Сайты на WordPress часто взламывают через конфигурацию, а не через код: соли, в которых до сих пор написано 'put your unique phrase here', файл wp-config.php.bak, который веб-сервер отдаёт обычным текстом, или debug.log, который может скачать кто угодно. Этот навык находит такие ошибки и ещё семь ошибок в wp-config до запуска или передачи сайта и объясняет, как исправить каждую.

Ваш агент запускает сканер по папке сайта. Он читает wp-config.php, файлы wp-config-<name>.php, config/application.php и файлы окружения Bedrock, а также резервные копии wp-config.php. Он понимает комментарии и строки PHP, поэтому закомментированный define не учитывается, а соли со множеством символов читаются правильно. Он никогда не запускает PHP или WordPress. Результат: BLOCK, REVIEW или NOT FLAGGED с указанием файла, строки, причины и более безопасного подхода. Соли и пароли никогда не выводятся.

Что проверяется

BLOCK (исправить до выпуска)

• V01: ключи и соли, в которых до сих пор написано 'put your unique phrase here'

• V02: WP_DEBUG включён без отключения WP_DEBUG_DISPLAY, поэтому ошибки видны на страницах

• V03: WP_DEBUG_LOG пишет в wp-content/debug.log или в другое место внутри корня сайта

• V04: копия wp-config.php, которая не заканчивается на .php (.bak, .old, .orig, .save, .swp, .txt, ~ и подобные)

REVIEW (проверить перед релизом)

• V11: DISALLOW_FILE_EDIT не задан, поэтому администраторы могут редактировать PHP тем и плагинов в консоли

• V12: FORCE_SSL_ADMIN установлен в false

• V13: автоматические обновления отключены (AUTOMATIC_UPDATER_DISABLED или WP_AUTO_UPDATE_CORE false)

• V14: DB_USER равен root

• V15: пустой DB_PASSWORD

• V16: ключи или соли короче 32 символов или повторяющиеся

Что входит

• Сканер (Python 3.9+, только стандартная библиотека)

• Руководство по правилам с причиной и более безопасным подходом для каждого правила

• Рискованный и безопасный пример wp-config.php, резервная копия, которую нужно найти, и настоящий отчёт сканера по рискованному примеру

Ограничения

Сканер читает вызовы define() в том виде, в каком они написаны, поэтому константы, заданные в подключаемых файлах, значения из базы данных и правила сервера, блокирующие файлы, не учитываются. NOT FLAGGED не является гарантией.

Содержимое

Один ZIP-файл с 8 файлами: SKILL.md, сканер в scripts/ (2 файла Python), references/rules.md (каждое правило с причиной и более безопасным подходом) и examples/ (3 файла примеров и report.md, настоящий вывод сканера по рискованному примеру).

Как использовать: это навык для агента: папка с файлом SKILL.md и скриптами Python, которые может запускать ИИ-агент для программирования, например Claude Code, Cursor или Codex CLI. Распакуйте её в папку навыков вашего агента (для Claude Code: ~/.claude/skills/) и попросите агента проверить проект. Скрипты также работают самостоятельно с Python 3.9 или новее, ничего устанавливать не нужно. Они только читают ваши файлы: без доступа к сети, ничего никуда не отправляется.