Claude Code ahora incluye funciones de revisión de seguridad automatizada para ayudarte a identificar y corregir vulnerabilidades en tu código. Esta guía explica cómo usar el comando /security-review y GitHub Actions para mejorar la seguridad de tu código.
Nota: Aunque las revisiones de seguridad automatizadas ayudan a identificar muchas vulnerabilidades comunes, deben complementar, no reemplazar, tus prácticas de seguridad existentes y las revisiones manuales de código.
Descripción general
Las revisiones de seguridad automatizadas en Claude Code ayudan a los desarrolladores a detectar vulnerabilidades antes de que lleguen a producción. Estas funciones verifican problemas de seguridad comunes incluyendo riesgos de inyección SQL, vulnerabilidades de cross-site scripting (XSS), fallas de autenticación, manejo inseguro de datos y vulnerabilidades de dependencias.
Puedes usar las revisiones de seguridad de dos maneras: a través del comando /security-review para verificaciones bajo demanda en tu terminal, o a través de GitHub Actions para revisión automática de pull requests.
Disponibilidad
Estas funciones están disponibles para todos los usuarios de Claude Code, incluyendo:
Usuarios con planes pagos individuales (Pro o Max).
Usuarios individuales o empresas con cuentas de API Console de pago por uso.
Usando el comando /security-review
El comando /security-review te permite ejecutar análisis de seguridad directamente desde tu terminal antes de hacer commit del código.
Ejecutando una Revisión de Seguridad
Para verificar tu código en busca de vulnerabilidades:
Abre Claude Code en el directorio de tu proyecto.
Ejecuta /security-review en la terminal.
Claude analizará tu base de código e identificará posibles problemas de seguridad.
Revisa las explicaciones detalladas proporcionadas para cada problema encontrado.
Implementando Correcciones
Después de que Claude identifique vulnerabilidades, puedes pedirle que implemente correcciones directamente. Esto mantiene las revisiones de seguridad integradas en tu flujo de trabajo de desarrollo, permitiéndote abordar los problemas cuando son más fáciles de resolver.
Personalizando el Comando
Puedes personalizar el comando /security-review para tus necesidades específicas. Consulta la documentación de revisión de seguridad para opciones de configuración.
Configurando GitHub Actions para revisiones automáticas de PR
Después de instalar y configurar la acción de GitHub, revisará automáticamente cada pull request en busca de vulnerabilidades de seguridad cuando se abra.
Instalación
Para configurar revisiones de seguridad automatizadas para tu repositorio:
Navega a la configuración de GitHub Actions de tu repositorio
Sigue la guía de instalación paso a paso en nuestra documentación
Configura la acción según los requisitos de seguridad de tu equipo
Cómo Funciona
Una vez configurada, la acción de GitHub:
Se activa automáticamente cuando se abren nuevos pull requests.
Revisa los cambios de código en busca de vulnerabilidades de seguridad.
Aplica reglas de filtrado personalizables para reducir falsos positivos.
Publica comentarios en línea en el PR con problemas identificados y correcciones recomendadas.
Esto crea un proceso de revisión de seguridad consistente en todo tu equipo, asegurando que el código sea verificado en busca de vulnerabilidades antes de fusionarse.
Opciones de Personalización
Puedes personalizar la acción de GitHub para que coincida con las políticas de seguridad de tu equipo, incluyendo establecer reglas específicas para tu base de código y ajustar los niveles de sensibilidad para diferentes tipos de vulnerabilidades.
¿Qué problemas de seguridad se pueden detectar?
Tanto el comando /security-review como la acción de GitHub verifican patrones de vulnerabilidades comunes:
Riesgos de inyección SQL: Identifica posibles vulnerabilidades en consultas de base de datos.
Cross-site scripting (XSS): Detecta vulnerabilidades de inyección de scripts del lado del cliente.
Fallas de autenticación y autorización: Encuentra problemas con el control de acceso.
Manejo inseguro de datos: Identifica problemas con la validación y sanitización de datos.
Vulnerabilidades de dependencias: Verifica problemas conocidos en paquetes de terceros.
Comenzando
Para comenzar a usar revisiones de seguridad automatizadas:
Para el comando /security-review: Actualiza Claude Code a la versión más reciente (ejecutar), luego ejecuta
/security-reviewen el directorio de tu proyecto.Claude Code se mantiene actualizado automáticamente para asegurar que tengas las últimas funciones y correcciones de seguridad, pero también puedes ejecutar
claude updatepara actualizar manualmente.
Para las acciones de GitHub: Visita nuestra documentación para instrucciones de instalación y configuración.
Mejores Prácticas
Para obtener resultados óptimos, recomendamos ejecutar /security-review antes de hacer commit de cambios significativos y configurar la acción de GitHub para todos los repositorios que contengan código de producción. Considera ajustar las reglas de filtrado basándote en los requisitos de seguridad específicos de tu equipo y las características de tu base de código.