How do I install the Electron Security skill?

Run npx skillmds@latest add aibot88/electron-security in your terminal (requires Node.js), paste this page's agent-chat prompt into Claude, Cursor, or any MCP-connected agent, or download the SKILL.md file and copy it into your agent's skills directory.

Is Electron Security safe to use?

This skill has not completed SkillMD's automated safety review yet. Independent scanners report: SkillSpector: PASS, Skill Scanner: PASS. Capability flags: docs only. SkillMD never runs a skill's scripts for you; review the SKILL.md before installing.

Which AI agents work with Electron Security?

This skill is tagged as working with Claude Code, Claude.ai, OpenAI Codex. SKILL.md is an open format, so most agents that read a skills directory can load it too.

Is Electron Security free to use?

Yes. Installing skills from SkillMD is free, and the skill stays under its author's original license.

Who published Electron Security?

aibot88 (@aibot88) published this skill. Their other Agent Skills are listed on their SkillMD profile.

Electron Security by aibot88 — Agent Skill

Name: Electron Security
Rating: 4.5 (4 reviews)
Author: aibot88

Electron Security

Use when working on Electron applications — detected by `electron` in package.json dependencies, presence of `main.ts`/`main.js` entry, or `BrowserWindow` usage in source. Enforces contextIsolation true, nodeIntegration false, CSP, and draggable region discipline. Do NOT use for regular web apps, Node.js CLI tools, or non-Electron desktop frameworks (Tauri, Neutralino, NW.js).

aibot88 Updated Sep 9, 2026 3 repo stars

File contents

Electron Security Baseline

Minimální bezpečná konfigurace Electron aplikace. Každý bod je hard rule — ne doporučení.

Povinné v `BrowserWindow` konfiguraci

contextIsolation: true
nodeIntegration: false
sandbox: true (pokud aplikace nepotřebuje výjimku)
webSecurity: true (default, neměň)
preload: path.join(__dirname, 'preload.js') — API exposuj jen přes contextBridge.exposeInMainWorld

Detailní minimální příklad: references/baseline-config.md.

CSP (Content Security Policy)

Vždy nastav <meta http-equiv="Content-Security-Policy" …> v renderer HTML nebo header přes session.defaultSession.webRequest.onHeadersReceived.
Zakázáno: unsafe-inline, unsafe-eval, * v script-src.
Pro dev server (Vite/webpack) povol 'self' ws: pro HMR — jen v dev buildu, ne v produkci.

Patterny: references/csp.md.

Draggable regions

-webkit-app-region: drag pouze na titlebar containers (prázdné oblasti).
Interaktivní prvky (buttons, inputs, links) uvnitř drag oblasti musí mít -webkit-app-region: no-drag.
Viz pravidlo E041 v skills/visual-audit/rules/electron.yaml.

IPC

Preload whitelistuje konkrétní kanály — nikdy ipcRenderer.invoke free-form z rendereru.
Main process validuje sender: if (!event.senderFrame.url.startsWith(trustedPrefix)) return.

Když narazíš na porušení

Nefixuj mlčky — vždy uprav kód a řekni uživateli konkrétně co bylo špatně a proč (např. „nodeIntegration: true v src/main.ts:42 — rewrite-vulnerability, všechen renderer JS by měl root přístup k Node.js").

---name: electron-securitydescription: Use when working on Electron applications — detected by `electron` in package.json dependencies, presence of `main.ts`/`main.js` entry, or `BrowserWindow` usage in source. Enforces contextIsolation true, nodeIntegration false, CSP, and draggable region discipline. Do NOT use for regular web apps, Node.js CLI tools, or non-Electron desktop frameworks (Tauri, Neutralino, NW.js).--- # Electron Security Baseline Minimální bezpečná konfigurace Electron aplikace. Každý bod je hard rule — ne doporučení. ## Povinné v `BrowserWindow` konfiguraci - `contextIsolation: true` - `nodeIntegration: false` - `sandbox: true` (pokud aplikace nepotřebuje výjimku) - `webSecurity: true` (default, neměň) - `preload: path.join(__dirname, 'preload.js')` — API exposuj **jen** přes `contextBridge.exposeInMainWorld` Detailní minimální příklad: `references/baseline-config.md`. ## CSP (Content Security Policy) - Vždy nastav `<meta http-equiv="Content-Security-Policy" …>` v renderer HTML **nebo** header přes `session.defaultSession.webRequest.onHeadersReceived`. - **Zakázáno**: `unsafe-inline`, `unsafe-eval`, `*` v `script-src`. - Pro dev server (Vite/webpack) povol `'self' ws:` pro HMR — jen v dev buildu, ne v produkci. Patterny: `references/csp.md`. ## Draggable regions - `-webkit-app-region: drag` **pouze** na titlebar containers (prázdné oblasti). - Interaktivní prvky (buttons, inputs, links) uvnitř drag oblasti musí mít `-webkit-app-region: no-drag`. - Viz pravidlo E041 v `skills/visual-audit/rules/electron.yaml`. ## IPC - Preload whitelistuje konkrétní kanály — nikdy `ipcRenderer.invoke` free-form z rendereru. - Main process validuje sender: `if (!event.senderFrame.url.startsWith(trustedPrefix)) return`. ## Když narazíš na porušení Nefixuj mlčky — vždy uprav kód **a** řekni uživateli konkrétně co bylo špatně a proč (např. „`nodeIntegration: true` v `src/main.ts:42` — rewrite-vulnerability, všechen renderer JS by měl root přístup k Node.js").

Frequently asked questions