Desde el 2026-09-21, CircleCI rechaza las configuraciones de versión 2.0, los filtros de rama como /^(?!main).*/ y los parámetros que se usan pero nunca se declaran, así que el pipeline falla antes de que arranque ningún job. Un token de Sentry pegado bajo environment: puede leerlo cualquiera con acceso al proyecto, y un job de despliegue con un contexto aws-production que se ejecuta en todas las ramas entrega esas credenciales a cualquiera que pueda hacer push de una rama. Esta skill detecta esos y los demás errores de CircleCI que se indican abajo, y te explica cómo corregir cada uno.

Tu agente ejecuta un escáner sobre cada archivo YAML de .circleci/ (config.yml, configuraciones de continuación para setup workflows y dynamic config, fragmentos de configuración empaquetados) o sobre el archivo de configuración que indiques. Entiende los orbs (del registro, por URL e inline), executors, jobs, commands, workflows, contextos, jobs de aprobación, filtros, parámetros de pipeline y valores << >>, anclas de YAML, y asigna los bloques run: | a sus números de línea reales. Reconoce las referencias $NAME, los parámetros de orb env_var_name, las contraseñas de bases de datos de prueba en contenedores de servicio (también cuando un comando las reutiliza) y ajustes como OIDC_TOKEN_AUDIENCE: sts.amazonaws.com, para no reportarlos como filtraciones. Las reglas con una fecha límite de CircleCI se comparan con la fecha de hoy. Nunca ejecuta un job ni la CircleCI CLI, y nunca usa la red. Devuelve BLOCK, REVIEW o NOT FLAGGED, con el archivo, la línea, el motivo y un enfoque más seguro, y enlaza la página de CircleCI que respalda cada regla que la tiene. Los secretos nunca se muestran.

Qué comprueba

BLOCK (corregir antes de publicar)

• C01: contraseñas, tokens y claves escritos en la configuración (valores de environment, docker auth, parámetros de orbs y jobs, valores por defecto de parámetros, curl -u, cabeceras Authorization, docker login -p, un literal pasado con echo a docker login --password-stdin, npm _authToken, contraseñas en URL, formatos de token de GitHub, AWS, CircleCI, npm, Slack y otros, claves privadas)
• C02: scripts o binarios descargados por http:// o con las comprobaciones TLS desactivadas y luego ejecutados sin checksum
• C03: orbs referenciados como @volatile o con una versión dev: (excepto el orb que publica un repositorio de orbs en su propio pipeline de pruebas)
• C04: configuración que CircleCI ya no compila: versión distinta de 2.1, filtros regex con lookarounds negativos, cuantificadores posesivos o referencias inversas, parámetros no declarados, parámetros de pipeline en orbs inline, nombres de jobs con dos puntos o paréntesis, branches en un job, resource_class dentro de machine, un config.yml vacío y, a partir del 2026-12-14, las advertencias del validador de C19
• C05: executors retirados: Ubuntu 14.04/16.04 e imágenes machine fechadas 20.04/22.04 retiradas, versiones de Xcode retiradas (16.2.0 y 26.2.0 a partir del 2026-12-07), macOS Intel y clases de recursos M1/M2

REVIEW (revisar antes del lanzamiento)

• C11: orbs de partners y de la comunidad fijados solo a una versión mayor o menor, y orbs por URL en una rama en lugar de un commit
• C12: imágenes Docker sin etiqueta o con latest, imágenes machine en edge
• C13: nombres de ramas, etiquetas, mensajes de commit, títulos de pull requests, cuerpos de webhooks y parámetros de pipeline de tipo string insertados en comandos run (también a través de un parámetro de job)
• C14: add_ssh_keys sin fingerprints
• C15: imágenes antiguas circleci/, imágenes machine circleci/classic y Ubuntu 20.04, Xcode 16.2.0 y 26.2.0 antes de su retirada el 2026-12-07, machine: true sin imagen
• C16: curl | bash, bash <(curl ...) y descargar y luego ejecutar por HTTPS sin comprobar checksum ni firma
• C17: jobs de deploy, release, publish o firma con un contexto que se ejecutan en todas las ramas, sin filtro, job de aprobación ni condición de workflow (no se cuentan los despliegues non-prod, preview, staging y dev)
• C18: valores de pipeline retirados: pipeline.trigger_parameters.circleci.*, pipeline.trigger_parameters.github_app.*, pipeline.trigger_source, $CIRCLE_COMPARE_URL
• C19: advertencias del validador de configuración que bloquean pipelines a partir del 2026-12-14 (valor por defecto de enum que no está en su enum, paso run sin comando, when junto a un paso, workflow con when y unless a la vez, nombre de command no válido, requires vacío, docker: o steps: sin contenido, parallelism o método de checkout incorrectos, argumentos de job o command no declarados, tipo de job generado por plantilla); se reportan como C04 a partir de ese día

Qué incluye

• El escáner (Python 3.9+, solo biblioteca estándar)
• Una guía de reglas con el motivo, el enfoque más seguro y la fuente oficial de CircleCI de cada regla (C13 no tiene: ninguna página de CircleCI lo trata)
• Un ejemplo arriesgado y uno seguro (una tienda online con jobs de despliegue para web, iOS y AWS), y el informe real que genera el escáner sobre el arriesgado

Limitaciones

Lee cada archivo tal como está escrito. No ve los ajustes guardados fuera del repositorio: variables de entorno del proyecto, restricciones de contextos, el envío de secretos a pull requests desde forks, listas de orbs permitidos, políticas de configuración y protección de ramas. El código fuente de los orbs no se descarga, así que no se sigue lo que un orb hace con sus parámetros. Las listas de imágenes, versiones de Xcode y clases de recursos retiradas siguen el registro de cambios de CircleCI hasta noviembre de 2026. Algunos fragmentos de la documentación oficial se reportan a propósito (por ejemplo, un echo de << pipeline.git.branch >> o de un parámetro de pipeline de tipo string en un paso run); C13 se basa en cómo CircleCI escribe los valores << >> en la configuración, ya que ninguna página de CircleCI advierte sobre ello. El ejemplo arriesgado no tiene ningún hallazgo C19, porque C19 pasa a ser C04 el 2026-12-14. NOT FLAGGED no es una garantía.

Contenido

Un archivo ZIP con 11 archivos: SKILL.md, el escáner en scripts/ (6 archivos Python), references/rules.md (cada regla con su motivo y enfoque más seguro) y examples/ (2 archivos de ejemplo más report.md, la salida real del escáner sobre el ejemplo arriesgado).

Cómo usarla: Esta es una skill para agentes: una carpeta con un archivo SKILL.md y scripts de Python que un agente de programación con IA como Claude Code, Cursor o Codex CLI puede ejecutar. Descomprímela en la carpeta de skills de tu agente (para Claude Code: ~/.claude/skills/) y luego pide a tu agente que revise tu proyecto. Los scripts también funcionan por sí solos con Python 3.9 o posterior, sin instalar nada. Solo leen tus archivos: sin acceso a la red, y no se envía nada a ningún sitio.