audit-workflow

Skill : audit-workflow — Audit technique et reconciliation

Charger ce skill pour toute tache d'audit technique, que ce soit la production du rapport, la creation d'issues GitHub, ou la reconciliation entre deux audits successifs.

Couverture d'audit

Un audit complet doit couvrir :

1. Securite — injection, auth, secrets, IDOR, CSRF, headers
2. Performance — N+1, allocations, pagination, index
3. Maintenabilite — SOLID, couplage, complexite cyclomatique, dead code
4. Scalabilite — contention, parallelisme, caching, limites
5. Persistance — migrations, contraintes FK, index, requetes non optimisees
6. Architecture — coherence des couches, separation des responsabilites, drift
7. Tests — couverture, qualite des assertions, zones sans filet
8. Observabilite — logging, tracing, health checks, metriques

Format du rapport

Emplacement : audits/audit-dd-MM-yyyy.md

Structure :

# Audit Technique — [DATE]

## Resume executif
- CRITICAL: X
- HIGH: Y
- MEDIUM: Z
- LOW: W

## Findings

### CRITICAL

#### SEC-001: [titre]
- **Localisation:** fichier(s) concernes
- **Description:** ce qui est problematique
- **Impact:** consequence si non corrige
- **Recommandation:** correction concrete
- **Effort:** S/M/L

### HIGH
...

### MEDIUM
...

### LOW
...

## Plan d'action
### Phase 1 — Critique (< 1 semaine)
### Phase 2 — Important (< 1 mois)
### Phase 3 — Amelioration continue

## Metriques cibles

Identifiants de findings

Chaque finding a un identifiant unique et stable :

• SEC-001 a SEC-NNN pour la securite
• PERF-001 a PERF-NNN pour la performance
• MAINT-001 a MAINT-NNN pour la maintenabilite
• SCALE-001 a SCALE-NNN pour la scalabilite
• DB-001 a DB-NNN pour la persistance
• ARCH-001 a ARCH-NNN pour l'architecture
• TEST-001 a TEST-NNN pour les tests
• OBS-001 a OBS-NNN pour l'observabilite

Reconciliation GitHub

Cycle de vie des issues

1. Finding nouveau → creer une issue avec label status: new
2. Finding toujours present → mettre a jour l'issue existante
3. Finding disparu → fermer l'issue avec un commentaire
4. Finding ferme qui reapparait → rouvrir l'issue

Labels d'audit

Les labels doivent etre organises en deux dimensions :

• Severite : severity: critical, severity: high, severity: medium, severity: low
• Categorie : category: security, category: performance, category: maintainability, etc.
• Status : status: new, status: in-progress, status: fixed, status: wontfix

Integration avec les agents

• @audit-expert charge ce skill en debut de mission
• @review-expert peut referencer les findings d'audit dans ses reviews
• @dev route vers @audit-expert quand une demande d'audit est detectee