location /static с alias /var/www/static/ выглядит безобидно, но через /static../ можно прочитать файлы за пределами папки. Этот навык находит эту классическую ошибку nginx и еще девять рискованных настроек и объясняет, как исправить каждую из них.

Ваш агент запускает сканер для файлов nginx.conf, conf.d и sites-enabled. Файлы проверяются вместе, директивы include внутри сканируемой папки учитываются, а наследование add_header оценивается по реальным правилам nginx. Он выдает результат BLOCK, REVIEW или NOT FLAGGED с указанием файла, строки, причины и более безопасного варианта.

Что проверяется

BLOCK (исправить до выпуска)

• W01: включен autoindex

• W02: разрешены SSLv3, TLS 1.0 или TLS 1.1

• W03: обход пути из-за пропущенного слеша в alias

• W04: proxy_pass на хост, взятый из запроса

REVIEW (проверить перед релизом)

• W11: не отключен server_tokens

• W12: HTTPS-сервер без HSTS

• W13: слабые шифры, например RC4 или 3DES

• W14: client_max_body_size 0

• W15: нет заголовков nosniff и защиты от встраивания во фреймы

• W16: stub_status без правила deny

Что входит в комплект

• Сканер (Python 3.9+, только стандартная библиотека)

• Справочник по правилам: для каждого правила указаны причина и более безопасный вариант

• Рискованный и безопасный примеры конфигурации, а также реальный отчет, который сканер выдает по рискованному примеру

Ограничения

Он читает текст конфигурации. Он не учитывает include за пределами сканируемой папки и не видит настройки TLS на балансировщике нагрузки или CDN перед nginx. Статус NOT FLAGGED не является гарантией.

Содержимое

Один ZIP-архив, в нем 7 файлов: SKILL.md, сканер в scripts/ (2 файла на Python), references/rules.md (все правила с причинами и более безопасными вариантами) и examples/ (2 файла-примера плюс report.md, реальный отчет сканера по рискованному примеру).

Как использовать: это навык для агента: папка с файлом SKILL.md и скриптами на Python, которые может запускать ИИ-агент для программирования, например Claude Code, Cursor или Codex CLI. Распакуйте архив в папку навыков вашего агента (для Claude Code: ~/.claude/skills/), затем попросите агента проверить ваш проект. Скрипты также работают самостоятельно с Python 3.9 или новее, ничего устанавливать не нужно. Они только читают ваши файлы: без доступа к сети, никакие данные никуда не отправляются.