Ein POST- oder DELETE-Endpunkt ohne Sicherheitsanforderung in deiner OpenAPI-Spezifikation signalisiert jedem generierten Client und Gateway, dass ihn jeder aufrufen darf. Ein echter Schlüssel, der in ein Beispiel eingefügt wurde, landet in deiner öffentlichen Dokumentation. Dieser Skill findet diese und sechs weitere Risiken in API-Spezifikationen und zeigt dir, wie du jedes davon behebst.

Dein Agent führt einen Scanner über openapi.yaml, swagger.json und ähnliche Dateien aus, in YAML oder JSON, OpenAPI 3 oder Swagger 2. Er ermittelt die Absicherung jeder Operation aus den globalen und operationsbezogenen Einstellungen, folgt lokalen $refs, versteht camelCase-Namen wie accessToken und überspringt POSTs an Login-, Registrierungs- und Webhook-Endpunkte. Er liefert BLOCK, REVIEW oder NOT FLAGGED mit Datei, Zeile, Begründung und einem sichereren Vorgehen.

Was geprüft wird

BLOCK (vor der Auslieferung beheben)

• O01: eine POST-, PUT-, PATCH- oder DELETE-Operation ohne Absicherung

• O02: eine Server-URL mit reinem http://

• O03: ein echt aussehender API-Key, Token oder ein Secret in einem Beispiel

REVIEW (vor dem Release prüfen)

• O11: eine GET-Operation ohne Absicherung in einer API, die Authentifizierung nutzt

• O12: ein API-Key, der im Query-String gesendet wird

• O13: der OAuth2-Implicit- oder Password-Flow

• O14: HTTP Basic Auth

• O15: ein Token oder Passwort, das als Query- oder Pfadparameter übergeben wird

Was enthalten ist

• Der Scanner (Python 3.9+, nur Standardbibliothek)

• Ein Regelleitfaden mit Begründung und sichererem Vorgehen für jede Regel

• Eine riskante und eine sichere Beispielspezifikation sowie der echte Bericht, den der Scanner für die riskante erstellt

Grenzen

Er liest die Spezifikation, nicht deinen Server, und folgt keinen $refs auf andere Dateien. NOT FLAGGED ist keine Garantie.

Inhalt

Eine ZIP-Datei mit 8 Dateien: SKILL.md, der Scanner in scripts/ (3 Python-Dateien), references/rules.md (jede Regel mit Begründung und sichererem Vorgehen) und examples/ (2 Beispieldateien plus report.md, die echte Scanner-Ausgabe für das riskante Beispiel).

So verwendest du es: Dies ist ein Agent-Skill: ein Ordner mit einer SKILL.md-Datei und Python-Skripten, die ein KI-Coding-Agent wie Claude Code, Cursor oder Codex CLI ausführen kann. Entpacke ihn in den Skills-Ordner deines Agenten (für Claude Code: ~/.claude/skills/) und bitte deinen Agenten dann, dein Projekt zu prüfen. Die Skripte laufen auch eigenständig mit Python 3.9 oder neuer, ohne dass etwas installiert werden muss. Sie lesen nur deine Dateien: kein Netzwerkzugriff, und nichts wird irgendwohin gesendet.