42Crunch API Security Audit を実行し、OpenAPI 仕様ファイル内の SQG ブロック（セキュリティ基準の達成を阻む問題）を修正します。 次のような場合に使用: ユーザーが OAS（OpenAPI 仕様）ファイルのセキュリティ問題を監査したい、SQG ブロック問題を修正したい、API のスコア算出をしたい、データ辞書の充実化を適用したい、または監査結果の改善に対応したいとき。「audit を実行」「audit のみ」「audit 問題を修正」「SQG audit」「42crunch audit」「audit スコア」など、実際の動作確認を伴わない OpenAPI 仕様ファイルの静的解析と改善に関する表現がトリガーになります。
Run a 42Crunch API Security Audit and fix SQG-blocking issues in an OpenAPI Specification file. Use this skill whenever the user wants to audit an OAS file for security issues, fix SQG-blocking issues, score an API, apply data dictionary enrichment, or remediate audit findings. Triggers on phrases like "run audit", "audit only", "fix audit issues", "SQG audit", "42crunch audit", "audit score", or any request focused on static OAS analysis and remediation without running a live scan.
単一フェーズを実行します: Audit（監査）（API仕様書の静的解析、セキュリティ品質スコアのレポート作成、および問題修正ループ）。実行前に利用者の明示的な許可が必要です。ライブスキャン（実行中のAPIをテストする検査）は実行しません。その場合は 42crunch-scan スキルを使用してください。
事前チェック実施。 ../../references/pre-flight.md を読み、すべての手順（セットアップ、API仕様書の読み込み、タグ検出）を完了します。API仕様書ファイルの選択を促す際は、コンテキストとして「audit」を使用してください（例: 「どのファイルを監査しましょうか?」）。いずれかの手順が失敗するか利用者がキャンセルした場合は先に進まないでください。
許可を求める。 AskUserQuestion を呼び出します:
「<filename> で 42Crunch Audit を実行する準備ができました。API仕様書を分析してスコア付きレポートを作成します。進めてもよろしいですか?」「はい、進める」「いいえ、キャンセル」監査を実行。 モードはすでに事前チェックで確定しています。改めて判定し直さないでください。../../references/audit-workflow.md を読み、確定したモードに対応するコマンドのみをワークフロー全体で適用します。
ワークフローは監査を実行してから、開発者向けの分かりやすいリスク分類レポート（SQG-Blocking（必須修正項目）/ Security（セキュリティ）/ Data Validation（データ検証）の3段階）を提示します。レポートには実際のルールIDではなく、平易な英語のタイトルとリスク説明を含めます。その後一旦停止し、修正を適用する前に利用者の同意を求めます。修正は利用者の明示的な承認後のみ適用されます。
最終監査サマリーを表示します（下の「出力形式」を参照）。
結果に基づいて次のステップを提案します:
SQG（セキュリティ品質スコア）が合格した場合:
「監査が完了し、セキュリティ品質スコアが合格しました。次のステップは、ライブスキャンを実行して、実行中のAPIインスタンスに対する適合性と認可をテストすることです。API サーバーが稼働したら、『scan を実行』と言ってください。」
SQG が不合格で利用者が修正を拒否した場合:
「監査結果は上に保存されています。必須修正項目に対応する準備ができたら、このファイルで
42crunch-auditをもう一度実行してください。修正を適用します。監査が合格したら、42crunch-scanを実行してライブAPIをテストします。」
問題が見つからなかった場合:
「問題は見つかりません。API の監査結果はクリーンです。ライブスキャンを実行して、実際の API がAPI仕様書と一致しているか確認してください。」
各許可プロンプトで利用者の明示的な確認を得た後のみ先に進んでください。
監査完了後、以下の形式でサマリーを作成します:
監査完了
スコア: <スコア> / 100 (セキュリティ: <セキュリティスコア> · データ検証: <データスコア>)
スコア変化: <初期スコア> → <スコア> (<変化>) | データ: <初期データ> → <データスコア> (<データ変化>) ← 修正未適用の場合は省略
SQG: 合格 (<SQG名> — 貴社のセキュリティ品質ゲートを満たしています) ← プラットフォームモード、合格
SQG: 不合格 (<SQG名> — 品質ゲートを満たしていません。上記の修正が必要です) ← プラットフォームモード、不合格
SQG: N/A (フリーミアム — 自動ゲートなし。このセッションではユーザー定義の閾値を適用しました) ← フリーミアムモード
モード: プラットフォーム / フリーミアム
タグ: <カテゴリ>:<タグ名> ← プラットフォームモードのみ、タグが割り当てられている場合。タグがない場合は この行を省略
修正した問題: 2 個の必須修正項目 (0 セキュリティ · 2 データ検証)
OAS 更新: <パス/to/openapi.json>
現在のモードと結果に一致する SQG の行のみを表示します。
「スコア変化」行は ../../references/audit-workflow.md のステップ4で計算された差分値から作成されます。修正が適用されていない場合（利用者が同意ゲートで拒否した、または必須修正項目がなかった）は、この行を省略します。
修正の適用を利用者が拒否した場合は、その旨を記載します。
Runs a single phase: Audit (static OAS analysis, SQG reporting, and
SQG-blocking fix loop). Requires explicit user permission before execution.
Does not run a live scan — use the 42crunch-scan skill for that.
Pre-flight checks. Read ../../references/pre-flight.md and complete
all steps (setup, OAS resolution, tag detection). When prompting for OAS
file selection, use the context "audit" (e.g. "Which one should I audit?").
Do not proceed if any step fails or the user cancels.
Ask for permission. Call AskUserQuestion:
"Ready to run a 42Crunch Audit on <filename>. This will analyse your OAS file and produce a scored report. Shall I proceed?"["Yes, proceed", "No, cancel"]Execute the Audit. Mode is already resolved from pre-flight — do not
re-derive it. Read ../../references/audit-workflow.md and apply only the
commands for the identified mode throughout.
The workflow runs the audit, then presents a developer-readable,
risk-classified report (SQG-Blocking / Security / Data Validation tiers)
with plain-English titles and risk descriptions — no raw rule IDs. It then
pauses and asks the user to consent before applying any fixes. Fixes are
only applied after explicit confirmation.
Present the final audit summary (see Output Format below).
Recommend next steps based on the outcome:
If SQG PASSED:
"Your audit is complete and the SQG is passing. The natural next step is to run a live scan to test conformance and authorization against a running instance of your API. Just say
run scanwhen your API server is available."
If SQG FAILED (user declined to fix):
"Your audit findings are saved above. When you're ready to address the SQG-blocking issues, run
42crunch-auditagain on this file and I'll apply the fixes. Once the audit passes, run42crunch-scanto test the live API."
If no issues found:
"No issues found — your API has a clean audit result. Run
42crunch-scanto verify the live API matches its contract."
Only continue after explicit user confirmation at each permission prompt.
After the audit completes, produce a summary in this shape:
Audit Complete
Score: <score> / 100 (Security: <sec-score> · Data Validation: <data-score>)
Score change: <initial-score> → <score> (<delta>) | Data: <initial-data> → <data-score> (<data-delta>) ← omit if no fixes applied
SQG: PASSED (<sqg-name> — your org's security quality gate is met) ← platform mode, passed
SQG: FAILED (<sqg-name> — the quality gate is not met; fixes above are required) ← platform mode, failed
SQG: N/A (Freemium — no automated gate; user-defined thresholds applied this session) ← freemium mode
Mode: Platform / Freemium
Tag: <category>:<tagname> ← platform mode only, when a tag is assigned; omit this row if no tag
Issues fixed: 2 SQG-blocking (0 security · 2 data validation)
OAS updated: <path/to/openapi.json>
Show only the one SQG line that matches the current mode and result.
The Score change: row is produced from the delta values computed in Step 4 of
../../references/audit-workflow.md. Omit it when no fixes were applied (user
declined at the consent gate, or there were no SQG-blocking issues).
If the user declined to apply fixes, note that instead.
原文・著作権は Anthropic および各プラグイン作者に帰属します。日本語訳は Claude API による自動翻訳です。