用途：保护 Firecrawl 集成的两个方向——发往 Firecrawl 的凭据与请求，以及从目标站点返回的敌意或敏感内容。适用于威胁建模、安全评审与集成加固。
主要能力与契约：云版使用 Bearer API 密钥；企业控制可限制密钥可用端点/格式与来源 IP，并可加入威胁防护与 SIEM 证据。Webhook 使用 X-Firecrawl-Signature，格式为对原始请求体计算的 sha256=hex。缓存、ZDR、锁定、headers/actions、profiles、截图与自托管各有不同数据与威胁边界。
必要条件：目标仓库或集成路径与操作者目标；来源授权、数据分类与环境策略；当前 Firecrawl 文档、按需提供的凭据及审批负责人。
使用方式：盘点密钥、团队/角色、密钥所有者、环境、来源网络、允许端点/格式、域名、自定义头、留存数据、Webhook、存储与下游动作；将密钥与 Webhook 密钥移入批准的密钥管理器，采用工作负载身份、最小权限、轮换、吊销与分离环境；请求前规范化并授权目标，阻止私网/链路本地网络、内嵌凭据、不允许的重定向/端口、相似主机与未授权认证页面；最小化格式、动作、头、profile、代理与留存；可用时启用密钥/IP/威胁控制，应用策略保持失败关闭；对每个 Webhook 用原始字节验证，要求 sha256 前缀、等长十六进制解码、时间安全比较、按 webhookId 去重，仅确认已接受的工作；将抓取内容与抽取 JSON 视为不可信，清理活动内容、与特权提示/动作隔离、校验模式并扫描存储产物；自托管需加认证、网络控制、TLS、持久存储、补丁、备份、监控与供应商数据流审查后再暴露。
工具纪律与限制：用 Read、Glob、Grep 检查代码、配置、测试与证据；Write/Edit 仅用于批准的实现或文档变更；不因调用该技能就调用 Firecrawl、轮换密钥、改账户设置、抓取目标或部署。认证抓取、自定义头、浏览器 profile/动作、敏感留存、限制变更、自托管暴露或引入外部供应商前需安全/数据审批。输出威胁模型、身份与密钥清单、目标与请求控制、Webhook 验证设计、内容信任边界、留存决策、自托管态势、测试与残余风险。若密钥出现在日志或产物中，按要求吊销/轮换并触发事件响应；Webhook 原始字节不可用或签名格式错误则拒绝投递；目标解析或重定向逃逸策略时，在发送头或凭据前停止。