Compétence d'audit du dépôt officiel Firebase (auteur : Google LLC) : permet à l'agent d'examiner les règles de sécurité de Firestore et de Cloud Storage du point de vue d'un testeur d'intrusion, recherche activement les séquences d'opérations pouvant contourner les règles, attribue une note sur une échelle de 1 à 5, et répertorie la gravité de chaque problème ainsi que les recommandations de correction au format JSON.
Installations sur skills.sh : 142227 (+576 / 24 h)
Audit de sécurité : Non audité
- Pas encore scanné
Justification
- Liste de contrôle obligatoire de 6 points : contournement par mise à jour (créer d'abord un document valide, puis le mettre à jour vers un état invalide) ; les champs sensibles tels que role, isAdmin et ownerId sont-ils issus des données soumises par l'utilisateur ; les règles soutiennent-elles la logique métier (un collaborateur ne pouvant pas lire est également un défaut) ; les chaînes et les tableaux ont-ils des limites de longueur ; vérification des types de champs ; hasOnly() / diff() limitent uniquement les champs modifiables, pas qui peut les modifier
- Barèmes de notation clairement définis : 1 points pour une lecture non autorisée, une élévation de privilèges ou un contournement complet de la validation ; 5 points pour une validation complète avec une propriété stricte et un contrôle d'accès basé sur les rôles ; une adresse e-mail d'administrateur codée en dur ne retire pas de points si email_verified est également vérifié et que l'administrateur ne peut pas être ajouté par l'utilisateur lui-même
- Structure de sortie JSON fixe (score, summary, findings contenant check, severity, issue, recommendation), facilitant l'intégration dans le CI ou la comparaison avant/après
- Périmètre clairement défini : ne couvre pas le déploiement via la CLI Firebase, l'authentification, Crashlytics, Remote Config ni les requêtes de base de données ; le dépôt est sous licence Apache-2.0, et 12 autres compétences du même dépôt sont classées
- 576 installations sur skills.sh en 24 heures, total de 142227 (indique uniquement le niveau d'attention)
Utilisation
- La commande d'installation s'affiche une fois l'audit réussi ; se déclenche en demandant « Examiner / tester par équipe rouge les règles Firestore » ou en demandant une notation selon la liste de contrôle d'audit, en fournissant à l'agent firestore.rules ou storage.rules
- Aucun compte ni service externe n'est requis, il s'agit d'une simple liste textuelle, sans appel à la CLI Firebase
Risques
- Non audité pour cette période, note fixe de niveau C, la commande d'installation n'est pas affichée ; SKILL.md ne contient que des listes textuelles et des formats de sortie, sans commandes, scripts ni requêtes réseau ; l'audit Gen Agent Trust Hub sur skills.sh est passé (Pass)
- Lecture statique des règles uniquement, sans exécution du simulateur Firebase ; les « contournements » identifiés doivent être reproduits par l'utilisateur via le simulateur ou des tests unitaires ; la liste ne couvre que 6 catégories de problèmes courants
- Les instructions sont rédigées avec des critères de notation spécifiques à un scénario d'application où « le flux d'administration est limité », ce qui peut être biaisé pour d'autres projets ; les installations hebdomadaires sont passées de 5103 à 3607