
+# PASA: CORRECTO: permisos mínimos
+iam_role:
+  permissions:
+    - s3:GetObject  # Solo acceso de lectura
+    - s3:ListBucket
+  resources:
+    - arn:aws:s3:::my-bucket/*  # Solo el bucket específico
+
+# FALLA: MAL: permisos demasiado amplios
+iam_role:
+  permissions:
+    - s3:*  # Todas las acciones de S3
+  resources:
+    - "*"  # Todos los recursos
+```
+
+#### Autenticación multifactor (MFA)
+
+```bash
+# SIEMPRE habilitar MFA para cuentas root/admin
+aws iam enable-mfa-device \
+  --user-name admin \
+  --serial-number arn:aws:iam::123456789:mfa/admin \
+  --authentication-code1 123456 \
+  --authentication-code2 789012
+```
+
+#### Pasos de verificación
+
+- [ ] No se usa la cuenta root en producción
+- [ ] MFA habilitado en todas las cuentas privilegiadas
+- [ ] Las cuentas de servicio usan roles, no credenciales de larga duración
+- [ ] Las políticas IAM siguen el mínimo privilegio
+- [ ] Se realizan revisiones de acceso periódicas
+- [ ] Credenciales sin uso rotadas o eliminadas
+
+### 2. Gestión de secretos
+
+#### Gestores de secretos cloud
+
+```typescript
+// PASA: CORRECTO: usar el gestor de secretos del cloud
+import { SecretsManager } from '@aws-sdk/client-secrets-manager';
+
+const client = new SecretsManager({ region: 'us-east-1' });
+const secret = await client.getSecretValue({ SecretId: 'prod/api-key' });
+const apiKey = JSON.parse(secret.SecretString).key;
+
+// FALLA: MAL: hardcodeado o solo en variables de entorno
+const apiKey = process.env.API_KEY; // Sin rotación, sin auditoría
+```
+
+#### Rotación de secretos
+
+```bash
+# Configurar rotación automática para credenciales de base de datos
+aws secretsmanager rotate-secret \
+  --secret-id prod/db-password \
+  --rotation-lambda-arn arn:aws:lambda:region:account:function:rotate \
+  --rotation-rules AutomaticallyAfterDays=30
+```
+
+#### Pasos de verificación
+
+- [ ] Todos los secretos en un gestor de secretos cloud (AWS Secrets Manager, Vercel Secrets)
+- [ ] Rotación automática habilitada para credenciales de base de datos
+- [ ] API keys rotadas al menos trimestralmente
+- [ ] Sin secretos en código, logs ni mensajes de error
+- [ ] Registro de auditoría habilitado para el acceso a secretos
+
+### 3. Seguridad de red
+
+#### Configuración de VPC y firewall
+
+```terraform
+# PASA: CORRECTO: security group restringido
+resource "aws_security_group" "app" {
+  name = "app-sg"
+
+  ingress {
+    from_port   = 443
+    to_port     = 443
+    protocol    = "tcp"
+    cidr_blocks = ["10.0.0.0/16"]  # Solo VPC interna
+  }
+
+  egress {
+    from_port   = 443
+    to_port     = 443
+    protocol    = "tcp"
+    cidr_blocks = ["0.0.0.0/0"]  # Solo HTTPS de salida
+  }
+}
+
+# FALLA: MAL: abierto a internet
+resource "aws_security_group" "bad" {
+  ingress {
+    from_port   = 0
+    to_port     = 65535
+    protocol    = "tcp"
+    cidr_blocks = ["0.0.0.0/0"]  # ¡Todos los puertos, todas las IPs!
+  }
+}
+```
+
+#### Pasos de verificación
+
+- [ ] Base de datos no accesible públicamente
+- [ ] Puertos SSH/RDP restringidos a VPN/bastión únicamente
+- [ ] Security groups con mínimo privilegio
+- [ ] Network ACLs configuradas
+- [ ] VPC flow logs habilitados
+
+### 4. Logging y monitoreo
+
+#### Configuración de CloudWatch/logging
+
+```typescript
+// PASA: CORRECTO: logging exhaustivo
+import { CloudWatchLogsClient, CreateLogStreamCommand } from '@aws-sdk/client-cloudwatch-logs';
+
+const logSecurityEvent = async (event: SecurityEvent) => {
+  await cloudwatch.putLogEvents({
+    logGroupName: '/aws/security/events',
+    logStreamName: 'authentication',
+    logEvents: [{
+      timestamp: Date.now(),
+      message: JSON.stringify({
+        type: event.type,
+        userId: event.userId,
+        ip: event.ip,
+        result: event.result,
+        // Nunca registrar datos sensibles
+      })
+    }]
+  });
+};
+```
+
+#### Pasos de verificación
+
+- [ ] CloudWatch/logging habilitado en todos los servicios
+- [ ] Intentos fallidos de autenticación registrados
+- [ ] Acciones de administrador auditadas
+- [ ] Retención de logs configurada (90+ días por cumplimiento)
+- [ ] Alertas configuradas para actividad sospechosa
+- [ ] Logs centralizados y a prueba de manipulación
+
+### 5. Seguridad del pipeline de CI/CD
+
+#### Configuración segura del pipeline
+
+```yaml
+# PASA: CORRECTO: workflow seguro de GitHub Actions
+name: Deploy
+
+on:
+  push:
+    branches: [main]
+
+jobs:
+  deploy:
+    runs-on: ubuntu-latest
+    permissions:
+      contents: read  # Permisos mínimos
+
+    steps:
+      - uses: actions/checkout@v4
+
+      # Escanear secretos
+      - name: Secret scanning
+        uses: trufflesecurity/trufflehog@main
+
+      # Auditoría de dependencias
+      - name: Audit dependencies
+        run: npm audit --audit-level=high
+
+      # Usar OIDC, no tokens de larga duración
+      - name: Configure AWS credentials
+        uses: aws-actions/configure-aws-credentials@v4
+        with:
+          role-to-assume: arn:aws:iam::123456789:role/GitHubActionsRole
+          aws-region: us-east-1
+```
+
+#### Seguridad de la cadena de suministro
+
+```json
+// package.json - usar lock files y chequeos de integridad
+{
+  "scripts": {
+    "install": "npm ci",
+    "audit": "npm audit --audit-level=moderate",
+    "check": "npm outdated"
+  }
+}
+```
+
+#### Pasos de verificación
+
+- [ ] OIDC en lugar de credenciales de larga duración
+- [ ] Escaneo de secretos en el pipeline
+- [ ] Escaneo de vulnerabilidades en dependencias
+- [ ] Escaneo de imágenes de contenedor (si aplica)
+- [ ] Reglas de protección de branch aplicadas
+- [ ] Code review requerido antes del merge
+- [ ] Commits firmados obligatorios
+
+### 6. Seguridad de Cloudflare y CDN
+
+#### Configuración de seguridad en Cloudflare
+
+```typescript
+// PASA: CORRECTO: Cloudflare Workers con cabeceras de seguridad
+export default {
+  async fetch(request: Request): Promise<Response> {
+    const response = await fetch(request);
+
+    // Añadir cabeceras de seguridad
+    const headers = new Headers(response.headers);
+    headers.set('X-Frame-Options', 'DENY');
+    headers.set('X-Content-Type-Options', 'nosniff');
+    headers.set('Referrer-Policy', 'strict-origin-when-cross-origin');
+    headers.set('Permissions-Policy', 'geolocation=(), microphone=()');
+
+    return new Response(response.body, {
+      status: response.status,
+      headers
+    });
+  }
+};
+```
+
+#### Reglas WAF
+
+```bash
+# Habilitar las reglas gestionadas del WAF de Cloudflare
+# - OWASP Core Ruleset
+# - Cloudflare Managed Ruleset
+# - Reglas de rate limiting
+# - Protección contra bots
+```
+
+#### Pasos de verificación
+
+- [ ] WAF habilitado con reglas OWASP
+- [ ] Rate limiting configurado
+- [ ] Protección contra bots activa
+- [ ] Protección DDoS habilitada
+- [ ] Cabeceras de seguridad configuradas
+- [ ] Modo SSL/TLS estricto habilitado
+
+### 7. Respaldos y recuperación ante desastres
+
+#### Respaldos automatizados
+
+```terraform
+# PASA: CORRECTO: respaldos automatizados de RDS
+resource "aws_db_instance" "main" {
+  allocated_storage     = 20
+  engine               = "postgres"
+
+  backup_retention_period = 30  # 30 días de retención
+  backup_window          = "03:00-04:00"
+  maintenance_window     = "mon:04:00-mon:05:00"
+
+  enabled_cloudwatch_logs_exports = ["postgresql"]
+
+  deletion_protection = true  # Evita eliminaciones accidentales
+}
+```
+
+#### Pasos de verificación
+
+- [ ] Respaldos diarios automatizados configurados
+- [ ] Retención de respaldos acorde a los requisitos de cumplimiento
+- [ ] Recuperación point-in-time habilitada
+- [ ] Pruebas de respaldos realizadas trimestralmente
+- [ ] Plan de recuperación ante desastres documentado
+- [ ] RPO y RTO definidos y probados
+
+## Checklist de seguridad cloud previa al despliegue
+
+Antes de CUALQUIER despliegue cloud a producción:
+
+- [ ] **IAM**: cuenta root sin uso, MFA habilitado, políticas de mínimo privilegio
+- [ ] **Secretos**: todos en el gestor de secretos cloud con rotación
+- [ ] **Red**: security groups restringidos, sin bases de datos públicas
+- [ ] **Logging**: CloudWatch/logging habilitado con retención
+- [ ] **Monitoreo**: alertas configuradas para anomalías
+- [ ] **CI/CD**: autenticación OIDC, escaneo de secretos, auditorías de dependencias
+- [ ] **CDN/WAF**: WAF de Cloudflare habilitado con reglas OWASP
+- [ ] **Cifrado**: datos cifrados en reposo y en tránsito
+- [ ] **Respaldos**: respaldos automatizados con recuperación probada
+- [ ] **Cumplimiento**: requisitos GDPR/HIPAA cubiertos (si aplica)
+- [ ] **Documentación**: infraestructura documentada, runbooks creados
+- [ ] **Respuesta a incidentes**: plan de incidentes de seguridad en su lugar
+
+## Malas configuraciones cloud comunes
+
+### Exposición de buckets S3
+
+```bash
+# FALLA: MAL: bucket público
+aws s3api put-bucket-acl --bucket my-bucket --acl public-read
+
+# PASA: CORRECTO: bucket privado con acceso específico
+aws s3api put-bucket-acl --bucket my-bucket --acl private
+aws s3api put-bucket-policy --bucket my-bucket --policy file://policy.json
+```
+
+### Acceso público a RDS
+
+```terraform
+# FALLA: MAL
+resource "aws_db_instance" "bad" {
+  publicly_accessible = true  # ¡NUNCA hagas esto!
+}
+
+# PASA: CORRECTO
+resource "aws_db_instance" "good" {
+  publicly_accessible = false
+  vpc_security_group_ids = [aws_security_group.db.id]
+}
+```
+
+## Recursos
+
+- [AWS Security Best Practices](https://aws.amazon.com/security/best-practices/)
+- [CIS AWS Foundations Benchmark](https://www.cisecurity.org/benchmark/amazon_web_services)
+- [Documentación de seguridad de Cloudflare](https://developers.cloudflare.com/security/)
+- [OWASP Cloud Security](https://owasp.org/www-project-cloud-security/)
+- [Buenas prácticas de seguridad en Terraform](https://www.terraform.io/docs/cloud/guides/recommended-practices/)
+
+**Recuerda**: las malas configuraciones cloud son la principal causa de filtraciones de datos. Un solo bucket S3 expuesto o una política IAM demasiado permisiva puede comprometer toda tu infraestructura. Sigue siempre el principio de mínimo privilegio y la defensa en profundidad.

package/vendor/theus-arsenal/skills/runtime-bun/SKILL.md

@@ -0,0 +1,83 @@
+---
+name: runtime-bun
+description: Bun como runtime, gestor de paquetes, bundler y ejecutor de tests. Cuándo elegir Bun frente a Node, notas de migración y soporte en plataformas de despliegue como Vercel.
+---
+
+# Runtime Bun
+
+Bun es un runtime y toolkit de JavaScript todo en uno y muy rápido: runtime, gestor de paquetes, bundler y ejecutor de tests.
+
+## Cuándo usarla
+
+- **Prefiere Bun** para: proyectos JS/TS nuevos, scripts donde la velocidad de instalación/ejecución importa, despliegues en Vercel con runtime Bun, y cuando quieres una sola toolchain (ejecutar + instalar + testear + compilar).
+- **Prefiere Node** para: máxima compatibilidad con el ecosistema, tooling legado que asume Node, o cuando una dependencia tiene problemas conocidos con Bun.
+
+Úsala al adoptar Bun, migrar desde Node, escribir o depurar scripts/tests de Bun, o configurar Bun en Vercel u otras plataformas.
+
+## Cómo funciona
+
+- **Runtime**: reemplazo directo compatible con Node (construido sobre JavaScriptCore, implementado en Zig).
+- **Gestor de paquetes**: `bun install` es significativamente más rápido que npm/yarn. El lockfile es `bun.lock` (texto) por defecto en Bun actual; versiones antiguas usaban `bun.lockb` (binario).
+- **Bundler**: bundler y transpilador integrados para aplicaciones y bibliotecas.
+- **Ejecutor de tests**: `bun test` integrado con API estilo Jest.
+
+**Migración desde Node**: reemplaza `node script.js` por `bun run script.js` o `bun script.js`. Ejecuta `bun install` en lugar de `npm install`; la mayoría de los paquetes funcionan. Usa `bun run` para los scripts de npm; `bun x` para ejecuciones puntuales estilo npx. Los módulos integrados de Node están soportados; prefiere las APIs de Bun donde existan para mejor rendimiento.
+
+**Vercel**: configura el runtime como Bun en los ajustes del proyecto. Build: `bun run build` o `bun build ./src/index.ts --outdir=dist`. Instalación: `bun install --frozen-lockfile` para despliegues reproducibles.
+
+## Ejemplos
+
+### Ejecutar e instalar
+
+```bash
+# Instalar dependencias (crea/actualiza bun.lock o bun.lockb)
+bun install
+
+# Ejecutar un script o archivo
+bun run dev
+bun run src/index.ts
+bun src/index.ts
+```
+
+### Scripts y variables de entorno
+
+```bash
+bun run --env-file=.env dev
+FOO=bar bun run script.ts
+```
+
+### Testing
+
+```bash
+bun test
+bun test --watch
+```
+
+```typescript
+// test/example.test.ts
+import { expect, test } from "bun:test";
+
+test("suma", () => {
+  expect(1 + 2).toBe(3);
+});
+```
+
+### API del runtime
+
+```typescript
+const file = Bun.file("package.json");
+const json = await file.json();
+
+Bun.serve({
+  port: 3000,
+  fetch(req) {
+    return new Response("Hola");
+  },
+});
+```
+
+## Buenas prácticas
+
+- Versiona el lockfile (`bun.lock` o `bun.lockb`) para instalaciones reproducibles.
+- Prefiere `bun run` para los scripts. Para TypeScript, Bun ejecuta `.ts` de forma nativa.
+- Mantén las dependencias actualizadas; Bun y su ecosistema evolucionan rápido.

package/vendor/theus-arsenal/skills/salud-codigo-codescene/SKILL.md

@@ -0,0 +1,163 @@
+---
+name: salud-codigo-codescene
+description: Salud estructural del código en tiempo real vía el MCP de CodeScene — revisa antes de
+  editar, verifica deltas de puntuación tras los cambios y protege commits y PRs de regresiones de
+  mantenibilidad. Requiere token propio de CodeScene.
+---
+
+# Salud del código (CodeScene MCP)
+
+Retroalimentación de mantenibilidad estructural para la programación asistida por agentes. Complementa las skills de estilo/lint (`estandares-codigo`) con puntuaciones de salud a **nivel de diseño** y compuertas contra regresiones.
+
+> **Aviso**: esta skill envuelve un servicio de terceros (CodeScene). Requiere una cuenta y un token de acceso personal (`CS_ACCESS_TOKEN`) propios del usuario en CodeScene; ese servicio **no** forma parte de la suscripción de Theus.
+
+**Upstream:** [codescene-oss/codescene-mcp-server](https://github.com/codescene-oss/codescene-mcp-server)
+**Paquete:** `@codescene/codehealth-mcp` (stdio vía npx)
+
+## Seguridad y límites
+
+**Opt-in:** este arsenal no habilita servidores MCP por sí solo. Añade la entrada `codescene` a tu configuración MCP únicamente si decides usarla.
+
+**Credenciales:** no hay token incluido. Configura tú mismo `CS_ACCESS_TOKEN` (ver [getting-a-personal-access-token.md](https://github.com/codescene-oss/codescene-mcp-server/blob/main/docs/getting-a-personal-access-token.md) en el repositorio upstream). Nunca subas tokens al repositorio.
+
+**Qué leen las herramientas:** al invocarse, las herramientas analizan archivos y estado de git **del repositorio local** que les indiques (las rutas que pases, más el contexto de rama para `analyze_change_set`). No se ejecutan solas. Para el modo standalone, sigue la documentación de privacidad del upstream: [README de codescene-mcp-server](https://github.com/codescene-oss/codescene-mcp-server#frequently-asked-questions) y las [políticas de CodeScene](https://codescene.com/policies). No uses esta skill sobre secretos, credenciales ni rutas que no quieras que se analicen.
+
+**Si el MCP no está disponible (sin conexión, token inválido, caída del servidor):** no inventes puntuaciones de salud. Informa al usuario de que la comprobación se omitió. Continúa solo con aprobación explícita del usuario. Prefiere lint/tests/`bucle-verificacion` como compuerta mientras el MCP está caído. Reactiva las comprobaciones cuando el servidor vuelva a conectar.
+
+## Cuándo usarla
+
+- El usuario pide **revisar calidad de código**, **refactorizar** un archivo o comprobar si **cambios generados por el agente degradaron** la mantenibilidad
+- Antes de editar un **hotspot**, un módulo legado o un archivo desconocido
+- Antes de un **commit** o **pull request** cuando necesitas una salvaguarda de mantenibilidad
+- Tras un diff grande escrito por el agente — verifica que la salud del código no retrocedió
+- Combínala con `bucle-verificacion`, `flujo-tdd` o `/control-calidad` como verificación estructural (no como reemplazo de tests/lint)
+
+## Cómo funciona
+
+### 1. Conecta el servidor MCP
+
+Añade el bloque `codescene` a la configuración MCP de tu harness.
+
+**Theus** (`~/.theus.json` → `mcpServers`):
+
+```json
+"codescene": {
+  "command": "npx",
+  "args": ["-y", "@codescene/codehealth-mcp"],
+  "env": {
+    "CS_ACCESS_TOKEN": "TU_CS_ACCESS_TOKEN_AQUI"
+  }
+}
+```
+
+**A nivel de proyecto:** fusiona el mismo bloque en el `.mcp.json` de la raíz del repositorio.
+
+La obtención del token está documentada en el repositorio upstream (enlace arriba). El modo standalone no requiere una cuenta de pago de la plataforma CodeScene para las cuatro herramientas listadas abajo. Reinicia la sesión y confirma que el servidor `codescene` está conectado antes de confiar en las puntuaciones.
+
+### 2. Llama solo a las herramientas standalone
+
+| Herramienta | Cuándo usarla |
+|------|-------------|
+| `code_health_review` | Análisis estructural completo **antes** de modificar un archivo |
+| `code_health_score` | Puntuación numérica rápida tras cada cambio (verificación de delta) |
+| `pre_commit_code_health_safeguard` | Bloquear commits que introducen regresiones de salud |
+| `analyze_change_set` | Verificación a nivel de rama **antes** de abrir un PR |
+
+**No** llames a herramientas exclusivas de la plataforma (p. ej., listados de hotspots de deuda técnica de todo el repositorio). **No** referencies `delta_analysis` — no está disponible en standalone.
+
+### 3. Interpreta las puntuaciones (1–10)
+
+| Rango | Significado | Comportamiento del agente |
+|-------|---------|----------------|
+| **9.0–10.0** | Verde — saludable | Más seguro de extender; aun así prefiere cortes verticales |
+| **4.0–8.9** | Amarillo — deuda | Avanza con cuidado; nada de refactorizaciones de paso |
+| **1.0–3.9** | Rojo — deuda severa | Solo alcance mínimo |
+
+### 4. Ejecuta el bucle de retroalimentación
+
+**Antes de tocar un archivo**
+
+1. Ejecuta `code_health_review` sobre la ruta objetivo.
+2. Registra la puntuación base y los code smells listados.
+3. Planifica el cambio más pequeño que resuelva la tarea.
+
+Delimita según la puntuación: **bajo 5** — solo diff mínimo; **5–7** — sin refactorizaciones amplias; **sobre 7** — es más seguro refactorizar, pero verifica tras cada edición.
+
+**Después de cada cambio**
+
+1. Ejecuta `code_health_score` sobre el mismo archivo.
+2. Compara con la línea base de `code_health_review`.
+3. Si la puntuación **retrocedió**, corrígelo antes de continuar. Nunca marques la tarea como terminada con la puntuación por debajo de la inicial.
+
+**Antes de cada commit** — ejecuta `pre_commit_code_health_safeguard` sobre la ruta del repositorio.
+
+**Antes de un PR** — ejecuta `analyze_change_set` contra la rama base (p. ej., `main`).
+
+## Ejemplos
+
+### Ejemplo: mejora de mantenibilidad en Flask
+
+Sobre `pallets/flask`, un bucle de agente usando solo herramientas standalone:
+
+1. `code_health_review` sobre un módulo objetivo (línea base **4.82**)
+2. Refactorización dirigida a los smells listados
+3. `code_health_score` tras cada edición
+4. `pre_commit_code_health_safeguard` antes del commit
+5. `analyze_change_set` antes del PR
+
+Resultado: salud del código **4.82 → 9.1** (solo con el token standalone gratuito).
+
+### Ejemplo: bloque de exigencia en AGENTS.md
+
+Pega esto en el `AGENTS.md` del proyecto:
+
+```md
+## Salud del código (CodeScene MCP)
+
+Antes de modificar cualquier archivo: ejecuta `code_health_review`, anota puntuación e incidencias.
+
+- Puntuación bajo 5: rango problemático — delimita los cambios al mínimo.
+- Puntuación 5–7: rango de advertencia — sin refactorizaciones amplias.
+
+Después de cada cambio: ejecuta `code_health_score` para verificar el delta.
+
+- Si la puntuación retrocedió: corrige antes de continuar; nunca declares terminado si la puntuación bajó.
+
+Antes de cada commit: ejecuta `pre_commit_code_health_safeguard`.
+
+Antes de un PR: ejecuta `analyze_change_set`.
+```
+
+### Ejemplo: antipatrones vs. bucle correcto
+
+```markdown
+# MAL: editar primero, comprobar después
+[refactorización grande sin code_health_review]
+
+# MAL: ignorar la caída de puntuación
+"Los tests pasan" → marcar la tarea como hecha mientras la salud del código bajó
+
+# MAL: refactorización amplia sobre un archivo en rojo (bajo 5)
+Limpieza de paso a lo largo de todo el módulo
+
+# BIEN: review → cambio pequeño → score → salvaguarda de commit → analyze_change_set
+```
+
+## Combinación con el arsenal
+
+| Skill / flujo del arsenal | Rol del MCP de salud del código |
+|------------------|----------------------|
+| `estandares-codigo` | Estilo/nomenclatura; la salud del código = estructura/complejidad |
+| `bucle-verificacion` / `/control-calidad` | Añade la verificación de regresión estructural antes de dar por "hecho" |
+| `revision-seguridad` | Seguridad vs. mantenibilidad — usa ambas cuando aplique |
+| `flujo-tdd` | Tests en verde ≠ diseño saludable — comprueba la puntuación tras refactorizar |
+
+**Consejo de contexto:** mantén bajo el número de MCPs activos. Habilita `codescene` cuando hagas ediciones sustanciales; deshabilítalo cuando no lo necesites.
+
+## Skills relacionadas
+
+- `estandares-codigo` — convenciones base
+- `bucle-verificacion` — compuerta de build/test/lint
+- `flujo-tdd` — desarrollo guiado por tests
+- `revision-seguridad` — lista de verificación de seguridad
+- `consulta-documentacion` — documentación de librerías (ortogonal)