Habilidades deploy-to-vercel

📦

deploy-to-vercel

Name: deploy-to-vercel
Author: vercel-labs

v3.0.0 Revisión del contenido r1 Riesgo alto ⚙️ Comandos externos🌐 Acceso a red📁 Acceso al sistema de archivos

Implementar aplicaciones web en Vercel

La configuración manual de implementación puede ralentizar los envíos y confundir los flujos de trabajo de vista previa. Esta skill guía a Claude, Codex y Claude Code a través de la implementación con Vercel CLI, la vinculación y las rutas alternativas para sandboxes.

Compatible con: Claude Codex Code(CC)

⚠️ 38 Deficiente

Maintain this Skill? Claim it ⚠️ 38 Deficiente

Detente y solicita confirmación antes de instalar.

Revisa el plan y obtén el consentimiento explícito del usuario antes de modificar archivos.

Instalar con mi Agente

Copia esta solicitud en tu Agente. Incluye la página canónica del Skill y el manifiesto.

Solicitud de agente

Review the Skillstore skill "deploy-to-vercel" from https://skillstore.io/skills/vercel-labs-deploy-to-vercel.md and its manifest at https://skillstore.io/api/skills/vercel-labs-deploy-to-vercel/manifest. Verify the artifact. Stop and obtain explicit user consent before installing or changing files.

Tu Agente debe seguir mostrando su plan y solicitar cualquier confirmación exigida por la política de seguridad.

Recursos legibles por agentes

Usa estos enlaces cuando un agente de IA, crawler o script necesite contexto limpio en vez de leer la página completa.

Detalle Markdown GET /skills/vercel-labs-deploy-to-vercel.md Manifest firmado GET /api/skills/vercel-labs-deploy-to-vercel/manifest Lockfile firmado GET /api/skills/vercel-labs-deploy-to-vercel/lockfile

Pruébalo

Usando "deploy-to-vercel". Implementa mi app y dame el enlace.

Resultado esperado:

El proyecto está vinculado a Vercel y la implementación de vista previa ha comenzado. URL de vista previa: https://example-preview.vercel.app

Usando "deploy-to-vercel". No puedo iniciar sesión desde este sandbox. ¿Aún puedes implementar una vista previa?

Resultado esperado:

La implementación alternativa se completó. Tu URL de vista previa está lista, y la URL de reclamación puede transferir la implementación a tu cuenta de Vercel.

Usando "deploy-to-vercel". Implementa esto en producción.

Resultado esperado:

Primero verificaré el proyecto de Vercel vinculado, el equipo seleccionado y el estado de git antes de ejecutar una implementación en producción.

Auditoría de seguridad

Riesgo alto

v5 • 7/7/2026 Abrir el informe versionado

Most markdown backtick and shell-substitution alerts are formatting or quoted helper commands. Real risks remain in the fallback scripts because they upload project archives to fixed external deployment endpoints and poll returned URLs. No prompt injection text was found, but Archive.zip is an unnecessary binary review blind spot.

Archivos escaneados

901

Líneas analizadas

Elementos de revisión

Falsos positivos ignorados

Preocupaciones de seguridad confirmadas (3)

Alto

SKILL.md:162-221 resources/deploy.sh:237-240 resources/deploy-codex.sh:237-240

Project Archive Upload to External Deployment Service

The fallback flow packages project files and posts the tarball to fixed deployment endpoints, then returns public preview and claim URLs. This can disclose source or unpublished content if run without clear consent.

The prose instructs fallback deployment and both scripts post the generated tarball to external endpoints. The data flow and public deployment outcome are explicit.

Medio

SKILL.md:59-70

Broad Git Commit and Push Workflow

The git deployment path instructs agents to add all files, commit, and push after one approval. Without a diff or secret review, unrelated files or credentials could be published.

The documented flow explicitly uses broad git add, commit, and push commands. The risk depends on local project contents, but the workflow is clear.

Medio

resources/deploy.sh:249-266 resources/deploy-codex.sh:249-266

Unvalidated Returned URL Polling

The scripts parse previewUrl from the deployment response and curl it without checking the host. A compromised or unexpected response could drive outbound requests to unintended destinations.

The URL is derived from an external response and then used in curl. The script discards the body, so impact is limited but real.

Elementos de revisión de capacidades (6)

Estas son capacidades locales reales que pueden esperarse para esta habilidad, por lo que requieren revisión, pero no se cuentan como comportamiento malicioso confirmado.

Alto

resources/deploy-codex.sh:239

Shell command substitution

RESPONSE=$(curl -s -X POST "$DEPLOY_ENDPOINT" -F "file=@$TARBALL" -F "framework=$FRAMEWORK")

This curl posts the generated project tarball to a fixed external deployment endpoint. That is intended deployment behavior, but it exposes source files and requires explicit user consent.

Alto

resources/deploy-codex.sh:9

Hardcoded URL

DEPLOY_ENDPOINT="https://codex-deploy-skills.vercel.sh/api/deploy"

The hardcoded endpoint is later used to receive a project tarball through curl. Even if intended, this creates an external source-upload risk that requires explicit consent.

Alto

resources/deploy.sh:239

Shell command substitution

RESPONSE=$(curl -s -X POST "$DEPLOY_ENDPOINT" -F "file=@$TARBALL" -F "framework=$FRAMEWORK")

This curl posts the generated project tarball to a fixed external deployment endpoint. That is intended deployment behavior, but it exposes source files and requires explicit user consent.

Alto

resources/deploy.sh:9

Hardcoded URL

DEPLOY_ENDPOINT="https://claude-skills-deploy.vercel.com/api/deploy"

The hardcoded endpoint is later used to receive a project tarball through curl. Even if intended, this creates an external source-upload risk that requires explicit consent.

Medio

resources/deploy-codex.sh:266

Shell command substitution

HTTP_STATUS=$(curl -s -o /dev/null -w "%{http_code}" "$PREVIEW_URL")

The script curls PREVIEW_URL parsed from a remote response without domain validation. A compromised endpoint could cause outbound requests to unexpected hosts.

Medio

resources/deploy.sh:266

Shell command substitution

HTTP_STATUS=$(curl -s -o /dev/null -w "%{http_code}" "$PREVIEW_URL")

The script curls PREVIEW_URL parsed from a remote response without domain validation. A compromised endpoint could cause outbound requests to unexpected hosts.

Factores de riesgo

⚙️ Comandos externos (107)

🌐 Acceso a red (5)

resources/deploy-codex.sh:9 resources/deploy.sh:9 SKILL.md:259 SKILL.md:260 SKILL.md:279

📁 Acceso al sistema de archivos (10)

resources/deploy-codex.sh:266 resources/deploy-codex.sh:168 resources/deploy.sh:266 resources/deploy.sh:168 SKILL.md:235 SKILL.md:235 SKILL.md:21 SKILL.md:24 SKILL.md:27 SKILL.md:30

Auditado por: codex Ver historial de auditorías →

Compartir y citar este informe

Comparte el informe de evaluación versionado, la insignia neutral, la tarjeta insertable y las citas. Skillstore presenta evidencias sin decidir si este Skill es seguro.

Abrir el informe versionado

Copiar enlace del informe

https://skillstore.io/skills/vercel-labs-deploy-to-vercel/audits/5?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_report

Insignia Markdown

[![Skillstore security assessment](https://skillstore.io/badges/skills/vercel-labs-deploy-to-vercel/security.svg)](https://skillstore.io/skills/vercel-labs-deploy-to-vercel?utm_source=security_passport_badge)

Insignia HTML

<a href="https://skillstore.io/skills/vercel-labs-deploy-to-vercel?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/vercel-labs-deploy-to-vercel/security.svg" alt="Skillstore security assessment" loading="lazy"></a>

Tarjeta para insertar

<iframe src="https://skillstore.io/embed/skills/vercel-labs-deploy-to-vercel.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>

Citas académicas (APA · BibTeX · CFF)

Cita APA

vercel-labs. (2026). deploy-to-vercel security audit report (audit version 5) [Author version 3.0.0]. Skillstore. https://skillstore.io/skills/vercel-labs-deploy-to-vercel/audits/5

Cita BibTeX

@techreport{vercel-labs-vercel-labs-deploy-to-vercel-2026,
  author = {vercel-labs},
  title = {deploy-to-vercel security audit report (audit version 5)},
  institution = {Skillstore},
  year = {2026},
  number = {5},
  url = {https://skillstore.io/skills/vercel-labs-deploy-to-vercel/audits/5},
  note = {Author version 3.0.0}
}

CITATION.cff

cff-version: 1.2.0
message: "If you use this Skill, cite its author and this versioned security audit report."
title: "deploy-to-vercel security audit report (audit version 5)"
version: "3.0.0"
type: report
authors:
  - name: "vercel-labs"
date-released: "2026-07-07"
url: "https://skillstore.io/skills/vercel-labs-deploy-to-vercel/audits/5"
identifiers:
  - type: other
    value: "skillstore:vercel-labs-deploy-to-vercel:audit:5"
    description: "Skillstore immutable audit report identifier"

Puntuación de Skillstore

Por qué esta puntuación Confianza de la evidencia: Alto

Arquitectura

100

Mantenibilidad

Contenido

Comunidad

Cumplimiento de la especificación

Lo que puedes crear

Previsualizar una rama de funcionalidad

Crear una implementación de vista previa en Vercel desde un proyecto vinculado y devolver la URL de vista previa para revisión.

Implementar un prototipo estático

Empaquetar un sitio estático local y crear una vista previa reclamable en Vercel cuando la autenticación de CLI no esté disponible.

Configurar la implementación del proyecto

Vincular un repositorio existente a Vercel, elegir el equipo correcto y establecer la implementación basada en git.

Prueba estos prompts

Implementar el proyecto actual

Implementa este proyecto en Vercel como una implementación de vista previa y dame la URL de implementación.

Implementar un directorio específico

Implementa la app en ./web en Vercel como vista previa. Usa mi proyecto de Vercel existente si está vinculado.

Vincular antes de implementar

Comprueba si este repositorio está vinculado a Vercel. Si no está vinculado, ayúdame a vincularlo al equipo correcto e implementar una vista previa.

Implementación en producción con comprobaciones

Implementa este proyecto en producción en Vercel después de comprobar primero conmigo el proyecto vinculado, el alcance del equipo y el estado de git.

Mejores prácticas

Revisa el estado de git antes de aprobar cualquier commit, push o implementación en producción.
Guarda los secretos en variables de entorno de Vercel en lugar de archivos locales dentro del directorio de implementación.
Usa implementaciones de vista previa de forma predeterminada y solicita implementación en producción solo cuando esté listo.

Evitar

No implementes un directorio padre que contenga proyectos no relacionados o archivos privados.
No uses la subida alternativa de archivos comprimidos para repositorios que contengan secretos no revisados.
No pidas al agente que envíe cambios antes de revisar los archivos incluidos en el commit.

Preguntas frecuentes

¿Esta skill implementa en producción de forma predeterminada?

No. Usa implementaciones de vista previa a menos que el usuario pida explícitamente producción.

¿Puede funcionar sin autenticación de Vercel CLI?

Sí. Incluye scripts alternativos que crean implementaciones de vista previa reclamables en entornos sandbox compatibles.

¿Subirá mis archivos de entorno?

Los scripts alternativos excluyen archivos .env y .env.*, pero aun así deberías revisar el directorio de implementación en busca de otros secretos.

¿Admite selección de equipo?

Sí. Comprueba los equipos de Vercel disponibles y usa el slug del equipo seleccionado con las opciones de alcance de Vercel CLI.

¿Puede implementar subdirectorios de monorepo?

Sí. Puedes pedirle que implemente una ruta específica, y puede vincular o implementar ese directorio.

¿Por qué esta skill está marcada como de riesgo medio?

Ejecuta comandos de shell y puede subir archivos comprimidos de proyecto a endpoints externos de implementación, lo que requiere revisión del usuario.