Habilidades firecrawl-build-onboarding

📦

firecrawl-build-onboarding

Name: firecrawl-build-onboarding
Author: firecrawl

v0.1.0 Revisión del contenido r1 Riesgo alto ⚙️ Comandos externos🌐 Acceso a red🔑 Variables de entorno📁 Acceso al sistema de archivos

Configurar el acceso a la app de Firecrawl

Los equipos necesitan una ruta clara desde el registro en Firecrawl hasta una integración de aplicación funcional. Esta skill guía la configuración de credenciales, la elección del SDK y las pruebas de humo para flujos de trabajo con Claude, Codex y Claude Code.

Compatible con: Claude Codex Code(CC)

⚠️ 38 Deficiente

Detente y solicita confirmación antes de instalar.

Revisa el plan y obtén el consentimiento explícito del usuario antes de modificar archivos.

Instalar con mi Agente

Copia esta solicitud en tu Agente. Incluye la página canónica del Skill y el manifiesto.

Solicitud de agente

Review the Skillstore skill "firecrawl-build-onboarding" from https://skillstore.io/skills/firecrawl-firecrawl-build-onboarding.md and its manifest at https://skillstore.io/api/skills/firecrawl-firecrawl-build-onboarding/manifest. Verify the artifact. Stop and obtain explicit user consent before installing or changing files.

Tu Agente debe seguir mostrando su plan y solicitar cualquier confirmación exigida por la política de seguridad.

Recursos legibles por agentes

Usa estos enlaces cuando un agente de IA, crawler o script necesite contexto limpio en vez de leer la página completa.

Detalle Markdown GET /skills/firecrawl-firecrawl-build-onboarding.md Manifest firmado GET /api/skills/firecrawl-firecrawl-build-onboarding/manifest Lockfile firmado GET /api/skills/firecrawl-firecrawl-build-onboarding/lockfile

Pruébalo

Usando "firecrawl-build-onboarding". Configura Firecrawl para un servicio TypeScript nuevo.

Resultado esperado:

Identifica que se necesita autorización en el navegador antes de hacer cambios de código.
Selecciona la ruta del SDK de Node o TypeScript desde la documentación.
Planifica una actualización de variables de entorno y una solicitud de prueba de humo.

Usando "firecrawl-build-onboarding". Configura Firecrawl autoalojado en una app existente.

Resultado esperado:

Encuentra el patrón de configuración de secretos del proyecto.
Añade orientación tanto para la clave de API como para la URL personalizada de la API.
Recomienda replicar la configuración en todos los entornos de despliegue.

Usando "firecrawl-build-onboarding". Elige cómo proceder después de que las credenciales estén disponibles.

Resultado esperado:

La skill indica al agente que elija el endpoint de Firecrawl más específico, lea la página fuente específica del lenguaje y ejecute una prueba de humo real.

Auditoría de seguridad

Riesgo alto

v4 • 5/7/2026 Abrir el informe versionado

Most static findings are Markdown formatting, documentation links, placeholders, or expected Firecrawl onboarding references. Confirmed risks remain around credential handling, direct `.env` updates, and an unpinned `npx @latest` installer command that executes remote package code.

Archivos escaneados

182

Líneas analizadas

Elementos de revisión

Falsos positivos ignorados

Preocupaciones de seguridad confirmadas (8)

Alto

references/auth-flow.md:38

Environment file access

echo "FIRECRAWL_API_KEY=fc-..." >> .env

The instruction writes directly to `.env`, a sensitive project configuration file. This requires explicit user consent and protections against accidental source control exposure.

Alto

references/project-setup.md:3

Environment file access

For hosted Firecrawl, add this to `.env`:

The guidance explicitly instructs adding hosted Firecrawl credentials to `.env`. This is legitimate but sensitive because `.env` files often contain secrets.

Alto

SKILL.md:3

Environment file access

description: Get Firecrawl credentials and SDK setup into a project. Use when an application needs `

The description tells agents to add Firecrawl credentials to `.env`. This is legitimate onboarding but creates risk if done without confirmation or file protections.

Alto

SKILL.md:43

Environment file access

- the user wants Firecrawl wired into `.env`

The skill explicitly applies when Firecrawl is wired into `.env`. Environment-file updates can expose secrets if the file is tracked or mishandled.

Alto

SKILL.md:51

Environment file access

If the user already has an API key, place it in `.env`:

The quick start instructs placing an API key in `.env`. This is common practice, but it is sensitive file modification.

Alto

SKILL.md:74

Environment file access

| **Put credentials into `.env` or project config** | [references/project-setup.md](references/proje

The reference table points to putting credentials into `.env` or project config. That is intentional but remains sensitive credential persistence.

Alto

references/auth-flow.md:23-38

Agent-Mediated API Key Persistence

The auth flow documents receiving an `apiKey` from the polling endpoint and then appending a Firecrawl API key to `.env`, placing the agent in the path of a secret.

The endpoint response example includes `apiKey`, and the final step writes a key into `.env`. This is intended onboarding, but it is clear credential handling.

Medio

SKILL.md:32-33

Unpinned Remote Package Execution

The install instructions run `npx -y firecrawl-cli@latest init --all --browser`, which executes the latest published package without pinning a reviewed version.

The command is directly present in the install section and uses both `@latest` and `-y`. The purpose is legitimate, but the supply-chain exposure is real.

Elementos de revisión de capacidades (11)

Estas son capacidades locales reales que pueden esperarse para esta habilidad, por lo que requieren revisión, pero no se cuentan como comportamiento malicioso confirmado.

Alto

references/auth-flow.md:38

Generic API/secret keys

echo "FIRECRAWL_API_KEY=fc-..." >> .env

The auth flow ends by appending a Firecrawl API key value to `.env`. This is intended behavior, but it handles secret material and can expose credentials if the file is committed or logged.

Alto

references/project-setup.md:6

Generic API/secret keys

FIRECRAWL_API_KEY=fc-...

The example documents storing `FIRECRAWL_API_KEY` in environment configuration. It is expected setup guidance, but it is still credential handling that can leak if copied into tracked files.

Alto

references/project-setup.md:12

Generic API/secret keys

FIRECRAWL_API_KEY=fc-...

The self-hosted example includes `FIRECRAWL_API_KEY` in environment configuration. The value is a placeholder, but the operational flow handles real secrets.

Alto

references/sdk-installation.md:3

Generic API/secret keys

Install the SDK that matches the project stack after `FIRECRAWL_API_KEY` is available.

The line gates SDK installation on `FIRECRAWL_API_KEY` being available, so the skill workflow depends on secret material. The line does not reveal a key, but it confirms credential handling.

Alto

SKILL.md:3

Generic API/secret keys

description: Get Firecrawl credentials and SDK setup into a project. Use when an application needs `

The skill description says agents should add `FIRECRAWL_API_KEY` to project configuration. This is expected, but it means the skill handles credentials.

Alto

SKILL.md:11

Generic API/secret keys

- name: FIRECRAWL_API_KEY

The declared input is `FIRECRAWL_API_KEY`, which is a secret credential. It is a legitimate input, but it should be treated as sensitive data.

Alto

SKILL.md:42

Generic API/secret keys

- a project needs `FIRECRAWL_API_KEY`

The usage condition explicitly targets projects needing `FIRECRAWL_API_KEY`. This is credential setup, so secret-handling safeguards are required.

Alto

SKILL.md:54

Generic API/secret keys

FIRECRAWL_API_KEY=fc-...

The quick start shows the API key variable inside a dotenv block. The value is a placeholder, but users will replace it with a real secret.

Alto

SKILL.md:72

Generic API/secret keys

| **Run the browser auth flow and save `FIRECRAWL_API_KEY`** | [references/auth-flow.md](references/

The task table directs agents to run auth and save `FIRECRAWL_API_KEY`. This is intended, but it involves handling and persisting a credential.

Medio

SKILL.md:32-34

Ruby/shell backtick execution

```bash

The code block contains an `npx -y firecrawl-cli@latest init --all --browser` install command, which executes a remotely fetched latest package. This is legitimate onboarding, but it carries supply-chain and implicit-consent risk.

Medio

SKILL.md:34-38

Ruby/shell backtick execution

```

This finding range is part of the install command block that runs `npx -y firecrawl-cli@latest`. The risk is remote package execution during setup, not Ruby backtick execution.

Factores de riesgo

⚙️ Comandos externos (16)

references/auth-flow.md:8 references/auth-flow.md:9 references/auth-flow.md:10 SKILL.md:3 SKILL.md:32-34 SKILL.md:34-38 SKILL.md:38-42 SKILL.md:42-43 SKILL.md:43-51 SKILL.md:51-53 SKILL.md:53-55 SKILL.md:55-59 SKILL.md:59-61 SKILL.md:61-72 SKILL.md:72-74 SKILL.md:74-102

🌐 Acceso a red (13)

references/auth-flow.md:16 references/auth-flow.md:24 references/project-setup.md:13 SKILL.md:12 SKILL.md:8 SKILL.md:9 SKILL.md:60 SKILL.md:84 SKILL.md:85 SKILL.md:86 SKILL.md:87 SKILL.md:88 SKILL.md:89

🔑 Variables de entorno (13)

references/auth-flow.md:38 references/project-setup.md:5 references/project-setup.md:11 references/project-setup.md:6 references/project-setup.md:12 references/sdk-installation.md:3 SKILL.md:53 SKILL.md:59 SKILL.md:3 SKILL.md:11 SKILL.md:42 SKILL.md:54 SKILL.md:72

📁 Acceso al sistema de archivos (3)

SKILL.md:75 SKILL.md:77 SKILL.md:78

Auditado por: codex Ver historial de auditorías →

Compartir y citar este informe

Comparte el informe de evaluación versionado, la insignia neutral, la tarjeta insertable y las citas. Skillstore presenta evidencias sin decidir si este Skill es seguro.

Abrir el informe versionado

Copiar enlace del informe

https://skillstore.io/skills/firecrawl-firecrawl-build-onboarding/audits/4?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_report

Insignia Markdown

[![Skillstore security assessment](https://skillstore.io/badges/skills/firecrawl-firecrawl-build-onboarding/security.svg)](https://skillstore.io/skills/firecrawl-firecrawl-build-onboarding?utm_source=security_passport_badge)

Insignia HTML

<a href="https://skillstore.io/skills/firecrawl-firecrawl-build-onboarding?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/firecrawl-firecrawl-build-onboarding/security.svg" alt="Skillstore security assessment" loading="lazy"></a>

Tarjeta para insertar

<iframe src="https://skillstore.io/embed/skills/firecrawl-firecrawl-build-onboarding.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>

Citas académicas (APA · BibTeX · CFF)

Cita APA

firecrawl. (2026). firecrawl-build-onboarding security audit report (audit version 4) [Author version 0.1.0]. Skillstore. https://skillstore.io/skills/firecrawl-firecrawl-build-onboarding/audits/4

Cita BibTeX

@techreport{firecrawl-firecrawl-firecrawl-build-onboarding-2026,
  author = {firecrawl},
  title = {firecrawl-build-onboarding security audit report (audit version 4)},
  institution = {Skillstore},
  year = {2026},
  number = {4},
  url = {https://skillstore.io/skills/firecrawl-firecrawl-build-onboarding/audits/4},
  note = {Author version 0.1.0}
}

CITATION.cff

cff-version: 1.2.0
message: "If you use this Skill, cite its author and this versioned security audit report."
title: "firecrawl-build-onboarding security audit report (audit version 4)"
version: "0.1.0"
type: report
authors:
  - name: "firecrawl"
date-released: "2026-07-05"
url: "https://skillstore.io/skills/firecrawl-firecrawl-build-onboarding/audits/4"
identifiers:
  - type: other
    value: "skillstore:firecrawl-firecrawl-build-onboarding:audit:4"
    description: "Skillstore immutable audit report identifier"

Puntuación de Skillstore

Por qué esta puntuación Confianza de la evidencia: Alto

Arquitectura

100

Mantenibilidad

Contenido

Comunidad

Cumplimiento de la especificación

Lo que puedes crear

Añadir Firecrawl a una app nueva

Un desarrollador puede crear credenciales, instalar el SDK correcto y añadir una primera solicitud de Firecrawl verificada.

Estandarizar la configuración del equipo

Un líder técnico puede dar a los agentes un proceso repetible para configurar credenciales locales, de preview y de producción.

Preparar configuración autoalojada

Un ingeniero de plataforma puede añadir tanto la clave de API como la URL personalizada de la API de Firecrawl para despliegues internos.

Prueba estos prompts

Iniciar configuración de Firecrawl

Usa esta skill para configurar Firecrawl en este proyecto. Pregúntame antes de cambiar archivos de entorno.

Usar clave existente

Ya tengo una clave de API de Firecrawl. Añade la guía correcta para variables de entorno y elige el SDK para este stack.

Integrar en una base de código existente

Inspecciona los patrones de configuración del repositorio y luego planifica la integración más segura del SDK de Firecrawl y una prueba de humo.

Planificar despliegue a producción

Diseña un plan de incorporación de Firecrawl para desarrollo, preview y producción usando gestores de secretos cuando sea posible.

Mejores prácticas

Pide confirmación al usuario antes de crear o modificar archivos de entorno.
Usa un gestor de secretos de la plataforma para credenciales compartidas, de preview o de producción.
Ejecuta una prueba de humo después de instalar el SDK para comprobar que la clave y el endpoint funcionan.

Evitar

No confirmes archivos `.env` ni claves de API de Firecrawl en el control de versiones.
No ejecutes comandos de instalación sin versión fijada en entornos regulados sin revisión.
No elijas un endpoint amplio de Firecrawl antes de definir el comportamiento del producto.