GS Audit Report Reporte de Auditoría GS

Paste the template below into any AI assistant — Claude Code, Cursor, Copilot — pointed at the project root. No install, no CLI. This prompt now mirrors the full pragmaworks CLI report — all eight dimensions: the AI reads the codebase, grades all seven GS properties (the five SAVED plus two engineering) with the failure disease named at F, identifies which structural disciplines apply, maps the test pyramid, checks documentation health, reviews security & logging, reads the git history for team habits, and produces a prioritized remediation plan as markdown. Nothing is changed in this pass. Pega la plantilla de abajo en cualquier asistente de IA — Claude Code, Cursor, Copilot — apuntado a la raíz del proyecto. Sin instalar, sin CLI. Este prompt ahora espeja el reporte completo del CLI de pragmaworks — las ocho dimensiones: la IA lee la base de código, califica las siete propiedades GS (las cinco SAVED más dos de ingeniería) con la enfermedad de falla nombrada en F, identifica qué disciplinas estructurales aplican, mapea la pirámide de pruebas, verifica la salud de la documentación, revisa seguridad y logging, lee el historial de git para hábitos de equipo, y produce un plan de remediación priorizado como markdown. No se cambia nada en esta pasada.

Want to see what comes out before you spend the tokens? Read a sample report → — the ten-property scorecard, a maturity level, and the two next moves, on a real (messy) codebase. ¿Querés ver qué sale antes de gastar los tokens? Leé un reporte de muestra → — el scorecard de diez propiedades, un nivel de madurez, y los dos próximos movimientos, sobre un código real (desordenado).

What each dimension reports Qué reporta cada dimensión

1 · SAVED Report Card 1 · Boletín SAVED

The core of the report. Each of the seven properties gets a letter grade, A through F, against concrete evidence in the code, with the failure disease named at F (Empty Map, Spreading Boundary, Tangled Web, Unbound Spec, Amnesia Stack, Open Gates, Frozen Spec). The five audit-facing ones spell SAVED — Self-describing, Auditable, Verifiable, Executable, Defended — and Bounded and Composable are the engineering layer beneath. Every grade cites file:line, so two independent runs land within one letter grade. El núcleo del reporte. Cada una de las siete propiedades recibe una nota, de A a F, contra evidencia concreta en el código, nombrando la enfermedad de falla en F (Mapa Vacío, Frontera Expansiva, Red Enmarañada, Spec Sin Límites, Pila Amnésica, Puertas Abiertas, Spec Congelada). Las cinco que ve el auditor deletrean SAVED — Auto-descriptivo, Auditable, Verificable, Ejecutable, Defendido — y Acotado y Componible son la capa de ingeniería debajo. Cada nota cita file:line, de modo que dos corridas independientes quedan dentro de una nota.

2 · Report Card Summary 2 · Resumen del Boletín

The five SAVED properties roll up into one overall grade, a single letter the way a report card gives a final mark, with the engineering layer noted separately and a line of confidence. The report then spells it out in prose: Strengths, Weaknesses with the risk each creates, the top prioritized fixes, and the blind spots the audit could not verify. Together they set the expectation for how much remediation the project needs before it can be trusted to an unattended AI session. Las cinco propiedades SAVED se resumen en una nota global, una sola letra como la nota final de un boletín, con la capa de ingeniería anotada aparte y una línea de confianza. El reporte lo detalla en prosa: Fortalezas, Debilidades con el riesgo que cada una genera, las prioridades de arreglo, y los puntos ciegos que el audit no pudo verificar. Juntos fijan la expectativa de cuánta remediación necesita el proyecto antes de poder confiarlo a una sesión de IA sin supervisión.

3 · Structural Disciplines 3 · Disciplinas Estructurales

A checklist of the engineering disciplines present, partial, or absent: SOLID, hexagonal / clean architecture (ports & adapters), convention over configuration / screaming architecture, type-driven design, design by contract, DDD (ubiquitous language), CQRS, TDD, BDD, clean code (intentional naming, small functions), immutability / functional core, GoF design patterns, conventional + atomic commits, ADRs, and the doc-first cascade. These are the same disciplines that give the AI reader its mechanical advantage — see Temper. Una checklist de las disciplinas de ingeniería presentes, parciales o ausentes: SOLID, arquitectura hexagonal / limpia (puertos y adaptadores), convención sobre configuración / screaming architecture, type-driven design, design by contract, DDD (lenguaje ubicuo), CQRS, TDD, BDD, clean code (naming intencional, funciones pequeñas), inmutabilidad / núcleo funcional, patrones de diseño GoF, commits convencionales + atómicos, ADRs y la cascada doc-first. Son las mismas disciplinas que le dan al lector IA su ventaja mecánica — ver Temper.

4 · Test Pyramid 4 · Pirámide de Pruebas

The ratio of unit, integration, and end-to-end tests, and whether the shape is healthy or inverted. Flags test theater — suites that mock every dependency and never exercise real behavior, which pass green while the system breaks. La proporción de tests unitarios, de integración y end-to-end, y si la forma es sana o está invertida. Flagea el teatro de tests — suites que mockean toda dependencia y nunca ejercitan comportamiento real, que pasan en verde mientras el sistema se rompe.

5 · Documentation Health 5 · Salud de la Documentación

The last-touched date of each doc against the code beneath it, flagging stale documentation where the code moved on without the spec. Stale docs are worse than none — they feed the AI reader confident, wrong context. La fecha de última modificación de cada doc contra el código debajo, flageando documentación desactualizada donde el código avanzó sin la spec. Los docs desactualizados son peores que ninguno — le dan al lector IA contexto seguro y equivocado.

6 · Security & Logging 6 · Seguridad y Logging

A focused security read of the trust boundary. The AI reports authentication coverage (which routes are protected, which are public, where the gaps are), whether authorization is enforced at the boundary or merely assumed, and whether all external input is validated where it enters. It flags every hardcoded credential, key, or token found in code or logs; checks logging hygiene for missing context and for PII or secrets leaking into log output; and notes dependency risk, including whether a lockfile audit is possible. Each item is rated OK / Gap / Critical, and every Critical is listed with a file:line citation. Una lectura de seguridad enfocada en el límite de confianza. La IA reporta la cobertura de autenticación (qué rutas están protegidas, cuáles son públicas, dónde están las brechas), si la autorización se impone en el límite o solo se asume, y si todo input externo se valida donde entra. Flagea cada credencial, clave o token hardcodeado en código o logs; verifica la higiene de logging por falta de contexto y por PII o secretos filtrándose a la salida de logs; y nota el riesgo de dependencias, incluyendo si es posible una auditoría de lockfile. Cada ítem se califica OK / Brecha / Crítico, y cada Crítico se lista con una citación file:line.

7 · Team Habits — Git History 7 · Hábitos de Equipo — Historial Git

The only dimension that reads the project's git history rather than its code, so it needs an actual git repository to run. Over the last 200 commits the AI estimates PR / review density (reviewed changes vs. direct commits), the commit-size distribution with its median and tail (flagging giant commits over 400 lines that hide intent), and the AI-introduced bug rate inferred from reverts and quick hot-fixes. It checks whether bug fixes shipped with a regression test in the same or an adjacent commit, maps the collaboration graph and bus factor (how many files have effectively one author, where knowledge is concentrated), and surfaces co-change coupling — the files that change together most often, which also reveals where module boundaries are drawn wrong. It closes with the numbers plus the single biggest risk the history reveals. La única dimensión que lee el historial de git del proyecto en lugar de su código, por lo que necesita un repositorio git real para correr. Sobre los últimos 200 commits la IA estima la densidad de PR / revisión (cambios revisados vs. commits directos), la distribución de tamaño de commits con su mediana y cola (flageando commits gigantes de más de 400 líneas que ocultan la intención), y la tasa de bugs introducidos por IA inferida de reverts y hot-fixes rápidos. Verifica si los arreglos de bugs vinieron con un test de regresión en el mismo commit o uno adyacente, mapea el grafo de colaboración y el bus factor (cuántos archivos tienen efectivamente un solo autor, dónde se concentra el conocimiento), y revela el acoplamiento por co-cambio — los archivos que cambian juntos más seguido, lo que también muestra dónde están mal trazados los límites de módulo. Cierra con los números más el mayor riesgo único que revela el historial.

8 · Remediation Plan 8 · Plan de Remediación

The report closes with a prioritized plan: 10–15 items in order — oracle tests first, then the lowest-scoring properties, then the smallest-effort / biggest-lift fixes. Each item names the property it raises, the effort (S / M / L), and why it matters now. This plan is the contract for the remediation session that follows — see Anneal. El reporte cierra con un plan priorizado: 10–15 ítems en orden — oracle tests primero, luego las propiedades de menor puntaje, luego los arreglos de menor esfuerzo / mayor impacto. Cada ítem nombra la propiedad que sube, el esfuerzo (S / M / L), y por qué importa ahora. Este plan es el contrato para la sesión de remediación que sigue — ver Anneal.

This template is the no-tools version of the full audit. The brownfield journey shows the tool-assisted version that also runs CI, generates HTML + PDF output, and works at team scale. Esta plantilla es la versión sin herramientas de la auditoría completa. El camino brownfield muestra la versión asistida por herramientas que también corre CI, genera HTML + PDF, y funciona a escala de equipo.