Диагностика и безопасность системы

Почему это важно именно вам

К этому моменту у вас не инструмент, а система: правила, агенты, скиллы, хуки, подключения, расписания, плагины. У систем есть свойство, которого нет у инструментов, — они ломаются незаметно и в неожиданных местах.

Сегодня — два ответа на это. Первый: как быстро находить причину, когда что-то пошло не так. Второй: как проверять на уязвимости то, что ваша система делает, — особенно если её результаты уходят наружу.

Что это такое

/doctor — полная проверка настройки. Диагностирует проблемы и часть из них умеет починить. У команды есть синоним /checkup. Это первое, что стоит запускать при любом «оно как-то странно работает».

--safe-mode (из Дня 87) — запуск без всех ваших настроек. Отвечает на вопрос «дело в моей конфигурации или нет».

Плагины безопасности. Два разных инструмента:

• security-guidance (/plugin install security-guidance@claude-plugins-official) проверяет изменения по ходу работы и сам исправляет найденные уязвимости в той же сессии. После установки работает автоматически, вызывать нечего;
• claude-security (/plugin install claude-security@claude-plugins-official, запуск — /claude-security) запускает многоагентную проверку на уязвимости и превращает выбранные вами находки в конкретные исправления, которые вы применяете сами. Работает локально в вашей сессии и расходует лимиты вашего плана; на Pro нужно включить «Dynamic workflows» в /config.

Второй — увесистая процедура, её место не в ежедневной работе, а перед выкаткой чего-то важного.

Как работает на практике

Порядок диагностики

Когда что-то сломалось, идите по шагам — от дешёвого к дорогому:

0. /context. Если что-то «не подействовало» — сначала проверьте, загрузилось ли оно вообще: команда показывает, что реально лежит в контексте (CLAUDE.md, скиллы, субагенты, MCP-инструменты).

1. /doctor. Часто отвечает сразу: не хватает зависимости, протух токен, конфликт настроек.

2. /status. Показывает версию, чем вы вошли, какая модель, связь и какие источники настроек применились — включая корпоративные. Режима разрешений там нет: он виден в строке состояния внизу (⏸ manual mode on, ⏵⏵ auto mode on). Половина «странностей» объясняется тем, что модель или режим не те, что вы думали.

3. --safe-mode. Отключает надстройки: CLAUDE.md, скиллы, плагины, хуки, MCP. Если без них всё работает — виновата одна из надстроек, отключайте по одной. Разрешения и файл настроек при этом остаются в силе: если подозрение на них, запускайте сессию с пустым конфиг-каталогом через CLAUDE_CONFIG_DIR.

4. /mcp. Неавторизованный сервер выглядит как «инструмент не работает».

5. /debug или claude --debug. Последний шаг: включает подробный лог сессии и просит Claude разобраться по нему.

Дисциплина здесь важнее знаний: без порядка люди начинают с шага 5 и тратят часы.

Регулярная гигиена

Раз в квартал стоит проходить чек-лист:

• Подключения. Всё ли используется? Не осталось ли лишних прав?
• Плагины. Всё ли ставилось осознанно? Есть ли у корпоративных владелец?
• Хуки. Каждый ли из них ещё нужен? Хуки выполняются автоматически — забытый хук может тихо ломать работу.
• Расписания. Работают ли ваши routines и задачи? Проверьте историю прогонов, а не факт существования.
• Разрешения. Актуален ли список запретов? Не расширяли ли вы права «на один раз» и не вернули обратно?
• Версия. claude --version — не отстали ли вы настолько, что половина настроек уже не поддерживается.

Проверка на уязвимости

Если результаты вашей работы уходят наружу — публикуются, отправляются, попадают в системы — стоит подключить проверку безопасности.

Практический минимум для директорских задач:

• не публиковать то, что не просмотрели (артефакты, страницы, отчёты);
• проверять, что не уехали персональные данные — маскировать до публикации;
• не давать автономным задачам права отправки наружу;
• раз в квартал прогонять глубокую проверку по тому, что стало сложным.

Частые ошибки

Не запускать /doctor при поломке. Минута против часа.

Чинить наугад. Без порядка диагностики вы меняете три вещи сразу и не знаете, что помогло.

Считать тишину нормой. Проверяйте по отметке времени последнего успешного прогона.

Ставить плагины без ревизии. Через год у вас двадцать расширений, половину из которых вы не помните.

Забывать про версию. Значительная часть проблем «не работает как в документации» решается обновлением.

Когда нужно / когда нет

Проверять регулярно: всё, что работает без вас (расписания, автономные задачи, хуки).

Проверять по событию: после установки плагина, обновления версии, изменения настроек.

Глубокая проверка безопасности: перед публичным запуском, при работе с чужими данными, при подключении внешних систем.

Связь с другими уроками

День 87 — --safe-mode и песочница. Инструменты того же ряда.

День 88 — проверка результата. Здесь — проверка самой системы, там — её работы.

День 78 — routines. Их история прогонов — главный индикатор молчаливого падения.

Задание на сегодня

1. Запустите /doctor и разберите всё, что он нашёл.
2. Выполните /status и убедитесь, что настройки применились те, что вы ожидали.
3. Пройдите квартальный чек-лист: подключения, плагины, хуки, расписания, разрешения, версия.
4. Для каждой автоматизации найдите способ ответить на вопрос «когда она сработала в последний раз».
5. Если у вас есть работа, результаты которой уходят наружу, — прогоните проверку безопасности.

Критерий «выполнено»: /doctor не показывает проблем, и по каждой вашей автоматизации вы можете назвать дату последнего успешного прогона.

Резюме

• /doctor (синоним /checkup) — первая команда при любой поломке: диагностирует и часть проблем чинит сам.
• Порядок диагностики: /context → /doctor → /status → --safe-mode → /mcp → /debug. Дисциплина важнее знаний.
• Квартальная гигиена: подключения, плагины, хуки, расписания, разрешения, версия.
• Молчаливое падение — главный враг: проверяйте не «работает ли», а «когда сработало в последний раз».
• Плагины безопасности: security-guidance правит найденное по ходу работы сам, claude-security сканирует репозиторий многоагентно и готовит исправления вам на утверждение.
• Для результатов, уходящих наружу: просматривать перед публикацией, маскировать персональные данные, не давать автономным задачам права отправки.