Infuseting
/
Skills
1
0
Fork 0
Code Issues Pull Requests Packages Projects Releases Wiki Activity
Skills/modern-standards-advisor/SKILL.md

5.3 KiB
Raw Permalink Blame History

name description
modern-standards-advisor Systematically research and advise on current, state-of-the-art engineering standards, application security (AppSec), modern RFCs, and best practices. Use whenever the user asks how to implement a feature according to modern industry standards (e.g. password security, user ban/revocation, session management, API design, sensitive data handling) OR automatically when designing/implementing sensitive architectural components (auth, crypto, access control, token invalidation, rate limiting).

Modern Standards & Best Practices Advisor

Ce skill guide l'agent pour rechercher systématiquement en direct sur le web les normes industrielles récentes, les standards de sécurité applicative (AppSec) et les meilleures pratiques d'ingénierie logicielle, garantissant des implémentations fiables et conformes à l'état de l'art.

🎯 Déclencheurs d'Activation (Mode Hybride)

Ce skill est activé dans deux situations :

  1. Sur demande explicite de l'utilisateur :
    • Questions du type : "Comment sécuriser un mot de passe selon les normes actuelles ?", "Quelle est la meilleure façon de gérer le bannissement d'un utilisateur ?", "Quelles sont les bonnes pratiques récentes pour concevoir une API REST ?", etc.
  2. Automatiquement lors de la conception / implémentation de briques sensibles :
    • Authentification et gestion de sessions (JWT, OAuth 2.1, cookies HttpOnly).
    • Stockage et hachage de secrets ou mots de passe (Argon2id, PBKDF2, bcrypt).
    • Cycle de vie utilisateur critique (bannissement, révocation de sessions, suspension de compte, suppression RGPD).
    • Chiffrement au repos et en transit (AES-GCM, TLS 1.3, gestion de clés).
    • Contrôle d'accès et autorisations (RBAC, ABAC, IDOR / BOLA prevention).
    • Protection contre le déni de service et la force brute (Rate limiting, Token Bucket, Leaky Bucket).

🔍 Protocole de Recherche Web en Direct

[!IMPORTANT] Recherche Web Systématique et Fraîcheur Obligatoire Ne jamais se fier uniquement à des connaissances figées dans le temps. Pour chaque sujet abordé, l'agent doit exécuter des recherches en direct via search_web et consulter les pages de référence avec read_url_content.

1. Hiérarchie Stricte des Sources

  • Tier 1 (Autorité Absolue) :
    • OWASP (site:cheatsheetseries.owasp.org, owasp.org) : Cheat Sheets, ASVS, API Security Top 10.
    • Normes IETF / RFC (datatracker.ietf.org) : RFCs officielles et en cours (ex: RFC 9106, RFC 9068, OAuth 2.1).
    • NIST (csrc.nist.gov) : Notamment SP 800-63 (Digital Identity Guidelines).
    • MDN Web Docs (developer.mozilla.org) : Spécifications web, en-têtes HTTP, sécurité navigateurs.
    • Docs Officielles de Frameworks / Runtimes : Documentation officielle de la dernière version LTS/stable (ex: Spring Security, FastAPI, Django, Node.js, ASP.NET Core).
  • Tier 2 (Ingénierie de Pointe) :
    • Blogs techniques des références de la sécurité et du scale : Cloudflare, Auth0/Okta Developer, Stripe Engineering, AWS Architecture Center, GitHub Engineering.

2. Filtre Négatif (Sources et Anti-patterns Bannis)

  • Rejeter tout article ou tutoriel antérieur à 2022 (sauf standard fondamental pérenne).
  • Éviter les blogs amateurs non audités (Medium, Dev.to non sourcé) ou les réponses StackOverflow sans consensus ni avertissements de sécurité.
  • Proscrire les algorithmes et méthodes obsolètes (MD5, SHA-256 sans dérivation pour les mots de passe, JWT dans localStorage pour des sessions bancaires, flags de bannissement statiques en base sans révocation immédiate du cache de tokens).

Consultez le playbook complet de requêtes et d'anti-patterns dans search-playbook.md.

📋 Gabarit Obligatoire de Restitution (5 Volets)

Toute réponse ou recommandation produite sous l'égide de ce skill doit suivre rigoureusement cette structure en 5 sections :

1. 🎯 Norme Actuelle de Référence & Spécifications Officielles

  • Nom de la norme / RFC / recommandation OWASP en vigueur à ce jour.
  • Justification technique : pourquoi cette norme a supplanté les approches antérieures.

2. ✅ Bonnes Pratiques (Do's) vs ❌ Anti-patterns & Pièges à Bannir (Don'ts)

  • Tableau clair opposant les pratiques actuelles recommandées aux erreurs classiques et approches obsolètes.

3. 📐 Architecture & Flux Étape par Étape

  • Description pas-à-pas du flux de données ou de contrôle (ex: cinématique lors d'un bannissement d'utilisateur ou du login).
  • Diagramme Mermaid (sequenceDiagram ou flowchart) visualisant l'interaction entre client, API, cache/éviction (Redis) et base de données.

4. 💻 Exemple d'Implémentation Concret

  • Code complet, propre et prêt à l'emploi, ciblant le langage ou framework du projet (ou Python / TypeScript moderne si le projet est agnostique).
  • Utilisation exclusive des bibliothèques de référence auditées (ex: argon2-cffi en Python, @noble/hashes ou argon2 en Node, etc.).

5. 📋 Checklist de Conformité & Sources Officielles Citées

  • Liste à puces de vérification rapide avant mise en production (Definition of Done sécurité/normes).
  • Liens cliquables directs vers les sources officielles et documentations consultées.