¿Qué es security-guidance plugin (Claude Code)?
security-guidance es un plugin oficial del directorio de plugins de Claude Code de Anthropic. Tiene tres capas. En cada Edit o Write comprueba unos 25 patrones conocidos como peligrosos, como yaml.load, pickle.load sobre datos no fiables, innerHTML sin sanear y secretos escritos en el código, sin ninguna llamada a un modelo. Cuando Claude termina un turno, una llamada aparte a un modelo revisa el diff y devuelve a Claude los hallazgos de gravedad alta para que los corrija. En git commit, un revisor agéntico lee los archivos relacionados para seguir los datos por toda la base de código y detecta problemas como referencias directas inseguras a objetos, saltos de autenticación y SSRF entre archivos.
Los equipos pueden añadir reglas en lenguaje natural en .claude/claude-security-guidance.md. El número de estrellas corresponde a todo el directorio de plugins, no a este plugin; el directorio no tiene versiones etiquetadas.
¿Merece la pena security-guidance plugin (Claude Code)?
Cuando la misma IA escribe el código y lo revisa, tiende a darse la razón. security-guidance lo evita enviando el diff de cada turno a una llamada nueva a un modelo que no recuerda por qué se escribió el código.
Funciona a tres niveles de profundidad. Cada edición recibe una comprobación instantánea contra unos 25 patrones de riesgo, como pickle e innerHTML, que no cuesta nada. Cada turno terminado recibe una revisión del diff por parte de un modelo. Cada commit recibe un agente más profundo que lee los archivos de alrededor, y así encuentra fallos que abarcan varios archivos, como que un usuario lea los registros de otro.
La pega: nada de esto bloquea nada. Los hallazgos vuelven a Claude como instrucciones, y Claude aún puede pasarlos por alto o ignorarlos. Las dos revisiones basadas en modelos consumen uso en cada turno y en cada commit, y la propia documentación del plugin sugiere combinarlo con un hook que bloquee o con una comprobación en CI. El número de estrellas que ves es el de todo el directorio de plugins, no el de este plugin: unas 44.000 en el momento de escribir esto. Necesita Claude Code 2.1.144 o posterior y Python 3.8+.
Nuestra opinión: piensa en él como un compañero que lee por encima de tu hombro, no como un cerrojo en la puerta. Merece la pena por el precio de un comando de instalación, siempre que algo como Semgrep en CI siga estando entre el código y producción.
Dónde se gana su sitio
Una startup de dos personas que publica una aplicación web con Claude Code
Detectar fallos de inyección y de autenticación antes de que lleguen a main
/plugin install security-guidance@claude-plugins-official. Las comprobaciones de patrones son gratuitas; las revisiones de turno y de commit añaden uso de modelos a cada sesión.
Un responsable de AppSec en una empresa que despliega Claude Code
Codificar una sola vez las reglas de seguridad internas para todos los desarrolladores
Hacer commit de .claude/claude-security-guidance.md con las reglas en lenguaje natural y mantener un escáner en CI que bloquee como barrera real.
Antes de decidirte
- Puesta en marcha
- Ejecuta /plugin install security-guidance@claude-plugins-official dentro de Claude Code; necesita Python 3.8+ en el PATH.
- Integraciones
- Hooks de Claude Code; las revisiones se ejecutan con tu sesión de Claude, una API key o Bedrock, Vertex o Foundry.
- Datos y privacidad
- Los diffs y el código relacionado van al modelo de Claude que uses para las revisiones, con los términos de esa cuenta. Las comprobaciones de patrones se ejecutan en local.
- Coste a escala
- Plugin gratuito; la revisión del diff en cada turno y la revisión agéntica en cada commit usan por defecto el Opus más reciente, configurable con SECURITY_REVIEW_MODEL, y se facturan como uso normal.
- Límites
- No bloquea por diseño; la calidad de la revisión depende del modelo y puede pasar por alto problemas.
Lo bueno
- Un comando de instalación, sin configuración
- Una llamada aparte a un modelo revisa cada diff con contexto nuevo
- La revisión del commit sigue los datos entre archivos
- Reglas personalizadas en lenguaje natural
Lo malo
- Solo aconseja; nunca bloquea una escritura ni un commit
- Las revisiones basadas en modelos consumen uso en cada turno
- Necesita Python en el PATH
- Las estrellas reflejan todo el directorio de plugins
Ideal para
Usuarios de Claude Code que quieren una revisión de seguridad en cada cambio sin configurar nada.
Alternativas a security-guidance plugin (Claude Code)
security-guidance plugin (Claude Code): preguntas frecuentes
- ¿Merece la pena security-guidance plugin (Claude Code)?
- Para quien usa Claude Code es una mejora de seguridad a un comando de distancia, con un revisor que no se pone nota a sí mismo. Le damos un 4.2 sobre 5.
- ¿Cuánto cuesta security-guidance plugin (Claude Code)?
- Plugin gratuito con licencia Apache 2.0; las dos revisiones basadas en modelos consumen tu uso de Claude o de la API.
- ¿Qué inconvenientes tiene security-guidance plugin (Claude Code)?
- Solo aconseja; nunca bloquea una escritura ni un commit; las revisiones basadas en modelos consumen uso en cada turno; necesita Python en el PATH; las estrellas reflejan todo el directorio de plugins.
- ¿Para quién es security-guidance plugin (Claude Code)?
- Usuarios de Claude Code que quieren una revisión de seguridad en cada cambio sin configurar nada.
- ¿Cuánto cuesta security-guidance plugin (Claude Code) para un equipo o en producción?
- Plugin gratuito; la revisión del diff en cada turno y la revisión agéntica en cada commit usan por defecto el Opus más reciente, configurable con SECURITY_REVIEW_MODEL, y se facturan como uso normal.
- ¿Es security-guidance plugin (Claude Code) seguro para los datos de la empresa?
- Los diffs y el código relacionado van al modelo de Claude que uses para las revisiones, con los términos de esa cuenta. Las comprobaciones de patrones se ejecutan en local.
- ¿Cuáles son las mejores alternativas a security-guidance plugin (Claude Code)?
- Las alternativas más cercanas que hemos analizado son Trail of Bits Skills y Cloudflare Security Audit Skill.
Respuestas comprobadas el 24 oct 2026.