Compétences sast-configuration
🛡️

sast-configuration

Sûr 🌐 Accès réseau⚙️ Commandes externes📁 Accès au système de fichiers

Configurar herramientas SAST para escaneo seguro de código

Necesita una configuración consistente de herramientas SAST en sus proyectos. Esta habilidad proporciona orientación para configurar Semgrep, SonarQube y CodeQL con reglas personalizadas e integración de CI.

Prend en charge: Claude Codex Code(CC)
📊 69 Adéquat
1

Télécharger le ZIP du skill

2

Importer dans Claude

Allez dans Paramètres → Capacités → Skills → Importer un skill

3

Activez et commencez à utiliser

Tester

Utilisation de "sast-configuration". Create a SAST plan for a JavaScript monorepo using Semgrep and CodeQL.

Résultat attendu:

  • Select Semgrep auto rules plus OWASP Top Ten pack for JavaScript.
  • Run CodeQL on main branches and pull requests with SARIF upload.
  • Exclude build and vendor directories to improve scan time.
  • Fail the build only on critical and high findings.

Utilisation de "sast-configuration". How do I create a custom Semgrep rule for hardcoded API keys?

Résultat attendu:

  • Define a pattern matching common key formats like 'sk-' prefixes.
  • Use message field to explain why hardcoded keys are a risk.
  • Set severity to ERROR for CI pipeline blocking.
  • Test rule against sample vulnerable code before deployment.

Utilisation de "sast-configuration". Set up SonarQube quality gate for PCI-DSS compliance.

Résultat attendu:

  • Configure quality profile with security-related rules enabled.
  • Set up custom metric thresholds for vulnerable code density.
  • Integrate SARIF import for external SAST tool results.
  • Configure email notifications for quality gate failures.

Audit de sécurité

Sûr
v4 • 1/17/2026

This is a pure documentation skill containing only guidance and example commands for configuring SAST tools. All 32 static findings are false positives triggered by security-related terminology in documentation. The skill describes legitimate defensive security practices (Semgrep, SonarQube, CodeQL configuration) with no executable code, file access, network calls, or command execution. Behavior matches stated purpose of providing SAST configuration guidance.

2
Fichiers analysés
367
Lignes analysées
3
résultats
4
Total des audits

Facteurs de risque

🌐 Accès réseau (2)
skill-report.json:6 SKILL.md:93
⚙️ Commandes externes (11)
SKILL.md:52-63 SKILL.md:63-80 SKILL.md:80-88 SKILL.md:88-91 SKILL.md:91-98 SKILL.md:98-130 SKILL.md:130-132 SKILL.md:132-135 SKILL.md:135-142 SKILL.md:142-145 SKILL.md:145-148
📁 Accès au système de fichiers (3)
SKILL.md:172 SKILL.md:173 SKILL.md:174
Audité par: claude Voir l’historique des audits →

Score de qualité

38
Architecture
100
Maintenabilité
85
Contenu
22
Communauté
100
Sécurité
91
Conformité aux spécifications

Ce que vous pouvez construire

Despliegue baseline de SAST

Planificar y configurar Semgrep, SonarQube y CodeQL para un escaneo baseline inicial de la organización.

Integración de canalización CI

Agregar verificaciones SAST a GitHub Actions o GitLab CI con puertas de fallo claras.

Autoría de reglas personalizadas

Crear reglas específicas para detectar patrones riesgosos en una base de código particular.

Essayez ces prompts

Configuración para principiantes 
Configurar un escaneo Semgrep básico para un proyecto Python y sugerir un paso mínimo de CI.
Fortalecimiento de canalización 
Definir un flujo de trabajo de CI que bloquee fusiones en hallazgos SAST críticos y mantenga el ruido bajo.
Ajuste de reglas 
Sugerir ajuste de reglas y exclusiones de rutas para reducir falsos positivos en un monorepo grande.
Multi-herramienta avanzado 
Diseñar un plan para combinar Semgrep, SonarQube y CodeQL con propiedad clara e informes.

Bonnes pratiques

  • Comience con un escaneo baseline y priorice los problemas críticos primero
  • Documente las supresiones y revíselas regularmente
  • Haga caché de las dependencias y use escaneos incrementales para mayor velocidad

Éviter

  • Bloquear fusiones en hallazgos de baja severidad
  • Ignorar falsos positivos sin documentación
  • Escanear código generado o de proveedores por defecto

Foire aux questions

¿Qué plataformas soporta esta habilidad?
Proporciona orientación para Semgrep, SonarQube y CodeQL en plataformas CI comunes.
¿Cuáles son los límites de esta habilidad?
No ejecuta escaneos ni modifica su configuración de CI directamente.
¿Puede integrarse con mi canalización CI existente?
Sí, ofrece ejemplos para GitHub Actions, GitLab CI y hooks pre-commit.
¿Se acceden o almacenan mis datos?
No, el contenido de la habilidad es documentación estática y no accede a archivos ni transmite datos.
¿Cómo resuelvo resultados ruidosos?
Use ajuste de reglas, exclusiones de rutas y supresiones documentadas para reducir el ruido.
¿Cómo se compara con usar una sola herramienta?
Ayuda a planificar un enfoque multi-herramienta para una cobertura más fuerte y defensa en profundidad.

Détails du développeur

Auteur

wshobson

Licence

MIT

Dépôt

https://github.com/wshobson/agents/tree/main/plugins/security-scanning/skills/sast-configuration

Réf

main

Structure de fichiers

📄 SKILL.md