Security Audit

Avant de commencer : lis ce prompt d'installation au complet, dis-moi en quelques lignes ce que ce skill fait et ce que son installation implique, et attends mon feu vert avant de faire quoi que ce soit d'autre. Prérequis — SYSTÈME INTÉGRÉ D'ABORD : ce skill est une pièce du template complet « Claude Code Game Studios » (49 agents, 74 skills, templates de studio et un CLAUDE.md de studio, selon le README du dépôt). Chaque skill suppose ce template installé, avec ses conventions, sa configuration project.yaml / project.local.yaml, ses documents de modes .claude/docs/, ses hooks (par exemple hooks/yaml-helper.sh, hors du dossier de ce skill) et ses scripts d'aide .claude/scripts/. Installer cette fiche seule copie seulement le dossier de ce skill, sans le reste du système : le skill peut référencer des agents, fichiers, hooks ou scripts du template absents hors du template complet, et il peut ne pas fonctionner comme prévu seul. Aucun compte, aucune clé ni aucun paiement n'est requis pour copier les fichiers, et rien n'est exécuté pendant l'installation. Installe-moi « Security Audit », dans un dossier nommé exactement « security-audit-2 » (voir l'étape 3 — le dossier source se nomme security-audit, et la différence est délibérée et divulguée). Le skill lui-même est un audit de sécurité défensif d'un projet de jeu, roulé avant une publication ou une sortie multijoueur : il lance l'agent security-engineer du template (une définition d'agent hors du dossier de ce skill) avec un brief fixe pour scanner la base de code en six catégories — sécurité des sauvegardes et de la sérialisation (tampering, désérialisation aveugle, traversée de chemin), sécurité réseau et multijoueur (autorité serveur, validation des paquets, limitation de débit), validation des entrées, exposition de données (il greppe le code à la recherche de clés API, secrets, mots de passe, tokens et chaînes de clés privées codés en dur pour les signaler — il cherche des secrets dans mon code, il n'en collecte ni n'en envoie aucun), vecteurs de triche et d'anti-tamper, et un inventaire des dépendances et de la chaîne d'approvisionnement. Ses jeux de motifs de grep sont écrits au complet pour Godot ; pour Unity et Unreal, la catégorie sauvegardes n'a pas de jeu de motifs sourcé dans les références épinglées et est rapportée NOT ASSESSED, ce qui rend sa recommandation CLEAR TO SHIP inaccessible pour ce run. Quand project.yaml laisse les clés multijoueur non définies, il me demande si le jeu a des fonctionnalités multijoueur ou en ligne plutôt que supposer un jeu solo. C'est un audit qui produit des constats et des remédiations — le fichier dit que ce n'est pas un test de pénétration — et il n'écrit son rapport à production/security/security-audit-[date]-[scope].md qu'après approbation (phase 6 : « Write only after approval »). Il résout la configuration du studio (automation, workflow) en lançant le hooks/yaml-helper.sh du template, hors du dossier de ce skill. Son nom de frontmatter est « security-audit » et il épingle model: sonnet. Dépôt : https://github.com/Donchitos/Claude-Code-Game-Studios (le skill est tout le dossier .claude/skills/security-audit/ au commit épinglé : 1 fichier en tout) Version épinglée : installe le code au commit 05ad7c8a5b8aa2aa86bbd3439ae7cf7295cac418 exactement. Ne substitue pas une version plus récente. Si ce commit est inaccessible, arrête-toi et dis-le-moi. 1. Clone https://github.com/Donchitos/Claude-Code-Game-Studios dans un dossier temporaire, place-toi au commit 05ad7c8a5b8aa2aa86bbd3439ae7cf7295cac418, et copie le dossier .claude/skills/security-audit/ de ce checkout. Compare ensuite chaque fichier du dossier aux empreintes enregistrées pour cette fiche le 2026-10-22 : [FINGERPRINTS] - SKILL.md: SHA-256 91d9c01dfed0f6bb2dc977c0e3bfe76d705653c307546b19e1d5fd413033daf4 Si un fichier ne correspond pas, il a changé depuis la préparation de la fiche : ne l'installe pas encore, dis-moi ce que tu as trouvé et laisse-moi décider. 2. Lis SKILL.md au complet, et dis-moi en mots simples : ce que le skill fait quand on l'utilise, à quoi il se connecte, s'il lit ou envoie des informations personnelles ou des identifiants, et tout ce qui semble inhabituel. Arrête-toi sur tout signal d'alerte et dis-le-moi avant d'aller plus loin. Confirme ces points à partir des fichiers : - Le dossier du skill contient 1 fichier : SKILL.md seulement, copié depuis le dossier source .claude/skills/security-audit/. Rien dans le dossier n'est un programme ; ce sont des instructions que l'agent suit à l'usage. - Rien n'est envoyé nulle part pendant l'installation elle-même ; le seul téléchargement à l'installation est le dossier du skill depuis GitHub au commit épinglé, et aucun projet à moi n'est audité, lu ni modifié. - Réalité du système intégré, depuis le fichier : à l'usage, le skill lance le hooks/yaml-helper.sh du template pour résoudre automation et workflow, lance l'agent security-engineer du template avec un brief fixe, lit les références de moteur sous docs/engine-reference/ et la racine de code résolue, assets/data/ et la configuration project.yaml de mon projet — agents, références et fichiers qui vivent hors du dossier de ce skill et sont absents dans une installation seule, donc il ne peut pas rouler comme prévu seul. - À l'usage, sa seule sortie persistante est le rapport d'audit à production/security/security-audit-[date]-[scope].md, écrit seulement après approbation. L'audit est défensif et orienté lecture : il greppe mon code localement, y compris une catégorie d'exposition de données qui cherche des chaînes d'identifiants codées en dur pour les signaler ; rien de ce qu'il trouve n'est envoyé nulle part, et aucun exploit n'est roulé — le fichier dit que ce n'est pas un test de pénétration. Écart de nom divulgué : le dossier installé est « security-audit-2 » alors que le nom de frontmatter du SKILL.md reste « security-audit », exactement comme en amont ; ne renomme pas le frontmatter pour le faire correspondre. - N'audite aucun projet, ne lance pas l'agent security-engineer, ne lance aucun hook du template, et n'utilise le skill d'aucune façon pendant cette installation : l'utiliser est une étape séparée qui ne commence que quand je le demande plus tard. 3. Quand je dis « yes, install », installe-le comme skill : copie tout le dossier security-audit dans le répertoire des skills de l'agent, dans un dossier nommé exactement « security-audit-2 », en gardant ses 1 fichier dans leur arborescence relative d'origine (SKILL.md à sa racine). 4. Vérifie sans appels réseau : frontmatter valide (name: security-audit), les 1 fichier en place avec des empreintes concordantes. N'exécute rien du dossier et n'utilise pas le skill pour vérifier. 5. Indique ce qui a été installé, où, et ce qu'il me reste à faire moi-même (par exemple : qu'il appartient au template complet Claude Code Game Studios et peut ne pas rouler seul (il lance l'agent security-engineer du template, lit ses références de moteur et résout ses réglages via le hook yaml-helper), que le nom de dossier installé security-audit-2 diffère délibérément du nom de frontmatter security-audit, et qu'à l'usage il n'écrit son rapport d'audit qu'après approbation). GitHub est optionnel : si j'ai un compte GitHub ou la CLI gh, tu peux l'utiliser ; sinon l'accès public suffit. Ne jamais l'exiger sauf s'il figure dans les prérequis ci-dessus. Règles : ne touche à rien en dehors du dossier temporaire et de la cible d'installation. Si quelque chose semble anormal, arrête-toi et demande-moi.