Compétences environment-setup
📦
environment-setup
Révision du contenu r1 Risque élevé ⚙️ Commandes externes🌐 Accès réseau🔑 Variables d’environnement
Configurer les variables d’environnement en toute sécurité
La configuration de l’environnement peut échouer lorsque les variables, les secrets et les paramètres de déploiement sont incohérents. Cette compétence crée des modèles structurés, des conseils de validation et des plans de séparation des environnements.
Prend en charge: Claude Codex Code(CC)
Arrêtez-vous et demandez confirmation avant l’installation.
Examinez le plan et obtenez le consentement explicite de l’utilisateur avant de modifier des fichiers.
Installer avec mon Agent
Copiez cette demande dans votre Agent. Elle contient la page Skill de référence et le manifeste.
Demande d’agent
Review the Skillstore skill "environment-setup" from https://skillstore.io/skills/supercent-io-environment-setup.md and its manifest at https://skillstore.io/api/skills/supercent-io-environment-setup/manifest. Verify the artifact. Stop and obtain explicit user consent before installing or changing files.Votre Agent doit toujours présenter son plan et demander toute confirmation exigée par la politique de sécurité.
Ressources lisibles par les agents
Utilisez ces liens lorsqu’un Agent IA, un crawler ou un script a besoin d’un contexte propre au lieu de lire toute la page.
Tester
Utilisation de « environment-setup ». J’ai besoin de variables d’environnement pour un nouveau service API.
Résultat attendu:
- Une checklist de variables regroupées pour l’application, la base de données, l’authentification, l’e-mail, le monitoring et les feature flags.
- Un plan de modèle contenant uniquement des placeholders pour la configuration locale et la documentation partagée.
- Des notes indiquant que les vrais secrets doivent être placés dans un coffre-fort ou une plateforme de déploiement, et non dans des fichiers commités.
Utilisation de « environment-setup ». Notre application échoue lorsque des variables requises sont manquantes.
Résultat attendu:
Une stratégie de validation qui signale les noms des variables manquantes, arrête le démarrage en toute sécurité et garde les valeurs secrètes hors des journaux.
Utilisation de « environment-setup ». Nous utilisons Docker Compose pour le développement local.
Résultat attendu:
Un plan de configuration locale avec des variables au niveau des services, des conseils sur les fichiers d’environnement et des avertissements concernant les mots de passe par défaut faibles.
Audit de sécurité
Risque élevév6 • 09/07/2026 Ouvrir le rapport versionné
Most command, network, and role-token alerts are false positives caused by Markdown fences, reference links, SMTP field names, or normal YAML variable names. The confirmed risk is sensitive environment management: the skill is designed to create or edit .env-related data and includes credential, secret key, and connection-string examples. No malicious exfiltration instructions or prompt-injection attempts were found.
2
Fichiers analysés
378
Lignes analysées
25
Éléments à examiner
0
Faux positifs ignorés
Préoccupations de sécurité confirmées (21)
Élevé
Environment file access
description: Configure and manage development, staging, and production environments. Use when settin
The skill explicitly handles .env or process.env data that can contain secrets. This is intended for setup, but it is a real sensitive-file access capability.
Élevé
Environment file access
**.env.local** (per developer):
The skill explicitly handles .env or process.env data that can contain secrets. This is intended for setup, but it is a real sensitive-file access capability.
Élevé
Environment file access
**.env.production**:
The skill explicitly handles .env or process.env data that can contain secrets. This is intended for setup, but it is a real sensitive-file access capability.
Élevé
Environment file access
// Load .env file
The skill explicitly handles .env or process.env data that can contain secrets. This is intended for setup, but it is a real sensitive-file access capability.
Élevé
Environment file access
export const env = envSchema.parse(process.env);
The skill explicitly handles .env or process.env data that can contain secrets. This is intended for setup, but it is a real sensitive-file access capability.
Élevé
Environment file access
const env = envSchema.parse(process.env);
The skill explicitly handles .env or process.env data that can contain secrets. This is intended for setup, but it is a real sensitive-file access capability.
Élevé
Environment file access
url: process.env.DATABASE_URL!,
The skill explicitly handles .env or process.env data that can contain secrets. This is intended for setup, but it is a real sensitive-file access capability.
Élevé
Environment file access
accessSecret: process.env.JWT_ACCESS_SECRET!,
The skill explicitly handles .env or process.env data that can contain secrets. This is intended for setup, but it is a real sensitive-file access capability.
Afficher les 21 problèmes confirmés
Élevé
Environment file access
refreshSecret: process.env.JWT_REFRESH_SECRET!,
The skill explicitly handles .env or process.env data that can contain secrets. This is intended for setup, but it is a real sensitive-file access capability.
Élevé
Environment file access
if (!process.env[envVar]) {
The skill explicitly handles .env or process.env data that can contain secrets. This is intended for setup, but it is a real sensitive-file access capability.
Élevé
Environment file access
- .env.local
The skill explicitly handles .env or process.env data that can contain secrets. This is intended for setup, but it is a real sensitive-file access capability.
Élevé
Environment file access
├── .env # Local (gitignore)
The skill explicitly handles .env or process.env data that can contain secrets. This is intended for setup, but it is a real sensitive-file access capability.
Élevé
Environment file access
├── .env.local # Per developer (gitignore)
The skill explicitly handles .env or process.env data that can contain secrets. This is intended for setup, but it is a real sensitive-file access capability.
Élevé
Environment file access
├── .env.production # Production (gitignore or vault)
The skill explicitly handles .env or process.env data that can contain secrets. This is intended for setup, but it is a real sensitive-file access capability.
Élevé
Environment variant files
**.env.local** (per developer):
The skill instructs use of environment-specific files such as .env.local or .env.production, which commonly contain secrets. This is legitimate but sensitive file handling.
Élevé
Environment variant files
**.env.production**:
The skill instructs use of environment-specific files such as .env.local or .env.production, which commonly contain secrets. This is legitimate but sensitive file handling.
Élevé
Environment variant files
- .env.local
The skill instructs use of environment-specific files such as .env.local or .env.production, which commonly contain secrets. This is legitimate but sensitive file handling.
Élevé
Environment variant files
├── .env.local # Per developer (gitignore)
The skill instructs use of environment-specific files such as .env.local or .env.production, which commonly contain secrets. This is legitimate but sensitive file handling.
Élevé
Environment variant files
├── .env.production # Production (gitignore or vault)
The skill instructs use of environment-specific files such as .env.local or .env.production, which commonly contain secrets. This is legitimate but sensitive file handling.
Élevé
Unsafe Logging of Secret-Bearing Environment Variables
The usage example suggests logging env.DATABASE_URL, which can expose credentials embedded in database connection strings if copied into application code.
Line 127 directly demonstrates printing a database URL. It is commented example code, so confidence is high but not absolute.
Élevé
Weak Default Database Password in Docker Example
The Docker Compose example uses a database URL with postgres:password and sets the database password to password, which can normalize weak defaults if copied.
The weak password string is explicit in the Docker example. The example appears local-only, so the risk depends on whether users copy it beyond development.
Éléments d’évaluation des capacités (25)
Il s’agit de capacités locales réelles qui peuvent être attendues pour cette compétence ; elles nécessitent donc un examen, mais ne sont pas comptabilisées comme comportement malveillant confirmé.
Élevé
AWS credential environment variables
AWS_ACCESS_KEY_ID=AKIAXXXXXXXX
The template includes AWS credential variable names with key-like placeholders. Even as examples, these are secret-bearing fields that can be mishandled if copied.
Élevé
AWS credential environment variables
AWS_SECRET_ACCESS_KEY=xxxxxxxx
The template includes AWS credential variable names with key-like placeholders. Even as examples, these are secret-bearing fields that can be mishandled if copied.
Élevé
Database connection strings
DATABASE_URL=postgresql://user:password@localhost:5432/myapp
The example defines or references database connection strings that may include credentials. The placeholders are not live secrets, but the skill handles secret-bearing values.
Élevé
Database connection strings
DATABASE_URL=postgresql://localhost:5432/myapp_dev
The example defines or references database connection strings that may include credentials. The placeholders are not live secrets, but the skill handles secret-bearing values.
Élevé
Database connection strings
DATABASE_URL=${DATABASE_URL} # Injected from environment variables
The example defines or references database connection strings that may include credentials. The placeholders are not live secrets, but the skill handles secret-bearing values.
Élevé
Database connection strings
DATABASE_URL: z.string().url(),
The example validates or requires DATABASE_URL, which often contains credentials. It is legitimate configuration code, but it handles a secret-bearing connection string.
Élevé
Database connection strings
// console.log(env.DATABASE_URL); // Type-safe!
The example suggests printing env.DATABASE_URL, which can expose credentials embedded in a database connection string. This is a real leakage risk if copied.
Élevé
Database connection strings
url: process.env.DATABASE_URL!,
The example defines or references database connection strings that may include credentials. The placeholders are not live secrets, but the skill handles secret-bearing values.
Élevé
Database connection strings
'DATABASE_URL',
The example validates or requires DATABASE_URL, which often contains credentials. It is legitimate configuration code, but it handles a secret-bearing connection string.
Élevé
Database connection strings
- DATABASE_URL=postgresql://postgres:password@db:5432/myapp
The example defines or references database connection strings that may include credentials. The placeholders are not live secrets, but the skill handles secret-bearing values.
Élevé
Generic API/secret keys
STRIPE_SECRET_KEY=sk_test_xxx
The example defines or validates STRIPE_SECRET_KEY, a secret-bearing API key variable. It uses a placeholder, but the workflow handles real payment credentials when applied.
Élevé
Generic API/secret keys
STRIPE_SECRET_KEY: z.string().startsWith('sk_'),
The example defines or validates STRIPE_SECRET_KEY, a secret-bearing API key variable. It uses a placeholder, but the workflow handles real payment credentials when applied.
Élevé
Database connection strings
DATABASE_URL=postgresql
The example defines or references database connection strings that may include credentials. The placeholders are not live secrets, but the skill handles secret-bearing values.
Faible
Environment variable access (bracket notation)
if (!process.env[envVar]) {
The required variable check reads process.env dynamically for database and JWT secret keys. This is legitimate validation, but it touches secret-bearing variables.
Faible
Environment variable access (dot notation)
url: process.env.DATABASE_URL!,
The example reads secret-bearing environment variables such as database URLs or JWT secrets. This is legitimate config code, but it is real environment access.
Faible
Environment variable access (dot notation)
accessSecret: process.env.JWT_ACCESS_SECRET!,
The example reads secret-bearing environment variables such as database URLs or JWT secrets. This is legitimate config code, but it is real environment access.
Faible
Environment variable access (dot notation)
refreshSecret: process.env.JWT_REFRESH_SECRET!,
The example reads secret-bearing environment variables such as database URLs or JWT secrets. This is legitimate config code, but it is real environment access.
Faible
Environment variable object
export const env = envSchema.parse(process.env);
The example parses the entire process.env object, which can include secrets. It is legitimate validation code, but it handles secret-bearing environment data.
Faible
Environment variable object
const env = envSchema.parse(process.env);
The example parses the entire process.env object, which can include secrets. It is legitimate validation code, but it handles secret-bearing environment data.
Faible
Environment variable object
url: process.env.DATABASE_URL!,
The example reads secret-bearing environment variables such as database URLs or JWT secrets. This is legitimate config code, but it is real environment access.
Faible
Environment variable object
accessSecret: process.env.JWT_ACCESS_SECRET!,
The example reads secret-bearing environment variables such as database URLs or JWT secrets. This is legitimate config code, but it is real environment access.
Faible
Environment variable object
refreshSecret: process.env.JWT_REFRESH_SECRET!,
The example reads secret-bearing environment variables such as database URLs or JWT secrets. This is legitimate config code, but it is real environment access.
Faible
Environment variable object
if (!process.env[envVar]) {
The required variable check reads process.env dynamically for database and JWT secret keys. This is legitimate validation, but it touches secret-bearing variables.
Faible
dotenv library
import dotenv from 'dotenv';
The TypeScript example imports and configures dotenv to load .env values into process.env. This is legitimate, but it confirms environment-variable access.
Faible
dotenv library
dotenv.config();
The TypeScript example imports and configures dotenv to load .env values into process.env. This is legitimate, but it confirms environment-variable access.
Facteurs de risque
⚙️ Commandes externes (27)
SKILL.md:25-67 SKILL.md:67-70 SKILL.md:70-74 SKILL.md:74-77 SKILL.md:77-90 SKILL.md:90-95 SKILL.md:95-128 SKILL.md:128-131 SKILL.md:131-138 SKILL.md:138-143 SKILL.md:143-148 SKILL.md:148-202 SKILL.md:202-207 SKILL.md:207-212 SKILL.md:212-226 SKILL.md:226-229 SKILL.md:229-245 SKILL.md:245-248 SKILL.md:248-261 SKILL.md:261-266 SKILL.md:266-291 SKILL.md:291-295 SKILL.md:295-309 SKILL.md:309-312 SKILL.md:312-317 SKILL.md:317-352 SKILL.md:352
🌐 Accès réseau (14)
🔑 Variables d’environnement (50)
SKILL.md:201 SKILL.md:169 SKILL.md:170 SKILL.md:173 SKILL.md:175 SKILL.md:176 SKILL.md:181 SKILL.md:182 SKILL.md:183 SKILL.md:184 SKILL.md:188 SKILL.md:189 SKILL.md:236 SKILL.md:252 SKILL.md:123 SKILL.md:133 SKILL.md:169 SKILL.md:170 SKILL.md:173 SKILL.md:175 SKILL.md:176 SKILL.md:181 SKILL.md:182 SKILL.md:183 SKILL.md:184 SKILL.md:188 SKILL.md:189 SKILL.md:201 SKILL.md:236 SKILL.md:252 SKILL.md:6 SKILL.md:97 SKILL.md:100 SKILL.md:340 SKILL.md:352 SKILL.md:55 SKILL.md:56 SKILL.md:32 SKILL.md:37 SKILL.md:72 SKILL.md:82 SKILL.md:83 SKILL.md:107 SKILL.md:127 SKILL.md:173 SKILL.md:195 SKILL.md:274 SKILL.md:275 SKILL.md:53 SKILL.md:117
Audité par: codex Voir l’historique des audits →
Partager et citer ce rapport
Partagez le rapport d’évaluation versionné, le badge neutre, la carte intégrable et les citations. Skillstore présente les preuves sans décider si ce Skill est sûr.
Copier le lien du rapport
https://skillstore.io/skills/supercent-io-environment-setup/audits/6?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_reportBadge Markdown
[](https://skillstore.io/skills/supercent-io-environment-setup?utm_source=security_passport_badge)Badge HTML
<a href="https://skillstore.io/skills/supercent-io-environment-setup?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/supercent-io-environment-setup/security.svg" alt="Skillstore security assessment" loading="lazy"></a>Carte intégrable
<iframe src="https://skillstore.io/embed/skills/supercent-io-environment-setup.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>Citations académiques (APA · BibTeX · CFF)
Citation APA
supercent-io. (2026). environment-setup security audit report (audit version 6) [Author version unspecified]. Skillstore. https://skillstore.io/skills/supercent-io-environment-setup/audits/6Citation BibTeX
@techreport{supercent-io-supercent-io-environment-setup-2026,
author = {supercent-io},
title = {environment-setup security audit report (audit version 6)},
institution = {Skillstore},
year = {2026},
number = {6},
url = {https://skillstore.io/skills/supercent-io-environment-setup/audits/6},
note = {Author version unspecified}
}CITATION.cff
cff-version: 1.2.0
message: "If you use this Skill, cite its author and this versioned security audit report."
title: "environment-setup security audit report (audit version 6)"
version: "unspecified"
type: report
authors:
- name: "supercent-io"
date-released: "2026-07-09"
url: "https://skillstore.io/skills/supercent-io-environment-setup/audits/6"
identifiers:
- type: other
value: "skillstore:supercent-io-environment-setup:audit:6"
description: "Skillstore immutable audit report identifier"
Score Skillstore
Pourquoi ce score Niveau de confiance des preuves: Moyen 55
Architecture
85
Maintenabilité
87
Contenu
69
Communauté
83
Conformité aux spécifications
Ce que vous pouvez créer
Configurer un nouveau projet backend
Créer une liste claire de variables, une structure de modèles et un plan de validation avant le premier déploiement.
Séparer les environnements de déploiement
Définir des différences plus sûres entre les configurations locale, de préproduction et de production sans mélanger les secrets.
Standardiser l’intégration de l’équipe
Fournir aux nouveaux contributeurs un modèle documenté et des règles pour configurer leur environnement local.
Essayez ces prompts
Créer un modèle de base
Crée un modèle d’environnement contenant uniquement des placeholders pour mon API Node.js avec des variables d’application, de base de données, d’authentification, de journalisation et de monitoring.
Ajouter une validation à l’exécution
Conçois un plan de validation d’environnement TypeScript avec Zod. Inclus les variables requises, les valeurs par défaut et une gestion sûre des erreurs sans afficher les secrets.
Séparer les paramètres de déploiement
Planifie la configuration des environnements de développement, de préproduction et de production pour mon application. Inclus le nommage des fichiers, les règles de stockage des secrets et les vérifications de déploiement.
Auditer une configuration existante
Examine mon approche de configuration d’environnement. Trouve les journaux non sécurisés, les valeurs par défaut faibles, la validation manquante, les paramètres Docker risqués et les erreurs de contrôle de source.
Bonnes pratiques
- Utiliser des placeholders dans les modèles et stocker les vraies valeurs dans un gestionnaire de secrets approuvé.
- Exiger une confirmation avant de lire ou de modifier tout fichier d’environnement existant.
- Masquer les valeurs secrètes dans les journaux, les commentaires de revue et la documentation générée.
Éviter
- Afficher des URL de base de données, des tokens ou des mots de passe dans des exemples ou des sorties de dépannage.
- Copier des mots de passe par défaut depuis des exemples vers des systèmes partagés ou de production.
- Commiter dans le contrôle de source des fichiers d’environnement contenant des secrets locaux, de préproduction ou de production.
Foire aux questions
Cette compétence peut-elle créer un plan complet de variables d’environnement ?
Oui. Elle peut regrouper les variables, suggérer des valeurs par défaut et décrire des paramètres distincts pour les environnements local, de préproduction et de production.
Cette compétence gère-t-elle de vrais secrets ?
Non. Elle fournit une structure et des conseils. Les vrais secrets doivent rester dans un coffre-fort ou une plateforme de déploiement.
Peut-elle aider avec la validation TypeScript ?
Oui. Elle inclut des modèles de validation pour les variables requises, les valeurs par défaut et les échecs de démarrage.
Est-il sûr de l’utiliser sur des fichiers d’environnement existants ?
Faites preuve de prudence. Confirmez avant de lire ou de modifier des fichiers existants, et n’affichez jamais les valeurs secrètes.
Prend-elle en charge Docker Compose ?
Oui. Elle inclut des exemples d’environnement Docker Compose local et des conseils pour l’utilisation de env_file.
Quels outils peuvent utiliser cette compétence ?
Le rapport indique la prise en charge de Claude, Codex et Claude Code.
Détails du développeur
Auteur
supercent-ioLicence
MIT
Révision Skillstore
r1
Avis de version
L’auteur n’a déclaré aucune version.
Réf
3e4b6c31a74a3bd1a291c98cf585d720cb9fbc88
Récence de maintenance
29/07/2026
Utilisation
9 téléchargements · 142 vues
Structure de fichiers
📄 SKILL.md