Install
npx skills add squirrelscan/skillsPara quién
Esta guía va a quien entregará auditorías de sitios a un agente y acepta que cada skill se impulsa con el squirrel CLI. Oficialmente se escribe como skills de auditoría web, plugins y MCP para agentes, en un solo repositorio:
https://github.com/squirrelscan/skills
El material actual solo desarrolla dos skills. squirrelscan opera el CLI: instalar, iniciar sesión, ejecutar auditorías, publicar informes, créditos, claves de API, ajuste MCP, configuración y resolución de problemas. Notas en
https://github.com/squirrelscan/skills/blob/main/skills/squirrelscan/SKILL.md
audit-website es el bucle de reparación: auditar un sitio, mapear hallazgos a código, cambiar por lotes y volver a auditar hasta que mejore la puntuación. Notas en
https://github.com/squirrelscan/skills/blob/main/skills/audit-website/SKILL.md
Encaja cuando se puede instalar el CLI y solo se auditan sitios que se tiene derecho a inspeccionar. No encaja si el CLI no está en PATH o si se quieren las skills como documentos sin CLI.
Completar un primer intento en 3 minutos
Seguir solo la vía oficial recomendada.
Condición previa: esta máquina puede ejecutar npx y squirrel CLI está instalado y en PATH. El material dice que cada skill impulsa ese CLI, pero no da un comando de instalación del CLI. Si squirrel aún no está en PATH, deja primero que la skill squirrelscan gestione instalación e inicio de sesión; no saltar al escaneo.
Ubicación de instalación: la gestiona npx skills add. El material no escribe la ruta de aterrizaje de la carpeta de skill; no inventar una que no apareció.
Copiar y ejecutar:
npx skills add squirrelscan/skills
Éxito: el comando termina con normalidad. Primero una comprobación de solo lectura: pedir al agente que compruebe si squirrel está en PATH y explique los pasos de una auditoría, sin escanear ninguna URL, publicar un informe ni cambiar código. Si puede repetir que hace falta el CLI y que inicio de sesión / auditoría / publicación son acciones separadas, la skill está cargada.
Antes de un escaneo real, confirmar la URL objetivo y el derecho a auditar. Escanear, publicar un informe y escribir código tienen efectos.
Casos de uso
Caso 1: operar solo el CLI; iniciar sesión primero y luego decidir si auditar. Coincide con squirrelscan. Encaja cuando aún no se ha ejecutado un escaneo y solo se quiere confirmar instalación, sesión, configuración y créditos. Éxito: el CLI es usable y el estado de sesión es claro. El material también menciona MCP alojado:
https://mcp.squirrelscan.com/mcp
Usa streamable-http y puede usar OAuth o una clave Authorization: Bearer sq_...; en local es squirrel mcp. El primer intento no tiene que conectar MCP. No inventar una clave completa.
Caso 2: tras la auditoría, relacionar con código, pero detenerse en el mapeo. Coincide con el bucle de reparación de audit-website. Encaja cuando el CLI ya corre y se quiere ver en qué archivos caen los problemas de un sitio confirmado. Auditar primero y pedir solo la correspondencia hallazgos-a-código; prohibir de forma explícita los cambios por lotes. Éxito: se ve la correspondencia problema–archivo y el repositorio aún no cambió. Tras confirmar el alcance del parche, permitir lotes y una nueva prueba. El material no da umbral de puntuación ni tamaño de lote.
Límites de uso
El material actual solo demuestra las dos skills anteriores y un comando de instalación npx. No inventar otros nombres de skills ni cambiar a un instalador que no apareció. El material no nombra ningún cliente obligatorio.
No invocar estas skills sin el CLI. Publicar un informe envía resultados fuera de esta máquina; cambiar código escribe el repositorio. Comprobar primero, luego autorizar. El prefijo de clave en el material es sq_...; no inventar una clave de ejemplo. Para más, seguir el repositorio oficial:
https://github.com/squirrelscan/skills