"outputs": ["dist/**", ".env.production"] copia tus secretos de producción en cada artefacto de caché, y una tarea de despliegue sin "cache": false puede reproducirse desde la caché en lugar de ejecutarse: Turborepo muestra los registros antiguos e informa éxito aunque no se haya desplegado nada. Esta skill encuentra esos y los demás errores de caché en monorepos que se describen a continuación antes de tu próxima build, y te indica cómo solucionar cada uno.

Tu agente ejecuta un escáner sobre turbo.json y turbo.jsonc, nx.json, project.json, los archivos package.json que usan turbo, nx o lerna (scripts, dependencies y nx targets), los flujos de trabajo de CI y los Dockerfiles que ejecutan turbo o nx, y el código JavaScript y TypeScript de un workspace de Turborepo (se omite el output de build). Lee JSON con comentarios, conoce los valores predeterminados actuales (Turborepo almacena en caché cada tarea y se ejecuta en modo env estricto; Nx solo almacena en caché los targets marcados con "cache": true), combina los archivos turbo.json de los paquetes con el raíz que está por encima de ellos, conoce las variables que Turborepo pasa a cada tarea y los prefijos de framework que infiere, distingue las tareas de solo lectura como lint:migrations o release:notes de los despliegues reales, y trata las referencias a secretos de CI y los placeholders comentados como lo que son. Nunca ejecuta turbo, nx ni tu código. Devuelve BLOCK, REVIEW o NOT FLAGGED, con el archivo, la línea, el motivo y un enfoque más seguro. Los secretos nunca se muestran.

Qué comprueba

BLOCK (corregir antes de publicar)

• M01: archivos .env y otros archivos secretos (.pem, .key, .npmrc, claves SSH) en los outputs de las tareas, donde cada copia de caché y cada subida a la caché remota los conserva
• M02: tareas de deploy, publish, release y migrate que pueden servirse desde la caché (sin "cache": false en Turborepo, "cache": true o cacheableOperations en Nx); las tareas de solo lectura como lint:migrations, migrations:check o release:notes no se reportan
• M03: TURBO_TOKEN, tokens de Nx Cloud, la clave de firma de la caché remota o la clave secreta de la caché S3 de Nx escritas en líneas activas de archivos de CI, Dockerfiles, scripts de package.json o nx.json

REVIEW (revisar antes del lanzamiento)

• M11: tareas de build en el turbo.json raíz sin outputs
• M12: variables de entorno que el código lee (también dentro de template literals) que ningún turbo.json declara, un hallazgo por variable
• M13: modo env laxo
• M14: una caché remota autohospedada de Turborepo (remoteCache.apiUrl, TURBO_API) sin verificación de firma; la Vercel Remote Cache configurada como indican los documentos de Turborepo no se reporta
• M15: la clave pipeline de Turborepo 1.x
• M16: inputs de tareas sin $TURBO_DEFAULT$
• M17: un token de acceso de Nx Cloud en nx.json
• M18: las cachés obsoletas S3, GCS, Azure y shared-fs de Nx (CVE-2025-36852)
• M19: un token de caché con apariencia real en una línea comentada de CI o de un Dockerfile (los placeholders como your-token no se reportan)

Qué incluye

• El escáner (Python 3.9+, solo biblioteca estándar)
• Una guía de reglas con el motivo, el enfoque más seguro y la fuente oficial de cada regla
• Repositorios de ejemplo de riesgo y seguros (una empresa con Turborepo 2, una app con Turborepo 1.x y una plataforma con Nx), y el informe real que genera el escáner sobre los de riesgo

Límites

Lee cada archivo tal como está escrito: no detecta las tareas que infieren los plugins de Nx, los ajustes guardados en los paneles de Nx Cloud o Vercel (alcance de tokens, niveles de acceso del workspace) ni la caché remota que Vercel activa para sus propias builds. Las variables de entorno se comparan entre todos los archivos turbo.json del análisis, no por tarea, el acceso a env mediante funciones auxiliares no se sigue, el output de build en carpetas que ningún glob de outputs, campo main o nombre conocido señala se lee como código fuente, y un archivo .env detectado solo por un glob de output amplio como ** no se reporta. NOT FLAGGED no es una garantía.

Contenido

Un archivo ZIP con 29 archivos: SKILL.md, el escáner en scripts/ (6 archivos Python), references/rules.md (cada regla con su motivo y su enfoque más seguro), y examples/ (20 archivos de ejemplo más report.md, la salida real del escáner sobre el ejemplo de riesgo).

Cómo usarlo: Esta es una skill de agente: una carpeta con un archivo SKILL.md y scripts de Python que un agente de codificación con IA, como Claude Code, Cursor o Codex CLI, puede ejecutar. Descomprímela en la carpeta de skills de tu agente (para Claude Code: ~/.claude/skills/), y luego pídele a tu agente que revise tu proyecto. Los scripts también se ejecutan por su cuenta con Python 3.9 o más reciente, sin nada que instalar. Solo leen tus archivos: sin acceso a la red, y no se envía nada a ningún lugar.