# Application Security Testing > Punto de entrada para revisar la seguridad de toda una aplicación con Strix: decide qué test aplicar a cada activo (código, app, API, CI) y convierte los resultados en un plan de remediación priorizado. Fuente: https://skillsagentes.com/skills/usestrix/strix/application-security-testing Markdown: https://skillsagentes.com/skills/usestrix/strix/application-security-testing.md Repositorio: https://github.com/usestrix/strix Autor: usestrix Licencia: Apache-2.0 Actualizado: hace 5 días Coste de contexto: 158 tok instalada, 1.1k tok al activarse, 1.1k tok con todos los archivos del bundle Bundle: 1 archivo, 4 KB Permisos que pide: ninguno declarado ## Instalación Un skill son archivos markdown: los mismos archivos valen para cualquier agente y lo único que cambia es el directorio de destino, es decir la bandera `--agent`. Añade `-g` para instalarlo en todos los proyectos de la máquina. ```bash # Claude Code npx -y skills add usestrix/strix --skill application-security-testing --agent claude-code # Cursor npx -y skills add usestrix/strix --skill application-security-testing --agent cursor # Codex npx -y skills add usestrix/strix --skill application-security-testing --agent codex # Gemini CLI npx -y skills add usestrix/strix --skill application-security-testing --agent gemini # Windsurf npx -y skills add usestrix/strix --skill application-security-testing --agent windsurf # Cline npx -y skills add usestrix/strix --skill application-security-testing --agent cline ``` ## Qué hace - Mapea los activos de la aplicación (código fuente, entornos activos, APIs, autenticación) antes de escanear - Elige qué skill de Strix usar según el activo: código, app web en vivo, API, checklist OWASP o CI - Ejecuta un activo a la vez y consolida los hallazgos de varias corridas en un solo plan priorizado por impacto probado - Señala explícitamente qué partes no se pudieron probar en lugar de presentar cobertura parcial como limpia ## Cuándo usarla - Se pide una revisión o auditoría de seguridad de toda la aplicación antes de un lanzamiento - Hay que responder un cuestionario de seguridad de un cliente - El usuario aún no sabe qué tipo de test de seguridad necesita ## Qué la activa - "Haz una revisión de seguridad completa de mi aplicación antes del lanzamiento" - "No sé qué tipo de test de seguridad necesito, ayúdame a decidir" - "Junta los hallazgos de seguridad de todo mi stack en un solo plan" ## Antes de instalar - Solo se deben probar activos que el usuario posea o esté autorizado a probar; se prefiere staging sobre producción. ## Archivos - SKILL.md — 4 KB ## SKILL.md Reproducido tal cual desde usestrix/strix bajo Apache-2.0. Esta sección es el documento original y está en inglés. # Application security testing Entry point for "make my application secure" requests, where the target is not yet a single URL or repo. The job here is to pick the right test per asset, run it, and produce one ranked plan — not to run everything at maximum depth. Install, LLM setup, all CLI flags, and the managed-cloud path live in the **penetration-testing-with-strix** skill. Read it first if `strix --version` fails. Only test assets the user owns or is authorized to test. Confirm authorization before the first run, and prefer staging over production, because the agents send real exploit payloads and can change data. ## 1. Map the assets Ask (or read from the repo) and write the answers down before scanning: - **Source** — one repo, a monorepo, several services? Which languages/frameworks? - **Running environments** — is there a staging deployment? A public production site? A local dev server only? - **APIs** — REST, GraphQL, gRPC? Is there an OpenAPI/GraphQL schema? - **Authentication** — can you get two test accounts in different tenants? Most high-impact bugs need them. - **Constraints** — out-of-scope paths, whether production may be touched, budget and wall-clock limits. If there is no staging environment and production is off limits, say so early. A code-only review is still valuable, but it cannot prove exploitability against a live app. ## 2. Pick the right test per asset | Asset | Skill to use | | --- | --- | | Repository or working tree | **find-security-vulnerabilities-in-code** | | Live web app or staging site | **web-app-penetration-testing** | | REST/GraphQL/gRPC API | **api-security-testing** | | Assessment mapped to OWASP categories | **owasp-top-10-testing** | | Every pull request, continuously | **ci-security-scanning-with-strix** | | No Docker, no LLM key, or a report an auditor will accept | **managed-pentesting-with-strix** | Those skills carry the flags, credential handling, and result-reading details. Do not duplicate their instructions here. Sequence for a first assessment: 1. Review the code. It is the cheapest run and it maps the authorization model. 2. Pentest staging with credentials, and pass the repo as a second target so the agents keep source context. 3. Add CI scanning, so later regressions are caught without another manual pass. Run one asset at a time and read each report before starting the next. Findings from the code review make the live run sharper. ## 3. Consolidate into one plan Findings arrive per run in `strix_runs//`. Merge them into a single list and rank by **proven impact**, not by scanner severity: 1. Validated exploits reachable without authentication. 2. Validated cross-tenant or privilege-escalation issues. 3. Validated issues needing an authenticated account. 4. Unproven observations (configuration, dependency, and hardening notes) — flag as such, and never present them as confirmed vulnerabilities. Deduplicate: the same root cause often surfaces in both the code review and the live pentest. ## 4. Be honest about coverage State plainly what was *not* tested — assets with no staging environment, categories a black-box run cannot reach (logging and alerting, supply-chain integrity, insecure design), and any run that hit its budget or turn cap before finishing. Check `run.json` status and cost against `--max-budget` for each run. An empty result set from a truncated scan is not a clean bill of health. Then remediate with **fix-security-vulnerabilities-with-strix**, which re-runs Strix against each fix to prove the exploit no longer works. ## Dónde encaja - Categoría: [Seguridad](https://skillsagentes.com/categorias/seguridad.md) — Auditorías, revisión de dependencias, manejo de secretos y modelado de amenazas. - Creador: [usestrix](https://skillsagentes.com/creators/usestrix.md) — 9 skills en el directorio - [Todas las skills](https://skillsagentes.com/skills.md) - [Ranking de instalaciones](https://skillsagentes.com/ranking.md) ## Otras skills del mismo repositorio - [Api Security Testing](https://skillsagentes.com/skills/usestrix/strix/api-security-testing.md): Pon a prueba una API REST, GraphQL o gRPC con Strix: agentes autónomos enumeran endpoints y explotan el OWASP API Security Top 10 (2023) con una PoC funcional por cada hallazgo. - [Penetration Testing With Strix](https://skillsagentes.com/skills/usestrix/strix/penetration-testing-with-strix.md): Pentestea una app web, API, código, repo, URL, dominio o IP con Strix: agentes autónomos que explotan y demuestran vulnerabilidades con PoC, por CLI autoalojada o nube gestionada app.strix.ai. - [Owasp Top 10 Testing](https://skillsagentes.com/skills/usestrix/strix/owasp-top-10-testing.md): Prueba una aplicación contra el OWASP Top 10:2025 con Strix: agentes de IA que intentan exploits reales y reportan solo lo probado, con PoC. - [Fix Security Vulnerabilities With Strix](https://skillsagentes.com/skills/usestrix/strix/fix-security-vulnerabilities-with-strix.md): Corrige vulnerabilidades encontradas por un pentest de Strix: clasifica por severidad, parchea la causa raíz y vuelve a escanear para probar el fix. - [Find Security Vulnerabilities In Code](https://skillsagentes.com/skills/usestrix/strix/find-security-vulnerabilities-in-code.md): Revisión de seguridad de caja blanca con IA: lee el código fuente, razona sobre el flujo de datos y la autorización, y explota lo que encuentra con PoC. ## Skills relacionadas - [Security And Hardening](https://skillsagentes.com/skills/addyosmani/agent-skills/security-and-hardening.md): Endurece el código contra vulnerabilidades. Úsalo al manejar entrada de usuario, autenticación, almacenamiento de datos, integraciones externas o datos personales (GDPR, CCPA). - [Solidity Security](https://skillsagentes.com/skills/wshobson/agents/solidity-security.md): Domina las mejores prácticas de seguridad en smart contracts para prevenir vulnerabilidades comunes e implementar patrones seguros en Solidity. - [Review Agent Setup](https://skillsagentes.com/skills/wshobson/agents/review-agent-setup.md): Configura un gating humano para las acciones de revisión de agentes IA en Claude Code, con un rastro de aprobación auditable criptográficamente y gates aplicados con Cedar. - [Attack Tree Construction](https://skillsagentes.com/skills/wshobson/agents/attack-tree-construction.md): Construye árboles de ataque completos para visualizar rutas de amenaza, identificar brechas de defensa y comunicar riesgos de seguridad a stakeholders. - [Auth Implementation Patterns](https://skillsagentes.com/skills/wshobson/agents/auth-implementation-patterns.md): Domina patrones de autenticación y autorización (JWT, OAuth2, sesiones, RBAC) para construir sistemas de control de acceso seguros y escalables. --- Skills Agentes · [Índice de páginas en markdown](https://skillsagentes.com/sitemap.md) · [Inicio](https://skillsagentes.com/index.md)