Revisión de seguridad con Claude Code: de un diff a todo el repositorio

Qué hace Claude Code para revisión de seguridad

• Revisa cada cambio antes del merge en busca de inyecciones, autorizaciones que faltan, datos expuestos y secretos en el código.
• Escanea todo el repositorio según un horario e informa de los hallazgos con pruebas, no con avisos sueltos.
• Convierte los hallazgos confirmados en parches o issues, empezando por los más graves.
• Vuelve a comprobar un arreglo para confirmar que cierra el agujero.

Funciones de Claude Code para revisión de seguridad

Cómo configurar Claude Code para revisión de seguridad

1. Conecta las herramientas

   /security-review funciona en cualquier sesión con un remoto origin. Para escaneos completos, instala el plugin Claude Security desde el marketplace oficial; necesita Python 3.9 o posterior y un plan de pago o acceso a la API.

   # En una sesión de Claude Code: instala el escáner
   /plugin install claude-security@claude-plugins-official
   
   # Escanea tu rama antes del merge, con esfuerzo alto
   /claude-security scan my branch at high

2. Escribe las reglas en CLAUDE.md

   Claude Code lee CLAUDE.md al empezar cada sesión, también en las ejecuciones con claude -p. Pon ahí las reglas del trabajo, o en una skill dentro de .claude/skills/ si son largas. Consulta la guía de CLAUDE.md.

   ## Reglas de revisión de seguridad
   - Revisa cada pull request que toque auth/, billing/ o SQL.
     Busca inyecciones, comprobaciones de autorización que faltan,
     secretos en el código y datos devueltos al usuario equivocado.
   - Clasifica cada hallazgo como Critical, High, Medium o Low, con el
     archivo, la línea y cómo podría explotarse.
   - Nunca lances exploits contra producción ni contra nada que no sea
     nuestro. Lee el código y prueba en local.
   - Abre los arreglos como pull requests; nunca hagas push a main.

3. Ejecútalo sin la interfaz interactiva

   claude -p ejecuta una tarea y termina, así que puede lanzarlo cron, la CI u otra herramienta. Decide qué puede hacer sin preguntar con --allowedTools o --permission-mode; --output-format json devuelve el resultado junto con su coste.

   # Una pasada de seguridad en la rama desde la CI o cron
   claude -p "Ejecuta /security-review en esta rama y enumera los hallazgos por gravedad" \
     --output-format json > security-review.json

4. Ponlo en un horario

   Conviértelo en una tarea programada en la nube con /schedule (Pro, Max, Ultra, Team y Enterprise) o en una tarea programada de escritorio, o usa /loop mientras la sesión siga abierta. Consulta cómo hacer que Claude Code sea proactivo.

Fuente: documentación de Claude Code

Límites y seguridad

• Lee el código de tu checkout, no tu web en marcha, así que no detectará un servidor mal configurado.
• Los escaneos no son deterministas: dos ejecuciones pueden encontrar cosas distintas. Ejecútalos con regularidad, no una sola vez.
• Se suma a tus escáneres y a las alertas de dependencias. No los sustituye, ni tampoco a una prueba de penetración.
• Desde Claude Code v2.1.302, claude -p arranca en modo Manual: se deniega cualquier acción que necesite aprobación salvo que una regla la permita. Permite solo las herramientas que el trabajo necesita.

¿Claude Code o Codex para revisión de seguridad?

Las reglas sirven para los dos. Escríbelas una vez en AGENTS.md y pon @AGENTS.md en CLAUDE.md, y los dos agentes leerán el mismo archivo.

Paso a paso con el otro agente: revisión de seguridad con Codex.

Dale a alguien el trabajo de revisión de seguridad

Los comandos se ejecutan cuando alguien se acuerda de ejecutarlos. Crewmark convierte tu propio Claude Code en un empleado de IA con un rol, un objetivo en cifras, horario laboral y un heartbeat, para que el trabajo se haga según un horario y aparezca en un tablero.

1. Empieza por el rol

   El ingeniero de software de IA, con estas reglas en su brief.

2. Lleva el trabajo a su tablero

   Añade el trabajo como issue recurrente. El empleado se despierta con su heartbeat, lo hace e informa en un comentario.

3. Relacionado

   Para los bugs que no son de seguridad, consulta revisión de código.

Preguntas frecuentes