Beispiel-Berichte
Dieses Repo auditieren
Production-ready. Alle sieben anwendbaren Audits liegen bei A− bis A (90–94), null P0, genau ein P1; die einzigen echten Restrisiken betreffen das Supply-Chain-Vertrauensmodell, das das Produkt verkauft, nicht eine Live-Exposition.
- Lauf-Datum
- 2026-06-17
- Master-Tracker
- #97
Scorecard
Phase 0 wählte 7 anwendbare Audits; jede Linse wurde unabhängig benotet.
Als nicht anwendbar deklariert
Phase 0 erklärte diese — mit Begründung — als außerhalb des Umfangs, statt sie still zu überspringen.
api
Keine route.ts / Server-Actions — voll statisch.
data
Keine Datenbank, kein Schema, kein ORM.
ai-llm
Prompts laufen im externen Agenten; kein In-Repo-Runtime.
compliance-privacy
Keine Formulare, kein Auth, keine PII außer Vercel Analytics.
Wichtigste Befunde
Ein Ausschnitt des Backlogs, nativ gerendert. Öffne ein Issue und prüfe den Beleg auf GitHub.
/de lieferte das Dokument mit <html lang="en">
- Beleg
- web/app/layout.tsx:71
- Vorher
- / und /de → <html lang="en">
- Nachher
- /de → <html lang="de">
CHECKSUMS.txt wird in CI nicht verifiziert
- Beleg
- CHECKSUMS.txt · .github/workflows
- Vorher
- Verspricht „verify-before-execute" — nicht erzwungen
- Nachher
- Ein CI-Gate verifiziert die Checksummen bei jedem Lauf
~17 hand-gepflegte Versions-Pins ohne Single Source of Truth
- Beleg
- verstreute v0.5.0-Pins im Repo
- Vorher
- Jeder Pin von Hand editiert, driftanfällig
- Nachher
- Eine Single Source of Truth, per Skript gebumpt
EN-Metadaten hartcodieren „German GitHub issues"
- Beleg
- web/lib/site.ts
- Vorher
- Englische Copy behauptete nur deutsche Ausgabe
- Nachher
- Copy spiegelt deutsche oder englische Ausgabe
Cross-Audit-Dedupe
Der Mehrwert, die Audits zusammen laufen zu lassen: dieselbe Lücke von mehreren Linsen gefunden, zu einem Backlog-Item gemergt — jedes Zitat erhalten.
„CHECKSUMS.txt wird in CI nicht verifiziert"
Unabhängig von der repo-, infrastructure- und security-Linse gefunden und zu einem einzigen Backlog-Item gemergt — alle drei Zitate erhalten. Die Versions-Pin-Hälfte wurde als eigener Fix abgespalten.
Issue ansehen #82Wie dieser Lauf arbeitete
Recon wählte die anwendbaren Audits, ein Spezialisten-Schwarm führte sie parallel aus, Befunde wurden cross-pollinatet und dedupliziert, und jeder P0/P1 musste unabhängige Skeptiker überstehen, bevor er in den Bericht kam.