kit-vamoo

Auditoria de segurança em 6 categorias (isolamento de inquilino, permissão decidida no navegador, IDOR, chaves expostas, XSS, agente de IA com ferramentas) com entregável: PDF em pt-BR dentro do repo auditado + issues de GitHub prontas para colar. Detecta a stack e relê a auditoria anterior. Use em "auditoria de segurança", "relatório de segurança", "auditoria em PDF", "achou IDOR?". NÃO é o secscan (Markdown fora do repo): este é o pacote para outra pessoa ler e agir.

Postura de ambiente e segurança de app web (Vite/Next + Supabase + Vercel + n8n) em 8 pilares — bundle, RLS, auth, rate limit, cache, observabilidade, segredos, perímetro. Dois modos: CONSTRUIR (projeto novo nasce apto) e AUDITAR (app em produção está apto?). Use em "está pronto pra prod", "auditar produção", "hardening", "app novo do zero", "baseline". O gate do /ship já roda o collect.sh sozinho — aqui mora o método e o julgamento dos achados.

Use quando o usuário quiser criar, corrigir ou colocar no ar um bot de Discord em Node/TypeScript hospedado em VPS própria — "quero um bot no Discord", "o bot não responde", "meu bot caiu", "como subo o bot na VPS", "bot que lê mensagem do canal e salva no banco", "bot com comando e relatório automático". Cobre do Developer Portal ao container rodando: intents, convite, código, idempotência, cron, Docker e a verificação de que subiu de verdade.

Escreve prompts fotorrealistas de cinema para geradores de imagem (nano banana, Midjourney, Flux, Imagen) e de vídeo (Kling), traduzindo o pedido em luz, lente e movimento de câmera. Use quando pedirem "prompt de imagem", "prompt de vídeo", "gerar imagem", "direção de arte", "nano banana"/"Kling"/"Midjourney", ou colarem uma foto pedindo o prompt dela. Não é para prompt de texto/código.

Busca documentação oficial atualizada (API, config, exemplos) de lib/SDK/serviço via Context7 (ctx7). Use ANTES de escrever código com tecnologia externa, ao checar versão/breaking changes ou quando o modelo pode estar desatualizado. Gatilhos: "find-docs", dúvida de API/SDK/CLI, migração.

Procura e instala skill de terceiro pelo ecossistema aberto (npx skills, skills.sh). Use em "acha uma skill pra X", "existe skill pra isso?", "dá pra instalar algo que faça X". Só dispara quando você chama — o Claude não aciona sozinho. Verifica procedência antes de recomendar, porque SKILL.md é instrução que o modelo obedece, e o corpo pode executar shell no carregamento.

EXECUTA a geração de imagem pela API da OpenAI (gpt-image-*) e entrega o JPEG pronto para a web ou publicado dentro de um artefato. Use em "gera essa imagem", "cria uma foto para a landing", "precisa de imagem aqui", ou quando uma página/deck/proposta pede foto e não há banco de imagens. Para ESCREVER o prompt (luz, lente, direção de arte), carregue antes a skill diretor-imagem — esta aqui roda o comando, não dirige a foto.

Sincroniza o clone local e todos os worktrees com o GitHub de forma segura (fetch --prune + fast-forward only) e reporta o estado vs GitHub (worktrees, ahead/behind, PRs abertos). Use quando pedirem "/git-sync", "atualiza com o github", "sync github", "puxa o remote", "source control desatualizado", ou no INÍCIO/FIM de sessão num repo compartilhado ("vou mexer no projeto", "meu colega mexeu?", "tem PR aberto?"). Complementa a skill worktrees (isolamento).

Gatilho manual pra sessão de interrogatório de plano/design antes de codar. Use quando o usuário pede "grill-me", "me interroga", "fecha o plano", "stress-testa esse plano". Dispara o loop da skill grilling.

Versão "por-projeto" do grilling: interroga o plano ANCORADO no domínio do projeto (.context/docs, AGENTS.md, regras acordadas) e grava as decisões de volta na doc. Use quando o projeto tem .context/ e o plano toca regras de negócio, automação (n8n/Pipedrive) ou dado sensível — onde read-before-act vale. Gatilhos: "grill com docs", "fecha o plano com o contexto do projeto".

Interroga o usuário sem dó sobre um plano ou design até chegar a entendimento compartilhado, resolvendo cada ramo da árvore de decisão antes de codar. Acione ao detectar uma implementação GRANDE — multi-sistema, schema/auth/infra, irreversível ou de escopo material — onde vale fechar o plano antes de codar. NÃO acione por vagueza genérica de tarefa pequena. Os comandos manuais "/grill-me" e "/grill-with-docs" continuam sendo do usuário.

Guard-rails de agente de IA que fala com pessoa real (WhatsApp, DM, chat, bot): o que ele pode afirmar, pedido de parar como estado permanente, escalar pra humano e quem responde quando IA e humano disputam o canal. Use ao construir ou revisar bot que conversa com cliente, antes de ligar o disparo, ou quando "a IA respondeu por cima do humano". Gatilhos: "agente de IA", "a IA inventou", "opt-out", "pausar a IA".

Gera o documento de passagem de bastão de uma sessão ou projeto — para outro dev, outro agente, ou você mesmo daqui a três semanas. Template fixo, destino durável em .context/docs/handoffs/, âncora de git real e marcação obrigatória do que foi verificado versus do que é só crença. Use quando pedirem "/handoff", "monta o handoff", "documenta pro Nicolas assumir", "passa isso pra outra sessão", ou ao encerrar uma frente de trabalho.

Descobre PARA ONDE seu token está indo e o que dá pra cortar sem perder nada. Mede o que a sessão já carrega antes do seu primeiro prompt (CLAUDE.md, skills, MCPs) e o gasto durante o uso, com rótulo de MEDIDO vs ESTIMADO. Use em "estourei o limite", "por que gastei tanto token", "a sessão nasce cara", "vale desligar esse MCP?", "meu CLAUDE.md está grande demais?", "harness-check". Não é o secscan (segurança) nem o baseline (produção).

Põe a memória do projeto dentro do repositório em vez de deixar presa na sua máquina — cria .context/memoria/, liga o diretório do Claude Code lá, e recusa a adoção se achar credencial escrita na memória. Use ao começar a trabalhar num projeto e em "/memoria-projeto", "liga a memória deste projeto", "o Claude esquece o que aprendeu", "troquei de computador e perdi o contexto", "essa memória está no repo?".

Como dispatchar subagents e workflows resilientes a rate-limit: teto de concorrência do runner, .filter(Boolean), pipeline > parallel, scope contract pra writes, resumeFromRunId. Use ao orquestrar >5 arquivos independentes, montar workflow/fan-out, ou quando um run morre no meio. Gatilhos: "subagents", "fan-out", "workflow", "paralelo em N arquivos", "rate limit 429/529".

Use quando o usuário pedir revisão de segurança, code audit, "checa a segurança", "tem RLS faltando?", "secret vazando?", ou "roda um secscan" num projeto LOCAL Next.js / React / Supabase em desenvolvimento. Read-only — NUNCA edita o código auditado. Não é pra alvo deployado/produção.

Termina de instalar o Claude Starter Kit depois do /plugin install — escreve o CLAUDE.md global, liga a barra de status e mescla as preferências, que são as partes que um plugin não consegue instalar sozinho. Depois ajuda a preencher o CLAUDE.md com os dados de quem está instalando. Use em "/kit-vamoo:setup", "terminar de instalar o kit", "configurar o kit", "instalei o plugin e agora?", "a barra de status não apareceu", "o kit não está pegando as regras".

Pipeline de release com portões de verificação. Use quando o usuário disser "ship", "/ship", "deploy", "manda pra prod", ou pedir pra fechar uma feature com commit + PR. Roda o fluxo completo com gates duros: typecheck, lint, testes, conventional-commit, push, PR via gh; passos de deploy dependem do que o projeto tem. Criada contra as falhas recorrentes: dizer "passou" sem output fresco, commitar do diretório errado, deployar o que não devia.

Skill de projeto (.claude/skills) cobra contexto em TODA request, mesmo sem disparar. Use ao criar, instalar (npx skills add) ou revisar skill de projeto, quando a sessão nasce cara, ou em "vale a pena virar skill?". Traz o teto (8 skills / 2.000 chars), o que faz uma skill rotear de verdade (name = pasta, description que diz QUANDO, corpo com conteúdo) e como medir. Não é o harness-check, que mede a sessão inteira.

Casos de verificação end-to-end aprendidos em produção: testar TODOS os ramos, rodar TODOS os runners, pegar o erro REAL de prod antes do repro, inspecionar a UI. Use antes de declarar "pronto" em fix com ramos, mudança de UI, erro de prod mascarado, pasta com múltiplos runners, e ANTES de qualquer disparo que chega numa pessoa (mensagem, e-mail, cobrança, webhook). Gatilhos: "pronto", "verificar", "testar antes de entregar", "dry-run", "pode disparar?".

Como trabalhar em paralelo no mesmo projeto sem uma sessão atrapalhar a outra: worktrees isolados, commit seguro quando várias abas compartilham o mesmo clone, e limpeza no fim. Use quando abrir mais de um terminal/sessão no mesmo repositório, antes de criar um worktree, ou antes de commitar num clone que outra sessão também usa. Gatilhos: "worktree", "paralelo no mesmo repo", "outra aba/sessão", "limpar branch".