API-ключ постачальника, вставлений у заголовок x-honeycomb-team або Authorization експортера чи в OTEL_EXPORTER_OTLP_HEADERS у файлі Compose, потрапляє в git, у ConfigMap і в кожен образ, зібраний на його основі. Pipeline, у якому вказано otlphttp/vendor, тоді як експортер визначено як otlp_http/vendor, взагалі не дає Collector запуститися, а заголовок, записаний як $API_KEY, надсилається буквально цим текстом, бо Collector більше не розгортає голі значення $NAME. Ця навичка знаходить ці та інші помилки Collector, наведені нижче, до розгортання і пояснює, як виправити кожну з них.

Ваш агент запускає сканер для файлів конфігурації Collector, значень Helm-чарту opentelemetry-collector, ресурсів оператора OpenTelemetryCollector, ConfigMap із вбудованою конфігурацією, файлів конфігурації SDK, а також налаштувань OTEL_* у файлах Compose, маніфестах Kubernetes, Dockerfile, shell-скриптах, файлах .env і .properties. Він знає стандартні значення Collector (сервери на localhost починаючи з v0.104.0, TLS увімкнено для експортера gRPC, якщо не задано insecure: true), враховує власну стандартну конфігурацію чарту під час читання значень Helm, вважає ${env:NAME}, secretKeyRef і значення SOPS посиланнями, пропускає плейсхолдери з документації, як-от YOUR_API_KEY, вважає файли, які одна команда завантажує з кількома прапорцями --config, частинами однієї конфігурації, і ніколи не запускає Collector і не звертається до бекенду. Він повертає BLOCK, REVIEW або NOT FLAGGED із файлом, рядком, причиною та безпечнішим підходом. Секрети ніколи не виводяться.

Що перевіряється

BLOCK (виправити перед випуском)

• O01: API-ключі, токени та паролі, записані в конфігурацію Collector або SDK: заголовки експортерів, розширення автентифікації (bearertokenauth, basic_auth, oauth2client, headers_setter), поля на кшталт api.key або access_token, стандартні значення ${env:NAME:-fallback} і паролі в URL endpoint
• O02: облікові дані в OTEL_EXPORTER_OTLP_HEADERS, у властивості otel.exporter.otlp.headers або прапорцях -D, а також змінні з назвами секретів у контейнерах Collector (Compose, Kubernetes, extraEnvs у Helm, spec.env оператора)
• O03: облікові дані, що надсилаються на віддалений хост відкритим текстом (insecure: true, endpoint http://, OTEL_EXPORTER_OTLP_INSECURE) або з вимкненою перевіркою сертифікатів
• O04: конфігурації, з якими Collector відмовляється запускатися: pipelines або service.extensions, що посилаються на невизначені компоненти, автентифікатори чи middleware, що посилаються на неувімкнені розширення, pipelines без receivers або exporters, однобічні конектори

REVIEW (перевірити перед релізом)

• O11: receivers на 0.0.0.0, :: або порожньому хості без автентифікації
• O12: експортер debug з verbosity: detailed у pipeline
• O13: pipelines без memory_limiter або з memory_limiter не на першому місці
• O14: вилучені компоненти (експортер logging, експортери jaeger, memory_ballast, opencensus, процесор routing, SAPM)
• O15: pprof, zPages або remotetap на всіх інтерфейсах
• O16: телеметрія на віддалений хост без TLS або перевірки сертифікатів, TLS 1.0/1.1, небезпечні набори шифрів
• O17: значення $NAME або $(NAME), які Collector не розгортає
• O18: облікові дані, записані короткими словами на кшталт changeme або supersecretapikey (слабкі або плейсхолдер, який так і не замінили)

Що входить до комплекту

• Сканер (Python 3.9+, лише стандартна бібліотека)
• Посібник із правил із причиною, безпечнішим підходом і офіційним джерелом для кожного правила
• Ризикований і безпечний приклади налаштування (конфігурація Collector і файл Compose), а також справжній звіт, який сканер створює для ризикованого

Обмеження

Шаблони Helm не рендеряться, конфігурації, розділені на кілька файлів --config, розпізнаються лише тоді, коли команда, що їх завантажує, є у файлах, які скануються, або коли частина не має розділу receivers, а значення, що підставляються із середовища під час виконання, невідомі. Хост вважається віддаленим, якщо це публічна IP-адреса або він закінчується публічним доменом верхнього рівня. Стандартна конфігурація в офіційних образах Collector прив'язується до 0.0.0.0 і свідомо отримує результати REVIEW. Конфігурації JSON, доступ через Service та Ingress і мережеві політики не перевіряються. NOT FLAGGED не є гарантією.

Вміст

Один ZIP-файл із 14 файлами: SKILL.md, сканер у scripts/ (7 файлів Python), references/rules.md (кожне правило з причиною та безпечнішим підходом) і examples/ (4 файли прикладів, а також report.md, справжній результат роботи сканера для ризикованого прикладу).

Як користуватися: Це навичка (skill) для агента: тека з файлом SKILL.md і скриптами Python, які може запускати агент для програмування на основі ШІ, наприклад Claude Code, Cursor або Codex CLI. Розпакуйте її в теку навичок вашого агента (для Claude Code: ~/.claude/skills/), а потім попросіть агента перевірити ваш проєкт. Скрипти також працюють самостійно з Python 3.9 або новішим, нічого не потрібно встановлювати. Вони лише читають ваші файли: жодного доступу до мережі, нічого нікуди не надсилається.