Checklist de permisos de Claude Code: ajustes seguros antes del trabajo real

Una auditoría de permisos hace que Claude Code sea más fiable

Claude Code pierde valor cuando cada acción genera duda. La auditoría de permisos convierte esa duda en un perfil simple: qué puede leer, qué puede editar, qué requiere aprobación y qué nunca debe tocar.

Úsala después del checklist de los primeros 30 minutos y antes de profundizar con la plantilla CLAUDE.md. No busca burocracia, sino terminar una primera tarea real con menos riesgo.

Crea un perfil de permisos

No empieces con una política enorme. Empieza con algo que Claude Code pueda seguir durante la sesión.

claude_code_permission_profile:
  workspace: "repo only"
  allowed_without_approval:
    - "read files"
    - "run tests"
    - "edit content files"
  ask_first:
    - "install packages"
    - "change auth or billing code"
    - "deploy production"
  never_allow:
    - "print secrets"
    - "delete git history"
    - "rotate keys without owner approval"
definition_of_done:
  - "git diff reviewed"
  - "proof command captured"
  - "rollback note written"

La parte decisiva es la definición de terminado. Un permiso seguro no basta si nadie revisa el diff, ejecuta una prueba o deja una nota de rollback.

Ejemplo: sitio de contenido con rutas de ingreso

En un sitio multilingüe, los archivos MDX, los CTA y las descripciones de producto suelen ser de bajo riesgo. Los formularios, enlaces de pago, etiquetas de analítica y despliegues requieren aprobación porque afectan leads, dinero o producción.

Audita este repositorio antes de implementar.
Devuelve:
1. comandos seguros de ejecutar
2. archivos seguros de editar
3. acciones que necesitan aprobación
4. la tarea útil más pequeña para terminar hoy
5. comando de verificación y nota de rollback

Este prompt obliga a proponer una tarea acotada antes de implementar. Puede ser mejorar un CTA, revisar la ruta del PDF gratuito, ajustar texto de Gumroad o aclarar la ruta de consulta.

Error común: permitir todo el primer día

El fallo típico es permitir instalación de paquetes, cambios de autenticación, deploy a producción y trabajo con secretos en la misma sesión. Parece rápido hasta que no queda un camino claro de vuelta.

También falla escribir solo prohibiciones. No basta con decir que no se revelen secretos. Hace falta evidencia: build, tests, URL pública, formulario y enlaces de Gumroad correctos.

Rutina de 15 minutos

1. Ejecuta “git status —short” antes de empezar.
2. Declara directorios editables y directorios protegidos.
3. Separa comandos seguros de comandos que requieren aprobación.
4. Guarda el comando de prueba y la nota de rollback.

Así la revisión se basa en límites concretos, no en confianza vaga.

Siguiente paso

Empieza con el cheatsheet gratuito si aún necesitas recordar comandos. Compra la Setup Guide si el bloqueo está en permisos, CLAUDE.md, hooks o MCP. Usa la consulta si necesitas diseñar rollout, aprobación o flujo de ingresos.