Security Scan

開発者のPC・手元のgitリポジトリ・GitHub・Vercelと公開サイト・クラウド（AWS / Google Cloud / Azure / Cloudflare / Supabase）・Gmailを読み取り専用で横断スキャンし、重要度別のHTMLレポートと前回からの差分を出すスキル。「セキュリティチェックして」「セキュリティスキャン」「脆弱性ないか見て」「APIキー漏れてない？」「乗っ取られてないか確認」「新しく出たリスクだけ教えて」「毎週スキャンを設定して」等で使う。設定の変更・送信・削除はしない。直すときは1件ずつ利用者の承認を取る。

42 stars 6 forksSecurity

Install

skills CLI (Claude Code, Cursor, Codex and more)

npx skills add chaenmasahiro0425/claude-security-scan --skill security-scan

Manual install

git clone --depth 1 https://github.com/chaenmasahiro0425/claude-security-scan.git /tmp/claude-security-scan
mkdir -p ~/.claude/skills
cp -r /tmp/claude-security-scan/. ~/.claude/skills/security-scan

Personal skills live in ~/.claude/skills. Use .claude/skills in a project folder to share a skill with your team.

From the SKILL.md

# security-scan

このフォルダ（以下 `$SKILL`）の `scan.py` を実行して、結果を日本語で説明するスキル。
スキャナーは**読み取り専用**。設定の書き換え・送信・削除は一切しない。

## 1. 初回だけ

```bash
python3 --version                      # 3.11 以上が必要（tomllib を使う）
bash "$SKILL/scripts/install-tools.sh"  # gitleaks と osv-scanner を公式リリースから取得し SHA256 を検証
```

各CLIは**入っているものだけ**使う。無いモジュールは「確認できなかった項目」に理由つきで出るだけで、止まらない。

| モジュール | 必要なもの | 見るもの |
|---|---|---|
| `mac` | macOS | FileVault・ファイアウォール・Gatekeeper・SIP・自動ログイン・画面ロック・未適用アップデート・外から接続できるポート・~/.ssh の権限・常駐プログラム（root常駐が書き換え可能／未署名のバイナリを起動していないか） |
| `repos` | gitleaks / osv-scanner | 手元の全gitリポジトリのコミット履歴にある秘密情報（値は伏せ字）・.env のgit登録・依存パッケージの既知脆弱性 |
| `github` | `gh auth login` 済み | 本人と所属orgの2FA・2FA必須設定・未設定メンバー・公開リポ作成権限・外部コラボレーター・Webhook・Dependabot / Secret scanning |
| `web` | `vercel login`（任意） | Vercel全チームの本番ドメイン＋設定のURL: HTTPS・証明書期限・ヘッダー・.env/.git の露出・プレビュー保護・ブラウザに出る秘密っぽい環境変数 |
| `aws` | aws CLI のプロファイル | （リージョン単位の検査は既定で東京とバージニア）ルートMFA・MFAなしIAMユーザー・放置キー・公開S3・CloudTrail・GuardDuty・全開放の管理/DBポート・公開RDS |
| `gcp` | `gcloud auth login` | allUsers への権限・個人Gmailへのオーナー権限・サービスアカウントの鍵・公開バケット・全開放のファイアウォール / Cloud SQL |
| `azure` | `az login` | 匿名公開のストレージ・HTTP許可・全開放のNSG / Azure SQL・Defender for Cloud |
| `cloudflare` | `CLOUDFLARE_API_TOKEN`（読み取り専用） | SSL/TLSモード・Always Use HTTPS・最小TLS・DNSSEC・2FAの無いメンバー |
| `supabase` | `supabase login`（診断は `SUPABASE_ACCESS_TOKEN`） | 公式 Security Advisor（RLSの無い公開テーブル等） |
| `gmail` | [gog](https://github.com/steipete/gogcli) で認証済み | 自動転送・転送フィルタ・警告メールを隠すフィルタ・委任・最近のセキュリティ通知（件名のみ） |

Read the full skill on GitHub

Details

Skill name: security-scan
Repository: chaenmasahiro0425/claude-security-scan
License: MIT
Repo updated: 17 October 2026

FAQ

What does the Security Scan skill do?

How do I install the Security Scan skill?

skills CLI (Claude Code, Cursor, Codex and more): npx skills add chaenmasahiro0425/claude-security-scan --skill security-scan. Skills go in ~/.claude/skills (personal) or .claude/skills (project), and Claude loads them automatically when a task matches the description.

Is Security Scan popular?

It lives in chaenmasahiro0425/claude-security-scan, which has 42 GitHub stars and 6 forks.

Related skills

R00 ComposioHQ Awesome Claude Skills Security

CraftsmanTuck/r08-composiohq-awesome-claude-skills-security

🔒 Security & Compliance skill suite derived from ComposioHQ/awesome-claude-skills. Security audits, vulnerability management, GDPR/SOC2/ISO27001 compliance and incident response. Provides 10 specialised commands for security, compliance, gdpr workflows.

Security

Secscan

atgreen/secscan-skill

In-session, token-efficient LLM security scan of a repo (SAST triage). A lightweight, native Claude Code pipeline — survey → threat-model → deep-dive → adversarial-verify → report — using Read/Grep/Glob (and optional subagents), no external tooling. Use when asked to "security scan", "find vulnerabilities", "SAST", "audit this code for security", or "secscan".

Security

R00 Travisvn Awesome Claude Skills Security

regimentpebblehearth/r09-travisvn-awesome-claude-skills-security

🔒 Security & Compliance skill suite derived from travisvn/awesome-claude-skills. Security audits, vulnerability management, GDPR/SOC2/ISO27001 compliance and incident response. Provides 10 specialised commands for security, compliance, gdpr workflows.

Security

Malware Analysis

gl0bal01/malware-analysis-claude-skills

Orchestrate the complete malware analysis lifecycle across triage, dynamic analysis, detection engineering, and report writing. Use as the single entry point for any malware analysis task — routes to specialized sub-skills by file type and phase, carries findings between phases, and supports multi-sample batch workflows.

Security

Bugbountyrules

sanjarbiy/bugbountyrules

Use for ANY bug bounty, penetration test, or web/API/mobile security assessment: recon, testing endpoints, analyzing Burp traffic or any bug-bounty platform's MCP (HackerOne, Intigriti, Bugcrowd, YesWeHack, Immunefi), reviewing APKs, bypassing a WAF, enforcing scope, hunting a specific vuln class, validating findings, writing reports, or when you are stuck on a target and about to give up. Activates automatically for all bug-bounty and pentest sessions. Runs an autonomous, never-surrender predator methodology: refuses to conclude "secure", exhausts each vuln class to depth, proves a real attac

Security

Auditor Skill

solanabr/auditor-skill

**AUDIT SKILL** — Comprehensive on-chain Solana program auditor and full-stack security review for ANY programming language. USE FOR: auditing Solana/Anchor programs, reviewing smart contract security, checking for vulnerabilities (missing signers, unchecked accounts, arithmetic overflow, CPI attacks, PDA confusion, type cosplay, reinitialization, flash loan exploits, MEV, governance backdoors, timelock bypass), auditing TypeScript/Python/Go/Java/Ruby/PHP/any language, backend/frontend code review, supply chain safety, CI/CD and GitHub Actions workflow security (comment-triggered commands, pul

Security13

Browse the most popular Claude skills, all security skills, or write your own with the skills generator.