Use when working on Electron applications — detected by `electron` in package.json dependencies, presence of `main.ts`/`main.js` entry, or `BrowserWindow` usage in source. Enforces contextIsolation true, nodeIntegration false, CSP, and draggable region discipline. Do NOT use for regular web apps, Node.js CLI tools, or non-Electron desktop frameworks (Tauri, Neutralino, NW.js).
Installs into .claude/skills of the current project.
Are you the author of Electron Security?
Add the live security badge to your README. It updates with every re-scan.
[](https://www.skillsdirectory.com/skills/aibot88-electron-security)
---
name: electron-security
description: Use when working on Electron applications — detected by `electron` in package.json dependencies, presence of `main.ts`/`main.js` entry, or `BrowserWindow` usage in source. Enforces contextIsolation true, nodeIntegration false, CSP, and draggable region discipline. Do NOT use for regular web apps, Node.js CLI tools, or non-Electron desktop frameworks (Tauri, Neutralino, NW.js).
allowed-tools: Read, Edit, Grep, Glob
---
# Electron Security Baseline
Minimální bezpečná konfigurace Electron aplikace. Každý bod je hard rule — ne doporučení.
## Povinné v `BrowserWindow` konfiguraci
- `contextIsolation: true`
- `nodeIntegration: false`
- `sandbox: true` (pokud aplikace nepotřebuje výjimku)
- `webSecurity: true` (default, neměň)
- `preload: path.join(__dirname, 'preload.js')` — API exposuj **jen** přes `contextBridge.exposeInMainWorld`
Detailní minimální příklad: `references/baseline-config.md`.
## CSP (Content Security Policy)
- Vždy nastav `<meta http-equiv="Content-Security-Policy" …>` v renderer HTML **nebo** header přes `session.defaultSession.webRequest.onHeadersReceived`.
- **Zakázáno**: `unsafe-inline`, `unsafe-eval`, `*` v `script-src`.
- Pro dev server (Vite/webpack) povol `'self' ws:` pro HMR — jen v dev buildu, ne v produkci.
Patterny: `references/csp.md`.
## Draggable regions
- `-webkit-app-region: drag` **pouze** na titlebar containers (prázdné oblasti).
- Interaktivní prvky (buttons, inputs, links) uvnitř drag oblasti musí mít `-webkit-app-region: no-drag`.
- Viz pravidlo E041 v `skills/visual-audit/rules/electron.yaml`.
## IPC
- Preload whitelistuje konkrétní kanály — nikdy `ipcRenderer.invoke` free-form z rendereru.
- Main process validuje sender: `if (!event.senderFrame.url.startsWith(trustedPrefix)) return`.
## Když narazíš na porušení
Nefixuj mlčky — vždy uprav kód **a** řekni uživateli konkrétně co bylo špatně a proč (např. „`nodeIntegration: true` v `src/main.ts:42` — rewrite-vulnerability, všechen renderer JS by měl root přístup k Node.js").
