01 Tres comandos, tres preguntas distintas
Antes de buscar plugins o skills de revisión de código, mira lo que ya tienes: Claude Code incluye tres comandos que no requieren instalación ni claves aparte. No son variantes del mismo: cada uno contesta una pregunta diferente sobre tu cambio y conviene usarlos juntos.
| Comando | Pregunta que responde | Cómo lo hace |
|---|---|---|
| /verify | ¿Mi cambio funciona de verdad? | Construye y arranca la aplicación y observa el resultado, en lugar de fiarse de los tests o del type check. |
| /code-review | ¿Hay bugs en lo que he tocado? | Revisa los commits de tu rama que aún no están en el upstream más los cambios sin commitear. |
| /security-review | ¿Abre algún agujero de seguridad? | Analiza el diff entre tu rama y la rama por defecto de origin buscando inyecciones, fallos de autenticación o exposición de datos. |
02 /verify: ver el cambio funcionando, no solo en verde
Que los tests pasen solo demuestra que no has roto lo que alguien ya cubrió con pruebas. Que el type check esté limpio solo demuestra que los tipos encajan. Ninguna de las dos cosas confirma que el botón nuevo haga lo que debe. /verify cubre ese hueco: compila tu proyecto, lo arranca y comprueba el resultado en la superficie donde vive el código.
Deduce cómo arrancar a partir del tipo de proyecto (CLI, servidor, interfaz de terminal o aplicación de navegador) y de lo que encuentra en tu README, package.json o Makefile. Cuanto mejor documentado esté el arranque, mejor verifica.
/run
Arranca la aplicación y la deja funcionando para que la pruebes tú a mano. No emite veredicto.
/verify
Arranca, ejecuta el caso y te dice si el resultado coincide con lo esperado.
/run-skill-generator
Graba la receta de arranque (instalación, variables de entorno, comandos) como skill en .claude/skills/run-nombre/ para que /run y /verify no tengan que adivinarla.
Quiero que verifiques este cambio ejecutando la aplicación, no los tests.
Cambio: [describe el cambio en una frase]
Dónde se nota: [ruta, pantalla, endpoint o comando]
Pasos para llegar: [inicio de sesión, navegación, datos previos]
Entrada de prueba: [qué escribir o enviar]
Resultado correcto: [lo que debería verse exactamente]
Cuenta lo que observes tal cual. Si no consigues llegar a ese punto, dime en qué paso te quedas en vez de dar el cambio por bueno. Termina con tres líneas: qué ejecutaste, qué viste y tu veredicto.03 /code-review: una segunda lectura de tu diff
Sin argumentos, /code-review revisa tu trabajo en curso: los commits de la rama que van por delante del upstream y lo que tengas sin commitear. Busca errores de corrección (lógica, casos límite, manejo de errores) y, según el modelo y el esfuerzo, también oportunidades de limpieza. Se ejecuta como subagente en segundo plano con su propio contexto, así que puedes seguir trabajando y los hallazgos llegan a la conversación al terminar. /review es un alias.
/code-review [low|medium|high|xhigh|max|ultra] [--fix] [--comment] [--max-findings n|all|default] [pr#|rama|ruta]| Opción | Qué cambia |
|---|---|
| low | Solo los hallazgos en los que tiene más confianza. Menos falsos positivos; ideal para el día a día. |
| medium a max | Amplía la cobertura: verás más posibles problemas, y algunos no lo serán. Úsalo en pagos, autenticación o migraciones. |
| ultra | Revisión profunda con varios agentes en la nube. En Pro y Max incluye algunas ejecuciones gratuitas y luego consume créditos de uso. |
| --fix | Aplica los arreglos a tu árbol de trabajo tras la revisión. |
| --comment | Publica los hallazgos como comentarios en el pull request de GitHub (o como nota en GitLab). |
| Objetivo | Un archivo, un número de PR, una rama o un rango como main...mi-rama. |
Si no indicas nivel, reutiliza el último que escribiste entre low y max, incluso de sesiones anteriores. La revisión respeta tu CLAUDE.md, pero no lee REVIEW.md (ese archivo solo lo usa el servicio gestionado de Code Review en GitHub). Si quieres que se apliquen las normas de tu equipo, escríbelas en CLAUDE.md.
Con los hallazgos de la revisión que acabas de hacer, no cambies código todavía. Clasifica cada uno como bug real, riesgo teórico o cuestión de estilo, indica qué entrada concreta lo provocaría y estima el esfuerzo de arreglarlo. Después agrúpalos en: bloquea el merge, va a pendientes y descartado (con el motivo en una línea). Si alguno contradice una regla de mi CLAUDE.md, avísame en lugar de decidir tú.04 /security-review: la pasada de seguridad
/security-review analiza los cambios de tu rama actual frente a la rama por defecto de origin y señala riesgos como inyección (SQL, comandos), fallos de autenticación y autorización, exposición de datos sensibles o XSS. Lee el código de tu copia local: no ataca tu web desplegada ni toca tu base de datos, así que no sustituye a un pentest ni detecta errores de configuración del servidor.
- ✓Consultas construidas concatenando texto del usuario.
- ✓Contenido externo pintado como HTML sin escapar.
- ✓Rutas que comprueban la sesión pero no que el recurso sea de quien lo pide.
- ✓Claves o tokens en el código, en logs o en mensajes de error.
- ✓Dependencias nuevas o desactualizadas en partes que manejan datos de usuarios.
Haz una auditoría de seguridad de todo este repositorio, no solo de los cambios recientes. Contexto: la aplicación sirve para [qué hace], la usan [quién] y maneja [datos sensibles]. Revisa, por este orden: secretos versionados, control de acceso a recursos, entradas de usuario que llegan a base de datos, sistema de archivos, shell o HTML, datos sensibles en logs y respuestas, y dependencias antiguas. Devuélveme un resumen de diez líneas y después una lista ordenada por gravedad con archivo, línea, impacto real y arreglo propuesto. Separa lo confirmado de lo que es sospecha. No modifiques nada.05 La rutina antes de hacer push
-
1
/diff
Lee el conjunto real de cambios. Quita archivos de prueba, restos de intentos anteriores o valores de configuración que se hayan colado.
-
2
/verify
Comprueba que el cambio funciona arrancando la app. Si falla, arregla y repite: no tiene sentido revisar código que no arranca.
-
3
/code-review
Busca bugs en la rama. Lee la lista entera antes de aplicar nada y decide tú qué entra.
-
4
/security-review
Cierra con la pasada de seguridad. Lo que encuentres se arregla antes del push, no después: un secreto subido queda en el historial.
El orden importa: verificar antes de revisar evita gastar una revisión completa en código que ni siquiera se ejecuta, y mirar el diff primero te salva de subir algo que no querías.
06 Automatizarlo en cada pull request
Si trabajáis varias personas en el mismo repositorio, depender de que cada una se acuerde no basta. Anthropic publica el mismo tipo de análisis como GitHub Action de código abierto: se ejecuta en cada pull request, solo analiza los archivos cambiados, filtra falsos positivos y deja los hallazgos como comentarios en las líneas afectadas. Necesita una clave de la API de Claude guardada como secreto del repositorio.
name: Security Review
permissions:
pull-requests: write
contents: read
on:
pull_request:
jobs:
security:
runs-on: ubuntu-latest
steps:
- uses: actions/checkout@v4
with:
ref: ${{ github.event.pull_request.head.sha || github.sha }}
fetch-depth: 2
- uses: anthropics/claude-code-security-review@main
with:
comment-pr: true
claude-api-key: ${{ secrets.CLAUDE_API_KEY }}Preguntas frecuentes
No. /verify, /code-review y /security-review vienen incluidos en Claude Code. Si alguno no aparece al escribir la barra, actualiza Claude Code y abre una sesión nueva.
/code-review busca errores de corrección. /simplify revisa el código cambiado buscando reutilización, simplificación y eficiencia, y aplica las mejoras; no busca bugs.
No. Es una lectura experta del diff antes de subirlo. No prueba el sistema desplegado, no ve la configuración de servidores ni de la nube y no revisa el código que ya existía.
Si la revisión corrió en segundo plano, con Git: por ejemplo, descartando los cambios del árbol de trabajo. Por eso conviene lanzarlo con todo lo demás commiteado.
Sobre el autor
Equipo editorial de appyweb
Marketing, SEO y desarrollo con IA
Especialistas de appyweb en SEO, publicidad, desarrollo web y automatización con IA.