Fähigkeiten firecrawl-build-onboarding

📦

firecrawl-build-onboarding

Name: firecrawl-build-onboarding
Author: firecrawl

v0.1.0 Inhaltsrevision r1 Hohes Risiko ⚙️ Externe Befehle🌐 Netzwerkzugriff🔑 Umgebungsvariablen📁 Dateisystemzugriff

Firecrawl-App-Zugriff einrichten

Teams benötigen einen klaren Weg von der Firecrawl-Registrierung bis zu einer funktionierenden Anwendungsintegration. Dieser Skill führt durch die Einrichtung von Zugangsdaten, die SDK-Auswahl und Smoke-Tests für Claude-, Codex- und Claude Code-Workflows.

Unterstützt: Claude Codex Code(CC)

⚠️ 38 Schlecht

Vor der Installation anhalten und eine Bestätigung anfordern.

Prüfen Sie den Plan und holen Sie vor Änderungen an Dateien die ausdrückliche Zustimmung des Benutzers ein.

Mit meinem Agent installieren

Kopieren Sie diese Anfrage in Ihren Agent. Sie enthält die maßgebliche Skill-Seite und das Manifest.

Agent-Anfrage

Review the Skillstore skill "firecrawl-build-onboarding" from https://skillstore.io/skills/firecrawl-firecrawl-build-onboarding.md and its manifest at https://skillstore.io/api/skills/firecrawl-firecrawl-build-onboarding/manifest. Verify the artifact. Stop and obtain explicit user consent before installing or changing files.

Ihr Agent sollte weiterhin seinen Plan anzeigen und alle von der Sicherheitsrichtlinie verlangten Bestätigungen anfordern.

Agent-lesbare Ressourcen

Verwenden Sie diese Links, wenn ein KI-Agent, Crawler oder Skript sauberen Kontext benötigt, statt die vollständige Seite zu lesen.

Markdown-Detailseite GET /skills/firecrawl-firecrawl-build-onboarding.md Signiertes manifest GET /api/skills/firecrawl-firecrawl-build-onboarding/manifest Signiertes lockfile GET /api/skills/firecrawl-firecrawl-build-onboarding/lockfile

Testen

„firecrawl-build-onboarding“ wird verwendet. Firecrawl für einen neuen TypeScript-Service einrichten.

Erwartetes Ergebnis:

Erkennt, dass vor Codeänderungen eine Browser-Autorisierung erforderlich ist.
Wählt den Node- oder TypeScript-SDK-Pfad aus der Dokumentation aus.
Plant eine Aktualisierung der Umgebungsvariablen und eine Smoke-Test-Anfrage.

„firecrawl-build-onboarding“ wird verwendet. Selbst gehostetes Firecrawl in einer bestehenden App konfigurieren.

Erwartetes Ergebnis:

Findet das Secret-Konfigurationsmuster des Projekts.
Fügt Anleitung für sowohl den API-Schlüssel als auch die benutzerdefinierte API-URL hinzu.
Empfiehlt, die Einrichtung über Deployment-Umgebungen hinweg zu spiegeln.

„firecrawl-build-onboarding“ wird verwendet. Auswählen, wie fortgefahren werden soll, nachdem Zugangsdaten verfügbar sind.

Erwartetes Ergebnis:

Der Skill weist den Agenten an, den engsten Firecrawl-Endpunkt auszuwählen, die sprachspezifische Quellseite zu lesen und einen echten Smoke-Test auszuführen.

Sicherheitsaudit

Hohes Risiko

v4 • 5.7.2026 Versionsbericht öffnen

Most static findings are Markdown formatting, documentation links, placeholders, or expected Firecrawl onboarding references. Confirmed risks remain around credential handling, direct `.env` updates, and an unpinned `npx @latest` installer command that executes remote package code.

Gescannte Dateien

182

Analysierte Zeilen

Prüfelemente

Falschmeldungen ignoriert

Bestätigte Sicherheitsbedenken (8)

Hoch

references/auth-flow.md:38

Environment file access

echo "FIRECRAWL_API_KEY=fc-..." >> .env

The instruction writes directly to `.env`, a sensitive project configuration file. This requires explicit user consent and protections against accidental source control exposure.

Hoch

references/project-setup.md:3

Environment file access

For hosted Firecrawl, add this to `.env`:

The guidance explicitly instructs adding hosted Firecrawl credentials to `.env`. This is legitimate but sensitive because `.env` files often contain secrets.

Hoch

SKILL.md:3

Environment file access

description: Get Firecrawl credentials and SDK setup into a project. Use when an application needs `

The description tells agents to add Firecrawl credentials to `.env`. This is legitimate onboarding but creates risk if done without confirmation or file protections.

Hoch

SKILL.md:43

Environment file access

- the user wants Firecrawl wired into `.env`

The skill explicitly applies when Firecrawl is wired into `.env`. Environment-file updates can expose secrets if the file is tracked or mishandled.

Hoch

SKILL.md:51

Environment file access

If the user already has an API key, place it in `.env`:

The quick start instructs placing an API key in `.env`. This is common practice, but it is sensitive file modification.

Hoch

SKILL.md:74

Environment file access

| **Put credentials into `.env` or project config** | [references/project-setup.md](references/proje

The reference table points to putting credentials into `.env` or project config. That is intentional but remains sensitive credential persistence.

Hoch

references/auth-flow.md:23-38

Agent-Mediated API Key Persistence

The auth flow documents receiving an `apiKey` from the polling endpoint and then appending a Firecrawl API key to `.env`, placing the agent in the path of a secret.

The endpoint response example includes `apiKey`, and the final step writes a key into `.env`. This is intended onboarding, but it is clear credential handling.

Mittel

SKILL.md:32-33

Unpinned Remote Package Execution

The install instructions run `npx -y firecrawl-cli@latest init --all --browser`, which executes the latest published package without pinning a reviewed version.

The command is directly present in the install section and uses both `@latest` and `-y`. The purpose is legitimate, but the supply-chain exposure is real.

Elemente der Fähigkeitsprüfung (11)

Dies sind echte lokale Fähigkeiten, die für diese Fähigkeit erwartet werden können; daher müssen sie überprüft werden, werden jedoch nicht als bestätigtes bösartiges Verhalten gezählt.

Hoch

references/auth-flow.md:38

Generic API/secret keys

echo "FIRECRAWL_API_KEY=fc-..." >> .env

The auth flow ends by appending a Firecrawl API key value to `.env`. This is intended behavior, but it handles secret material and can expose credentials if the file is committed or logged.

Hoch

references/project-setup.md:6

Generic API/secret keys

FIRECRAWL_API_KEY=fc-...

The example documents storing `FIRECRAWL_API_KEY` in environment configuration. It is expected setup guidance, but it is still credential handling that can leak if copied into tracked files.

Hoch

references/project-setup.md:12

Generic API/secret keys

FIRECRAWL_API_KEY=fc-...

The self-hosted example includes `FIRECRAWL_API_KEY` in environment configuration. The value is a placeholder, but the operational flow handles real secrets.

Hoch

references/sdk-installation.md:3

Generic API/secret keys

Install the SDK that matches the project stack after `FIRECRAWL_API_KEY` is available.

The line gates SDK installation on `FIRECRAWL_API_KEY` being available, so the skill workflow depends on secret material. The line does not reveal a key, but it confirms credential handling.

Hoch

SKILL.md:3

Generic API/secret keys

description: Get Firecrawl credentials and SDK setup into a project. Use when an application needs `

The skill description says agents should add `FIRECRAWL_API_KEY` to project configuration. This is expected, but it means the skill handles credentials.

Hoch

SKILL.md:11

Generic API/secret keys

- name: FIRECRAWL_API_KEY

The declared input is `FIRECRAWL_API_KEY`, which is a secret credential. It is a legitimate input, but it should be treated as sensitive data.

Hoch

SKILL.md:42

Generic API/secret keys

- a project needs `FIRECRAWL_API_KEY`

The usage condition explicitly targets projects needing `FIRECRAWL_API_KEY`. This is credential setup, so secret-handling safeguards are required.

Hoch

SKILL.md:54

Generic API/secret keys

FIRECRAWL_API_KEY=fc-...

The quick start shows the API key variable inside a dotenv block. The value is a placeholder, but users will replace it with a real secret.

Hoch

SKILL.md:72

Generic API/secret keys

| **Run the browser auth flow and save `FIRECRAWL_API_KEY`** | [references/auth-flow.md](references/

The task table directs agents to run auth and save `FIRECRAWL_API_KEY`. This is intended, but it involves handling and persisting a credential.

Mittel

SKILL.md:32-34

Ruby/shell backtick execution

```bash

The code block contains an `npx -y firecrawl-cli@latest init --all --browser` install command, which executes a remotely fetched latest package. This is legitimate onboarding, but it carries supply-chain and implicit-consent risk.

Mittel

SKILL.md:34-38

Ruby/shell backtick execution

```

This finding range is part of the install command block that runs `npx -y firecrawl-cli@latest`. The risk is remote package execution during setup, not Ruby backtick execution.

Risikofaktoren

⚙️ Externe Befehle (16)

references/auth-flow.md:8 references/auth-flow.md:9 references/auth-flow.md:10 SKILL.md:3 SKILL.md:32-34 SKILL.md:34-38 SKILL.md:38-42 SKILL.md:42-43 SKILL.md:43-51 SKILL.md:51-53 SKILL.md:53-55 SKILL.md:55-59 SKILL.md:59-61 SKILL.md:61-72 SKILL.md:72-74 SKILL.md:74-102

🌐 Netzwerkzugriff (13)

references/auth-flow.md:16 references/auth-flow.md:24 references/project-setup.md:13 SKILL.md:12 SKILL.md:8 SKILL.md:9 SKILL.md:60 SKILL.md:84 SKILL.md:85 SKILL.md:86 SKILL.md:87 SKILL.md:88 SKILL.md:89

🔑 Umgebungsvariablen (13)

references/auth-flow.md:38 references/project-setup.md:5 references/project-setup.md:11 references/project-setup.md:6 references/project-setup.md:12 references/sdk-installation.md:3 SKILL.md:53 SKILL.md:59 SKILL.md:3 SKILL.md:11 SKILL.md:42 SKILL.md:54 SKILL.md:72

📁 Dateisystemzugriff (3)

SKILL.md:75 SKILL.md:77 SKILL.md:78

Geprüft von: codex Audit-Verlauf anzeigen →

Diesen Bericht teilen & zitieren

Teile den versionierten Bewertungsbericht, das neutrale Badge, die Einbettungskarte und Zitate. Skillstore berichtet Nachweise, ohne zu entscheiden, ob dieser Skill sicher ist.

Versionsbericht öffnen

Berichtslink kopieren

https://skillstore.io/skills/firecrawl-firecrawl-build-onboarding/audits/4?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_report

Markdown-Badge

[![Skillstore security assessment](https://skillstore.io/badges/skills/firecrawl-firecrawl-build-onboarding/security.svg)](https://skillstore.io/skills/firecrawl-firecrawl-build-onboarding?utm_source=security_passport_badge)

HTML-Badge

<a href="https://skillstore.io/skills/firecrawl-firecrawl-build-onboarding?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/firecrawl-firecrawl-build-onboarding/security.svg" alt="Skillstore security assessment" loading="lazy"></a>

Einbettungskarte

<iframe src="https://skillstore.io/embed/skills/firecrawl-firecrawl-build-onboarding.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>

Wissenschaftliche Zitate (APA · BibTeX · CFF)

APA-Zitat

firecrawl. (2026). firecrawl-build-onboarding security audit report (audit version 4) [Author version 0.1.0]. Skillstore. https://skillstore.io/skills/firecrawl-firecrawl-build-onboarding/audits/4

BibTeX-Zitat

@techreport{firecrawl-firecrawl-firecrawl-build-onboarding-2026,
  author = {firecrawl},
  title = {firecrawl-build-onboarding security audit report (audit version 4)},
  institution = {Skillstore},
  year = {2026},
  number = {4},
  url = {https://skillstore.io/skills/firecrawl-firecrawl-build-onboarding/audits/4},
  note = {Author version 0.1.0}
}

CITATION.cff

cff-version: 1.2.0
message: "If you use this Skill, cite its author and this versioned security audit report."
title: "firecrawl-build-onboarding security audit report (audit version 4)"
version: "0.1.0"
type: report
authors:
  - name: "firecrawl"
date-released: "2026-07-05"
url: "https://skillstore.io/skills/firecrawl-firecrawl-build-onboarding/audits/4"
identifiers:
  - type: other
    value: "skillstore:firecrawl-firecrawl-build-onboarding:audit:4"
    description: "Skillstore immutable audit report identifier"

Skillstore-Score

Warum dieser Score Evidenzvertrauen: Hoch

Architektur

100

Wartbarkeit

Inhalt

Gemeinschaft

Spezifikationskonformität

Was Sie erstellen können

Firecrawl zu einer neuen App hinzufügen

Ein Entwickler kann Zugangsdaten erstellen, das richtige SDK installieren und eine erste verifizierte Firecrawl-Anfrage hinzufügen.

Team-Einrichtung standardisieren

Ein technischer Lead kann Agenten einen wiederholbaren Prozess für die Einrichtung lokaler, Preview- und Produktionszugangsdaten geben.

Selbst gehostete Konfiguration vorbereiten

Ein Platform Engineer kann sowohl den API-Schlüssel als auch die benutzerdefinierte Firecrawl-API-URL für interne Deployments hinzufügen.

Diese Prompts ausprobieren

Firecrawl-Einrichtung starten

Verwende diesen Skill, um Firecrawl für dieses Projekt einzurichten. Frage mich, bevor du Umgebungsdateien änderst.

Vorhandenen Schlüssel verwenden

Ich habe bereits einen Firecrawl-API-Schlüssel. Füge die richtige Anleitung für Umgebungsvariablen hinzu und wähle das SDK für diesen Stack aus.

In bestehende Codebasis integrieren

Untersuche die Konfigurationsmuster des Repositorys und plane dann die sicherste Firecrawl-SDK-Integration und den Smoke-Test.

Produktions-Rollout planen

Entwirf einen Firecrawl-Onboarding-Plan für Entwicklung, Preview und Produktion, wenn möglich unter Verwendung von Secret Managern.

Bewährte Praktiken

Vor dem Erstellen oder Ändern von Umgebungsdateien eine Bestätigung des Benutzers einholen.
Einen Plattform-Secret-Manager für gemeinsam genutzte, Preview- oder Produktionszugangsdaten verwenden.
Nach der SDK-Installation einen Smoke-Test ausführen, um nachzuweisen, dass Schlüssel und Endpunkt funktionieren.

Vermeiden

Keine `.env`-Dateien oder Firecrawl-API-Schlüssel in die Versionskontrolle committen.
In regulierten Umgebungen keine unfixierten Installer-Befehle ohne Prüfung ausführen.
Keinen breiten Firecrawl-Endpunkt auswählen, bevor das Produktverhalten definiert ist.