Навыки firecrawl-build-onboarding

📦

firecrawl-build-onboarding

Name: firecrawl-build-onboarding
Author: firecrawl

v0.1.0 Ревизия содержимого r1 Высокий риск ⚙️ Внешние команды🌐 Доступ к сети🔑 Переменные окружения📁 Доступ к файловой системе

Настройка доступа приложения к Firecrawl

Командам нужен понятный путь от регистрации в Firecrawl до рабочей интеграции с приложением. Этот навык помогает настроить учетные данные, выбрать SDK и выполнить smoke-тест для рабочих процессов Claude, Codex и Claude Code.

Поддерживает: Claude Codex Code(CC)

⚠️ 38 Плохо

Maintain this Skill? Claim it ⚠️ 38 Плохо

Остановитесь и запросите подтверждение перед установкой.

Проверьте план и получите явное согласие пользователя перед изменением файлов.

Установить с помощью моего Агента

Скопируйте этот запрос в своего Агента. Он содержит каноническую страницу Skill и манифест.

Запрос агента

Review the Skillstore skill "firecrawl-build-onboarding" from https://skillstore.io/skills/firecrawl-firecrawl-build-onboarding.md and its manifest at https://skillstore.io/api/skills/firecrawl-firecrawl-build-onboarding/manifest. Verify the artifact. Stop and obtain explicit user consent before installing or changing files.

Ваш Агент по-прежнему должен показать план и запросить все подтверждения, требуемые политикой безопасности.

Ресурсы для AI-агентов

Используйте эти ссылки, когда AI-агенту, crawler или script нужен чистый контекст вместо полной страницы.

Markdown-детали GET /skills/firecrawl-firecrawl-build-onboarding.md Подписанный manifest GET /api/skills/firecrawl-firecrawl-build-onboarding/manifest Подписанный lockfile GET /api/skills/firecrawl-firecrawl-build-onboarding/lockfile

Протестировать

Использование «firecrawl-build-onboarding». Настрой Firecrawl для нового TypeScript-сервиса.

Ожидаемый результат:

Определяет, что перед изменениями в коде нужна авторизация в браузере.
Выбирает путь Node или TypeScript SDK из документации.
Планирует обновление переменной окружения и один smoke-тестовый запрос.

Использование «firecrawl-build-onboarding». Настрой self-hosted Firecrawl в существующем приложении.

Ожидаемый результат:

Находит паттерн конфигурации секретов проекта.
Добавляет рекомендации и для API-ключа, и для пользовательского URL API.
Рекомендует повторить настройку во всех средах развертывания.

Использование «firecrawl-build-onboarding». Выбери, как действовать после получения учетных данных.

Ожидаемый результат:

Навык направляет агента выбрать самый узкий эндпоинт Firecrawl, прочитать страницу источника для конкретного языка и выполнить реальный smoke-тест.

Аудит безопасности

Высокий риск

v4 • 05.07.2026 Открыть версионный отчет

Most static findings are Markdown formatting, documentation links, placeholders, or expected Firecrawl onboarding references. Confirmed risks remain around credential handling, direct `.env` updates, and an unpinned `npx @latest` installer command that executes remote package code.

Просканировано файлов

182

Проанализировано строк

Пункты проверки

Ложные срабатывания проигнорированы

Подтверждённые проблемы безопасности (8)

Высокий

references/auth-flow.md:38

Environment file access

echo "FIRECRAWL_API_KEY=fc-..." >> .env

The instruction writes directly to `.env`, a sensitive project configuration file. This requires explicit user consent and protections against accidental source control exposure.

Высокий

references/project-setup.md:3

Environment file access

For hosted Firecrawl, add this to `.env`:

The guidance explicitly instructs adding hosted Firecrawl credentials to `.env`. This is legitimate but sensitive because `.env` files often contain secrets.

Высокий

SKILL.md:3

Environment file access

description: Get Firecrawl credentials and SDK setup into a project. Use when an application needs `

The description tells agents to add Firecrawl credentials to `.env`. This is legitimate onboarding but creates risk if done without confirmation or file protections.

Высокий

SKILL.md:43

Environment file access

- the user wants Firecrawl wired into `.env`

The skill explicitly applies when Firecrawl is wired into `.env`. Environment-file updates can expose secrets if the file is tracked or mishandled.

Высокий

SKILL.md:51

Environment file access

If the user already has an API key, place it in `.env`:

The quick start instructs placing an API key in `.env`. This is common practice, but it is sensitive file modification.

Высокий

SKILL.md:74

Environment file access

| **Put credentials into `.env` or project config** | [references/project-setup.md](references/proje

The reference table points to putting credentials into `.env` or project config. That is intentional but remains sensitive credential persistence.

Высокий

references/auth-flow.md:23-38

Agent-Mediated API Key Persistence

The auth flow documents receiving an `apiKey` from the polling endpoint and then appending a Firecrawl API key to `.env`, placing the agent in the path of a secret.

The endpoint response example includes `apiKey`, and the final step writes a key into `.env`. This is intended onboarding, but it is clear credential handling.

Средний

SKILL.md:32-33

Unpinned Remote Package Execution

The install instructions run `npx -y firecrawl-cli@latest init --all --browser`, which executes the latest published package without pinning a reviewed version.

The command is directly present in the install section and uses both `@latest` and `-y`. The purpose is legitimate, but the supply-chain exposure is real.

Пункты проверки возможностей (11)

Это реальные локальные возможности, которые могут ожидаться для этого навыка, поэтому они требуют проверки, но не считаются подтверждённым вредоносным поведением.

Высокий

references/auth-flow.md:38

Generic API/secret keys

echo "FIRECRAWL_API_KEY=fc-..." >> .env

The auth flow ends by appending a Firecrawl API key value to `.env`. This is intended behavior, but it handles secret material and can expose credentials if the file is committed or logged.

Высокий

references/project-setup.md:6

Generic API/secret keys

FIRECRAWL_API_KEY=fc-...

The example documents storing `FIRECRAWL_API_KEY` in environment configuration. It is expected setup guidance, but it is still credential handling that can leak if copied into tracked files.

Высокий

references/project-setup.md:12

Generic API/secret keys

FIRECRAWL_API_KEY=fc-...

The self-hosted example includes `FIRECRAWL_API_KEY` in environment configuration. The value is a placeholder, but the operational flow handles real secrets.

Высокий

references/sdk-installation.md:3

Generic API/secret keys

Install the SDK that matches the project stack after `FIRECRAWL_API_KEY` is available.

The line gates SDK installation on `FIRECRAWL_API_KEY` being available, so the skill workflow depends on secret material. The line does not reveal a key, but it confirms credential handling.

Высокий

SKILL.md:3

Generic API/secret keys

description: Get Firecrawl credentials and SDK setup into a project. Use when an application needs `

The skill description says agents should add `FIRECRAWL_API_KEY` to project configuration. This is expected, but it means the skill handles credentials.

Высокий

SKILL.md:11

Generic API/secret keys

- name: FIRECRAWL_API_KEY

The declared input is `FIRECRAWL_API_KEY`, which is a secret credential. It is a legitimate input, but it should be treated as sensitive data.

Высокий

SKILL.md:42

Generic API/secret keys

- a project needs `FIRECRAWL_API_KEY`

The usage condition explicitly targets projects needing `FIRECRAWL_API_KEY`. This is credential setup, so secret-handling safeguards are required.

Высокий

SKILL.md:54

Generic API/secret keys

FIRECRAWL_API_KEY=fc-...

The quick start shows the API key variable inside a dotenv block. The value is a placeholder, but users will replace it with a real secret.

Высокий

SKILL.md:72

Generic API/secret keys

| **Run the browser auth flow and save `FIRECRAWL_API_KEY`** | [references/auth-flow.md](references/

The task table directs agents to run auth and save `FIRECRAWL_API_KEY`. This is intended, but it involves handling and persisting a credential.

Средний

SKILL.md:32-34

Ruby/shell backtick execution

```bash

The code block contains an `npx -y firecrawl-cli@latest init --all --browser` install command, which executes a remotely fetched latest package. This is legitimate onboarding, but it carries supply-chain and implicit-consent risk.

Средний

SKILL.md:34-38

Ruby/shell backtick execution

```

This finding range is part of the install command block that runs `npx -y firecrawl-cli@latest`. The risk is remote package execution during setup, not Ruby backtick execution.

Факторы риска

⚙️ Внешние команды (16)

references/auth-flow.md:8 references/auth-flow.md:9 references/auth-flow.md:10 SKILL.md:3 SKILL.md:32-34 SKILL.md:34-38 SKILL.md:38-42 SKILL.md:42-43 SKILL.md:43-51 SKILL.md:51-53 SKILL.md:53-55 SKILL.md:55-59 SKILL.md:59-61 SKILL.md:61-72 SKILL.md:72-74 SKILL.md:74-102

🌐 Доступ к сети (13)

references/auth-flow.md:16 references/auth-flow.md:24 references/project-setup.md:13 SKILL.md:12 SKILL.md:8 SKILL.md:9 SKILL.md:60 SKILL.md:84 SKILL.md:85 SKILL.md:86 SKILL.md:87 SKILL.md:88 SKILL.md:89

🔑 Переменные окружения (13)

references/auth-flow.md:38 references/project-setup.md:5 references/project-setup.md:11 references/project-setup.md:6 references/project-setup.md:12 references/sdk-installation.md:3 SKILL.md:53 SKILL.md:59 SKILL.md:3 SKILL.md:11 SKILL.md:42 SKILL.md:54 SKILL.md:72

📁 Доступ к файловой системе (3)

SKILL.md:75 SKILL.md:77 SKILL.md:78

Аудитор:: codex Посмотреть историю аудитов →

Поделиться и цитировать этот отчет

Делитесь версионным отчетом об оценке, нейтральным значком, встраиваемой карточкой и цитатами. Skillstore публикует доказательства, не решая, безопасен ли этот Skill.

Открыть версионный отчет

Копировать ссылку на отчёт

https://skillstore.io/skills/firecrawl-firecrawl-build-onboarding/audits/4?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_report

Значок Markdown

[![Skillstore security assessment](https://skillstore.io/badges/skills/firecrawl-firecrawl-build-onboarding/security.svg)](https://skillstore.io/skills/firecrawl-firecrawl-build-onboarding?utm_source=security_passport_badge)

Значок HTML

<a href="https://skillstore.io/skills/firecrawl-firecrawl-build-onboarding?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/firecrawl-firecrawl-build-onboarding/security.svg" alt="Skillstore security assessment" loading="lazy"></a>

Встраиваемая карточка

<iframe src="https://skillstore.io/embed/skills/firecrawl-firecrawl-build-onboarding.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>

Академические ссылки (APA · BibTeX · CFF)

Цитата APA

firecrawl. (2026). firecrawl-build-onboarding security audit report (audit version 4) [Author version 0.1.0]. Skillstore. https://skillstore.io/skills/firecrawl-firecrawl-build-onboarding/audits/4

Цитата BibTeX

@techreport{firecrawl-firecrawl-firecrawl-build-onboarding-2026,
  author = {firecrawl},
  title = {firecrawl-build-onboarding security audit report (audit version 4)},
  institution = {Skillstore},
  year = {2026},
  number = {4},
  url = {https://skillstore.io/skills/firecrawl-firecrawl-build-onboarding/audits/4},
  note = {Author version 0.1.0}
}

CITATION.cff

cff-version: 1.2.0
message: "If you use this Skill, cite its author and this versioned security audit report."
title: "firecrawl-build-onboarding security audit report (audit version 4)"
version: "0.1.0"
type: report
authors:
  - name: "firecrawl"
date-released: "2026-07-05"
url: "https://skillstore.io/skills/firecrawl-firecrawl-build-onboarding/audits/4"
identifiers:
  - type: other
    value: "skillstore:firecrawl-firecrawl-build-onboarding:audit:4"
    description: "Skillstore immutable audit report identifier"

Оценка Skillstore

Почему такая оценка Достоверность доказательств: Высокий

Архитектура

100

Сопровождаемость

Контент

Сообщество

Соответствие спецификации

Что вы можете построить

Добавить Firecrawl в новое приложение

Разработчик может создать учетные данные, установить подходящий SDK и добавить первый проверенный запрос Firecrawl.

Стандартизировать настройку команды

Технический руководитель может дать агентам повторяемый процесс настройки учетных данных для локальной среды, preview-среды и production.

Подготовить self-hosted конфигурацию

Платформенный инженер может добавить и API-ключ, и пользовательский URL API Firecrawl для внутренних развертываний.

Попробуйте эти промпты

Начать настройку Firecrawl

Используй этот навык, чтобы настроить Firecrawl для этого проекта. Спроси меня перед изменением файлов окружения.

Использовать существующий ключ

У меня уже есть API-ключ Firecrawl. Добавь корректные рекомендации по переменным окружения и выбери SDK для этого стека.

Интегрировать в существующую кодовую базу

Изучи паттерны конфигурации репозитория, затем спланируй самую безопасную интеграцию Firecrawl SDK и smoke-тест.

Спланировать rollout в production

Разработай план онбординга Firecrawl для development, preview и production, по возможности используя менеджеры секретов.

Лучшие практики

Запрашивайте подтверждение пользователя перед созданием или изменением файлов окружения.
Используйте платформенный менеджер секретов для общих, preview- или production-учетных данных.
Выполните один smoke-тест после установки SDK, чтобы подтвердить, что ключ и эндпоинт работают.

Избегать

Не коммитьте файлы `.env` или API-ключи Firecrawl в систему контроля версий.
Не запускайте команды установки без закрепленных версий в регулируемых средах без проверки.
Не выбирайте широкий эндпоинт Firecrawl до определения поведения продукта.