API-ключ поставщика, вставленный в заголовок x-honeycomb-team или Authorization экспортёра либо в OTEL_EXPORTER_OTLP_HEADERS в файле Compose, оказывается в git, в ConfigMap и в каждом образе, собранном из него. Конвейер, в котором указан otlphttp/vendor, тогда как экспортёр определён как otlp_http/vendor, вообще не даёт Collector запуститься, а заголовок, записанный как $API_KEY, отправляется в виде этого буквального текста, поскольку Collector больше не раскрывает значения вида $NAME без скобок. Этот навык находит такие ошибки и другие ошибки Collector из списка ниже до развёртывания и объясняет, как исправить каждую из них.

Ваш агент запускает сканер для конфигурационных файлов Collector, значений для Helm-чарта opentelemetry-collector, ресурсов оператора OpenTelemetryCollector, ConfigMap со встроенной конфигурацией, конфигурационных файлов SDK и настроек OTEL_* в файлах Compose, манифестах Kubernetes, Dockerfile, shell-скриптах, файлах .env и .properties. Он знает значения Collector по умолчанию (серверы на localhost начиная с v0.104.0, TLS включён для экспортёра gRPC, если не задано insecure: true), учитывает собственную конфигурацию чарта по умолчанию при чтении значений Helm, считает ${env:NAME}, secretKeyRef и значения SOPS ссылками, пропускает плейсхолдеры из документации, такие как YOUR_API_KEY, рассматривает файлы, которые одна команда загружает с несколькими флагами --config, как части одной конфигурации и никогда не запускает Collector и не обращается к бэкенду. Он возвращает BLOCK, REVIEW или NOT FLAGGED с указанием файла, строки, причины и более безопасного подхода. Секреты никогда не выводятся.

Что проверяется

BLOCK (исправить до выпуска)

• O01: API-ключи, токены и пароли, записанные в конфигурацию Collector или SDK: заголовки экспортёров, расширения аутентификации (bearertokenauth, basic_auth, oauth2client, headers_setter), поля вроде api.key или access_token, значения по умолчанию ${env:NAME:-fallback} и пароли в URL конечных точек
• O02: учётные данные в OTEL_EXPORTER_OTLP_HEADERS, свойстве otel.exporter.otlp.headers или флагах -D, а также переменные с секретными именами в контейнерах Collector (Compose, Kubernetes, Helm extraEnvs, spec.env оператора)
• O03: учётные данные, отправляемые на удалённый хост открытым текстом (insecure: true, конечные точки http://, OTEL_EXPORTER_OTLP_INSECURE) или с отключённой проверкой сертификатов
• O04: конфигурации, с которыми Collector отказывается запускаться: конвейеры или service.extensions с неопределёнными компонентами, аутентификаторы или middleware, ссылающиеся на невключённые расширения, конвейеры без receivers или exporters, односторонние коннекторы

REVIEW (проверить перед релизом)

• O11: receivers на 0.0.0.0, :: или пустом хосте без аутентификации
• O12: экспортёр debug с verbosity: detailed в конвейере
• O13: конвейеры без memory_limiter или с memory_limiter не на первом месте
• O14: удалённые компоненты (экспортёр logging, экспортёры jaeger, memory_ballast, opencensus, процессор routing, SAPM)
• O15: pprof, zPages или remotetap на всех интерфейсах
• O16: телеметрия на удалённый хост без TLS или проверки сертификатов, TLS 1.0/1.1, небезопасные наборы шифров
• O17: значения $NAME или $(NAME), которые Collector не раскрывает
• O18: учётные данные, записанные короткими словами, например changeme или supersecretapikey (слабые или так и не заменённые плейсхолдеры)

Что входит в комплект

• Сканер (Python 3.9+, только стандартная библиотека)
• Руководство по правилам с причиной, более безопасным подходом и официальным источником для каждого правила
• Рискованный и безопасный примеры настройки (конфигурация Collector и файл Compose), а также реальный отчёт сканера по рискованному примеру

Ограничения

Шаблоны Helm не рендерятся, конфигурации, разделённые на несколько файлов --config, распознаются, только если команда, которая их загружает, находится в проверяемых файлах или у одной из частей нет раздела receivers, а значения, подставляемые из окружения во время выполнения, неизвестны. Хост считается удалённым, если это публичный IP-адрес или его имя оканчивается публичным доменом верхнего уровня. Конфигурация по умолчанию в официальных образах Collector привязывается к 0.0.0.0 и намеренно получает находки REVIEW. Конфигурации в JSON, доступность через Service и Ingress и сетевые политики не проверяются. NOT FLAGGED не является гарантией.

Содержимое

Один ZIP-файл с 14 файлами: SKILL.md, сканер в scripts/ (7 файлов Python), references/rules.md (каждое правило с причиной и более безопасным подходом) и examples/ (4 файла примеров плюс report.md, реальный вывод сканера для рискованного примера).

Как использовать: Это навык для агента: папка с файлом SKILL.md и скриптами на Python, которые может запускать ИИ-агент для программирования, например Claude Code, Cursor или Codex CLI. Распакуйте архив в папку навыков вашего агента (для Claude Code: ~/.claude/skills/), затем попросите агента проверить ваш проект. Скрипты работают и самостоятельно на Python 3.9 или новее, ничего устанавливать не нужно. Они только читают ваши файлы: никакого доступа к сети, ничего никуда не отправляется.