STRIPE_SECRET_KEY = "..." unter [vars] liefert Ihren Schlüssel bei jedem Deployment im Klartext mit aus und zeigt ihn im Dashboard an. Eine KV preview_id, die mit der id übereinstimmt, bedeutet, dass jede Sitzung mit wrangler dev --remote in Ihre Produktionsdaten schreibt. Dieser Skill findet diese und acht weitere Wrangler-Konfigurationsfehler vor dem Deployment und erklärt, wie Sie jeden davon beheben.

Ihr Agent führt einen Scanner für Ihr Projekt aus: wrangler.toml, wrangler.json und wrangler.jsonc (auch benannte Varianten wie wrangler.staging.toml in jedem Unterordner eines Monorepos) für Workers und Pages sowie die danebenliegenden .dev.vars- und .env-Dateien. Er parst TOML und JSON mit Kommentaren und abschließenden Kommas, ordnet jedem Schlüssel eine Zeilennummer zu und folgt den Regeln von Wrangler: [env.NAME]-Abschnitte, vererbte Schlüssel wie routes und workers_dev, nicht vererbte Bindings, die Produktions- und Vorschauumgebungen von Pages und der previews-Block. Er liest .gitignore, um festzustellen, ob lokale Geheimnisdateien von git ausgeschlossen sind. Er führt weder Wrangler noch Deployments aus und ruft die Cloudflare-API nicht auf. Er liefert BLOCK, REVIEW oder NOT FLAGGED mit Datei, Zeile, Begründung und einem sichereren Vorgehen. Geheimnisse werden niemals ausgegeben.

Was geprüft wird

BLOCKIEREN (vor der Veröffentlichung beheben)

• W01: Passwörter, Tokens, Schlüssel und Datenbank-URLs mit Passwörtern in vars (auf oberster Ebene, in Umgebungen und Vorschauen)

• W02: eine KV preview_id, D1 preview_database_id oder R2 preview_bucket_name, die mit dem Produktionswert übereinstimmt

• W03: Geheimnisse in define, eine Hyperdrive localConnectionString für eine entfernte Datenbank, URLs mit user:password@ und bekannte Token-Formate an beliebiger Stelle in der Datei

PRÜFEN (vor der Veröffentlichung prüfen)

• W11: eine compatibility_date, die mehr als ein Jahr zurückliegt

• W12: workers_dev = true oder preview_urls = true bei einem Worker, der Ihre eigenen Routen bedient

• W13: ein Worker mit Routen oder ein Pages-Projekt mit KV-, D1-, R2- oder Hyperdrive-Bindings ohne Staging- oder Vorschauumgebung

• W14: Staging-, Vorschau- und Entwicklungsumgebungen, die an denselben KV-Namespace, dieselbe D1-Datenbank, denselben R2-Bucket, dieselbe Hyperdrive-Konfiguration, Warteschlange oder denselben Dienst wie die Produktion gebunden sind

• W15: entfernte oder ungenutzte Einstellungen: node_compat, legacy_assets, site, usage_model, type, webpack_config, build.upload

• W16: assets.directory, site.bucket oder pages_build_output_dir verweist auf den Projektordner selbst

• W17: .dev.vars- und .env-Dateien mit Werten, die von keiner .gitignore-Regel erfasst werden

Lieferumfang

• Der Scanner (Python 3.9+, nur Standardbibliothek)

• Ein Regelhandbuch mit Begründung und sichererem Vorgehen für jede Regel

• Ein unsicheres und ein sicheres Beispielprojekt (eine Worker-API und eine Pages-Website) sowie der tatsächliche Scanner-Bericht zum unsicheren Beispiel

Grenzen

Er liest die Konfigurationsdateien so, wie sie vorliegen. Geheimnisse und Einstellungen aus dem Cloudflare-Dashboard oder aus wrangler secret put, Kommandozeilenoptionen wie --var und --env, von Build-Werkzeugen erzeugte Konfigurationen, der Code Ihres Workers und die Inhalte Ihrer KV-, D1- und R2-Ressourcen werden nicht geprüft. NOT FLAGGED ist keine Garantie.

Inhalt

Ein ZIP-Archiv mit 20 Dateien: SKILL.md, der Scanner in scripts/ (5 Python-Dateien), references/rules.md (jede Regel mit Begründung und sichererem Vorgehen) sowie examples/ (12 Beispieldateien sowie report.md, die tatsächliche Scanner-Ausgabe für das unsichere Beispiel).

Verwendung: Dies ist ein Agent-Skill: ein Ordner mit einer SKILL.md-Datei und Python-Skripten, die ein KI-Programmieragent wie Claude Code, Cursor oder Codex CLI ausführen kann. Entpacken Sie das Archiv in den Skills-Ordner Ihres Agenten (bei Claude Code: ~/.claude/skills/) und bitten Sie Ihren Agenten anschließend, Ihr Projekt zu prüfen. Die Skripte laufen auch eigenständig mit Python 3.9 oder neuer, ohne zusätzliche Installation. Sie lesen lediglich Ihre Dateien: kein Netzwerkzugriff, keine Datenübertragung.