Security audit della tua web app con Claude Code: come usare la skill di Cloudflare che ha trovato oltre 7.000 falle

Con Claude Code puoi fare un controllo di sicurezza completo della tua web app, gratis, usando security-audit: la skill che Cloudflare ha usato per trovare più di 7.000 falle nel proprio codice e poi ha pubblicato su GitHub. La installi con una frase, la lanci con un’altra, e alla fine hai un report con le sole vulnerabilità dimostrate. L’ho lanciata sulla mia web app: 28 minuti, 38 agenti, nessuna falla grave e 5 problemi veri.

I passaggi, nell’ordine in cui li ho fatti:

1. Trovare la skill di Cloudflare su GitHub
2. Installarla in Claude Code con una frase
3. Lanciare il security audit sulla web app
4. Capire come lavorano gli agenti che cercano e verificano le falle
5. Dare l’ok a Docker per la sandbox
6. Leggere il report
7. Far correggere le falle a Claude Code e rilanciare la skill

Cos’è la skill security-audit di Cloudflare?

security-audit è una skill per coding agent che fa un audit di sicurezza del codice in più fasi e produce un report con falle verificate in modo indipendente. Il repository è cloudflare/security-audit-skill, con licenza MIT.

Cloudflare è l’azienda del riquadro "Verifica di essere un essere umano" che compare su tantissimi siti. Nel post Build your own vulnerability harness racconta che questa skill è stata il punto di partenza del sistema con cui ha cercato vulnerabilità nei propri repository: alla fine sono rimaste 7.245 falle da correggere per i team di sviluppo.

Dopo la pubblicazione su GitHub, il repository ha superato in poche settimane le 48.000 stelle.

Come si installa la skill in Claude Code?

Per installare security-audit non serve nessun comando. Apri Claude Code nella cartella della web app che vuoi analizzare e scrivi:

installa questa skill https://github.com/cloudflare/security-audit-skill

Prima di installarla, Claude Code legge la skill e controlla che non faccia niente di strano, per esempio mandare i tuoi file su internet. Poi la mette tra le tue skill, e la puoi usare subito, senza riavviare Claude Code.

Se preferisci il terminale, il README del repository indica anche il comando npx skills add https://github.com/cloudflare/security-audit-skill --skill security-audit.

Come si lancia il security audit sulla web app?

Io l’ho lanciata su aibuildersitalia.com, la piattaforma della mia accademia. È un buon banco di prova: ha login, registrazione, pagamenti e un’area riservata ai membri. Sono tutte funzionalità da mettere in sicurezza.

Ho aperto Claude Code nella cartella del progetto e ho scritto:

fai un security audit completo di questo progetto

La skill per prima cosa studia com’è fatto il progetto. Poi chiede il permesso di installare Docker e di creare una sandbox: sul mio Mac Claude Code ha proposto di installare OrbStack, che contiene Docker, con brew install --cask orbstack. Io ho dato l’ok.

Se il progetto è piccolo o vuoi solo una prima occhiata, puoi chiedere a Claude Code il profilo quick. Io ho fatto fare il giro completo, e lo consiglio anche a te, soprattutto la prima volta che lanci la skill. Sulla mia web app il giro completo è durato 28 minuti.

Come funziona la skill: chi cerca le falle e chi le verifica?

La skill security-audit divide il progetto in zone e manda un agente diverso a controllare ciascuna. Sulla mia web app le zone erano 27: un agente sul login, uno sui pagamenti, uno sull’area dei membri e così via. Due agenti in più lavorano su tutto il progetto: uno cerca gli errori più ovvi, l’altro quelli più insoliti.

Il problema dell’AI quando cerca falle di sicurezza è che ne trova tantissime, e una parte sono falsi allarmi. Per questo ogni falla trovata passa a un altro agente, che non l’ha trovata e ha un solo compito: dimostrare che è sbagliata. Nel report finale entrano solo le falle che hanno superato questa prova.

In tutto, sul mio progetto, la skill ha lavorato con 38 agenti.

Cloudflare aggiunge un dato che cambia il modo di usarla: secondo le sue metriche di copertura, un solo giro trova circa metà delle falle che si trovano con più giri. Conviene quindi lanciare la skill più di una volta, soprattutto dopo aver modificato il codice.

Perché la skill ha bisogno di Docker?

Per essere sicura che una falla esista davvero, la skill deve provare ad attaccare la tua app. Farlo sull’app vera o direttamente sul tuo computer sarebbe rischioso: l’agente potrebbe toccare file che non deve toccare o leggere dati a cui non dovrebbe accedere.

Per questo security-audit crea una sandbox, cioè una stanza chiusa: un piccolo computer dentro il tuo computer, con dentro una copia della tua app. La sandbox non ha internet, non vede le tue password, può scrivere solo nella cartella che le è stata assegnata e ha limiti di memoria e di tempo. Dentro questo ambiente controllato Claude Code può provare gli attacchi senza fare danni. Per crearla serve Docker, ed è per questo che Claude Code chiede il permesso.

Senza sandbox, per esempio se non hai Docker, la skill non esegue niente. Legge il codice e segnala le possibili falle come "da verificare", senza confermarle con un attacco. Per avere il giro completo conviene quindi installare la sandbox.

Cosa ha trovato la skill sulla mia web app?

Dopo 28 minuti il report era pronto. La buona notizia: nessuna falla grave. Nessuno può entrare senza password, nessun membro può vedere i dati di un altro e i pagamenti sono controllati come si deve.

La skill ha però trovato 5 problemi veri. Ne racconto due.

Il vecchio link che riapriva l’abbonamento scaduto

Il problema più serio riguardava chi aveva pagato una volta ma non aveva mai impostato la password. Quell’utente poteva tornare membro anche dopo la scadenza dell’abbonamento e dopo che gli avevo tolto l’accesso. Bastava riusare il vecchio link ricevuto dopo il pagamento.

La skill non si è limitata a segnalarlo. Ha provato l’attacco nella sandbox, con dati finti, e ha visto la pagina riservata ai membri passare da "accesso negato" ad aperta.

Il logout che non chiudeva il vecchio accesso

Il secondo problema riguardava il logout. Se qualcuno ti ruba l’accesso all’account, la reazione normale è cambiare la password o uscire da tutti i dispositivi. Sulla mia web app non bastava: il vecchio accesso restava valido per 30 giorni.

Per ogni vulnerabilità il report spiega la causa e la correzione più piccola che serve, cioè il minimo indispensabile per sistemare il problema senza toccare altro.

Come si fanno correggere le falle a Claude Code?

Il report della skill è già pronto da passare a Claude Code. Apri una nuova sessione, dagli il report e scrivi:

sistema le vulnerabilità segnalate in questo report

Per ogni falla Claude Code legge la causa e la correzione minima indicata nel report, poi la applica. Quando ha dei dubbi si ferma e fa domande.

Finite le correzioni, rilancia la skill con lo stesso prompt di prima, fai un security audit completo di questo progetto, per verificare che le vulnerabilità non ci siano più.

Basta un audit dopo aver sviluppato l’app?

La skill di Cloudflare trova le vulnerabilità di una web app già sviluppata, magari settimane prima. L’ideale è intercettarle prima che l’app vada online, mettendo fondamenta sicure fin dal primo giorno di sviluppo: è la pratica che si chiama sviluppo sicuro.

Su questo terrò un workshop gratuito online il 10 novembre alle 21: creo una web app di prova, mostro come si attacca e come si ripara la falla. Ti puoi iscrivere su aibuildersitalia.com/workshop. Se vuoi partire subito, ho raccolto 4 controlli di sicurezza da fare prima di pubblicare un’app costruita con l’AI.

Se hai appena pubblicato un’app fatta con l’AI, questo è il controllo da fare oggi, prima che lo faccia qualcun altro al posto tuo.

Le clip dal video