Eine HAR-Datei, die „mit sensiblen Daten“ exportiert wurde, enthält das Sitzungscookie und das Bearer-Token der aufzeichnenden Person. Wer die Datei erhält, kann die Website unter deren Identität öffnen, ohne Passwort oder zweiten Faktor. 2023 wurden Sitzungstokens aus HAR-Dateien, die in das Supportsystem eines Anbieters hochgeladen worden waren, zur Übernahme von Administratorsitzungen bei Kunden genutzt. Dieser Skill prüft eine HAR-Datei vor dem Versand oder Commit auf zehn Arten sensibler Daten und erklärt für jede, wie du sie entfernst: erneut bereinigt exportieren, die genannten Werte ersetzen und dich abmelden, damit eine bereits verschickte Kopie keinen Zugriff mehr ermöglicht.

Dein Agent führt einen Scanner für deine .har-Dateien aus (Exporte aus Chrome, Edge, Firefox und Safari DevTools, Charles und Fiddler sowie Playwright-Aufzeichnungen als Test-Fixtures). Er liest die HAR-1.2-Struktur Eintrag für Eintrag: Anfrage- und Antwort-Header, Cookies, URLs und Abfragezeichenfolgen, POST-Daten (Formular, JSON, multipart), gespeicherte Antwortinhalte (einschließlich base64-Text), Weiterleitungen, WebSocket-Nachrichten und Seitentitel. Er erkennt unkenntlich gemachte Werte, gelöschte Cookies und Analyse-Cookies, CSRF-Tokens und öffentliche Browserschlüssel, gruppiert Wiederholungen je Host und liest Dateien bis 100 MB. Er wiederholt niemals eine Anfrage und versendet die Datei nicht. Er liefert BLOCK, REVIEW oder NOT FLAGGED mit Datei, Zeile, Eintragsnummer, Host, Begründung und sichererem Vorgehen. Geheimnisse werden nie ausgegeben: Befunde nennen den Header, das Cookie, den Parameter oder das Feld; personenbezogene Daten werden lediglich gezählt.

Was geprüft wird

BLOCK (vor der Weitergabe beheben)

• H01: Authorization- und Proxy-Authorization-Header mit echten Zugangsdaten sowie JWTs in anderen Headern

• H02: Sitzungscookies in Cookie- und Set-Cookie-Headern und den Cookie-Listen der HAR-Datei

• H03: Tokens, Passwörter, PHPSESSID- und jsessionid-Sitzungs-IDs, JWTs und Signaturen signierter URLs (X-Amz-Signature, sig=) in URLs, Weiterleitungen und Referer-Headern

• H04: Passwörter, Client-Secrets, Tokens, Kartennummern und JWTs in POST-Daten und gesendeten WebSocket-Nachrichten

• H05: Zugriffs-, Aktualisierungs- und ID-Tokens, Passwörter, private Schlüssel und JWTs in gespeicherten Antwortinhalten

REVIEW (vor der Veröffentlichung prüfen)

• H11: API-Schlüssel in URLs, Feldern und Headern sowie X-Auth-Token-, CSRF- und andere Zugangsdaten-Header

• H12: einmalige Anmeldedaten (OAuth-Codes, PKCE-Verifier, SAML-Antworten, OTP-Codes)

• H13: E-Mail-Adressen und Telefonnummern in URLs, Nachrichteninhalten, WebSocket-Nachrichten und Seitentiteln

• H14: Anfragen an private IP-Adressen und interne Hostnamen

• H15: Aufzeichnungen über 20 MB oder mit mehr als 1.000 Anfragen

Das ist enthalten

• Der Scanner (Python 3.9+, ausschließlich Standardbibliothek)

• Ein Regelhandbuch mit Begründung und sichererem Vorgehen zu jeder Regel

• Ein riskantes und ein sicheres Beispiel (eine Support-Aufzeichnung und eine Test-Fixture) sowie der tatsächliche Scanner-Bericht zum riskanten Beispiel

Grenzen

Der Scanner liest die HAR-Datei in ihrer gespeicherten Form und kann nicht feststellen, ob ein Token noch gültig ist. Außerhalb der HAR-Datei gespeicherte Inhalte (Playwrights attach-Modus, .zip-Archive), andere Aufzeichnungsformate (.chls, .saz) und personenbezogene Daten außer E-Mail-Adressen und Telefonnummern werden nicht geprüft. Dateien über 100 MB werden als nicht geprüft aufgeführt. NOT FLAGGED ist keine Garantie.

Inhalt

Eine ZIP-Datei mit 11 Dateien: SKILL.md, der Scanner in scripts/ (4 Python-Dateien), references/rules.md (alle Regeln mit Begründung und sichererem Vorgehen) und examples/ (4 Beispieldateien plus report.md, die tatsächliche Scanner-Ausgabe zum riskanten Beispiel).

So funktioniert es: Dies ist ein Agenten-Skill: ein Ordner mit einer SKILL.md-Datei und Python-Skripten, die ein KI-Programmieragent wie Claude Code, Cursor oder Codex CLI ausführen kann. Entpacke das Archiv in den Skills-Ordner deines Agenten (für Claude Code: ~/.claude/skills/) und bitte deinen Agenten anschließend, dein Projekt zu prüfen. Die Skripte lassen sich auch eigenständig mit Python 3.9 oder neuer ausführen, ohne zusätzliche Installation. Sie lesen ausschließlich deine Dateien: kein Netzwerkzugriff, keine Datenübertragung.