theus-cli 0.2.82 → 0.2.84

package/vendor/theus-arsenal/skills/revision-seguridad/SKILL.md

@@ -1,505 +0,0 @@
----
-name: revision-seguridad
-description: >
-  Usa esta skill al añadir autenticación, manejar entrada de usuarios, trabajar con secretos,
-  crear endpoints de API o implementar funcionalidades de pago o datos sensibles. Proporciona
-  una checklist de seguridad completa y patrones de referencia.
----
-
-# Skill de revisión de seguridad
-
-Esta skill garantiza que todo el código siga buenas prácticas de seguridad e identifica vulnerabilidades potenciales.
-
-## Cuándo activarla
-
-- Al implementar autenticación o autorización
-- Al manejar entrada de usuarios o subida de archivos
-- Al crear nuevos endpoints de API
-- Al trabajar con secretos o credenciales
-- Al implementar funcionalidades de pago
-- Al almacenar o transmitir datos sensibles
-- Al integrar APIs de terceros
-
-## Checklist de seguridad
-
-### 1. Gestión de secretos
-
-#### FALLA: NUNCA hagas esto
-```typescript
-const apiKey = "sk-proj-xxxxx"  // Secreto hardcodeado
-const dbPassword = "password123" // En el código fuente
-```
-
-#### PASA: SIEMPRE haz esto
-```typescript
-const apiKey = process.env.OPENAI_API_KEY
-const dbUrl = process.env.DATABASE_URL
-
-// Verificar que los secretos existen
-if (!apiKey) {
-  throw new Error('OPENAI_API_KEY no está configurada')
-}
-```
-
-#### Pasos de verificación
-- [ ] No hay API keys, tokens ni contraseñas hardcodeadas
-- [ ] Todos los secretos están en variables de entorno
-- [ ] `.env.local` está en el .gitignore
-- [ ] No hay secretos en el historial de git
-- [ ] Los secretos de producción viven en la plataforma de hosting (Vercel, Railway)
-
-### 2. Validación de entrada
-
-#### Valida siempre la entrada del usuario
-```typescript
-import { z } from 'zod'
-
-// Definir el esquema de validación
-const CreateUserSchema = z.object({
-  email: z.string().email(),
-  name: z.string().min(1).max(100),
-  age: z.number().int().min(0).max(150)
-})
-
-// Validar antes de procesar
-export async function createUser(input: unknown) {
-  try {
-    const validated = CreateUserSchema.parse(input)
-    return await db.users.create(validated)
-  } catch (error) {
-    if (error instanceof z.ZodError) {
-      return { success: false, errors: error.issues }
-    }
-    throw error
-  }
-}
-```
-
-#### Validación de subida de archivos
-```typescript
-function validateFileUpload(file: File) {
-  // Chequeo de tamaño (máx. 5 MB)
-  const maxSize = 5 * 1024 * 1024
-  if (file.size > maxSize) {
-    throw new Error('Archivo demasiado grande (máx. 5 MB)')
-  }
-
-  // Chequeo de tipo
-  const allowedTypes = ['image/jpeg', 'image/png', 'image/gif']
-  if (!allowedTypes.includes(file.type)) {
-    throw new Error('Tipo de archivo inválido')
-  }
-
-  // Chequeo de extensión
-  const allowedExtensions = ['.jpg', '.jpeg', '.png', '.gif']
-  const extension = file.name.toLowerCase().match(/\.[^.]+$/)?.[0]
-  if (!extension || !allowedExtensions.includes(extension)) {
-    throw new Error('Extensión de archivo inválida')
-  }
-
-  return true
-}
-```
-
-#### Pasos de verificación
-- [ ] Todas las entradas de usuario se validan con esquemas
-- [ ] Las subidas de archivos están restringidas (tamaño, tipo, extensión)
-- [ ] No se usa entrada de usuario directamente en consultas
-- [ ] Validación por lista blanca (no lista negra)
-- [ ] Los mensajes de error no filtran información sensible
-
-### 3. Prevención de inyección SQL
-
-#### FALLA: NUNCA concatenes SQL
-```typescript
-// PELIGROSO - vulnerabilidad de inyección SQL
-const query = `SELECT * FROM users WHERE email = '${userEmail}'`
-await db.query(query)
-```
-
-#### PASA: SIEMPRE usa consultas parametrizadas
-```typescript
-// Seguro - consulta parametrizada
-const { data } = await supabase
-  .from('users')
-  .select('*')
-  .eq('email', userEmail)
-
-// O con SQL crudo
-await db.query(
-  'SELECT * FROM users WHERE email = $1',
-  [userEmail]
-)
-```
-
-#### Pasos de verificación
-- [ ] Todas las consultas a la base de datos usan parámetros
-- [ ] No hay concatenación de strings en SQL
-- [ ] El ORM/query builder se usa correctamente
-- [ ] Las consultas de Supabase están debidamente sanitizadas
-
-### 4. Autenticación y autorización
-
-#### Manejo de tokens JWT
-```typescript
-// FALLA: MAL: localStorage (vulnerable a XSS)
-localStorage.setItem('token', token)
-
-// PASA: CORRECTO: cookies httpOnly
-res.setHeader('Set-Cookie',
-  `token=${token}; HttpOnly; Secure; SameSite=Strict; Max-Age=3600`)
-```
-
-#### Chequeos de autorización
-```typescript
-export async function deleteUser(userId: string, requesterId: string) {
-  // SIEMPRE verificar la autorización primero
-  const requester = await db.users.findUnique({
-    where: { id: requesterId }
-  })
-
-  if (requester.role !== 'admin') {
-    return NextResponse.json(
-      { error: 'No autorizado' },
-      { status: 403 }
-    )
-  }
-
-  // Proceder con la eliminación
-  await db.users.delete({ where: { id: userId } })
-}
-```
-
-#### Row Level Security (Supabase)
-```sql
--- Habilitar RLS en todas las tablas
-ALTER TABLE users ENABLE ROW LEVEL SECURITY;
-
--- Los usuarios solo pueden ver sus propios datos
-CREATE POLICY "Users view own data"
-  ON users FOR SELECT
-  USING (auth.uid() = id);
-
--- Los usuarios solo pueden actualizar sus propios datos
-CREATE POLICY "Users update own data"
-  ON users FOR UPDATE
-  USING (auth.uid() = id);
-```
-
-#### Pasos de verificación
-- [ ] Los tokens se almacenan en cookies httpOnly (no en localStorage)
-- [ ] Hay chequeos de autorización antes de operaciones sensibles
-- [ ] Row Level Security habilitado en Supabase
-- [ ] Control de acceso basado en roles implementado
-- [ ] Gestión de sesiones segura
-
-### 5. Prevención de XSS
-
-#### Sanitiza el HTML
-```typescript
-import DOMPurify from 'isomorphic-dompurify'
-
-// SIEMPRE sanitizar el HTML aportado por el usuario
-function renderUserContent(html: string) {
-  const clean = DOMPurify.sanitize(html, {
-    ALLOWED_TAGS: ['b', 'i', 'em', 'strong', 'p'],
-    ALLOWED_ATTR: []
-  })
-  return <div dangerouslySetInnerHTML={{ __html: clean }} />
-}
-```
-
-#### Content Security Policy
-
-Empieza estricto y afloja solo con un plan de retiro documentado. No uses por defecto
-`'unsafe-inline'` ni `'unsafe-eval'`; neutralizan gran parte de la protección de la CSP
-y deben tratarse como deuda temporal de compatibilidad.
-
-```typescript
-// next.config.js
-const securityHeaders = [
-  {
-    key: 'Content-Security-Policy',
-    value: `
-      default-src 'self';
-      base-uri 'self';
-      object-src 'none';
-      frame-ancestors 'none';
-      script-src 'self';
-      style-src 'self';
-      img-src 'self' data: https:;
-      font-src 'self';
-      connect-src 'self' https://api.example.com;
-    `.replace(/\s{2,}/g, ' ').trim()
-  }
-]
-```
-
-#### Pasos de verificación
-- [ ] HTML aportado por el usuario sanitizado
-- [ ] Cabeceras CSP configuradas
-- [ ] No se renderiza contenido dinámico sin validar
-- [ ] Se aprovecha la protección XSS integrada de React
-
-### 6. Protección CSRF
-
-#### Tokens CSRF
-```typescript
-import { csrf } from '@/lib/csrf'
-
-export async function POST(request: Request) {
-  const token = request.headers.get('X-CSRF-Token')
-
-  if (!csrf.verify(token)) {
-    return NextResponse.json(
-      { error: 'Token CSRF inválido' },
-      { status: 403 }
-    )
-  }
-
-  // Procesar la solicitud
-}
-```
-
-#### Cookies SameSite
-```typescript
-res.setHeader('Set-Cookie',
-  `session=${sessionId}; HttpOnly; Secure; SameSite=Strict`)
-```
-
-#### Pasos de verificación
-- [ ] Tokens CSRF en operaciones que cambian estado
-- [ ] SameSite=Strict en todas las cookies
-- [ ] Patrón de doble envío de cookie implementado
-
-### 7. Limitación de tasa (rate limiting)
-
-#### Rate limiting de API
-```typescript
-import rateLimit from 'express-rate-limit'
-
-const limiter = rateLimit({
-  windowMs: 15 * 60 * 1000, // 15 minutos
-  max: 100, // 100 solicitudes por ventana
-  message: 'Demasiadas solicitudes'
-})
-
-// Aplicar a las rutas
-app.use('/api/', limiter)
-```
-
-#### Operaciones costosas
-```typescript
-// Rate limiting agresivo para búsquedas
-const searchLimiter = rateLimit({
-  windowMs: 60 * 1000, // 1 minuto
-  max: 10, // 10 solicitudes por minuto
-  message: 'Demasiadas solicitudes de búsqueda'
-})
-
-app.use('/api/search', searchLimiter)
-```
-
-#### Pasos de verificación
-- [ ] Rate limiting en todos los endpoints de API
-- [ ] Límites más estrictos en operaciones costosas
-- [ ] Rate limiting por IP
-- [ ] Rate limiting por usuario (autenticado)
-
-### 8. Exposición de datos sensibles
-
-#### Logging
-```typescript
-// FALLA: MAL: registrar datos sensibles
-console.log('Inicio de sesión:', { email, password })
-console.log('Pago:', { cardNumber, cvv })
-
-// PASA: CORRECTO: censurar datos sensibles
-console.log('Inicio de sesión:', { email, userId })
-console.log('Pago:', { last4: card.last4, userId })
-```
-
-#### Mensajes de error
-```typescript
-// FALLA: MAL: exponer detalles internos
-catch (error) {
-  return NextResponse.json(
-    { error: error.message, stack: error.stack },
-    { status: 500 }
-  )
-}
-
-// PASA: CORRECTO: mensajes de error genéricos
-catch (error) {
-  console.error('Error interno:', error)
-  return NextResponse.json(
-    { error: 'Ocurrió un error. Inténtalo de nuevo.' },
-    { status: 500 }
-  )
-}
-```
-
-#### Pasos de verificación
-- [ ] No hay contraseñas, tokens ni secretos en los logs
-- [ ] Mensajes de error genéricos de cara al usuario
-- [ ] Errores detallados solo en los logs del servidor
-- [ ] No se exponen stack traces a los usuarios
-
-### 9. Seguridad blockchain (Solana)
-
-#### Verificación de wallet
-```typescript
-import { verify } from '@solana/web3.js'
-
-async function verifyWalletOwnership(
-  publicKey: string,
-  signature: string,
-  message: string
-) {
-  try {
-    const isValid = verify(
-      Buffer.from(message),
-      Buffer.from(signature, 'base64'),
-      Buffer.from(publicKey, 'base64')
-    )
-    return isValid
-  } catch (error) {
-    return false
-  }
-}
-```
-
-#### Verificación de transacciones
-```typescript
-async function verifyTransaction(transaction: Transaction) {
-  // Verificar el destinatario
-  if (transaction.to !== expectedRecipient) {
-    throw new Error('Destinatario inválido')
-  }
-
-  // Verificar el monto
-  if (transaction.amount > maxAmount) {
-    throw new Error('El monto excede el límite')
-  }
-
-  // Verificar que el usuario tiene saldo suficiente
-  const balance = await getBalance(transaction.from)
-  if (balance < transaction.amount) {
-    throw new Error('Saldo insuficiente')
-  }
-
-  return true
-}
-```
-
-#### Pasos de verificación
-- [ ] Firmas de wallet verificadas
-- [ ] Detalles de la transacción validados
-- [ ] Chequeos de saldo antes de las transacciones
-- [ ] Sin firma de transacciones a ciegas
-
-### 10. Seguridad de dependencias
-
-#### Actualizaciones periódicas
-```bash
-# Buscar vulnerabilidades
-npm audit
-
-# Corregir automáticamente lo corregible
-npm audit fix
-
-# Actualizar dependencias
-npm update
-
-# Buscar paquetes desactualizados
-npm outdated
-```
-
-#### Archivos de lock
-```bash
-# SIEMPRE commitear los archivos de lock
-git add package-lock.json
-
-# Usar en CI/CD para builds reproducibles
-npm ci  # En lugar de npm install
-```
-
-#### Pasos de verificación
-- [ ] Dependencias actualizadas
-- [ ] Sin vulnerabilidades conocidas (npm audit limpio)
-- [ ] Archivos de lock commiteados
-- [ ] Dependabot habilitado en GitHub
-- [ ] Actualizaciones de seguridad periódicas
-
-## Testing de seguridad
-
-### Tests de seguridad automatizados
-```typescript
-// Probar autenticación
-test('requiere autenticación', async () => {
-  const response = await fetch('/api/protected')
-  expect(response.status).toBe(401)
-})
-
-// Probar autorización
-test('requiere rol de admin', async () => {
-  const response = await fetch('/api/admin', {
-    headers: { Authorization: `Bearer ${userToken}` }
-  })
-  expect(response.status).toBe(403)
-})
-
-// Probar validación de entrada
-test('rechaza entrada inválida', async () => {
-  const response = await fetch('/api/users', {
-    method: 'POST',
-    body: JSON.stringify({ email: 'no-es-un-email' })
-  })
-  expect(response.status).toBe(400)
-})
-
-// Probar rate limiting
-test('aplica los límites de tasa', async () => {
-  const requests = Array(101).fill(null).map(() =>
-    fetch('/api/endpoint')
-  )
-
-  const responses = await Promise.all(requests)
-  const tooManyRequests = responses.filter(r => r.status === 429)
-
-  expect(tooManyRequests.length).toBeGreaterThan(0)
-})
-```
-
-## Checklist de seguridad previa al despliegue
-
-Antes de CUALQUIER despliegue a producción:
-
-- [ ] **Secretos**: sin secretos hardcodeados, todo en variables de entorno
-- [ ] **Validación de entrada**: todas las entradas de usuario validadas
-- [ ] **Inyección SQL**: todas las consultas parametrizadas
-- [ ] **XSS**: contenido de usuario sanitizado
-- [ ] **CSRF**: protección habilitada
-- [ ] **Autenticación**: manejo correcto de tokens
-- [ ] **Autorización**: chequeos de rol en su lugar
-- [ ] **Rate limiting**: habilitado en todos los endpoints
-- [ ] **HTTPS**: forzado en producción
-- [ ] **Cabeceras de seguridad**: CSP, X-Frame-Options configuradas
-- [ ] **Manejo de errores**: sin datos sensibles en los errores
-- [ ] **Logging**: sin datos sensibles en los logs
-- [ ] **Dependencias**: actualizadas, sin vulnerabilidades
-- [ ] **Row Level Security**: habilitado en Supabase
-- [ ] **CORS**: configurado correctamente
-- [ ] **Subida de archivos**: validada (tamaño, tipo)
-- [ ] **Firmas de wallet**: verificadas (si hay blockchain)
-
-## Recursos
-
-- [OWASP Top 10](https://owasp.org/www-project-top-ten/)
-- [Seguridad en Next.js](https://nextjs.org/docs/security)
-- [Seguridad en Supabase](https://supabase.com/docs/guides/auth)
-- [Web Security Academy](https://portswigger.net/web-security)
-
----
-
-**Recuerda**: la seguridad no es opcional. Una sola vulnerabilidad puede comprometer toda la plataforma. Ante la duda, elige siempre el lado de la precaución.