// Agentes e skills //

roda no Claude Code

Uma skill para o Claude Code que faz o Claude testar, ou montar o teste, da área paga de um aplicativo web. Serve a quem vai abrir uma área de assinante e a quem já tem uma e nunca conferiu o que a página entrega por baixo da tela. O Claude escreve os dados de exemplo, as sessões de teste e os testes, tudo contra o seu ambiente local; rodar qualquer coisa no site publicado depende do seu aval, e só no seu próprio site. A ideia central: o conteúdo pago de teste se anuncia sozinho. Cada texto pago dos dados de exemplo leva um marcador único no começo e outro no fim, e o teste procura esses marcadores na resposta crua de cada rota (o HTML e os dados que o framework manda junto), antes de o navegador esconder qualquer coisa. A mesma página é pedida como visitante, logado sem plano, assinante e admin. Ela começa lendo o projeto e descobrindo em que ponto o teste está: sem teste de vazamento, suspeita de vazamento ("o texto aparece no código-fonte da página"), teste que só olha a tela, teste que passa na ponta e só nela, ou ida a produção. O que ela entrega: marcadores nos dados de exemplo, com dois itens pagos, um livre e um rascunho; teste de vazamento em Playwright, sem navegador, com controles positivos (quem paga tem de receber) e um teste que quebra quando surge marcador não classificado; sessões por persona, com trava que recusa banco que não é local; teste de banco por persona, em Postgres puro, que varre o que visitante, logado e ex-assinante conseguem ler e tenta a autopromoção; teste de fronteira em Vitest, com cinco regras lidas do código-fonte, entre elas "só uma função lê o conteúdo pago"; e a sonda, o script sonda.py, que pede cada rota como visitante, ou com um cookie passado por variável de ambiente, e diz em que rota cada marcador apareceu. Vêm quatro fichas de consulta e cinco moldes. Limites: o teste prova o que procura. Conteúdo sem marcador, rota fora da lista e marcador que chega codificado ou compactado não são encontrados; "limpo" quer dizer "não achei o que procurei", para aquela persona, naquelas rotas. Em produção não há marcador: a conferência por fora usa trechos do conteúdo de verdade, escolhidos por você. A skill não impede cópia por quem pagou e não é teste de invasão. A sonda só faz GET, não executa JavaScript e não segue redirecionamento para outra página. Os moldes saíram de um sistema em Next.js 16 com Postgres e segurança por linha; a sonda rodou contra um servidor de brinquedo local e os moldes SQL em Postgres 18, e o teste de vazamento e as sessões passaram no verificador de tipos mas não foram executados nesta forma: o teste final é no seu projeto. Vídeo por transmissão e arquivo servido por rede de distribuição ficam de fora. Requisitos: Python 3.8 ou mais novo, só para a sonda, que usa só a biblioteca padrão, só faz GET, faz uma requisição por rota e nunca imprime o valor do cookie. Por padrão ela aceita apenas endereço local; outro endereço exige o parâmetro --site-proprio, e é para o seu próprio site. Para instalar, descompacte o .zip em ~/.claude/skills/.

• Roda no Claude Code
• Avançado