location /static mit alias /var/www/static/ sieht harmlos aus, doch über /static../ lassen sich dann Dateien außerhalb des Ordners lesen. Dieser Skill findet diesen klassischen nginx-Fehler und neun weitere riskante Einstellungen und erklärt, wie Sie jede davon beheben.

Ihr Agent lässt einen Scanner über nginx.conf sowie die Dateien in conf.d und sites-enabled laufen. Die Dateien werden gemeinsam geprüft, include-Zeilen innerhalb des gescannten Ordners werden verfolgt, und die Vererbung von add_header wird nach den tatsächlichen Regeln von nginx ausgewertet. Das Ergebnis lautet BLOCK, REVIEW oder NOT FLAGGED, jeweils mit Datei, Zeile, Begründung und einer sichereren Alternative.

Was geprüft wird

BLOCK (vor dem Release beheben)

• W01: autoindex on

• W02: SSLv3, TLS 1.0 oder TLS 1.1 erlaubt

• W03: Path Traversal durch den fehlenden Slash bei alias

• W04: proxy_pass zu einem Host, der aus der Anfrage übernommen wird

REVIEW (vor der Veröffentlichung prüfen)

• W11: server_tokens nicht deaktiviert

• W12: ein HTTPS-Server ohne HSTS

• W13: schwache Cipher wie RC4 oder 3DES

• W14: client_max_body_size 0

• W15: keine nosniff- und Framing-Header

• W16: stub_status ohne deny-Regel

Lieferumfang

• Der Scanner (Python 3.9+, nur Standardbibliothek)

• Ein Regelleitfaden mit Begründung und sichererer Alternative für jede Regel

• Eine riskante und eine sichere Beispielkonfiguration sowie der echte Bericht, den der Scanner für die riskante erzeugt

Grenzen

Er liest den Konfigurationstext. Er folgt keinen includes außerhalb des gescannten Ordners und kann keine TLS-Einstellungen auf einem Load Balancer oder CDN vor nginx sehen. NOT FLAGGED ist keine Garantie.

Inhalt

Eine ZIP-Datei mit 7 Dateien: SKILL.md, der Scanner in scripts/ (2 Python-Dateien), references/rules.md (jede Regel mit Begründung und sichererer Alternative) und examples/ (2 Beispieldateien plus report.md, die echte Scanner-Ausgabe für das riskante Beispiel).

So wird es verwendet: Dies ist ein Agent-Skill: ein Ordner mit einer SKILL.md-Datei und Python-Skripten, die ein KI-Coding-Agent wie Claude Code, Cursor oder Codex CLI ausführen kann. Entpacken Sie ihn in den Skills-Ordner Ihres Agenten (für Claude Code: ~/.claude/skills/) und bitten Sie Ihren Agenten dann, Ihr Projekt zu prüfen. Die Skripte laufen auch eigenständig mit Python 3.9 oder neuer, ohne dass etwas installiert werden muss. Sie lesen nur Ihre Dateien: kein Netzwerkzugriff, und es wird nichts irgendwohin gesendet.