api.insecure: true открывает панель управления и API Traefik на порту 8080 без входа, а маршрутизатор к api@internal только с промежуточным обработчиком headers делает то же самое на вашем публичном имени хоста. Этот навык находит эти и ещё девять ошибок Traefik до открытия доступа к прокси и объясняет, как исправить каждую из них.

Ваш агент запускает сканер проекта: статических файлов traefik.yml и traefik.toml, динамических файлов YAML и TOML для файлового провайдера, файлов Docker Compose и Swarm (меток traefik.*, флагов командной строки, переменных TRAEFIK_* и томов сервиса Traefik), манифестов Kubernetes (ресурсов IngressRoute, Middleware, TLSOption и ServersTransport, а также контейнеров с Traefik) и значений Helm-чарта Traefik. Он разбирает YAML и TOML с номерами строк, читает ключи без учёта регистра, как и Traefik, прослеживает цепочки промежуточных обработчиков и считает значения {{ env }} и ${VAR} ссылками, а не секретами. Он никогда не запускает Traefik, Docker или kubectl. Результат: BLOCK, REVIEW или NOT FLAGGED с указанием файла, строки, причины и более безопасного решения. Секреты никогда не выводятся.

Что проверяется

BLOCK (исправить до выпуска)

• T01: api.insecure (в файле, флаге --api.insecure или TRAEFIK_API_INSECURE) и providers.rest.insecure

• T02: маршрутизаторы к api@internal (и панели управления Helm-чарта на публичной точке входа) без промежуточных обработчиков basicAuth, digestAuth, forwardAuth или ipAllowList и без ClientIP() в правиле

• T03: insecureSkipVerify: true в транспортах серверов, провайдерах, forwardAuth и экспортёрах

• T04: токены, пароли, заголовки Authorization, URL с user:password@ и встроенные закрытые ключи в конфигурации, а также ключи DNS-провайдеров, например CF_DNS_API_TOKEN, записанные в окружении контейнера Traefik

REVIEW (проверить до релиза)

• T11: провайдер Docker или Swarm без exposedByDefault: false

• T12: точка входа на порту 80 без перенаправления на HTTPS при настроенном HTTPS

• T13: сокет Docker или Podman, подключённый в контейнер Traefik (в том числе с :ro, что не ограничивает вызовы API). T13 ожидаем в большинстве конфигураций с провайдером Docker, если не используется прокси сокета.

• T14: настройки TLS, допускающие TLS 1.0 или 1.1 либо наборы шифров RC4, 3DES или NULL

• T15: логирование уровня DEBUG или TRACE и api.debug

• T16: журналы доступа, сохраняющие заголовки Authorization или Cookie

• T17: доверие к перенаправленным заголовкам или протоколу PROXY от любого клиента

Что входит в комплект

• Сканер (Python 3.9+, только стандартная библиотека)

• Руководство по правилам с обоснованием и более безопасным решением для каждого правила

• Небезопасный и безопасный примеры проекта (файл Compose, статическая и динамическая конфигурация), а также фактический отчёт сканера для небезопасного примера

Ограничения

Сканер читает каждый файл в его исходном виде. Настройки из других источников, которые Traefik объединяет во время выполнения, не прослеживаются: промежуточные обработчики из другого провайдера, значения .env, шаблоны Helm и значения --set, хранилища ключей и значений Consul, etcd или Redis, а также файлы Traefik v1. Проверка других сервисов Compose остаётся задачей отдельного инструмента проверки Compose. NOT FLAGGED не является гарантией.

Содержимое архива

Один ZIP-архив с 14 файлами: SKILL.md, сканер в scripts/ (5 файлов Python), references/rules.md (все правила с обоснованием и более безопасным решением) и examples/ (6 файлов примеров и report.md, фактический отчёт сканера для небезопасного примера).

Как использовать: Это навык для агента: папка с файлом SKILL.md и скриптами Python, которые может запускать ИИ-агент для программирования, например Claude Code, Cursor или Codex CLI. Распакуйте архив в папку навыков вашего агента (для Claude Code: ~/.claude/skills/), затем попросите агента проверить проект. Скрипты также можно запускать отдельно с Python 3.9 или новее, без установки дополнительных зависимостей. Они только читают ваши файлы: доступ к сети не используется, данные никуда не отправляются.