api.insecure: true stellt das Traefik-Dashboard und die API auf Port 8080 ohne Anmeldung bereit. Ein Router zu api@internal mit ausschließlich einer headers-Middleware bewirkt dasselbe unter deinem öffentlichen Hostnamen. Dieser Skill findet diese und neun weitere Traefik-Fehler, bevor du den Proxy öffentlich zugänglich machst, und zeigt dir, wie du sie behebst.

Dein Agent führt einen Scanner für dein Projekt aus: statische Dateien traefik.yml und traefik.toml, dynamische YAML- und TOML-Dateien für den File-Provider, Docker-Compose- und Swarm-Dateien (traefik.*-Labels sowie Befehlszeilenoptionen, TRAEFIK_*-Variablen und Volumes des Traefik-Dienstes), Kubernetes-Manifeste (IngressRoute-, Middleware-, TLSOption- und ServersTransport-Ressourcen sowie Container mit Traefik) und Werte des Traefik-Helm-Charts. Er analysiert YAML und TOML mit Zeilennummern, liest Schlüssel wie Traefik ohne Beachtung der Groß- und Kleinschreibung, verfolgt Middleware-Ketten und behandelt {{ env }} und ${VAR} als Referenzen, nicht als Geheimnisse. Er führt niemals Traefik, Docker oder kubectl aus. Er liefert BLOCK, REVIEW oder NOT FLAGGED mit Datei, Zeile, Begründung und sichererem Vorgehen. Geheimnisse werden niemals ausgegeben.

Was geprüft wird

BLOCK (vor der Auslieferung beheben)

• T01: api.insecure (in einer Datei, als --api.insecure-Option oder TRAEFIK_API_INSECURE) und providers.rest.insecure

• T02: Router zu api@internal (und Helm-Chart-Dashboards an einem öffentlichen Einstiegspunkt) ohne basicAuth-, digestAuth-, forwardAuth- oder ipAllowList-Middleware und ohne ClientIP() in der Regel

• T03: insecureSkipVerify: true bei Server-Transporten, Providern, forwardAuth und Exportern

• T04: Tokens, Passwörter, Authorization-Header, URLs mit user:password@ und eingebettete private Schlüssel in der Konfiguration sowie DNS-Provider-Schlüssel wie CF_DNS_API_TOKEN, die in der Umgebung des Traefik-Containers stehen

REVIEW (vor der Veröffentlichung prüfen)

• T11: Docker- oder Swarm-Provider ohne exposedByDefault: false

• T12: ein Einstiegspunkt auf Port 80 ohne HTTPS-Weiterleitung, obwohl HTTPS eingerichtet ist

• T13: ein in den Traefik-Container eingebundener Docker- oder Podman-Socket (auch mit :ro, was API-Aufrufe nicht einschränkt). T13 ist bei den meisten Konfigurationen mit Docker-Provider zu erwarten, sofern kein Socket-Proxy verwendet wird.

• T14: TLS-Optionen, die TLS 1.0 oder 1.1 oder RC4-, 3DES- oder NULL-Cipher-Suites zulassen

• T15: DEBUG- oder TRACE-Protokollierung und api.debug

• T16: Zugriffsprotokolle, die Authorization- oder Cookie-Header speichern

• T17: weitergeleitete Header oder PROXY-Protokoll, denen bei jedem Client vertraut wird

Im Lieferumfang enthalten

• Der Scanner (Python 3.9+, nur Standardbibliothek)

• Ein Regelhandbuch mit Begründung und sichererem Vorgehen für jede Regel

• Ein unsicheres und ein sicheres Beispielprojekt (Compose-Datei, statische und dynamische Konfiguration) sowie der tatsächliche Scanner-Bericht für das unsichere Beispiel

Grenzen

Der Scanner liest jede Datei so, wie sie vorliegt. Einstellungen aus anderen Quellen, die Traefik zur Laufzeit zusammenführt, werden nicht verfolgt: Middleware aus einem anderen Provider, .env-Werte, Helm-Vorlagen und --set-Werte, Consul-, etcd- oder Redis-Schlüssel-Wert-Speicher sowie Traefik-v1-Dateien. Andere Compose-Dienste bleiben einem Compose-Prüfer überlassen. NOT FLAGGED ist keine Garantie.

Inhalt des Archivs

Ein ZIP-Archiv mit 14 Dateien: SKILL.md, der Scanner in scripts/ (5 Python-Dateien), references/rules.md (alle Regeln mit Begründung und sichererem Vorgehen) und examples/ (6 Beispieldateien sowie report.md, die tatsächliche Scanner-Ausgabe für das unsichere Beispiel).

Verwendung: Dies ist ein Agent-Skill: ein Ordner mit einer SKILL.md-Datei und Python-Skripten, die ein KI-Programmieragent wie Claude Code, Cursor oder Codex CLI ausführen kann. Entpacke das Archiv in den Skills-Ordner deines Agenten (für Claude Code: ~/.claude/skills/) und bitte deinen Agenten anschließend, dein Projekt zu prüfen. Die Skripte lassen sich auch eigenständig mit Python 3.9 oder neuer ausführen, ohne zusätzliche Installation. Sie lesen ausschließlich deine Dateien: kein Netzwerkzugriff, und es werden keine Daten versendet.