Одна забытая строка в settings.py может показать посетителям всю вашу конфигурацию (DEBUG = True) или позволить кому угодно подделывать сессии (SECRET_KEY в репозитории). Этот навык находит такие ошибки и ещё девять ошибок в настройках Django до деплоя и объясняет, как исправить каждую.

Ваш агент запускает сканер по файлам настроек: settings.py, папке settings/ (base.py, production.py) и local_settings.py. Он читает их штатным парсером Python, поэтому понимает настоящий код, включая настройки внутри блоков if и try и значения по умолчанию при чтении переменных окружения. Он никогда не импортирует и не запускает ваши настройки. Файлы настроек для разработки и тестов читаются, но не попадают в отчёт. Результат: BLOCK, REVIEW или NOT FLAGGED с указанием файла, строки, причины и более безопасного подхода. Ключи и пароли никогда не выводятся.

Что проверяется

BLOCK (исправить до выпуска)

• D01: DEBUG = True, в том числе когда чтение переменной окружения по умолчанию даёт true

• D02: SECRET_KEY, записанный в файле или используемый как захардкоженное значение по умолчанию

• D03: '*' в ALLOWED_HOSTS

• D04: пароль базы данных или URL базы данных с паролем в DATABASES

• D05: другая секретная настройка в файле, например EMAIL_HOST_PASSWORD или AWS_SECRET_ACCESS_KEY

REVIEW (проверить перед релизом)

• D11: MIDDLEWARE без CsrfViewMiddleware

• D12: cookie сессии или CSRF без secure либо сессионная cookie доступна из JavaScript

• D13: SECURE_SSL_REDIRECT выключен или SECURE_HSTS_SECONDS = 0

• D14: django-cors-headers разрешает любой origin

• D15: хешер MD5, SHA1, без соли или crypt стоит первым в PASSWORD_HASHERS

• D16: пустой список AUTH_PASSWORD_VALIDATORS

Что входит

• Сканер (Python 3.9+, только стандартная библиотека)

• Руководство по правилам с причиной и более безопасным подходом для каждого правила

• Рискованные и безопасные примеры настроек и настоящий отчёт сканера по рискованному

Ограничения

Каждый файл настроек проверяется отдельно, поэтому значения, импортированные через from .base import * или заданные переменными окружения, не учитываются. Запускайте также python manage.py check --deploy. NOT FLAGGED не является гарантией.

Содержимое

Один ZIP-файл с 7 файлами: SKILL.md, сканер в scripts/ (2 файла Python), references/rules.md (каждое правило с причиной и более безопасным подходом) и examples/ (2 файла примеров и report.md, настоящий вывод сканера по рискованному примеру).

Как использовать: это навык для агента: папка с файлом SKILL.md и скриптами Python, которые может запускать ИИ-агент для программирования, например Claude Code, Cursor или Codex CLI. Распакуйте её в папку навыков вашего агента (для Claude Code: ~/.claude/skills/) и попросите агента проверить проект. Скрипты также работают самостоятельно с Python 3.9 или новее, ничего устанавливать не нужно. Они только читают ваши файлы: без доступа к сети, ничего никуда не отправляется.