Compétences firecrawl-build-onboarding

📦

firecrawl-build-onboarding

Name: firecrawl-build-onboarding
Author: firecrawl

v0.1.0 Révision du contenu r1 Risque élevé ⚙️ Commandes externes🌐 Accès réseau🔑 Variables d’environnement📁 Accès au système de fichiers

Configurer l’accès à l’application Firecrawl

Les équipes ont besoin d’un parcours clair, de l’inscription à Firecrawl jusqu’à une intégration applicative fonctionnelle. Cette skill guide la configuration des identifiants, le choix du SDK et les tests de validation rapide pour les workflows Claude, Codex et Claude Code.

Prend en charge: Claude Codex Code(CC)

⚠️ 38 Médiocre

Maintain this Skill? Claim it ⚠️ 38 Médiocre

Arrêtez-vous et demandez confirmation avant l’installation.

Examinez le plan et obtenez le consentement explicite de l’utilisateur avant de modifier des fichiers.

Installer avec mon Agent

Copiez cette demande dans votre Agent. Elle contient la page Skill de référence et le manifeste.

Demande d’agent

Review the Skillstore skill "firecrawl-build-onboarding" from https://skillstore.io/skills/firecrawl-firecrawl-build-onboarding.md and its manifest at https://skillstore.io/api/skills/firecrawl-firecrawl-build-onboarding/manifest. Verify the artifact. Stop and obtain explicit user consent before installing or changing files.

Votre Agent doit toujours présenter son plan et demander toute confirmation exigée par la politique de sécurité.

Ressources lisibles par les agents

Utilisez ces liens lorsqu’un Agent IA, un crawler ou un script a besoin d’un contexte propre au lieu de lire toute la page.

Détail Markdown GET /skills/firecrawl-firecrawl-build-onboarding.md manifest signé GET /api/skills/firecrawl-firecrawl-build-onboarding/manifest lockfile signé GET /api/skills/firecrawl-firecrawl-build-onboarding/lockfile

Tester

Utilisation de « firecrawl-build-onboarding ». Configurer Firecrawl pour un nouveau service TypeScript.

Résultat attendu:

Identifie qu’une autorisation dans le navigateur est nécessaire avant les modifications de code.
Sélectionne le parcours du SDK Node ou TypeScript depuis la documentation.
Planifie une mise à jour de variable d’environnement et une requête de test de validation rapide.

Utilisation de « firecrawl-build-onboarding ». Configurer Firecrawl auto-hébergé dans une application existante.

Résultat attendu:

Trouve le modèle de configuration des secrets du projet.
Ajoute des indications pour la clé API et l’URL d’API personnalisée.
Recommande de reproduire la configuration dans les environnements de déploiement.

Utilisation de « firecrawl-build-onboarding ». Choisir comment procéder une fois les identifiants disponibles.

Résultat attendu:

La skill demande à l’agent de choisir l’endpoint Firecrawl le plus ciblé, de lire la page source propre au langage et d’exécuter un vrai test de validation rapide.

Audit de sécurité

Risque élevé

v4 • 05/07/2026 Ouvrir le rapport versionné

Most static findings are Markdown formatting, documentation links, placeholders, or expected Firecrawl onboarding references. Confirmed risks remain around credential handling, direct `.env` updates, and an unpinned `npx @latest` installer command that executes remote package code.

Fichiers analysés

182

Lignes analysées

Éléments à examiner

Faux positifs ignorés

Préoccupations de sécurité confirmées (8)

Élevé

references/auth-flow.md:38

Environment file access

echo "FIRECRAWL_API_KEY=fc-..." >> .env

The instruction writes directly to `.env`, a sensitive project configuration file. This requires explicit user consent and protections against accidental source control exposure.

Élevé

references/project-setup.md:3

Environment file access

For hosted Firecrawl, add this to `.env`:

The guidance explicitly instructs adding hosted Firecrawl credentials to `.env`. This is legitimate but sensitive because `.env` files often contain secrets.

Élevé

SKILL.md:3

Environment file access

description: Get Firecrawl credentials and SDK setup into a project. Use when an application needs `

The description tells agents to add Firecrawl credentials to `.env`. This is legitimate onboarding but creates risk if done without confirmation or file protections.

Élevé

SKILL.md:43

Environment file access

- the user wants Firecrawl wired into `.env`

The skill explicitly applies when Firecrawl is wired into `.env`. Environment-file updates can expose secrets if the file is tracked or mishandled.

Élevé

SKILL.md:51

Environment file access

If the user already has an API key, place it in `.env`:

The quick start instructs placing an API key in `.env`. This is common practice, but it is sensitive file modification.

Élevé

SKILL.md:74

Environment file access

| **Put credentials into `.env` or project config** | [references/project-setup.md](references/proje

The reference table points to putting credentials into `.env` or project config. That is intentional but remains sensitive credential persistence.

Élevé

references/auth-flow.md:23-38

Agent-Mediated API Key Persistence

The auth flow documents receiving an `apiKey` from the polling endpoint and then appending a Firecrawl API key to `.env`, placing the agent in the path of a secret.

The endpoint response example includes `apiKey`, and the final step writes a key into `.env`. This is intended onboarding, but it is clear credential handling.

Moyen

SKILL.md:32-33

Unpinned Remote Package Execution

The install instructions run `npx -y firecrawl-cli@latest init --all --browser`, which executes the latest published package without pinning a reviewed version.

The command is directly present in the install section and uses both `@latest` and `-y`. The purpose is legitimate, but the supply-chain exposure is real.

Éléments d’évaluation des capacités (11)

Il s’agit de capacités locales réelles qui peuvent être attendues pour cette compétence ; elles nécessitent donc un examen, mais ne sont pas comptabilisées comme comportement malveillant confirmé.

Élevé

references/auth-flow.md:38

Generic API/secret keys

echo "FIRECRAWL_API_KEY=fc-..." >> .env

The auth flow ends by appending a Firecrawl API key value to `.env`. This is intended behavior, but it handles secret material and can expose credentials if the file is committed or logged.

Élevé

references/project-setup.md:6

Generic API/secret keys

FIRECRAWL_API_KEY=fc-...

The example documents storing `FIRECRAWL_API_KEY` in environment configuration. It is expected setup guidance, but it is still credential handling that can leak if copied into tracked files.

Élevé

references/project-setup.md:12

Generic API/secret keys

FIRECRAWL_API_KEY=fc-...

The self-hosted example includes `FIRECRAWL_API_KEY` in environment configuration. The value is a placeholder, but the operational flow handles real secrets.

Élevé

references/sdk-installation.md:3

Generic API/secret keys

Install the SDK that matches the project stack after `FIRECRAWL_API_KEY` is available.

The line gates SDK installation on `FIRECRAWL_API_KEY` being available, so the skill workflow depends on secret material. The line does not reveal a key, but it confirms credential handling.

Élevé

SKILL.md:3

Generic API/secret keys

description: Get Firecrawl credentials and SDK setup into a project. Use when an application needs `

The skill description says agents should add `FIRECRAWL_API_KEY` to project configuration. This is expected, but it means the skill handles credentials.

Élevé

SKILL.md:11

Generic API/secret keys

- name: FIRECRAWL_API_KEY

The declared input is `FIRECRAWL_API_KEY`, which is a secret credential. It is a legitimate input, but it should be treated as sensitive data.

Élevé

SKILL.md:42

Generic API/secret keys

- a project needs `FIRECRAWL_API_KEY`

The usage condition explicitly targets projects needing `FIRECRAWL_API_KEY`. This is credential setup, so secret-handling safeguards are required.

Élevé

SKILL.md:54

Generic API/secret keys

FIRECRAWL_API_KEY=fc-...

The quick start shows the API key variable inside a dotenv block. The value is a placeholder, but users will replace it with a real secret.

Élevé

SKILL.md:72

Generic API/secret keys

| **Run the browser auth flow and save `FIRECRAWL_API_KEY`** | [references/auth-flow.md](references/

The task table directs agents to run auth and save `FIRECRAWL_API_KEY`. This is intended, but it involves handling and persisting a credential.

Moyen

SKILL.md:32-34

Ruby/shell backtick execution

```bash

The code block contains an `npx -y firecrawl-cli@latest init --all --browser` install command, which executes a remotely fetched latest package. This is legitimate onboarding, but it carries supply-chain and implicit-consent risk.

Moyen

SKILL.md:34-38

Ruby/shell backtick execution

```

This finding range is part of the install command block that runs `npx -y firecrawl-cli@latest`. The risk is remote package execution during setup, not Ruby backtick execution.

Facteurs de risque

⚙️ Commandes externes (16)

references/auth-flow.md:8 references/auth-flow.md:9 references/auth-flow.md:10 SKILL.md:3 SKILL.md:32-34 SKILL.md:34-38 SKILL.md:38-42 SKILL.md:42-43 SKILL.md:43-51 SKILL.md:51-53 SKILL.md:53-55 SKILL.md:55-59 SKILL.md:59-61 SKILL.md:61-72 SKILL.md:72-74 SKILL.md:74-102

🌐 Accès réseau (13)

references/auth-flow.md:16 references/auth-flow.md:24 references/project-setup.md:13 SKILL.md:12 SKILL.md:8 SKILL.md:9 SKILL.md:60 SKILL.md:84 SKILL.md:85 SKILL.md:86 SKILL.md:87 SKILL.md:88 SKILL.md:89

🔑 Variables d’environnement (13)

references/auth-flow.md:38 references/project-setup.md:5 references/project-setup.md:11 references/project-setup.md:6 references/project-setup.md:12 references/sdk-installation.md:3 SKILL.md:53 SKILL.md:59 SKILL.md:3 SKILL.md:11 SKILL.md:42 SKILL.md:54 SKILL.md:72

📁 Accès au système de fichiers (3)

SKILL.md:75 SKILL.md:77 SKILL.md:78

Audité par: codex Voir l’historique des audits →

Partager et citer ce rapport

Partagez le rapport d’évaluation versionné, le badge neutre, la carte intégrable et les citations. Skillstore présente les preuves sans décider si ce Skill est sûr.

Ouvrir le rapport versionné

Copier le lien du rapport

https://skillstore.io/skills/firecrawl-firecrawl-build-onboarding/audits/4?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_report

Badge Markdown

[![Skillstore security assessment](https://skillstore.io/badges/skills/firecrawl-firecrawl-build-onboarding/security.svg)](https://skillstore.io/skills/firecrawl-firecrawl-build-onboarding?utm_source=security_passport_badge)

Badge HTML

<a href="https://skillstore.io/skills/firecrawl-firecrawl-build-onboarding?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/firecrawl-firecrawl-build-onboarding/security.svg" alt="Skillstore security assessment" loading="lazy"></a>

Carte intégrable

<iframe src="https://skillstore.io/embed/skills/firecrawl-firecrawl-build-onboarding.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>

Citations académiques (APA · BibTeX · CFF)

Citation APA

firecrawl. (2026). firecrawl-build-onboarding security audit report (audit version 4) [Author version 0.1.0]. Skillstore. https://skillstore.io/skills/firecrawl-firecrawl-build-onboarding/audits/4

Citation BibTeX

@techreport{firecrawl-firecrawl-firecrawl-build-onboarding-2026,
  author = {firecrawl},
  title = {firecrawl-build-onboarding security audit report (audit version 4)},
  institution = {Skillstore},
  year = {2026},
  number = {4},
  url = {https://skillstore.io/skills/firecrawl-firecrawl-build-onboarding/audits/4},
  note = {Author version 0.1.0}
}

CITATION.cff

cff-version: 1.2.0
message: "If you use this Skill, cite its author and this versioned security audit report."
title: "firecrawl-build-onboarding security audit report (audit version 4)"
version: "0.1.0"
type: report
authors:
  - name: "firecrawl"
date-released: "2026-07-05"
url: "https://skillstore.io/skills/firecrawl-firecrawl-build-onboarding/audits/4"
identifiers:
  - type: other
    value: "skillstore:firecrawl-firecrawl-build-onboarding:audit:4"
    description: "Skillstore immutable audit report identifier"

Score Skillstore

Pourquoi ce score Niveau de confiance des preuves: Élevé

Architecture

100

Maintenabilité

Contenu

Communauté

Conformité aux spécifications

Ce que vous pouvez créer

Ajouter Firecrawl à une nouvelle application

Un développeur peut créer des identifiants, installer le SDK approprié et ajouter une première requête Firecrawl vérifiée.

Standardiser la configuration d’équipe

Un responsable technique peut fournir aux agents un processus reproductible pour la configuration des identifiants en local, en prévisualisation et en production.

Préparer une configuration auto-hébergée

Un ingénieur plateforme peut ajouter à la fois la clé API et l’URL d’API Firecrawl personnalisée pour les déploiements internes.

Essayez ces prompts

Démarrer la configuration Firecrawl

Utilise cette skill pour configurer Firecrawl pour ce projet. Demande-moi avant de modifier les fichiers d’environnement.

Utiliser une clé existante

J’ai déjà une clé API Firecrawl. Ajoute les bonnes indications pour les variables d’environnement et choisis le SDK pour cette stack.

Intégrer dans une base de code existante

Inspecte les modèles de configuration du dépôt, puis planifie l’intégration du SDK Firecrawl et le test de validation rapide les plus sûrs.

Planifier le déploiement en production

Conçois un plan d’intégration Firecrawl pour le développement, la prévisualisation et la production en utilisant des gestionnaires de secrets lorsque possible.

Bonnes pratiques

Demander la confirmation de l’utilisateur avant de créer ou de modifier des fichiers d’environnement.
Utiliser un gestionnaire de secrets de plateforme pour les identifiants partagés, de prévisualisation ou de production.
Exécuter un test de validation rapide après l’installation du SDK pour vérifier que la clé et l’endpoint fonctionnent.

Éviter

Ne pas committer de fichiers `.env` ni de clés API Firecrawl dans le contrôle de version.
Ne pas exécuter de commandes d’installation non verrouillées dans des environnements réglementés sans revue.
Ne pas choisir un endpoint Firecrawl trop large avant de définir le comportement produit.