Не общий INI-валидатор: зависимости ≠ порядок, ExecStart ≠ shell, [Install] ≠ runtime. Данные не уходят на сервер.
Загрузка…
SD_HARDEN_NONEWPRIVILEGES[Service]Без NoNewPrivileges процесс может повышать привилегии через setuid. Часто безопасно включить.
NoNewPrivileges=yes
NoNewPrivileges=yes
SD_DIRECTIVE_WRONG_SECTION[Service]L13Директива в нетипичной секции для .service/.timer. Проверьте placement.
StartLimitIntervalSec=60
SD_DIRECTIVE_WRONG_SECTION[Service]L14Директива в нетипичной секции для .service/.timer. Проверьте placement.
StartLimitBurst=5
SD_DEP_NE_ORDER[Unit]Requires/Wants задают зависимость (нужен ли юнит), Before/After — только порядок. Одно без другого не заменяет второе.
SD_DROPIN_UNKNOWNАнализ видит только вставленный текст. Drop-in’ы из *.d/ и `systemctl cat` на хосте не подгружаются.
SD_INSTALL_NOT_RUNTIME[Install]WantedBy/RequiredBy создают symlink при enable. Для порядка запуска смотрите After=/Requires= в [Unit].
WantedBy=multi-user.target
SD_HARDEN_PRIVATETMP[Service]PrivateTmp=yes изолирует /tmp. Не универсально (нужен shared tmp) — контекст важен.
PrivateTmp=yes
PrivateTmp=yes
SD_HARDEN_PROTECTHOME[Service]ProtectHome=yes|read-only|tmpfs скрывает /home. Не для user-сервисов с доступом к home.
ProtectHome=yes
ProtectHome=yes
SD_HARDEN_PROTECTSYSTEM[Service]ProtectSystem=strict|full|true ограничивает запись в /, /usr, /boot. Подбирайте под сервис.
ProtectSystem=strict
ProtectSystem=strict
SD_HARDEN_SYSCALL_FILTER[Service]seccomp-фильтр (@system-service, @privileged, …) снижает поверхность атаки. Не копируйте вслепую.
SystemCallFilter=@system-service
SystemCallFilter=@system-service SystemCallErrorNumber=EPERM
SD_NETWORK_ONLINE[Unit]L4Корректная цель «сеть онлайн», если на хосте настроен NetworkManager-wait-online / systemd-networkd-wait-online.
Wants=network-online.target