Habilidade Varlock Security

Gerenciamento de variáveis de ambiente seguro por padrão para sessões do Claude Code.

Repositório: https://github.com/dmno-dev/varlock Documentação: https://varlock.dev

Quando Usar

• Você precisa trabalhar com variáveis de ambiente ou segredos em uma sessão do Claude Code sem expor seus valores.
• A tarefa envolve validar, carregar ou auditar segredos, mantendo-os fora de logs, diffs e contexto do assistente.
• Você deseja um fluxo de trabalho seguro por padrão construído em torno do Varlock em vez da inspeção direta de .env.

Princípio Central: Segredos Nunca Expostos

Ao trabalhar com o Claude, os segredos NUNCA devem aparecer em:

• Saída do terminal
• Contexto de entrada/saída do Claude
• Arquivos de log ou rastreamentos
• Commits ou diffs do Git
• Mensagens de erro

Esta habilidade garante que todos os dados sensíveis sejam devidamente protegidos.

CRÍTICO: Regras de Segurança para Claude

Regra 1: Nunca Repita Segredos

# ❌ NEVER DO THIS - exposes secret to Claude's context
echo $CLERK_SECRET_KEY
cat .env | grep SECRET
printenv | grep API

# ✅ DO THIS - validates without exposing
varlock load --quiet && echo "✓ Secrets validated"

Regra 2: Nunca Leia .env Diretamente

# ❌ NEVER DO THIS - exposes all secrets
cat .env
less .env
Read tool on .env file

# ✅ DO THIS - read schema (safe) not values
cat .env.schema
varlock load  # Shows masked values

Regra 3: Use Varlock para Validação

# ❌ NEVER DO THIS - exposes secret in error
test -n "$API_KEY" && echo "Key: $API_KEY"

# ✅ DO THIS - Varlock validates and masks
varlock load
# Output shows: API_KEY 🔐sensitive └ ▒▒▒▒▒

Regra 4: Nunca Inclua Segredos em Comandos

# ❌ NEVER DO THIS - secret in command history
curl -H "Authorization: Bearer sk_live_xxx" https://api.example.com

# ✅ DO THIS - use environment variable
curl -H "Authorization: Bearer $API_KEY" https://api.example.com
# Or better: varlock run -- curl ...

Início Rápido

Instalação

# Install Varlock CLI
tmpdir="$(mktemp -d)"
trap 'rm -rf "$tmpdir"' EXIT
curl -sSfL https://varlock.dev/install.sh -o "$tmpdir/varlock-install.sh"
cat "$tmpdir/varlock-install.sh"  # review the full installer before executing
sh "$tmpdir/varlock-install.sh" --force-no-brew

# Add to PATH (add to ~/.zshrc or ~/.bashrc)
export PATH="$HOME/.varlock/bin:$PATH"

# Verify
varlock --version

Inicializar Projeto

# Create .env.schema from existing .env
varlock init

# Or create manually
touch .env.schema

Arquivo de Schema: .env.schema

O schema define tipos, validação e sensibilidade para cada variável.

Estrutura Básica

# Global defaults
# @defaultSensitive=true @defaultRequired=infer

# Application
# @type=enum(development,staging,production) @sensitive=false
NODE_ENV=development

# @type=port @sensitive=false
PORT=3000

# Database - SENSITIVE
# @type=url @required
DATABASE_URL=

# @type=string @required @sensitive
DATABASE_PASSWORD=

# API Keys - SENSITIVE
# @type=string(startsWith=sk_) @required @sensitive
STRIPE_SECRET_KEY=

# @type=string(startsWith=pk_) @sensitive=false
STRIPE_PUBLISHABLE_KEY=

Anotações de Segurança

Anotações de Tipo

Comandos Seguros para Claude

Validando Ambiente

# Check all variables (safe - masks sensitive values)
varlock load

# Quiet mode (no output on success)
varlock load --quiet

# Check specific environment
varlock load --env=production

Executando Comandos com Segredos

# Inject validated env into command
varlock run -- npm start
varlock run -- node script.js
varlock run -- pytest

# Secrets are available to the command but never printed

Verificando Schema (Seguro)

# O schema é seguro para ler - não contém valores
cat .env.schema


…