chaenmasahiro0425

Claude Security Scan — Security skill for Claude Code

Security community

「セキュリティチェックして」の一言で、Mac・リポジトリ・GitHub・Vercel・AWS・Gmailを読み取り専用で横断点検する Claude Code スキル.

How to install Claude Security Scan

This entry records only its repository, not the path inside it, so there is no exact command to give. Open chaenmasahiro0425/claude-security-scan and copy the folder into ~/.claude/skills/, or the file into ~/.claude/agents/.

What Claude Security Scan does

「セキュリティチェックして」の一言で、Mac・リポジトリ・GitHub・Vercel・AWS・Gmailを読み取り専用で横断点検する Claude Code スキル.

Alternatives in Security

Security Scan Report — Generated: 2026-04-10 20:48 UTC Skills scanned: 134 Total findings: 836 Critical: 32 High: 50 Safe skills: 100 18.1k ★
Token Scan — Meme coin and token security scan — checks for rug pull vectors (hidden mint, honeypot, fee manipulation, LP l 3.8k ★
Mcp-scan (Invariant Labs) — MCP security scanner with proxy mode for real-time scanning without infrastructure changes 1.9k ★

README

claude-security-scan

**「セキュリティチェックして」の一言で、自分の開発環境をまるごと点検する Claude Code スキル。**

Mac・手元の全gitリポジトリ・GitHub・Vercelと公開サイト・クラウド（AWS / Google Cloud / Azure / Cloudflare / Supabase）・Gmail を**読み取り専用**で横断スキャンし、重要度別のレポートと「前回から増えたもの」を出します。設定の書き換え・送信・削除は一切しません。

![見本データのレポート](docs/report-demo.png)

なぜ作ったか

最近の情報漏えいは、高度な攻撃より「うっかり」から起きています。

コミット履歴に残ったままのAPIキー
本番に一緒に上がってしまった .env
MFAの無いクラウドの管理者アカウント
2段階認証を必須にしていない GitHub の組織
乗っ取られたメールに仕込まれた自動転送

どれも、見に行けば数秒で分かります。ただ、確認する場所が散らばっていて、毎週全部を見て回る人はいません。それを Claude Code に任せるためのスキルです。

何を見るか

領域	主なチェック
Mac本体	FileVault・ファイアウォール・Gatekeeper・SIP・自動ログイン・画面ロック・未適用アップデート・外から接続できるポート・~/.ssh の権限・常駐プログラム（root権限の常駐が、書き換え可能な場所や未署名のプログラムを起動していないか）
コード	手元の全gitリポジトリのコミット履歴にある秘密情報（gitleaks・値は伏せ字）・`.env` のgit登録・依存パッケージの既知脆弱性（osv-scanner）
GitHub	本人と所属組織の2FA・2FA必須設定・未設定のメンバー・公開リポ作成権限・外部コラボレーター・Webhook・Dependabot / Secret scanning のアラート
Webサイト・Vercel	全チームの本番ドメイン: HTTPS・証明書期限・セキュリティヘッダー・`.env` / `.git` の露出・プレビューURLの保護・ブラウザに出てしまう秘密っぽい環境変数
AWS	ルートのMFA・MFAの無いIAMユーザー・放置されたアクセスキー・公開S3・CloudTrail・GuardDuty・全開放の管理/DBポート・公開RDS
Google Cloud	allUsers に付いた権限・個人Gmailへのオーナー権限・サービスアカウントの鍵・公開バケット・全開放のファイアウォール・全開放のCloud SQL
Azure	匿名公開を許すストレージ・HTTPを受け付けるストレージ・全開放のNSG（管理/DBポート）・全開放のAzure SQL・Defender for Cloud
Cloudflare	SSL/TLSのモード（Off / Flexible）・Always Use HTTPS・最小TLS・DNSSEC・2段階認証の無いメンバー
Supabase	公式 Security Advisor の診断（RLSの無い公開テーブル・security definer のビューなど）
Gmail	自動転送・転送フィルタ・警告メールを隠すフィルタ・委任・最近のセキュリティ通知（件名だけ）

入っているCLIと、設定したAPIトークン（Cloudflare・Supabase）だけを使います。無いものは「確認できなかった項目」に理由つきで出るだけで、止まりません。 **「確認できなかった」を「問題なし」と混同しない**のがこのツールの方針です。

導入

git clone https://github.com/chaenmasahiro0425/claude-security-scan ~/.claude/skills/security-scan
bash ~/.claude/skills/security-scan/scripts/install-tools.sh   # gitleaks と osv-scanner を取得（SHA256を検証）

あとは Claude Code で **「セキュリティチェックして」** と言うだけです。