Dependency Audit

---
name: dependency-audit
description: "Usar para auditar dependencias contra CVEs, versiones desactualizadas y licencias. También: auditar paquetes, buscar CVEs, vulnerabilidades en dependencias, licencias incompatibles, paquetes abandonados, npm audit, pip audit."
---

# Auditoría de dependencias

## Resumen

Este skill ejecuta una auditoría completa de las dependencias del proyecto, verificando vulnerabilidades conocidas (CVEs), versiones desactualizadas, licencias incompatibles y paquetes abandonados. Las dependencias son el vector de ataque más común en la cadena de suministro de software; este análisis es obligatorio antes de cualquier release y recomendable de forma periódica.

HARD-GATE: si se detecta una vulnerabilidad crítica o alta sin parche disponible, el proceso se bloquea hasta que se resuelva o se documente una mitigación explícitamente aceptada por el usuario.

## Proceso

1. **Detectar el ecosistema del proyecto.** Identificar el gestor de paquetes (npm, pip, cargo, go modules, composer, etc.) y ejecutar la herramienta de auditoría correspondiente:

   - **Node.js:** `npm audit` o `yarn audit` o `pnpm audit`.
   - **Python:** `pip-audit` o `safety check`.
   - **Rust:** `cargo audit`.
   - **Go:** `govulncheck`.
   - **PHP:** `composer audit`.

2. **Analizar vulnerabilidades por severidad:**

   | Severidad | Acción |
   |-----------|--------|
   | Crítica | HARD-GATE: bloquear. Actualizar o eliminar la dependencia inmediatamente. |
   | Alta | HARD-GATE: bloquear. Actualizar o documentar mitigación aceptada por el usuario. |
   | Media | Planificar actualización. Crear issue si no se puede resolver ahora. |
   | Baja | Documentar. Resolver cuando sea conveniente. |

3. **Verificar versiones.** Para cada dependencia, comprobar:

   - Versión instalada vs última versión estable.
   - Si hay breaking changes entre la versión actual y la última (consultar changelog).
   - Si la dependencia sigue un esquema de versionado semántico.
   - Antigüedad de la versión instalada (más de 1 año sin actualizar es una señal de alerta).

4. **Verificar licencias.** Listar las licencias de todas las dependencias (directas y transitivas) y verificar compatibilidad:

   - MIT, Apache 2.0, BSD: generalmente compatibles con cualquier proyecto.
   - GPL, AGPL: problemáticas para proyectos propietarios.
   - Licencias no estándar o sin licencia: riesgo legal, evitar.

5. **Identificar paquetes abandonados.** Criterios de abandono:

   - Último commit hace más de 2 años.
   - Issues críticas abiertas sin respuesta durante meses.
   - Mantenedor único que ha dejado de responder.
   - Repositorio archivado.

6. **Generar informe.** Documentar los hallazgos en formato tabular con acciones recomendadas para cada problema encontrado.

## Criterios de éxito

- Se ha ejecutado la herramienta de auditoría del ecosistema correspondiente.
- No hay vulnerabilidades críticas o altas sin resolver o sin mitigación documentada.
- Las licencias son compatibles con el proyecto.
- Los paquetes abandonados están identificados con alternativas propuestas.
- El informe incluye acciones concretas para cada hallazgo.
- Los hallazgos críticos se han registrado en la memoria del proyecto.

## Paso de memoria

Registrar los hallazgos críticos en la memoria del proyecto con `memory_log_decision`. Esto permite hacer seguimiento de vulnerabilidades conocidas entre sesiones y verificar que se han resuelto.

## Referencia al stack

Consultar el stack detectado en la configuración de Alfred para seleccionar automáticamente la herramienta de auditoría adecuada (npm audit, pip-audit, cargo audit, etc.), evitando que el usuario tenga que especificarlo manualmente.

## Clarificación

Este skill se centra en la detección puntual de vulnerabilidades y licencias. Para una estrategia de gestión continua de dependencias, usar `dependency-strategy`. Para aplicar actualizaciones concretas, usar `dependency-update`.