Una clave de API de un proveedor pegada en la cabecera x-honeycomb-team o Authorization de un exporter, o en OTEL_EXPORTER_OTLP_HEADERS en un archivo Compose, acaba en git, en el ConfigMap y en cada imagen construida a partir de él. Un pipeline que enumera otlphttp/vendor cuando el exporter está definido como otlp_http/vendor impide que el Collector llegue siquiera a arrancar, y una cabecera escrita como $API_KEY se envía como ese texto literal, porque el Collector ya no expande los valores $NAME sin llaves. Esta skill encuentra esos errores y los demás errores del Collector que se indican abajo antes de que despliegues, y te explica cómo corregir cada uno.

Tu agente ejecuta un escáner sobre archivos de configuración del Collector, values del chart de Helm opentelemetry-collector, recursos OpenTelemetryCollector del operador, ConfigMaps que incluyen una configuración, archivos de configuración del SDK y ajustes OTEL_* en archivos Compose, manifiestos de Kubernetes, Dockerfiles, scripts de shell y archivos .env y .properties. Conoce los valores predeterminados del Collector (servidores en localhost desde v0.104.0, TLS activado para el exporter gRPC salvo con insecure: true), tiene en cuenta la configuración predeterminada del propio chart cuando lee values de Helm, trata ${env:NAME}, secretKeyRef y los valores de SOPS como referencias, omite los marcadores de la propia documentación como YOUR_API_KEY, trata los archivos que un mismo comando carga con varios flags --config como partes de una sola configuración, y nunca ejecuta el Collector ni contacta con un backend. Devuelve BLOCK, REVIEW o NOT FLAGGED, con el archivo, la línea, el motivo y una alternativa más segura. Los secretos nunca se muestran.

Qué comprueba

BLOCK (corregir antes de publicar)

• O01: claves de API, tokens y contraseñas escritos en una configuración del Collector o del SDK: cabeceras de exporters, extensiones de autenticación (bearertokenauth, basic_auth, oauth2client, headers_setter), campos como api.key o access_token, valores predeterminados ${env:NAME:-fallback} y contraseñas en URL de endpoints
• O02: credenciales en OTEL_EXPORTER_OTLP_HEADERS, en la propiedad otel.exporter.otlp.headers o en flags -D, y variables con nombre de secreto en contenedores del Collector (Compose, Kubernetes, extraEnvs de Helm, spec.env del operador)
• O03: credenciales enviadas a un host remoto en texto plano (insecure: true, endpoints http://, OTEL_EXPORTER_OTLP_INSECURE) o con las comprobaciones de certificados desactivadas
• O04: configuraciones con las que el Collector se niega a arrancar: pipelines o service.extensions que nombran componentes no definidos, autenticadores o middlewares que nombran extensiones no activadas, pipelines sin receivers o sin exporters, connectors de un solo lado

REVIEW (revisar antes del lanzamiento)

• O11: receivers en 0.0.0.0, :: o un host vacío sin autenticación
• O12: el exporter debug con verbosity: detailed en un pipeline
• O13: pipelines sin memory_limiter, o con memory_limiter que no va en primer lugar
• O14: componentes eliminados (exporter logging, exporters jaeger, memory_ballast, opencensus, processor routing, SAPM)
• O15: pprof, zPages o remotetap en todas las interfaces
• O16: telemetría hacia un host remoto sin TLS o sin comprobaciones de certificados, TLS 1.0/1.1, suites de cifrado inseguras
• O17: valores $NAME o $(NAME) que el Collector no expande
• O18: credenciales escritas como palabras cortas, como changeme o supersecretapikey (débiles, o un marcador que nunca se sustituyó)

Qué incluye

• El escáner (Python 3.9+, solo biblioteca estándar)
• Una guía de reglas con el motivo, la alternativa más segura y la fuente oficial para cada regla
• Una configuración de ejemplo arriesgada y otra segura (configuración del Collector y archivo Compose), y el informe real que el escáner genera sobre la arriesgada

Limitaciones

Las plantillas de Helm no se renderizan, las configuraciones repartidas en varios archivos --config solo se reconocen cuando el comando que las carga está en los archivos escaneados o cuando una parte no tiene sección receivers, y no se conocen los valores que se rellenan desde el entorno en tiempo de ejecución. Un host se considera remoto cuando es una IP pública o termina en un dominio de nivel superior público. La configuración predeterminada de las imágenes oficiales del Collector se enlaza a 0.0.0.0 y recibe hallazgos REVIEW de forma intencionada. No se comprueban las configuraciones JSON, la exposición mediante Service e Ingress ni las políticas de red. NOT FLAGGED no es una garantía.

Contenido

Un archivo ZIP con 14 archivos: SKILL.md, el escáner en scripts/ (7 archivos de Python), references/rules.md (cada regla con su motivo y la alternativa más segura) y examples/ (4 archivos de ejemplo más report.md, la salida real del escáner sobre el ejemplo arriesgado).

Cómo usarlo: Esta es una skill para agentes: una carpeta con un archivo SKILL.md y scripts de Python que un agente de programación con IA como Claude Code, Cursor o Codex CLI puede ejecutar. Descomprímela en la carpeta de skills de tu agente (para Claude Code: ~/.claude/skills/) y luego pide a tu agente que revise tu proyecto. Los scripts también funcionan por sí solos con Python 3.9 o posterior, sin instalar nada. Solo leen tus archivos: sin acceso a la red, y no se envía nada a ningún sitio.