Production Audit

Sélectionné par Skill Harbor : un audit de préparation à la production qui répond « c'est prêt à shipper ? » à partir de preuves locales, sans téléverser votre dépôt vers un service d'audit externe. Construit l'audit depuis les preuves que vous autorisez : surface de release, changements récents et état de branche, frontières runtime, auth, paiement et déploiement du dépôt, CI, tests, migrations et chemins de rollback. Applique cinq lentilles de risque : sécurité et auth (séparation des routes, enforcement côté serveur, secrets hors des bundles, rate limits, défenses contre l'injection de prompt), intégrité des données (migrations propres avec plans de rollback, backfills étagés, retries idempotents), paiements et webhooks (vérification des signatures, fulfillment idempotent, gestion des replays et doublons, identifiants test contre live), opérations (démarrage depuis un checkout propre, variables d'env validées, health checks, chemins de déploiement et rollback documentés, logs utiles sans fuite de secrets), et expérience utilisateur (chemins critiques sur desktop et mobile, états de chargement et d'erreur, chemins de récupération). Note de 0 à 100 en quatre bandes (Bloqué, Risqué, Lançable avec réserves, Solide) avec plafonds durs : auth manquante sur données sensibles, webhooks de paiement non idempotents, secrets exposés ou aucun chemin de rollback plafonnent à 69, CI non verte plafonne à 84. La sortie commence par une phrase (score, bande, risques principaux), puis bloqueurs, correctifs à haute valeur, preuves vérifiées, preuves manquantes, et une prochaine action. À utiliser avant un lancement, après un merge, ou quand on demande ce qui casse en prod. Par @affaan-m, listé ici avec crédit à son créateur. Tiré du dépôt affaan-m/ECC (MIT). Bémols honnêtes : triage d'ingénierie, pas une certification de conformité légale, financière ou médicale ; nécessite un vrai dépôt, CI ou surface de déploiement, les idées seules ne suffisent pas ; CI verte n'est pas préparation à la production. Skill Harbor ne vérifie jamais le code, examinez-le vous-même avant usage.