Eine einzige Zeile "host all all 0.0.0.0/0 trust" in pg_hba.conf oder POSTGRES_HOST_AUTH_METHOD=trust in Docker ermöglicht jedem, der den Port erreicht, die Anmeldung als Superuser ohne Passwort. Dieser Skill findet diesen und neun weitere PostgreSQL-Konfigurationsfehler vor dem Produktivstart deines Servers und erklärt, wie du jeden davon behebst.

Dein Agent führt einen Scanner für pg_hba.conf, postgresql.conf, postgresql.auto.conf sowie Docker-Compose-, Dockerfile- und .env-Dateien aus, die postgres erwähnen. Er liest pg_hba.conf-Zeilen wie PostgreSQL selbst (Typen, CIDR-Adressen oder Adressen mit Netzmaske, Methoden, Anführungszeichen, Kommentare) und berücksichtigt bei Einstellungen den jeweils zuletzt gesetzten Wert. Er verbindet sich niemals mit PostgreSQL. Das Ergebnis ist BLOCK, REVIEW oder NOT FLAGGED mit Datei, Zeile, Begründung und einer sichereren Vorgehensweise.

Was geprüft wird

BLOCKIEREND (vor der Auslieferung beheben)

• G01: trust-Anmeldungen über das Netzwerk oder POSTGRES_HOST_AUTH_METHOD=trust

• G02: Anmeldung mit Klartextpasswort ohne SSL

• G03: fsync oder full_page_writes deaktiviert (Datenbeschädigung nach einem Absturz)

PRÜFEN (vor der Veröffentlichung kontrollieren)

• G11: trust in Regeln für lokale Sockets und 127.0.0.1

• G12: Regeln für alle Adressen (0.0.0.0/0, ::/0, all)

• G13: offenes listen_addresses bei deaktiviertem ssl

• G14: MD5-Passwörter

• G15: log_statement schreibt Passwörter in die Protokolle

• G16: TLS 1.0 oder 1.1 erlaubt

• G17: Netzwerkzugriff für den Superuser postgres erlaubt

Lieferumfang

• Der Scanner (Python 3.9+, nur Standardbibliothek)

• Ein Regelhandbuch mit Begründung und einer sichereren Vorgehensweise für jede Regel

• Beispielkonfigurationen mit Risiken und sichere Varianten (pg_hba.conf, postgresql.conf, docker-compose.yml) sowie der tatsächliche Scannerbericht zu den Beispielen mit Risiken

Grenzen

Der Scanner liest jede Datei in ihrer vorliegenden Form: Eingebundene Dateien, ALTER-SYSTEM-Einstellungen auf einem laufenden Server, Firewalls und verwaltete Dienste (RDS, Cloud SQL, Supabase) werden nicht erfasst. NOT FLAGGED ist keine Garantie.

Inhalt

Eine ZIP-Datei mit 11 Dateien: SKILL.md, der Scanner unter scripts/ (2 Python-Dateien), references/rules.md (jede Regel mit Begründung und einer sichereren Vorgehensweise) und examples/ (6 Beispieldateien plus report.md, die tatsächliche Scannerausgabe zum Beispiel mit Risiken).

So funktioniert es: Dies ist ein Agenten-Skill: ein Ordner mit einer SKILL.md-Datei und Python-Skripten, die ein KI-Programmieragent wie Claude Code, Cursor oder Codex CLI ausführen kann. Entpacke ihn in den Skills-Ordner deines Agenten (für Claude Code: ~/.claude/skills/) und bitte deinen Agenten anschließend, dein Projekt zu prüfen. Die Skripte lassen sich auch eigenständig mit Python 3.9 oder neuer ausführen, ohne zusätzliche Installationen. Sie lesen ausschließlich deine Dateien: kein Netzwerkzugriff, und es wird nichts irgendwohin gesendet.