secrets-pii

Secrets, age keys, OAuth/break-glass, and student-PII hard boundaries for the kit.

Opciones de instalación

De forma predeterminada está seleccionado el prompt que primero revisa el origen. Puedes cambiar a un comando directo o descargar una copia local.

Instalar con Codex o Claude Copia este prompt, pégalo en Codex, Claude u otro asistente, y deja que revise la página de la skill y la instale por ti.

Un comando directo omite el prompt de revisión. Revisa el origen antes de ejecutarlo.

npx skills add https://github.com/robertguss/rust-internal-tools-kit --skill secrets-pii

El comando permanece en una sola línea. Desplázate horizontalmente para revisarlo antes de copiarlo.

¿Prefieres una copia local? Descarga los archivos que SkillsMP tiene disponibles ahora.

Lee SKILL.md y los archivos complementarios que muestra SkillsMP antes de decidir si quieres instalarlo.

SKILL.md

Instrucciones de origen · Vista previa de solo lectura

Add a new kit tool end-to-end (core → CLI → API → C16 tests → just check). Use for any new tool id.

Change CLI flags, API routes, or SPA surfaces without moving pipeline logic out of kit-core.

name	secrets-pii
description	Secrets, age keys, OAuth/break-glass, and student-PII hard boundaries for the kit.

Use when handling secrets, age keys, OAuth/break-glass material, or any data that could contain student PII.

Never commit secrets, age keys, OAuth/break-glass secrets, or valued .env files.
Never treat .env as secret source of truth — use fnox.
Prefer fnox exec -- <command> and non-interactive secret paths.
Never print secrets or student PII in chat, logs, commits, or PR text.
Synthetic fixtures only (REQ-028).
Do not log full PII bodies, cookies, or Authorization headers (REQ-009).
CLI uses env secrets for routine runs — not browser SSO.
SPA must not store Google tokens in web storage.
Empty/missing allowlist MUST remain fail-closed (REQ-018).
Deploy docs list secret names only (docs/ops/env-names.md).
No dual pipeline bodies in CLI/API adapters (REQ-003).

Path	Role
`fnox.toml`	Committed structure / ciphertext; no private keys
Age private key	Out of git (`FNOX_AGE_KEY` or ignored path)
`.env` / `.env.*`	Gitignored; not SoT
`docs/ops/env-names.md`	Names only

See root fnox.toml comments and docs/ops/bootstrap.md.

Stop. Do not invent live credentials. Prefer synthetic fixtures and fail-closed tests.