ph-inspector-seguridad
Control de acceso, controles que fallan abiertos, credenciales, funciones ejecutables por el público, secretos, endpoints sin límite, datos personales expuestos. Su vara es el OWASP Top 10:2025.
φρόνησις
Agentes de Claude Code
Tu proyecto mejora todos los días, lo mires o no.
Un equipo técnico que mira donde tú no alcanzas: revisa un área distinta cada día, decide qué duele más, lo arregla y comprueba que nada se rompió. Te deja un PR y ahí se detiene. Mergear es publicar, y eso lo haces tú.
v2.5.0 · 11 de octubre de 2026
De dónde viene
Cada regla de acá costó un error.
Phronesis nació operando un producto en producción: un marketplace con usuarios de verdad, pagos de verdad y despliegues todos los días. Durante meses estos agentes lo inspeccionaron, lo arreglaron y lo desplegaron.
Cada error que cometieron quedó escrito en sus instrucciones. Al empaquetarlos se les quitó el stack, las rutas y el dominio; quedó el criterio.
- 161
- hallazgos de los inspectores
- 181
- de 196 items del backlog resueltos
- 53
- despliegues registrados y verificados
- 27
- lecciones generalizadas
- 19
- reescrituras del agente de deploy
Ese último número es el que importa. Un agente no aprende solo: lo único que persiste es su archivo de instrucciones. Cada reescritura es un error real que quedó escrito, y el agente lo lee antes de cada corrida: lo que se equivocó una vez, no lo vuelve a equivocar.
El nombre
φρόνησις se dice «FRÓ-ne-sis»
Saber qué hacer, aprendido haciendo.
Aristóteles llamó phronesis a la sabiduría práctica: saber qué hacer en un caso concreto. No sale de un libro; se gana con la experiencia, equivocándose y corrigiendo. Eso es lo que estos agentes guardan en sus instrucciones.
Aristóteles, Ética a Nicómaco, libro VI
El ciclo
Un día de trabajo, de principio a fin.
Una corrida de /ph-ciclo hace esto de principio a fin, y termina siempre en una decisión tuya.
- 01
Inspecciona
Un área según la rotación del día. Si declaraste un foco de negocio, también lo mira.
- 02
Anota
Los hallazgos van a un backlog versionado en tu repo, después de verificar que son reales.
- 03
Resuelve
Hasta cuatro items en tu rama de integración, un commit por item.
- 04
Valida
Typecheck, build y humo con el servidor arriba. Si algo se rompe, lo arregla o revierte el commit culpable.
- 05
Te deja un PR
Con todo lo que cambió. Revisas, mergeas o rechazas. Mergear es publicar; ningún agente lo hace por ti.
La semana
- LunSeguridad
- MarSEO
- MiéCódigo
- JueUX
- VieAccesibilidad
- SábPerformance
- DomDescanso
Si un día no encuentra nada, paga una deuda de tu registro. Y si tampoco hay deuda que pueda pagar sola, lo dice. No inventa trabajo para verse ocupado.
Una corrida
Así se ve un miércoles.
/ph-ciclo
miércoles · código · rama staging sincronizada
ph-inspector-codigo: 6 hallazgos, 2 descartados al abrir el archivo
4 items resueltos, un commit cada uno
ph-validador-qa: typecheck ok · build ok · humo ok
1 item necesita decisión: cambia un precio visible
PR #212 abierto hacia main. Te toca.
Los agentes
Diecinueve, en cuatro plugins.
Instala solo los que necesites. El plugin mejora es el corazón; el resto se suma cuando hace falta.
mejora El loop de mejora continua
ph-inspector-seo
Metadata por ruta, datos estructurados, canonical, coherencia entre sitemap y noindex. Su vara es la documentación de Google, no los blogs.
ph-inspector-codigo
Tu arquitectura, duplicación recién nacida —el momento más barato de unificar—, código muerto, tipos.
ph-inspector-ux
Fricción en el flujo principal, estados vacío, carga y error, microcopy. Trabaja con las heurísticas de Nielsen y la severidad de NN/g. Nunca decide producto: eso te lo deja a ti.
ph-inspector-a11y
WCAG 2.2 AA: contraste, foco que se pierde al cerrar un modal, controles solo de mouse, estados que no se anuncian.
ph-inspector-performance
Core Web Vitals, bundle, imágenes, consultas N+1, límites de CPU del runtime.
ph-inspector-negocio
Mira lo que la gente hizo, no el código. Prohíbe porcentajes sobre menos de 30 casos y entrega un hallazgo, no un tablero.
ph-validador-qa
Typecheck, build y humo real. Tiene veto: arregla lo obvio y revierte lo demás.
ph-curador-memoria
Enruta lo aprendido. Nunca copia, y mantiene un techo de 20 lecciones activas.
ph-sintetizador-usabilidad
De notas de un test con usuarios a items del backlog.
ops Deploy y rutinas
ph-gestor-deploy
El protocolo completo, con inventario y una puerta que espera tu palabra. Justo antes de mergear vuelve a mirar si alguien sigue trabajando, y si el riesgo baja, te dice por qué.
ph-verificador-deploy
Comprueba que lo que está arriba sea lo que aprobaste.
ph-vigilante-rutinas
Vigila que las tareas programadas estén corriendo de verdad.
ph-triage-correo
Clasifica el correo del proyecto por urgencia y acción.
growth Conseguir usuarios
ph-prospector
Prospectos de fuentes públicas, categorizados y con el correo verificado. Nunca inventa un dato de contacto.
ph-copywriter
El correo personalizado, con checklist anti-blacklist.
ph-estratega
Revisa el loop, vigila la reputación de envío y entrega una a tres mejoras por día.
contenido Lo que se publica
ph-director-arte
Revisa cada pieza contra el sistema y propone la evolución del estilo, con lo que rindió lo ya publicado a la vista.
ph-jefe-copy
Que el texto suene a persona y no a marketing generado. Mira qué textos se guardaron y compartieron, no solo los «me gusta».
Las tres reglas
Las tres cosas que ninguno se salta.
- Un hallazgo es una hipótesis, no un hecho.
- Antes de reportar algo, el agente abre el archivo y comprueba la premisa. Un hallazgo con todo el formato correcto puede estar igual de equivocado.
- Un hallazgo rara vez está solo.
- Antes de darlo por único, busca a sus hermanos: la acción inversa, la otra copia del mismo texto, el otro archivo con el mismo patrón.
- Las restricciones duras no se tocan.
- Migraciones, pagos, autenticación y permisos, borrado de datos. Ahí el agente se detiene y te pregunta.
Límites honestos
Lo que no hace, o hace mal.
Está en el README del repo, y va acá por la misma razón.
- Cuesta tokens. Un ciclo con inspección, resolución y build consume una parte real de tu plan. El tope de cuatro items existe también por eso.
- Los runners gratuitos de GitHub se atrasan. Un cron puede disparar con minutos u horas de retraso. No esperes puntualidad.
- Muchos sitios bloquean las IPs de centros de datos: un humo desde GitHub Actions puede dar un falso rojo.
- Los agentes leen su configuración al pie de la letra. Un campo vacío produce abstención, no creatividad. Es a propósito.
- Está escrito en español. Funciona sobre proyectos en cualquier idioma, pero quien lo modera tiene que leer español.
Instalar
Se instala con un comando.
Se agrega como marketplace de plugins de Claude Code. Después, /ph-iniciar lee tu repo y deja la configuración escrita.
/plugin marketplace add Clagoss/phronesis-v2