Une clé d'API d'un fournisseur collée dans l'en-tête x-honeycomb-team ou Authorization d'un exporter, ou dans OTEL_EXPORTER_OTLP_HEADERS dans un fichier Compose, finit dans git, dans la ConfigMap et dans chaque image construite à partir de celle-ci. Un pipeline qui liste otlphttp/vendor alors que l'exporter est défini comme otlp_http/vendor empêche complètement le Collector de démarrer, et un en-tête écrit $API_KEY est envoyé tel quel sous forme de texte littéral, car le Collector ne développe plus les valeurs $NAME nues. Ce skill détecte ces erreurs et les autres erreurs de Collector ci-dessous avant votre déploiement, et vous indique comment corriger chacune d'elles.

Votre agent exécute un scanner sur les fichiers de configuration du Collector, les valeurs du chart Helm opentelemetry-collector, les ressources d'opérateur OpenTelemetryCollector, les ConfigMaps qui intègrent une configuration, les fichiers de configuration des SDK, et les paramètres OTEL_* dans les fichiers Compose, manifestes Kubernetes, Dockerfiles, scripts shell, fichiers .env et .properties. Il connaît les valeurs par défaut du Collector (serveurs sur localhost depuis la v0.104.0, TLS activé pour l'exporter gRPC sauf avec insecure: true), tient compte de la configuration par défaut propre au chart lorsqu'il lit des valeurs Helm, traite ${env:NAME}, secretKeyRef et les valeurs SOPS comme des références, ignore les placeholders propres à la documentation comme YOUR_API_KEY, traite les fichiers qu'une même commande charge avec plusieurs flags --config comme les parties d'une seule configuration, et n'exécute jamais le Collector ni ne contacte un backend. Il renvoie BLOCK, REVIEW ou NOT FLAGGED, avec le fichier, la ligne, la raison et une approche plus sûre. Les secrets ne sont jamais affichés.

Ce qu'il vérifie

BLOCK (à corriger avant la mise en production)

• O01 : clés d'API, jetons et mots de passe écrits dans une configuration de Collector ou de SDK : en-têtes d'exporter, extensions d'authentification (bearertokenauth, basic_auth, oauth2client, headers_setter), champs comme api.key ou access_token, valeurs par défaut ${env:NAME:-fallback} et mots de passe dans les URL d'endpoint
• O02 : identifiants dans OTEL_EXPORTER_OTLP_HEADERS, la propriété otel.exporter.otlp.headers ou des flags -D, et variables aux noms de secrets sur les conteneurs du Collector (Compose, Kubernetes, extraEnvs de Helm, spec.env de l'opérateur)
• O03 : identifiants envoyés à un hôte distant en texte clair (insecure: true, endpoints http://, OTEL_EXPORTER_OTLP_INSECURE) ou avec la vérification des certificats désactivée
• O04 : configurations avec lesquelles le Collector refuse de démarrer : pipelines ou service.extensions nommant des composants non définis, authentificateurs ou middlewares nommant des extensions non activées, pipelines sans receivers ou sans exporters, connecteurs à un seul côté

REVIEW (à vérifier avant la publication)

• O11 : receivers sur 0.0.0.0, :: ou un hôte vide sans authentification
• O12 : l'exporter debug avec verbosity: detailed dans un pipeline
• O13 : pipelines sans memory_limiter, ou avec memory_limiter qui n'est pas en première position
• O14 : composants supprimés (exporter logging, exporters jaeger, memory_ballast, opencensus, processor routing, SAPM)
• O15 : pprof, zPages ou remotetap sur toutes les interfaces
• O16 : télémétrie vers un hôte distant sans TLS ou sans vérification des certificats, TLS 1.0/1.1, suites de chiffrement non sécurisées
• O17 : valeurs $NAME ou $(NAME) que le Collector ne développe pas
• O18 : identifiants écrits sous forme de mots courts comme changeme ou supersecretapikey (faibles, ou placeholder jamais remplacé)

Ce qui est inclus

• Le scanner (Python 3.9+, bibliothèque standard uniquement)
• Un guide des règles avec la raison, l'approche plus sûre et la source officielle pour chaque règle
• Un exemple de configuration à risque et un exemple sûr (configuration du Collector et fichier Compose), ainsi que le rapport réel produit par le scanner sur l'exemple à risque

Limites

Les templates Helm ne sont pas rendus, les configurations réparties sur plusieurs fichiers --config ne sont reconnues que si la commande qui les charge figure dans les fichiers analysés ou si une partie n'a pas de section receivers, et les valeurs fournies par l'environnement à l'exécution ne sont pas connues. Un hôte est considéré comme distant lorsqu'il s'agit d'une IP publique ou qu'il se termine par un domaine de premier niveau public. La configuration par défaut des images officielles du Collector se lie à 0.0.0.0 et reçoit des résultats REVIEW, c'est voulu. Les configurations JSON, l'exposition via Service et Ingress et les politiques réseau ne sont pas vérifiées. NOT FLAGGED n'est pas une garantie.

Contenu

Un fichier ZIP contenant 14 fichiers : SKILL.md, le scanner dans scripts/ (7 fichiers Python), references/rules.md (chaque règle avec sa raison et l'approche plus sûre), et examples/ (4 fichiers d'exemple plus report.md, la sortie réelle du scanner sur l'exemple à risque).

Mode d'emploi : Il s'agit d'un skill d'agent : un dossier contenant un fichier SKILL.md et des scripts Python qu'un agent de codage IA comme Claude Code, Cursor ou Codex CLI peut exécuter. Décompressez-le dans le dossier des skills de votre agent (pour Claude Code : ~/.claude/skills/), puis demandez à votre agent de vérifier votre projet. Les scripts fonctionnent aussi seuls avec Python 3.9 ou plus récent, sans rien à installer. Ils se contentent de lire vos fichiers : aucun accès réseau, et rien n'est envoyé nulle part.