skill bảo mật claude code là các bộ hướng dẫn SKILL.md mà Claude Code đọc và làm theo để rà soát mã nguồn, tìm lỗ hổng, phát hiện secret bị lộ và kiểm tra cấu hình theo OWASP Top Ten. Bạn cài skill vào thư mục ~/.claude/skills rồi gọi bằng lệnh /tên-skill trong phiên làm việc.
Cập nhật: 31/10/2026
Tóm tắt nhanh
- Skill bảo mật Claude Code là file SKILL.md chứa quy trình kiểm tra, Claude chỉ tải nội dung khi bạn gọi hoặc khi nó thấy phù hợp.
- Bạn có thể cài skill chỉ bằng một dòng lệnh, thư mục cài mặc định của Claude Code là ~/.claude/skills.
- Skill security-and-hardening giúp gia cố code trước các lỗ hổng trong OWASP Top Ten, đặc biệt khi xử lý đầu vào người dùng và đăng nhập.
- Skill security-pen-testing hỗ trợ quét lỗ hổng, phát hiện secret, quét dependency và tạo báo cáo pen test.
- Skill senior-security hỗ trợ STRIDE threat modeling và chấm điểm rủi ro DREAD trước khi bạn viết code.
- Kết quả skill chỉ đáng tin khi bạn tự đọc lại, chạy thử và chỉ kiểm tra hệ thống mà bạn có quyền.
Skill bảo mật Claude Code là gì và khi nào nên dùng?
Skill bảo mật Claude Code là một thư mục chứa file SKILL.md với hướng dẫn từng bước, để Claude Code thực hiện một tác vụ bảo mật lặp lại. Theo tài liệu chính thức của Claude Code, skill phù hợp khi bạn hay dán cùng một checklist vào chat, hoặc khi quy trình đã dài đến mức không nên để hết trong CLAUDE.md.
Điểm khác với CLAUDE.md là nội dung skill chỉ được nạp khi cần, nên tài liệu tham khảo dài không làm chậm các phiên làm việc khác. Bạn có thể gọi trực tiếp bằng /tên-skill hoặc để Claude tự chọn khi thấy liên quan. Nếu bạn chưa rõ skill là gì, hãy đọc thêm skill claude là gì trước khi cài.
Bài toán thực tế: làm sao kiểm tra code web trước khi đưa lên mạng?
Khi bạn tự làm một website bán hàng hoặc ứng dụng nhỏ bằng Claude Code, các lỗi phổ biến nhất là form nhận dữ liệu chưa kiểm tra, mật khẩu lưu sai cách và khóa API bị đẩy lên GitHub. Bạn không cần là chuyên gia để kiểm tra những lỗi này, nhưng cần một quy trình rõ ràng.
Bảng dưới đây ghép từng nhu cầu với skill phù hợp trong kho.
| Nhu cầu thực tế | Skill nên dùng | Lệnh gọi trong Claude Code |
|---|---|---|
| Gia cố form đăng nhập, xử lý đầu vào người dùng | security-and-hardening | /security-and-hardening |
| Quét secret, dependency, lỗ hổng API | security-pen-testing | /security-pen-testing |
| Phân tích mối đe dọa trước khi viết tính năng | senior-security | /senior-security |
| Rà soát cấu hình cloud (S3, IAM, security group) | cloud-security | /cloud-security |
| Bảo vệ cụm Kubernetes | k8s-security-policies | /k8s-security-policies |
Bạn không cần cài tất cả. Với đa số dự án web nhỏ, bắt đầu từ security-and-hardening và security-pen-testing là đủ. Danh mục tổng hợp nằm tại danh mục skill bảo mật trên skill.dn1nguoi.com.
Thử ngay: Xem danh sách skill bảo mật đã được phân nhóm, cài bằng một dòng lệnh và dùng miễn phí. Kho có hơn 4.000 skill để bạn so sánh thêm. Mở danh mục bảo mật
Cách cài và gọi skill bảo mật trong Claude Code?
Bạn cài skill bằng một lệnh curl kết hợp tar, lệnh này tải file nén của skill và giải nén vào ~/.claude/skills. Sau khi cài, gõ /tên-skill trong Claude Code để gọi skill đó. Hướng dẫn đầy đủ cho công cụ này có tại trang hướng dẫn Claude Code.
Lệnh cài mẫu cho skill security-and-hardening:
mkdir -p ~/.claude/skills && curl -fsSL https://skill.dn1nguoi.com/z/security-and-hardening-3fd45.tgz | tar xz -C ~/.claude/skillsCấu trúc lệnh này dùng cho mọi skill, chỉ cần thay phần id. Ví dụ với security-pen-testing, id là security-pen-testing-86548. Sau khi cài xong, bạn mở Claude Code và gõ:
/security-and-hardening kiểm tra file login.js này về lỗ hổng injection và xử lý mật khẩuNếu bạn dùng Codex CLI, thư mục cài là ~/.codex/skills và cách gọi là $tên-skill. Bạn xem thêm trên trang hướng dẫn Codex. Nếu chưa quen với việc cài đặt, bạn có thể đọc cách cài skill cho Claude Code để làm từng bước.
Quy trình mẫu: rà soát một tính năng đăng nhập từng bước
Quy trình dưới đây áp dụng cho một trang đăng nhập đơn giản viết bằng Claude Code. Mỗi bước dùng một skill riêng để kết quả không bị lẫn lộn.
Bước 1: Phân tích mối đe dọa
Trước khi viết code, bạn gọi /senior-security để chạy STRIDE threat modeling trên luồng đăng nhập. Skill này cũng chấm điểm rủi ro DREAD, giúp bạn biết lỗi nào cần sửa trước.
Bước 2: Gia cố code
Sau khi viết, bạn gọi /security-and-hardening và yêu cầu kiểm tra xử lý đầu vào, xác thực và cách lưu session. Skill này đối chiếu với OWASP Top Ten nên bạn có danh sách lỗi cụ thể để sửa.
Bước 3: Quét secret và dependency
Cuối cùng, gọi /security-pen-testing để quét mã nguồn tìm secret bị ghi cứng, kiểm tra dependency và tạo báo cáo. Bạn đọc lại báo cáo, sửa từng mục rồi chạy lại để xác nhận.
Lưu ý chất lượng khi dùng skill bảo mật
Kết quả từ skill là gợi ý để bạn kiểm tra, không thay thế cho việc đánh giá bảo mật chuyên nghiệp. Claude có thể bỏ sót lỗi hoặc báo động nhầm, nên bạn cần đọc lại từng mục trước khi sửa.
| Tình huống | Việc nên làm |
|---|---|
| Skill báo lỗi nhưng bạn không hiểu | Hỏi lại Claude giải thích kèm đoạn code liên quan |
| Skill yêu cầu quét hệ thống của người khác | Chỉ thực hiện khi có văn bản ủy quyền rõ ràng |
| Code có secret thật | Thu hồi khóa cũ trước, rồi mới xóa khỏi lịch sử git |
| Cần đánh giá cho hệ thống sản xuất | Thuê chuyên gia hoặc đối chiếu với tài liệu chính thức |
Bạn nên đọc thêm về tự động hóa công việc bằng AI agent nếu muốn đưa các bước rà soát này vào quy trình định kỳ. Luôn chạy skill trên môi trường thử trước, và không dán mật khẩu hay khóa thật vào khung chat.
Tìm skill bảo mật Kubernetes và cloud khi nào?
Skill cloud-security phù hợp khi bạn đánh giá cấu hình AWS, Azure hoặc GCP như S3 bị công khai, quyền IAM quá rộng hoặc security group mở. Skill k8s-security-policies phù hợp khi bạn triển khai NetworkPolicy, RBAC và Pod Security Admission trên cụm Kubernetes.
Với Kubernetes, tài liệu skill ghi rõ PodSecurityPolicy đã bị loại bỏ từ Kubernetes 1.25, nên bạn nên dùng Pod Security Admission thay thế. Nếu bạn chỉ làm web nhỏ hoặc ứng dụng nội bộ, hai skill này thường chưa cần thiết. Bạn có thể xem tổng hợp bài về AI Agent Skills tại tổng hợp bài về AI Agent Skills để chọn tiếp.
Bạn có thể dùng skill bảo mật cùng DeepSeek hoặc Hermes Agent không?
Có, các skill trong kho được đóng gói để cài cho nhiều công cụ, mỗi công cụ có thư mục riêng. Hermes Agent dùng ~/.hermes/skills và gọi bằng /tên-skill. DeepSeek qua Deep Code CLI dùng ~/.deepcode/skills.
| Công cụ | Thư mục cài | Cách gọi | Trang hướng dẫn |
|---|---|---|---|
| Claude Code | ~/.claude/skills | /tên-skill | Xem tại đây |
| Codex CLI | ~/.codex/skills | $tên-skill | Xem tại đây |
| Hermes Agent | ~/.hermes/skills | /tên-skill | Xem tại đây |
| DeepSeek (Deep Code CLI) | ~/.deepcode/skills | tùy công cụ | Xem tại đây |
Thử ngay: Cài skill security-and-hardening chỉ bằng một dòng lệnh rồi gọi /security-and-hardening trong Claude Code để rà soát đoạn code đầu tiên của bạn. Skill miễn phí và có trong kho hơn 4.000 skill. Xem skill security-and-hardening
Câu hỏi thường gặp
Skill bảo mật Claude Code có miễn phí không?
Theo thông tin hiện có, các skill trong kho skill.dn1nguoi.com được cung cấp miễn phí và cài bằng một dòng lệnh. Chi phí sử dụng Claude Code phụ thuộc vào gói bạn đang dùng, bạn nên xem trang chính thức tại thời điểm cập nhật 31/10/2026 để biết mức phí mới nhất.
Skill bảo mật có thay thế được kiểm thử xâm nhập chuyên nghiệp không?
Không. Skill chỉ giúp bạn rà soát, phát hiện lỗi phổ biến và tạo báo cáo nháp. Với hệ thống sản xuất có dữ liệu nhạy cảm, bạn vẫn cần chuyên gia đánh giá và đối chiếu kết quả với tài liệu chính thức.
Tôi cài skill vào thư mục nào và làm sao để gỡ?
Claude Code đọc skill từ ~/.claude/skills, nên skill được cài vào thư mục này. Để gỡ, bạn xóa thư mục con tương ứng với skill đó trong ~/.claude/skills rồi khởi động lại phiên làm việc.
Skill có tự động sửa code của tôi không?
Skill hướng dẫn Claude kiểm tra và đề xuất sửa, nhưng bạn nên xem từng thay đổi trước khi chấp nhận. Luôn dùng git hoặc bản sao lưu để có thể hoàn tác nếu kết quả không đúng ý bạn.
Tôi có cần biết lập trình để dùng skill bảo mật không?
Bạn không cần viết code, nhưng cần hiểu cơ bản về file, thư mục và dòng lệnh trong terminal. Bạn có thể bắt đầu bằng việc hỏi Claude giải thích từng cảnh báo bằng tiếng Việt trước khi quyết định sửa.