Habilidades vercel-cli-with-tokens
📦
vercel-cli-with-tokens
v1.0.0 Revisión del contenido r1 Riesgo alto ⚙️ Comandos externos🌐 Acceso a red📁 Acceso al sistema de archivos
Desplegar proyectos de Vercel con tokens
El inicio de sesión interactivo de Vercel puede bloquear flujos de trabajo automatizados de agentes. Esta skill proporciona a Claude, Codex y Claude Code una ruta estructurada basada en tokens para despliegues, vinculación, variables de entorno, dominios y solución de problemas.
Compatible con: Claude Codex Code(CC)
Detente y solicita confirmación antes de instalar.
Revisa el plan y obtén el consentimiento explícito del usuario antes de modificar archivos.
Instalar con mi Agente
Copia esta solicitud en tu Agente. Incluye la página canónica del Skill y el manifiesto.
Solicitud de agente
Review the Skillstore skill "vercel-cli-with-tokens" from https://skillstore.io/skills/vercel-labs-vercel-cli-with-tokens.md and its manifest at https://skillstore.io/api/skills/vercel-labs-vercel-cli-with-tokens/manifest. Verify the artifact. Stop and obtain explicit user consent before installing or changing files.Tu Agente debe seguir mostrando su plan y solicitar cualquier confirmación exigida por la política de seguridad.
Recursos legibles por agentes
Usa estos enlaces cuando un agente de IA, crawler o script necesite contexto limpio en vez de leer la página completa.
Pruébalo
Usando "vercel-cli-with-tokens". Despliega esta app en Vercel preview usando el token de mi entorno.
Resultado esperado:
El agente verifica que la autenticación y el alcance del proyecto estén disponibles, ejecuta un despliegue preview y devuelve la URL del despliegue con los valores de token redactados.
Usando "vercel-cli-with-tokens". Vincula este repositorio al proyecto de Vercel de mi equipo.
Resultado esperado:
El agente comprueba la información del git remote, selecciona el alcance de equipo, vincula el proyecto e informa los metadatos locales resultantes de Vercel sin exponer secretos.
Usando "vercel-cli-with-tokens". Agrega DATABASE_URL a producción en Vercel.
Resultado esperado:
El agente confirma el proyecto y entorno de destino, envía el valor mediante Vercel CLI y resume el cambio completado.
Auditoría de seguridad
Riesgo altov5 • 7/7/2026 Abrir el informe versionado
Most Markdown backtick detections are false positives because SKILL.md is documentation, not executable Ruby or JavaScript. Confirmed issues are the intended handling of Vercel tokens and env files, plus automation that can mutate Vercel deployments, environment variables, domains, and confirmations. No prompt injection text was found.
1
Archivos escaneados
329
Líneas analizadas
7
Elementos de revisión
0
Falsos positivos ignorados
Preocupaciones de seguridad confirmadas (15)
Alto
Environment file access
### B) Token is in a `.env` file under `VERCEL_TOKEN`
The prose instructs the assistant to inspect environment variables or env files for Vercel tokens. That is credential discovery and should be treated as sensitive access.
Alto
Environment file access
grep '^VERCEL_TOKEN=' .env 2>/dev/null
The command reads or exports values from a local env file while looking for Vercel credentials. This is expected for token setup, but it can expose secrets.
Alto
Environment file access
export VERCEL_TOKEN=$(grep '^VERCEL_TOKEN=' .env | cut -d= -f2-)
The command reads or exports values from a local env file while looking for Vercel credentials. This is expected for token setup, but it can expose secrets.
Alto
Environment file access
### C) Token is in a `.env` file under a different name
The prose instructs the assistant to inspect environment variables or env files for Vercel tokens. That is credential discovery and should be treated as sensitive access.
Alto
Environment file access
grep -i 'vercel' .env 2>/dev/null
The command reads or exports values from a local env file while looking for Vercel credentials. This is expected for token setup, but it can expose secrets.
Alto
Environment file access
export VERCEL_TOKEN=$(grep '^<VARIABLE_NAME>=' .env | cut -d= -f2-)
The command reads or exports values from a local env file while looking for Vercel credentials. This is expected for token setup, but it can expose secrets.
Alto
Environment file access
# Or check .env
The prose instructs the assistant to inspect environment variables or env files for Vercel tokens. That is credential discovery and should be treated as sensitive access.
Alto
Environment file access
grep -i 'vercel' .env 2>/dev/null
The command reads or exports values from a local env file while looking for Vercel credentials. This is expected for token setup, but it can expose secrets.
Mostrar los 15 problemas confirmados
Alto
Environment file access
# Pull env vars to local .env file
The workflow pulls Vercel environment variables into a local env file. This can expose application secrets on disk, so it is a confirmed sensitive-data risk.
Alto
Environment file access
- **Check the environment for tokens before asking the user.** Look in the current env and `.env` fi
The prose instructs the assistant to inspect environment variables or env files for Vercel tokens. That is credential discovery and should be treated as sensitive access.
Alto
Environment file access
Check the environment and any `.env` files present:
The prose instructs the assistant to inspect environment variables or env files for Vercel tokens. That is credential discovery and should be treated as sensitive access.
Alto
Environment file access
grep -i vercel .env 2>/dev/null
The command reads or exports values from a local env file while looking for Vercel credentials. This is expected for token setup, but it can expose secrets.
Medio
System reconnaissance
- **Use `-y`** on commands that prompt for confirmation to avoid interactive blocking.
The instruction recommends using -y to bypass interactive confirmations. That can make deployment, environment, or domain changes proceed without a final user check.
Medio
Confirmation Bypass for Cloud Changes
The skill recommends using -y to avoid prompts and includes destructive or state-changing Vercel commands. This can remove environment variables or change cloud resources without a final interactive confirmation.
Line 248 removes a Vercel environment variable with -y, and line 283 recommends -y broadly. The risk is contextual because the skill is intended for automation, but confirmation bypass is still material.
Medio
Cloud Resource Mutation Workflows
The skill provides workflows for production deployment, environment variable changes, and domain management. These are legitimate Vercel operations, but they can affect live services if run with the wrong scope or without approval.
The cited sections explicitly cover production deploys, Vercel env add/remove, and domain add operations. The skill includes some safeguards, so this is a medium-confidence operational risk rather than evidence of malicious intent.
Elementos de revisión de capacidades (7)
Estas son capacidades locales reales que pueden esperarse para esta habilidad, por lo que requieren revisión, pero no se cuentan como comportamiento malicioso confirmado.
Medio
Shell command substitution
export VERCEL_TOKEN=$(grep '^VERCEL_TOKEN=' .env | cut -d= -f2-)
The snippet instructs extraction of VERCEL_TOKEN from a local .env file through shell commands. This is intentional, but it handles credentials and should remain security-relevant.
Medio
Shell command substitution
export VERCEL_TOKEN=$(grep '^<VARIABLE_NAME>=' .env | cut -d= -f2-)
The snippet instructs extraction of VERCEL_TOKEN from a local .env file through shell commands. This is intentional, but it handles credentials and should remain security-relevant.
Bajo
Standard device file access
grep '^VERCEL_TOKEN=' .env 2>/dev/null
The command reads a local .env file, which commonly contains secrets. The access is expected for this skill, but still needs caution and output masking.
Bajo
Standard device file access
grep -i 'vercel' .env 2>/dev/null
The command reads a local .env file, which commonly contains secrets. The access is expected for this skill, but still needs caution and output masking.
Bajo
Standard device file access
grep -i 'vercel' .env 2>/dev/null
The command reads a local .env file, which commonly contains secrets. The access is expected for this skill, but still needs caution and output masking.
Bajo
Standard device file access
cat .vercel/project.json 2>/dev/null || cat .vercel/repo.json 2>/dev/null
The command reads local .vercel project metadata files. These files are not normally secret tokens, but they can expose project and organization identifiers.
Bajo
Standard device file access
grep -i vercel .env 2>/dev/null
The command reads a local .env file, which commonly contains secrets. The access is expected for this skill, but still needs caution and output masking.
Factores de riesgo
⚙️ Comandos externos (98)
SKILL.md:11 SKILL.md:17 SKILL.md:19-21 SKILL.md:21-25 SKILL.md:25 SKILL.md:27-29 SKILL.md:29-33 SKILL.md:33-35 SKILL.md:35-37 SKILL.md:37-39 SKILL.md:39-41 SKILL.md:41-43 SKILL.md:43-45 SKILL.md:45-47 SKILL.md:47-49 SKILL.md:49-57 SKILL.md:57 SKILL.md:59-66 SKILL.md:66-70 SKILL.md:70-72 SKILL.md:72-79 SKILL.md:79-81 SKILL.md:81-83 SKILL.md:83-86 SKILL.md:86-88 SKILL.md:88 SKILL.md:90-93 SKILL.md:93-95 SKILL.md:95 SKILL.md:101-104 SKILL.md:104-112 SKILL.md:112 SKILL.md:114-116 SKILL.md:116-118 SKILL.md:118 SKILL.md:120-122 SKILL.md:122-126 SKILL.md:126-128 SKILL.md:128-132 SKILL.md:132-134 SKILL.md:134-142 SKILL.md:142-148 SKILL.md:148-154 SKILL.md:154-156 SKILL.md:156-158 SKILL.md:158 SKILL.md:162-164 SKILL.md:164-166 SKILL.md:166-170 SKILL.md:170-172 SKILL.md:172-174 SKILL.md:174 SKILL.md:184-188 SKILL.md:188-191 SKILL.md:191-194 SKILL.md:194-195 SKILL.md:195-199 SKILL.md:199-201 SKILL.md:201-205 SKILL.md:205-207 SKILL.md:207-212 SKILL.md:212-215 SKILL.md:215-217 SKILL.md:217-219 SKILL.md:219-222 SKILL.md:222-225 SKILL.md:225 SKILL.md:226 SKILL.md:228 SKILL.md:230 SKILL.md:234-249 SKILL.md:249-253 SKILL.md:253-262 SKILL.md:262-266 SKILL.md:266-272 SKILL.md:272-276 SKILL.md:276 SKILL.md:277-280 SKILL.md:280-282 SKILL.md:282-283 SKILL.md:283-289 SKILL.md:289-291 SKILL.md:291-294 SKILL.md:294-298 SKILL.md:298-300 SKILL.md:300 SKILL.md:307-309 SKILL.md:309-315 SKILL.md:315-317 SKILL.md:317-320 SKILL.md:320-321 SKILL.md:321-322 SKILL.md:322 SKILL.md:326-328 SKILL.md:34 SKILL.md:48 SKILL.md:33-35 SKILL.md:47-49
🌐 Acceso a red (3)
📁 Acceso al sistema de archivos (6)
Patrones detectados
System reconnaissance
Auditado por: codex Ver historial de auditorías →
Compartir y citar este informe
Comparte el informe de evaluación versionado, la insignia neutral, la tarjeta insertable y las citas. Skillstore presenta evidencias sin decidir si este Skill es seguro.
Copiar enlace del informe
https://skillstore.io/skills/vercel-labs-vercel-cli-with-tokens/audits/5?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_reportInsignia Markdown
[](https://skillstore.io/skills/vercel-labs-vercel-cli-with-tokens?utm_source=security_passport_badge)Insignia HTML
<a href="https://skillstore.io/skills/vercel-labs-vercel-cli-with-tokens?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/vercel-labs-vercel-cli-with-tokens/security.svg" alt="Skillstore security assessment" loading="lazy"></a>Tarjeta para insertar
<iframe src="https://skillstore.io/embed/skills/vercel-labs-vercel-cli-with-tokens.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>Citas académicas (APA · BibTeX · CFF)
Cita APA
vercel-labs. (2026). vercel-cli-with-tokens security audit report (audit version 5) [Author version 1.0.0]. Skillstore. https://skillstore.io/skills/vercel-labs-vercel-cli-with-tokens/audits/5Cita BibTeX
@techreport{vercel-labs-vercel-labs-vercel-cli-with-tokens-2026,
author = {vercel-labs},
title = {vercel-cli-with-tokens security audit report (audit version 5)},
institution = {Skillstore},
year = {2026},
number = {5},
url = {https://skillstore.io/skills/vercel-labs-vercel-cli-with-tokens/audits/5},
note = {Author version 1.0.0}
}CITATION.cff
cff-version: 1.2.0
message: "If you use this Skill, cite its author and this versioned security audit report."
title: "vercel-cli-with-tokens security audit report (audit version 5)"
version: "1.0.0"
type: report
authors:
- name: "vercel-labs"
date-released: "2026-07-07"
url: "https://skillstore.io/skills/vercel-labs-vercel-cli-with-tokens/audits/5"
identifiers:
- type: other
value: "skillstore:vercel-labs-vercel-cli-with-tokens:audit:5"
description: "Skillstore immutable audit report identifier"
Puntuación de Skillstore
Por qué esta puntuación Confianza de la evidencia: Alto 55
Arquitectura
100
Mantenibilidad
87
Contenido
70
Comunidad
83
Cumplimiento de la especificación
Lo que puedes crear
Despliegue preview desde código local
Desplegar un proyecto local en Vercel preview sin usar inicio de sesión basado en navegador.
Configuración de proyecto de equipo
Vincular un repositorio al equipo y proyecto correctos de Vercel usando comandos CLI con alcance.
Mantenimiento de variables de entorno
Listar, agregar, extraer o eliminar variables de entorno de Vercel mediante un flujo de trabajo CLI guiado.
Prueba estos prompts
Desplegar una preview
Usa el flujo de trabajo de tokens de Vercel para desplegar este proyecto como preview. Redacta cualquier valor de token que leas o imprimas.
Vincular un proyecto de equipo
Configura este repositorio para el despliegue con Vercel CLI bajo el alcance de equipo correcto. Pregunta antes de cualquier comando que cambie el estado remoto.
Actualizar variables de entorno
Agrega o actualiza las variables de entorno de Vercel que proporcione para preview y producción. Confirma el proyecto de destino antes de aplicar los cambios.
Solucionar un despliegue fallido
Investiga este despliegue fallido de Vercel usando comandos CLI basados en tokens. Comprueba la autenticación, el alcance de equipo, los logs y la configuración del proyecto.
Mejores prácticas
- Redacta los valores de tokens y de variables de entorno de la salida de comandos antes de compartir resultados.
- Usa despliegues preview de forma predeterminada y exige aprobación explícita antes de cambios en producción.
- Confirma el alcance de equipo, la identidad del proyecto y el estado del repositorio antes de vincular o desplegar.
Evitar
- No pases tokens de Vercel como flags de línea de comandos ni los incluyas en el historial de shell.
- No hagas push de commits de git, cambies dominios ni despliegues a producción sin aprobación explícita del usuario.
- No ejecutes volcados amplios del entorno cuando basta con una comprobación de token más específica.
Preguntas frecuentes
¿Esta skill requiere inicio de sesión interactivo de Vercel?
No. Está diseñada para autenticación basada en tokens mediante VERCEL_TOKEN y variables de proyecto relacionadas.
¿Puede desplegar a producción?
Sí, pero el flujo de trabajo indica que los despliegues de producción solo deben realizarse después de una solicitud explícita del usuario.
¿Leerá archivos .env locales?
Sí. Puede inspeccionar archivos .env para encontrar tokens de Vercel e identificadores de proyecto, por lo que las salidas deben redactarse.
¿Puede gestionar variables de entorno de Vercel?
Sí. Incluye flujos de trabajo para listar, agregar, extraer y eliminar variables de entorno de Vercel.
¿Admite proyectos con alcance de equipo?
Sí. Explica cómo usar slugs de equipo, VERCEL_ORG_ID y VERCEL_PROJECT_ID para operaciones con alcance.
¿Cuál es la principal preocupación de seguridad?
La principal preocupación es la exposición de secretos durante el descubrimiento de tokens. Los agentes deben evitar imprimir o almacenar valores de tokens.
Detalles del desarrollador
Autor
vercel-labsLicencia
MIT
Versión del autor
v1.0.0
Revisión de Skillstore
r1
Ref.
36e07d5e13068e5be64447e8f20b427cf2cbd21a
Actualidad del mantenimiento
18/7/2026
Uso
4 descargas · 200 vistas
Estructura de archivos
📄 SKILL.md