Ein Vendor-API-Key, der in den x-honeycomb-team- oder Authorization-Header eines Exporters oder in OTEL_EXPORTER_OTLP_HEADERS in einer Compose-Datei eingefügt wird, landet in git, in der ConfigMap und in jedem daraus gebauten Image. Eine Pipeline, die otlphttp/vendor aufführt, während der Exporter als otlp_http/vendor definiert ist, verhindert, dass der Collector überhaupt startet, und ein als $API_KEY geschriebener Header wird als genau dieser literale Text gesendet, weil der Collector reine $NAME-Werte nicht mehr expandiert. Dieser Skill findet diese und die anderen unten aufgeführten Collector-Fehler, bevor Sie deployen, und sagt Ihnen, wie Sie jeden davon beheben.

Ihr Agent führt einen Scanner auf Collector-Konfigurationsdateien, Values für das Helm-Chart opentelemetry-collector, OpenTelemetryCollector-Operator-Ressourcen, ConfigMaps mit eingebetteter Konfiguration, SDK-Konfigurationsdateien sowie OTEL_*-Einstellungen in Compose-Dateien, Kubernetes-Manifesten, Dockerfiles, Shell-Skripten, .env- und .properties-Dateien aus. Er kennt die Standardwerte des Collectors (Server auf localhost seit v0.104.0, TLS für den gRPC-Exporter aktiv, sofern nicht insecure: true), berücksichtigt beim Lesen von Helm-Values die eigene Standardkonfiguration des Charts, behandelt ${env:NAME}, secretKeyRef und SOPS-Werte als Referenzen, überspringt die Platzhalter aus der Dokumentation wie YOUR_API_KEY, behandelt Dateien, die ein Befehl mit mehreren --config-Flags lädt, als Teile einer einzigen Konfiguration und führt den Collector nie aus oder kontaktiert ein Backend. Er liefert BLOCK, REVIEW oder NOT FLAGGED mit Datei, Zeile, Begründung und einem sichereren Ansatz. Geheimnisse werden niemals ausgegeben.

Was geprüft wird

BLOCK (vor der Auslieferung beheben)

• O01: API-Keys, Tokens und Passwörter, die direkt in eine Collector- oder SDK-Konfiguration geschrieben sind: Exporter-Header, Auth-Extensions (bearertokenauth, basic_auth, oauth2client, headers_setter), Felder wie api.key oder access_token, ${env:NAME:-fallback}-Standardwerte und Passwörter in Endpoint-URLs
• O02: Zugangsdaten in OTEL_EXPORTER_OTLP_HEADERS, in der Property otel.exporter.otlp.headers oder in -D-Flags sowie Variablen mit geheimen Namen in Collector-Containern (Compose, Kubernetes, Helm extraEnvs, Operator spec.env)
• O03: Zugangsdaten, die im Klartext an einen entfernten Host gesendet werden (insecure: true, http://-Endpoints, OTEL_EXPORTER_OTLP_INSECURE) oder mit abgeschalteter Zertifikatsprüfung
• O04: Konfigurationen, mit denen der Collector nicht startet: Pipelines oder service.extensions, die undefinierte Komponenten nennen, Authenticators oder Middlewares, die nicht aktivierte Extensions nennen, Pipelines ohne Receiver oder Exporter, einseitige Connectors

REVIEW (vor dem Release prüfen)

• O11: Receiver auf 0.0.0.0, :: oder einem leeren Host ohne Authentifizierung
• O12: der debug-Exporter mit verbosity: detailed in einer Pipeline
• O13: Pipelines ohne memory_limiter oder mit memory_limiter nicht an erster Stelle
• O14: entfernte Komponenten (logging-Exporter, jaeger-Exporter, memory_ballast, opencensus, routing-Processor, SAPM)
• O15: pprof, zPages oder remotetap auf allen Interfaces
• O16: Telemetrie an einen entfernten Host ohne TLS oder Zertifikatsprüfung, TLS 1.0/1.1, unsichere Cipher-Suites
• O17: $NAME- oder $(NAME)-Werte, die der Collector nicht expandiert
• O18: Zugangsdaten, die als kurze Wörter wie changeme oder supersecretapikey geschrieben sind (schwach oder ein nie ersetzter Platzhalter)

Was enthalten ist

• Der Scanner (Python 3.9+, nur Standardbibliothek)
• Ein Regelleitfaden mit Begründung, sichererem Ansatz und offizieller Quelle für jede Regel
• Ein riskantes und ein sicheres Beispiel-Setup (Collector-Konfiguration und Compose-Datei) sowie der echte Bericht, den der Scanner für das riskante erzeugt

Grenzen

Helm-Templates werden nicht gerendert, auf mehrere --config-Dateien aufgeteilte Konfigurationen werden nur erkannt, wenn der Befehl, der sie lädt, in den gescannten Dateien steht oder ein Teil keinen receivers-Abschnitt hat, und Werte, die zur Laufzeit aus der Umgebung eingesetzt werden, sind nicht bekannt. Ein Host gilt als entfernt, wenn er eine öffentliche IP ist oder auf eine öffentliche Top-Level-Domain endet. Die Standardkonfiguration in den offiziellen Collector-Images bindet an 0.0.0.0 und erhält absichtlich REVIEW-Befunde. JSON-Konfigurationen, die Freigabe über Service und Ingress sowie Netzwerkrichtlinien werden nicht geprüft. NOT FLAGGED ist keine Garantie.

Inhalt

Eine ZIP-Datei mit 14 Dateien: SKILL.md, der Scanner in scripts/ (7 Python-Dateien), references/rules.md (jede Regel mit Begründung und sichererem Ansatz) und examples/ (4 Beispieldateien plus report.md, die echte Scanner-Ausgabe für das riskante Beispiel).

Anwendung: Dies ist ein Agent-Skill: ein Ordner mit einer SKILL.md-Datei und Python-Skripten, die ein KI-Coding-Agent wie Claude Code, Cursor oder Codex CLI ausführen kann. Entpacken Sie ihn in den Skills-Ordner Ihres Agenten (für Claude Code: ~/.claude/skills/) und bitten Sie Ihren Agenten dann, Ihr Projekt zu prüfen. Die Skripte laufen auch eigenständig mit Python 3.9 oder neuer, ohne dass etwas installiert werden muss. Sie lesen nur Ihre Dateien: kein Netzwerkzugriff, und nichts wird irgendwohin gesendet.