Objetivos de aprendizaje
- Crear skills pequeñas, versionables y fáciles de revisar.
- Auditar `SKILL.md`, scripts auxiliares y permisos antes de instalar.
- Evitar skills que mezclan conocimiento, ejecución y secretos.
En cristiano: skill. Es una carpeta con instrucciones y recursos para enseñar a Claude un procedimiento reutilizable sin cargarlo todo siempre en contexto.
--- name: deploy-preview description: Crea un deploy preview y resume el resultado. allowed-tools: Bash(npm run build), Bash(vercel deploy --yes), Bash(git status *) disable-model-invocation: true --- 1. Comprueba estado de git. 2. Ejecuta build. 3. Crea deploy preview. 4. Devuelve URL, commit y errores si los hay. 5. No hagas deploy a produccion.
Checklist de auditoría
- Lee el `SKILL.md` entero, no solo la descripción.
- Busca `curl`, `wget`, `nc`, `ssh`, `gh auth token`, `.env` y dominios externos.
- Revisa `allowed-tools`: evita `Bash(*)` salvo que sea local y de confianza.
- Comprueba scripts incluidos en la carpeta de la skill.
- Prueba primero en proyecto limpio, sin credenciales reales.
Idea clave. Las mejores skills parecen documentación ejecutable: instrucciones claras, comandos concretos y alcance pequeño.
Cuidado. Una skill instalada desde internet es código de terceros. Si puede ejecutar shell o leer archivos, trátala como tratarías un paquete npm desconocido.
Comprueba que funciona. Audita una skill propia: reduce herramientas, elimina comandos genéricos y separa los pasos peligrosos en una aprobación manual.
Guardar y reabrir el proyecto.
Skill segura es skill aburrida: poco alcance, permisos mínimos y comportamiento fácil de explicar.
Siguiente misión recomendada
Si has guardado la evidencia de esta lección, continúa con «MCP seguro». Si no, repite la comprobación antes de avanzar.