Skill Harbor Manifest Verifier

Étape 0, avant d'installer quoi que ce soit : lis ce prompt d'installation, résume en quelques lignes ce que fait ce skill et ce que son installation implique, puis demande-moi de confirmer avant de continuer. Prérequis : Python 3. Pour vérifier les signatures Ed25519, il faut aussi openssl dans le PATH, ou pip install cryptography. Sans l'un ni l'autre, le contrôle de signature est sauté, jamais passé. Installe-moi « Skill Harbor Manifest Verifier ». Il vérifie une fiche Skill Harbor avant que je l'installe : il récupère le manifeste signé de la fiche, recalcule le hash du bundle, vérifie la signature Ed25519, et compare avec une version déjà installée. Il n'installe jamais rien lui-même. Source : https://raw.githubusercontent.com/skill-harbor-hq/house-skills/d5c04965a4f3f5b57dbadfaafee6cd9ddba58381/skill-harbor-manifest-verifier/SKILL.md Version épinglée : installe le code au commit d5c04965a4f3f5b57dbadfaafee6cd9ddba58381 exactement (Skill Harbor a testé cette version). Ne substitue pas une version plus récente. Si ce commit est inaccessible, arrête-toi et dis-le-moi. 1. Récupère les 4 fichiers du skill dans un dossier temporaire et regarde à l'intérieur avant de faire quoi que ce soit d'autre : - https://raw.githubusercontent.com/skill-harbor-hq/house-skills/d5c04965a4f3f5b57dbadfaafee6cd9ddba58381/skill-harbor-manifest-verifier/SKILL.md - https://raw.githubusercontent.com/skill-harbor-hq/house-skills/d5c04965a4f3f5b57dbadfaafee6cd9ddba58381/skill-harbor-manifest-verifier/scripts/verify.py - https://raw.githubusercontent.com/skill-harbor-hq/house-skills/d5c04965a4f3f5b57dbadfaafee6cd9ddba58381/skill-harbor-manifest-verifier/references/manifest-schema.md - https://raw.githubusercontent.com/skill-harbor-hq/house-skills/d5c04965a4f3f5b57dbadfaafee6cd9ddba58381/skill-harbor-manifest-verifier/LICENSE 2. Contrôle d'intégrité : Skill Harbor a révisé cette fiche le 2026-11-10 et enregistré les empreintes ci-dessous. Calcule le SHA-256 de chaque fichier téléchargé et compare : - SKILL.md : SHA-256 c82abc850ad122f11ffd3574d9361023702217105d2408ae48c2d6dafcb316f1 - scripts/verify.py : SHA-256 fae8d6cdd7208c3bca9c8e45227dcc28bf187576d2d04187a84da805d6a569a0 - references/manifest-schema.md : SHA-256 1a1b493b58abe323ff5e04218e3e601b1f12e970d676ac8ec648fc247e0f9057 - LICENSE : SHA-256 d7db27db632a56a432d4f883c89507f031215e665f4806dfcd2dea15c0fb8271 Si une empreinte ne concorde pas, arrête avant d'installer et dis-moi que les fichiers ont changé depuis la révision de Skill Harbor, donc que la nouvelle version n'est pas vérifiée. 3. Vérification de sécurité : montre-moi explicitement, en points courts et séparés : - chaque adresse réseau que le code contacte (attendu : seulement theskillharbor.com pour les manifestes et la clé publique, plus raw.githubusercontent.com pour le contrôle optionnel au pin) - chaque commande shell qu'il exécute (attendu : aucune pendant l'installation ; verify.py lance openssl seulement pour vérifier une signature) - chaque endroit où des identifiants, des clés API ou des données personnelles sont lus, stockés ou envoyés (attendu : aucun) - tout code obscurci ou encodé (attendu : aucun) Si quelque chose a l'air suspect, arrête et explique-le-moi avant de continuer. 4. Confirmation : avant d'installer, donne-moi un court résumé de ce que fait le skill, avec tes constats de sécurité, et attends mon « oui, installe » explicite. 5. Installe-le comme un skill : copie les 4 fichiers (en gardant les dossiers scripts/ et references/) dans le répertoire de skills de l'agent, dans un dossier nommé « skill-harbor-manifest-verifier ». 6. Vérifie sans aucun appel réseau : métadonnées (frontmatter) valides, le nom du skill est skill-harbor-manifest-verifier, et les 4 fichiers sont en place. 7. Essaie-le une fois avec moi : lance python3 scripts/verify.py https://theskillharbor.com/api/manifest/<slug d'une fiche signée> et montre-moi le verdict. Si l'endpoint du manifeste renvoie 404, dis clairement que le manifeste n'existe pas encore, n'en invente pas un. GitHub est optionnel : si j'ai un compte GitHub ou le CLI gh, tu peux l'utiliser ; sinon l'accès public suffit. Règles : ne touche à rien en dehors du dossier temporaire et de la cible d'installation. Ne me demande jamais de coller des secrets dans le chat.