@the-bearded-bear/claude-craft 8.22.0 → 8.23.0

package/Dev/i18n/pt/Vite/commands/check-compliance.md

@@ -36,7 +36,7 @@ Executar a verificação completa de configuração e arquitetura:
 - Correção do vite.config.ts (defineConfig, aliases sincronizados com tsconfig) (8 pts)
 - Posicionamento do index.html na raiz do projeto, nunca dentro de public/ (6 pts)
 - Configuração do build.lib para bibliotecas (entry, formats, external, vite-plugin-dts) (8 pts)
-- rollupOptions.input para aplicações multi-página, convenção de nomeação de plugins (vite-plugin-*) (8 pts)
+- rolldownOptions.input para aplicações multi-página, convenção de nomeação de plugins (vite-plugin-*) (8 pts)
 
 **Referência**: `.claude/agents/vite-reviewer.md` (seção 1)
 
@@ -151,7 +151,7 @@ Sub-pontuações:
   • Correção do vite.config.ts       : XX/8
   • Posicionamento do index.html     : XX/6
   • Configuração do build.lib        : XX/8
-  • rollupOptions.input / plugins    : XX/8
+  • rolldownOptions.input / plugins    : XX/8
 
 Pontos fortes:
 - [Pontos fortes de arquitetura]

package/Dev/scripts/install-paperclip-rules.sh

@@ -4,7 +4,7 @@
 # Usage: ./install-paperclip-rules.sh [OPTIONS] [PROJECT_DIR]
 #
 # Paperclip: Open-source orchestration for zero-human companies.
-# Node.js 20+ / TypeScript / React UI / Vitest / PostgreSQL.
+# Node.js 24.11+ / TypeScript / React UI / Vitest / PostgreSQL.
 # Docs: https://docs.paperclip.ing/  —  Repo: https://github.com/paperclipai/paperclip
 
 set -euo pipefail
@@ -16,7 +16,7 @@ I18N_DIR="$(dirname "$SCRIPT_DIR")/i18n"
 TECH_NAME="Paperclip"
 TECH_DISPLAY_NAME="Paperclip"
 TECH_NAMESPACE="paperclip"
-DEFAULT_STACK="Node.js 20+, TypeScript 5+, React 18+, Vitest, pnpm 9.15+, PostgreSQL"
+DEFAULT_STACK="Node.js 24.11+, TypeScript 5+, React 18+, Vitest, pnpm 9.15+, PostgreSQL"
 
 # --- TCL version ---
 source "${SCRIPT_DIR}/tcl-common.sh"
@@ -47,7 +47,7 @@ TECH_RULES=(
 HELP_DESCRIPTION="    TCL-optimized installation covering:
     - Paperclip monorepo shape (server + ui + cli + packages)
     - Built-in adapters (packages/adapters/*) and plugins (@paperclipai/plugin-sdk)
-    - Node.js 20+ / TypeScript strict mode
+    - Node.js 24.11+ / TypeScript strict mode
     - Testing (Vitest, plugin test harness from @paperclipai/plugin-sdk/testing)
     - Security (Better Auth, tenancy, plugin capabilities, approval gates)
 
@@ -64,7 +64,7 @@ AVAILABLE_COMMANDS="- \`/${TECH_NAMESPACE}:check-compliance\` - Full compliance
 - \`/${TECH_NAMESPACE}:setup-company\` - Bootstrap a new Paperclip company"
 
 ARCHITECTURE_SUMMARY="\`\`\`
-Paperclip monorepo (v2026.529.0+)
+Paperclip monorepo (v2026.1012.0+)
 
 server/                Node.js + TypeScript API (companies, agents, approvals, activity)
 ui/                    React dashboard
@@ -101,7 +101,7 @@ TESTING_STACK="**Paperclip Stack**: Vitest (unit + integration) + adapter contra
 TECH_REFERENCES="- \`${TECH_NAMESPACE}/architecture.md\` - Two-layer control plane + adapters
 - \`${TECH_NAMESPACE}/coding-standards.md\` - TypeScript & Paperclip conventions
 - \`${TECH_NAMESPACE}/testing.md\` - Vitest & adapter contract tests
-- \`${TECH_NAMESPACE}/tooling.md\` - pnpm, tsx, Vite, Node 20+
+- \`${TECH_NAMESPACE}/tooling.md\` - pnpm, tsx, Vite, Node 24.11+
 - \`${TECH_NAMESPACE}/quality-tools.md\` - ESLint flat config, Prettier, tsc
 - \`${TECH_NAMESPACE}/security.md\` - Secrets, approval gates, budgets, audit trails
 - \`${TECH_NAMESPACE}/adapter-protocol.md\` - Heartbeat, cost reporting, approvals"

package/Dev/scripts/install-vite-rules.sh

@@ -41,7 +41,7 @@ TECH_RULES=(
 HELP_DESCRIPTION="    TCL-optimized installation covering framework-agnostic Vite usage:
     - Vanilla JS/TS applications (src/main.ts entry)
     - Library authoring (build.lib + vite-plugin-dts)
-    - Multi-page apps (rollupOptions.input)
+    - Multi-page apps (rolldownOptions.input)
     - Workers / WASM entry points
     - Vitest for testing
 
@@ -78,7 +78,7 @@ vite.config.ts          # build.lib + vite-plugin-dts
 pages/
 ├── index.html
 └── admin.html
-vite.config.ts          # rollupOptions.input per page
+vite.config.ts          # rolldownOptions.input per page
 
 # 4. Workers / WASM
 src/
@@ -94,7 +94,7 @@ CODING_STANDARDS_SUMMARY="| Element | Convention | Example |
 | Entry point | \`src/main.ts\` (app) / \`src/index.ts\` (library) | \`main.ts\` |
 | Custom plugins | \`vite-plugin-*\` prefix | \`vite-plugin-my-transform.ts\` |
 | Config file | \`vite.config.ts\`, typed via \`defineConfig\` | \`defineConfig({ ... })\` |
-| Multi-page entries | \`rollupOptions.input\` keyed by page name | \`{ admin: 'pages/admin.html' }\` |
+| Multi-page entries | \`rolldownOptions.input\` keyed by page name | \`{ admin: 'pages/admin.html' }\` |
 | Worker entries | \`new URL('./x.worker.ts', import.meta.url)\` | \`type: 'module'\` |
 | Library exports | \`build.lib.entry\` + \`vite-plugin-dts\` for \`.d.ts\` | \`entry: 'src/index.ts'\` |
 
@@ -115,7 +115,7 @@ FILE_CONTEXTS="  # Vite config
       - solid-principles
     auto_load: false
     quick_tips: |
-      Use build.lib for npm packages, rollupOptions.input for multi-page apps.
+      Use build.lib for npm packages, rolldownOptions.input for multi-page apps.
       index.html is a source file, not a public asset.
       Not for React/Vue/Angular/Svelte dev-server config — see that stack's tooling.md.
 

package/Infra/i18n/de/Ansible/agents/ansible-architect.md

@@ -32,6 +32,8 @@ Sie sind ein **Senior Ansible Architect**, der vollstandige Automatisierungsarch
 | Multi-Umgebung | Dev / Staging / Produktion Trennung | Hoch |
 | Hierarchisch (Landschaft/Typ/Funktion) | Enterprise-Rechenzentrum-Verwaltung | Hoch |
 
+> Hetzner Cloud: die Collection `hetzner.hcloud` (7.2.0) mit ansible-core 2.21.5 verwenden, in `requirements.yml` gepinnt.
+
 ## Methodik
 
 ### Phase 1 -- Ermittlung

package/Infra/i18n/de/Docker/commands/docker-architecture.md

@@ -142,8 +142,6 @@ projekt/
 
 ```yaml
 # docker-compose.yml
-version: "3.8"
-
 services:
   # ═══════════════════════════════════════════════════════════
   # REVERSE PROXY

package/Infra/i18n/de/Docker/commands/docker-compose-setup.md

@@ -51,8 +51,6 @@ Stack: {stack}
 
 ```yaml
 # docker-compose.yml - Gemeinsame Basis
-version: "3.8"
-
 services:
   app:
     build:

package/Infra/i18n/de/FrankenPHP/agents/frankenphp-architect.md

@@ -7,7 +7,7 @@ description: FrankenPHP Caddyfile design, worker topology, and framework integra
 
 ## Identitaet
 
-Du bist ein **Senior FrankenPHP Architekt**, der in der Lage ist, vollstaendige PHP-Application-Serving-Topologien mit FrankenPHP 1.12+ zu entwerfen. Du koordinierst die Entscheidung zwischen Worker Mode und Classic Mode, Thread-Dimensionierung, Caddyfile-Design, Framework-Integration (Symfony, Laravel), Mercure-Echtzeit-Setup und Early Hints (103)-Konfiguration, um produktionsreife FrankenPHP-Deployments bereitzustellen.
+Du bist ein **Senior FrankenPHP Architekt**, der in der Lage ist, vollstaendige PHP-Application-Serving-Topologien mit FrankenPHP 1.13+ zu entwerfen. Du koordinierst die Entscheidung zwischen Worker Mode und Classic Mode, Thread-Dimensionierung, Caddyfile-Design, Framework-Integration (Symfony, Laravel), Mercure-Echtzeit-Setup und Early Hints (103)-Konfiguration, um produktionsreife FrankenPHP-Deployments bereitzustellen.
 
 ## Technische Expertise
 
@@ -120,6 +120,9 @@ Ermitteln und klaeren:
    - `max_requests = 500` um Speicheransammlung zu verhindern
    - Benchmark mit `wrk` oder `k6`, nach oben/unten anpassen
    - Ueberwachen: RSS-Speicher pro Worker, Antwortzeit p99
+   - FrankenPHP 1.13.0+ verwenden: 1.12.4 ist verwundbar (Sicherheitskorrekturen in 1.12.5: phpinfo im Standard-Image, Session-ID-Leak im Worker-Modus, Timeout beim Lesen des Request-Bodys; 5 Advisories, davon 2 high, in 1.13.0)
+   - FrankenPHP 1.13+: `num_threads` zählt nur Threads für Requests, die kein Worker bedient; Worker-Threads kommen hinzu, und der Start schlägt fehl, wenn `max_threads` < `num_threads` + Worker-Threads
+   - Hot Reload in der Entwicklung läuft über Mercure 1.0: `$_SERVER['FRANKENPHP_HOT_RELOAD']` liefert jetzt `/.well-known/mercure?match=<topic>` (`?topic=` nicht fest codieren)
 
 ### Phase 3 -- Implementierungsblaupause
 

package/Infra/i18n/de/FrankenPHP/agents/frankenphp-deployment.md

@@ -59,7 +59,7 @@ Du bist ein **Senior FrankenPHP Deployment-Ingenieur**, spezialisiert auf `dungl
 # docker-compose.yml
 services:
   app:
-    image: dunglas/frankenphp:1.12-php8.5-bookworm
+    image: dunglas/frankenphp:1.13-php8.5-bookworm
     ports:
       - "80:80"
       - "443:443"
@@ -88,7 +88,7 @@ volumes:
 
 ```dockerfile
 # Stufe 1: Abhaengigkeiten
-FROM dunglas/frankenphp:1.12-php8.5-bookworm AS base
+FROM dunglas/frankenphp:1.13-php8.5-bookworm AS base
 
 # PHP-Erweiterungen installieren
 RUN install-php-extensions \

package/Infra/i18n/de/FrankenPHP/agents/frankenphp-security.md

@@ -185,7 +185,7 @@ example.com {
 
 ```dockerfile
 # Dockerfile - Non-Root FrankenPHP
-FROM dunglas/frankenphp:1.12-php8.5-bookworm
+FROM dunglas/frankenphp:1.13-php8.5-bookworm
 
 # Erweiterungen installieren
 RUN install-php-extensions pdo_pgsql intl opcache

package/Infra/i18n/de/FrankenPHP/commands/deploy-setup.md

@@ -53,7 +53,7 @@ DEPLOYMENT-STRATEGIE
 ──────────────────────────────────────────────────────────────
 
 Methode: {Docker Compose / Kubernetes / Standalone Binary}
-Image: dunglas/frankenphp:1.12-php8.5-bookworm
+Image: dunglas/frankenphp:1.13-php8.5-bookworm
 Worker Mode: {ja/nein}
 
 | Entscheidung | Wahl | Begruendung |

package/Infra/i18n/de/Hcloud/agents/hcloud-architect.md

@@ -5,7 +5,7 @@ description: Hetzner Cloud infrastructure architecture designer
 
 # Hcloud Architect
 
-> ⚠️ **Pflichtmigration vor dem 2026-07-01**: der Parameter `location` ist zugunsten von `location` veraltet. Hetzner Cloud Terraform-Provider >= 1.58.0. Quelle: https://github.com/hetznercloud/terraform-provider-hcloud/releases
+> ⚠️ **`datacenter` entfernt (2026-07-01)**: ersetzt durch `location`; die `datacenter`-Endpunkte liefern seit 2026-10-01 HTTP 410. `location = "fsn1"` statt `datacenter` verwenden. Hetzner-Cloud-Terraform-Provider >= 1.70.0. Quelle: https://docs.hetzner.cloud/changelog und https://github.com/hetznercloud/terraform-provider-hcloud/releases
 
 ## Identität
 
@@ -135,7 +135,7 @@ hcloud placement-group create --name web-spread --type spread
 # Server
 hcloud server create \
   --name web-01 \
-  --type cx22 \
+  --type cx23 \
   --image ubuntu-24.04 \
   --location fsn1 \
   --ssh-key deploy-key \
@@ -199,13 +199,23 @@ hcloud network add-subnet primary-net --type cloud --network-zone eu-central --i
 
 # Server in verschiedenen Standorten mit Placement Groups
 hcloud placement-group create --name pg-primary --type spread
-hcloud server create --name app-fsn-01 --type cpx31 --image ubuntu-24.04 \
+hcloud server create --name app-fsn-01 --type cpx32 --image ubuntu-24.04 \
   --location fsn1 --placement-group pg-primary --network primary-net
 
-hcloud server create --name app-hel-01 --type cpx31 --image ubuntu-24.04 \
+hcloud server create --name app-hel-01 --type cpx32 --image ubuntu-24.04 \
   --location hel1 --network primary-net
 ```
 
+## Zu beachtende Änderungen der Hetzner-API (2026)
+
+- Load Balancer akzeptieren bei der Erstellung bestehende Primary IPs (`public_net.ipv4` / `public_net.ipv6`; Provider >= 1.70.0: `ipv4_id` / `ipv6_id`); die Zuweisung ist danach nicht änderbar (Changelog 2026-10-05)
+- Primary und Floating IPs müssen vor dem Löschen freigegeben werden: die API liefert `must_be_unassigned` (seit 2026-05-01)
+- `dns_ptr` ist bei Änderungsanfragen (Primary IPs, Floating IPs, Servers, Load Balancers) seit 2026-09-30 Pflicht; `null` setzt den Pointer zurück
+- Das Feld `deprecated` der Server Types entfällt am 2026-11-02: stattdessen `locations[].deprecation` lesen (`null` = nicht veraltet)
+- Der Terraform-Provider 1.69 unterstützt Terraform 1.14 nicht mehr (1.16 hinzugefügt); hcloud-Provider auf `>= 1.70.0` halten, hcloud CLI 1.70.1
+- Die Server Types cx22/cx32/cx42/cx52 und cpx11-cpx51 sind seit 2026-01-01 nicht mehr bestellbar: cx23/cx33/cx43/cx53 und cpx12/cpx22/cpx32/cpx42/cpx52/cpx62 verwenden
+- Ansible: die Collection `hetzner.hcloud` (7.2.0, benötigt ein aktuelles ansible-core, z.B. 2.21.5) verwenden und in `requirements.yml` pinnen
+
 ## Architektur-Checkliste
 
 ### Design

package/Infra/i18n/de/Hcloud/agents/hcloud-cost.md

@@ -5,7 +5,7 @@ description: Hetzner Cloud cost optimization and right-sizing specialist
 
 # Hcloud Kostenspezialist
 
-> ⚠️ **Pflichtmigration vor dem 2026-07-01**: der Parameter `location` ist zugunsten von `location` veraltet. Hetzner Cloud Terraform-Provider >= 1.58.0. Quelle: https://github.com/hetznercloud/terraform-provider-hcloud/releases
+> ⚠️ **`datacenter` entfernt (2026-07-01)**: ersetzt durch `location`; die `datacenter`-Endpunkte liefern seit 2026-10-01 HTTP 410. `location = "fsn1"` statt `datacenter` verwenden. Hetzner-Cloud-Terraform-Provider >= 1.70.0. Quelle: https://docs.hetzner.cloud/changelog und https://github.com/hetznercloud/terraform-provider-hcloud/releases
 
 ## Identität
 

package/Infra/i18n/de/Hcloud/agents/hcloud-debug.md

@@ -5,7 +5,7 @@ description: Hetzner Cloud troubleshooting specialist
 
 # Hcloud Debug-Spezialist
 
-> ⚠️ **Pflichtmigration vor dem 2026-07-01**: der Parameter `location` ist zugunsten von `location` veraltet. Hetzner Cloud Terraform-Provider >= 1.58.0. Quelle: https://github.com/hetznercloud/terraform-provider-hcloud/releases
+> ⚠️ **`datacenter` entfernt (2026-07-01)**: ersetzt durch `location`; die `datacenter`-Endpunkte liefern seit 2026-10-01 HTTP 410. `location = "fsn1"` statt `datacenter` verwenden. Hetzner-Cloud-Terraform-Provider >= 1.70.0. Quelle: https://docs.hetzner.cloud/changelog und https://github.com/hetznercloud/terraform-provider-hcloud/releases
 
 ## Identität
 

package/Infra/i18n/de/Hcloud/agents/hcloud-deployment.md

@@ -137,7 +137,7 @@ Du bist ein **Senior Hetzner Cloud Deployment Engineer**, spezialisiert auf CI/C
              # Neuen Server aus Image erstellen
              hcloud server create \
                --name prod-blue-$(date +%s) \
-               --type cpx31 \
+               --type cpx32 \
                --image ${{ needs.build-image.outputs.image_id }} \
                --location fsn1 \
                --ssh-key deploy \
@@ -189,7 +189,7 @@ source "hcloud" "app" {
   token        = var.hcloud_token
   image        = "ubuntu-24.04"
   location     = "fsn1"
-  server_type  = "cx22"
+  server_type  = "cx23"
   server_name  = "packer-build-{{timestamp}}"
   ssh_username = "root"
   snapshot_name = "app-{{timestamp}}"

package/Infra/i18n/de/Hcloud/agents/hcloud-security.md

@@ -5,7 +5,7 @@ description: Hetzner Cloud security and firewall specialist
 
 # Hcloud Sicherheitsspezialist
 
-> ⚠️ **Pflichtmigration vor dem 2026-07-01**: der Parameter `location` ist zugunsten von `location` veraltet. Hetzner Cloud Terraform-Provider >= 1.58.0. Quelle: https://github.com/hetznercloud/terraform-provider-hcloud/releases
+> ⚠️ **`datacenter` entfernt (2026-07-01)**: ersetzt durch `location`; die `datacenter`-Endpunkte liefern seit 2026-10-01 HTTP 410. `location = "fsn1"` statt `datacenter` verwenden. Hetzner-Cloud-Terraform-Provider >= 1.70.0. Quelle: https://docs.hetzner.cloud/changelog und https://github.com/hetznercloud/terraform-provider-hcloud/releases
 
 ## Identität
 

package/Infra/i18n/de/Hcloud/commands/architecture.md

@@ -5,7 +5,7 @@ argument-hint: <Project> [constraints]
 
 # Hcloud Architecture
 
-> ⚠️ **Pflichtmigration vor dem 2026-07-01**: der Parameter `location` ist zugunsten von `location` veraltet. Hetzner Cloud Terraform-Provider >= 1.58.0. Quelle: https://github.com/hetznercloud/terraform-provider-hcloud/releases
+> ⚠️ **`datacenter` entfernt (2026-07-01)**: ersetzt durch `location`; die `datacenter`-Endpunkte liefern seit 2026-10-01 HTTP 410. `location = "fsn1"` statt `datacenter` verwenden. Hetzner-Cloud-Terraform-Provider >= 1.70.0. Quelle: https://docs.hetzner.cloud/changelog und https://github.com/hetznercloud/terraform-provider-hcloud/releases
 
 Du bist ein Senior Hetzner Cloud Architekt. Du musst eine vollständige Cloud-Infrastrukturarchitektur aus Projektspezifikationen entwerfen.
 
@@ -83,8 +83,8 @@ SERVERTYP-AUSWAHL
 
 | Rolle | Servertyp | Anzahl | Begründung |
 |-------|-----------|--------|------------|
-| Web | {cax21/cx22} | {n} | {Begründung} |
-| App | {cpx31/cax31} | {n} | {Begründung} |
+| Web | {cax21/cx23} | {n} | {Begründung} |
+| App | {cpx32/cax31} | {n} | {Begründung} |
 | DB | {ccx23/ccx33} | {n} | {Begründung} |
 
 ──────────────────────────────────────────────────────────────

package/Infra/i18n/de/Hcloud/commands/debug.md

@@ -5,7 +5,7 @@ argument-hint: <Symptom> [resource]
 
 # Hcloud Debug
 
-> ⚠️ **Pflichtmigration vor dem 2026-07-01**: der Parameter `location` ist zugunsten von `location` veraltet. Hetzner Cloud Terraform-Provider >= 1.58.0. Quelle: https://github.com/hetznercloud/terraform-provider-hcloud/releases
+> ⚠️ **`datacenter` entfernt (2026-07-01)**: ersetzt durch `location`; die `datacenter`-Endpunkte liefern seit 2026-10-01 HTTP 410. `location = "fsn1"` statt `datacenter` verwenden. Hetzner-Cloud-Terraform-Provider >= 1.70.0. Quelle: https://docs.hetzner.cloud/changelog und https://github.com/hetznercloud/terraform-provider-hcloud/releases
 
 Du bist ein Hetzner Cloud Troubleshooting-Spezialist. Du musst systematisch Infrastrukturprobleme anhand der angegebenen Symptome diagnostizieren und beheben.
 

package/Infra/i18n/de/Kubernetes/agents/kubernetes-architect.md

@@ -67,8 +67,8 @@ Extrahieren und klarstellen:
    ┌─────────────────────────────────────────────────────────┐
    │                    INGRESS LAYER                         │
    │  ┌──────────────┐         ┌──────────────┐              │
-   │  │ Ingress NGINX│─────────│  Cert-Manager│              │
-   │  │ / Traefik    │         │  (Let's Enc.)│              │
+   │  │ Gateway API  │─────────│  Cert-Manager│              │
+   │  │ (HTTPRoute)  │         │  (Let's Enc.)│              │
    │  └──────┬───────┘         └──────────────┘              │
    └─────────┼───────────────────────────────────────────────┘
              │
@@ -95,7 +95,7 @@ Extrahieren und klarstellen:
    - Ressourcenquoten und Limit-Ranges pro Namespace
 
 3. **Netzwerk**
-   - Auswahl des Ingress-Controllers (NGINX, Traefik, Istio Gateway)
+   - Gateway API (HTTPRoute) als erste Wahl (Implementierungen: Envoy Gateway, Traefik, Istio, Cilium); Ingress NGINX ist seit März 2026 eingestellt (keine Sicherheitskorrekturen mehr), Migration mit `ingress2gateway`
    - NetworkPolicies fur die Isolierung zwischen Namespaces
    - DNS-Strategie (interne Service-Erkennung)
    - TLS-Terminierung und Zertifikatsverwaltung

package/Infra/i18n/de/Kubernetes/commands/architecture.md

@@ -68,7 +68,7 @@ NAMESPACE-TOPOLOGIE
 ┌─────────────────────────────────────────────────────────────┐
 │                      INGRESS LAYER                           │
 │  ┌───────────────┐         ┌───────────────┐                │
-│  │ Ingress NGINX │─────────│  Cert-Manager │                │
+│  │ Gateway API   │─────────│  Cert-Manager │                │
 │  └───────┬───────┘         └───────────────┘                │
 └──────────┼──────────────────────────────────────────────────┘
            │

package/Infra/i18n/de/OpenTofu/agents/opentofu-architect.md

@@ -143,7 +143,7 @@ Alle notwendigen Konfigurationen erstellen:
 ```hcl
 # versions.tf
 terraform {
-  required_version = ">= 1.7.0"
+  required_version = ">= 1.13.0"
   required_providers {
     aws = {
       source  = "hashicorp/aws"

package/Infra/i18n/de/OpenTofu/agents/opentofu-deployment.md

@@ -65,7 +65,7 @@ Sie sind ein **Senior OpenTofu Deployment Engineer**, spezialisiert auf CI/CD-Pi
        branches: [main]
 
    env:
-     TOFU_VERSION: "1.9.0"
+     TOFU_VERSION: "1.13.1"
 
    jobs:
      plan:
@@ -114,7 +114,7 @@ Sie sind ein **Senior OpenTofu Deployment Engineer**, spezialisiert auf CI/CD-Pi
      - apply
 
    variables:
-     TOFU_VERSION: "1.9.0"
+     TOFU_VERSION: "1.13.1"
 
    .tofu-base:
      image: ghcr.io/opentofu/opentofu:$TOFU_VERSION

package/Infra/i18n/de/PgBouncer/agents/pgbouncer-architect.md

@@ -68,7 +68,8 @@ Ermitteln und klaeren:
    ```
    Anwendung verwendet Prepared Statements?
    ├── Ja, kann nicht deaktiviert werden → Session-Modus
-   ├── Ja, kann DEALLOCATE ALL verwenden → Transaction-Modus + server_reset_query
+   ├── Ja, Extended Protocol → Transaction-Modus + max_prepared_statements (Standard 200 seit 1.24)
+   ├── Ja, SQL-PREPARE, kann DEALLOCATE ALL verwenden → Transaction-Modus + server_reset_query
    └── Nein
        ├── Verwendet SET/Session-Variablen? → Session-Modus (oder Transaction + reset_query)
        ├── Verwendet LISTEN/NOTIFY? → Session-Modus
@@ -264,7 +265,15 @@ default_pool_size = 20
 | Kein Reserve-Pool | Lastspitzen verursachen Connection-Fehler | reserve_pool_size = 25% des Standards setzen |
 | PgBouncer pro App-Instanz | Multiplizierte Pools, kein Sharing | Gemeinsame PgBouncer-Instanz(en) |
 | Kein server_reset_query | Session-Zustand leckt zwischen Clients | DISCARD ALL fuer Transaction-Modus |
-| Prepared Statements ignorieren | Fehler im Transaction-Modus | Mit App testen, DEALLOCATE ALL oder Session-Modus verwenden |
+| Prepared Statements ignorieren | Fehler im Transaction-Modus | Mit App testen, max_prepared_statements, DEALLOCATE ALL oder Session-Modus verwenden |
+
+## Hinweise zu PgBouncer 1.26
+
+- **Sicherheit**: 1.26.0 behebt CVE-2026-19888 (SCRAM-client-final-message ohne Nonce bringt PgBouncer unauthentifiziert zum Absturz), CVE-2026-6668 (Integer-Überlauf im Paketpuffer führt zu einer Endlosschleife) und CVE-2026-6669 (unbegrenzte SCRAM-Iterationszahl, die von einem Server akzeptiert wird); Update von jeder 1.25.x.
+- **Prepared Statements**: `max_prepared_statements` ist seit 1.24 standardmäßig 200, daher funktionieren Prepared Statements auf Protokollebene im Transaction-Modus; `DEALLOCATE ALL` betrifft nur SQL-`PREPARE`.
+- **Verfolgte Parameter**: `search_path` (PostgreSQL 18+) und `default_transaction_read_only` werden standardmäßig verfolgt, ein `SET` leakt im Transaction-Modus daher nicht mehr zwischen Clients.
+- **Neue Einstellungen**: `pool_idle_timeout` (standardmäßig deaktiviert) entfernt ungenutzte Pools; `query_wait_timeout` ist pro Benutzer und pro Datenbank konfigurierbar; `SHOW STATS` liefert `client_login_count`.
+- **Entfernt**: Online-Restart (`-R`), `SHOW FDS` und `SUSPEND`; stattdessen Rolling Restarts mit `so_reuseport` verwenden.
 
 ## Dokumentationsvorlage
 

package/Infra/i18n/de/PgBouncer/agents/pgbouncer-debug.md

@@ -167,6 +167,7 @@ psql -h localhost -p 6432 -U app_user -d app_production
 -- In PgBouncer-Logs suchen nach:
 -- "prepared statement X does not exist"
 
+-- Fix 0: Prepared Statements auf Protokollebene benötigen max_prepared_statements > 0 (Standard 200 seit 1.24)
 -- Fix 1: DEALLOCATE ALL zu server_reset_query hinzufuegen
 -- In pgbouncer.ini:
 -- server_reset_query = DISCARD ALL

package/Infra/i18n/de/PgBouncer/agents/pgbouncer-deployment.md

@@ -7,7 +7,7 @@ description: PgBouncer deployment and CI/CD pipeline specialist
 
 ## Identitaet
 
-Du bist ein **Senior PgBouncer Deployment-Ingenieur**, spezialisiert auf Docker/Bitnami-Container-Deployments, Kubernetes-Sidecar- und Standalone-Patterns, Helm-Chart-Konfiguration, systemd-Service-Verwaltung und Zero-Downtime-Reload-Strategien. Du entwirfst Deployment-Pipelines fuer zuverlaessige PgBouncer-Rollouts in allen Umgebungen.
+Du bist ein **Senior PgBouncer Deployment-Ingenieur**, spezialisiert auf Docker-Container-Deployments, Kubernetes-Sidecar- und Standalone-Patterns, Helm-Chart-Konfiguration, systemd-Service-Verwaltung und Zero-Downtime-Reload-Strategien. Du entwirfst Deployment-Pipelines fuer zuverlaessige PgBouncer-Rollouts in allen Umgebungen.
 
 ## Technische Expertise
 
@@ -15,7 +15,7 @@ Du bist ein **Senior PgBouncer Deployment-Ingenieur**, spezialisiert auf Docker/
 
 | Bereich | Expertise | Umfang |
 |---------|-----------|--------|
-| Docker-Deployment | Experte | Bitnami-Image, benutzerdefiniertes Dockerfile, Health Checks |
+| Docker-Deployment | Experte | Community-Image, benutzerdefiniertes Dockerfile, Health Checks |
 | Kubernetes-Patterns | Experte | Sidecar pro Pod, Standalone-Deployment, Helm |
 | Systemd-Verwaltung | Experte | Unit-Dateien, Reload, journald-Logging |
 | Zero-Downtime-Reload | Experte | SIGHUP, RELOAD-Befehl, Graceful Drain |
@@ -55,25 +55,28 @@ Du bist ein **Senior PgBouncer Deployment-Ingenieur**, spezialisiert auf Docker/
 
 #### Docker Compose
 
+> **Hinweis zum Image:** `bitnami/pgbouncer` wird auf Docker Hub nicht mehr gepflegt (Bitnami hat seinen öffentlichen Katalog 2025 eingeschränkt; `bitnamilegacy/pgbouncer` ist bei 1.24.1 eingefroren und von den in 1.26.0 behobenen CVEs betroffen). Die Beispiele verwenden das Community-Image `edoburu/pgbouncer` (`DB_*`-Variablen, lauscht auf 5432, sofern `LISTEN_PORT` nicht gesetzt ist). Tag pinnen und Image vor dem Produktiveinsatz prüfen.
+
 ```yaml
 # docker-compose.yml
 services:
   pgbouncer:
-    image: bitnami/pgbouncer:1.25.1
+    image: edoburu/pgbouncer:v1.26.0-p0
     ports:
       - "6432:6432"
     environment:
-      - POSTGRESQL_HOST=postgresql
-      - POSTGRESQL_PORT=5432
-      - POSTGRESQL_USERNAME=app_user
-      - POSTGRESQL_PASSWORD=${DB_PASSWORD}
-      - POSTGRESQL_DATABASE=app_production
-      - PGBOUNCER_POOL_MODE=transaction
-      - PGBOUNCER_MAX_CLIENT_CONN=200
-      - PGBOUNCER_DEFAULT_POOL_SIZE=20
-      - PGBOUNCER_MIN_POOL_SIZE=5
-      - PGBOUNCER_SERVER_RESET_QUERY=DISCARD ALL
-      - PGBOUNCER_AUTH_TYPE=scram-sha-256
+      - DB_HOST=postgresql
+      - DB_PORT=5432
+      - DB_USER=app_user
+      - DB_PASSWORD=${DB_PASSWORD}
+      - DB_NAME=app_production
+      - LISTEN_PORT=6432
+      - POOL_MODE=transaction
+      - MAX_CLIENT_CONN=200
+      - DEFAULT_POOL_SIZE=20
+      - MIN_POOL_SIZE=5
+      - SERVER_RESET_QUERY=DISCARD ALL
+      - AUTH_TYPE=scram-sha-256
     healthcheck:
       test: ["CMD", "pg_isready", "-h", "localhost", "-p", "6432"]
       interval: 10s
@@ -85,13 +88,14 @@ services:
     restart: unless-stopped
 
   postgresql:
-    image: postgres:17
+    image: postgres:18
     environment:
       - POSTGRES_DB=app_production
       - POSTGRES_USER=app_user
       - POSTGRES_PASSWORD=${DB_PASSWORD}
     volumes:
-      - pgdata:/var/lib/postgresql/data
+      # PostgreSQL 18+ images keep data under /var/lib/postgresql/<major>/
+      - pgdata:/var/lib/postgresql
     healthcheck:
       test: ["CMD-SHELL", "pg_isready -U app_user"]
       interval: 10s
@@ -124,31 +128,33 @@ spec:
     spec:
       containers:
         - name: pgbouncer
-          image: bitnami/pgbouncer:1.25.1
+          image: edoburu/pgbouncer:v1.26.0-p0
           ports:
             - containerPort: 6432
           env:
-            - name: POSTGRESQL_HOST
+            - name: DB_HOST
               value: postgresql.database.svc.cluster.local
-            - name: POSTGRESQL_PORT
+            - name: DB_PORT
               value: "5432"
-            - name: POSTGRESQL_DATABASE
+            - name: DB_NAME
               value: app_production
-            - name: POSTGRESQL_USERNAME
+            - name: DB_USER
               valueFrom:
                 secretKeyRef:
                   name: pgbouncer-secrets
                   key: db-username
-            - name: POSTGRESQL_PASSWORD
+            - name: DB_PASSWORD
               valueFrom:
                 secretKeyRef:
                   name: pgbouncer-secrets
                   key: db-password
-            - name: PGBOUNCER_POOL_MODE
+            - name: LISTEN_PORT
+              value: "6432"
+            - name: POOL_MODE
               value: transaction
-            - name: PGBOUNCER_MAX_CLIENT_CONN
+            - name: MAX_CLIENT_CONN
               value: "200"
-            - name: PGBOUNCER_DEFAULT_POOL_SIZE
+            - name: DEFAULT_POOL_SIZE
               value: "20"
           livenessProbe:
             tcpSocket:
@@ -204,17 +210,19 @@ spec:
             - name: DATABASE_URL
               value: "postgresql://app_user:$(DB_PASSWORD)@localhost:6432/app_production"
         - name: pgbouncer
-          image: bitnami/pgbouncer:1.25.1
+          image: edoburu/pgbouncer:v1.26.0-p0
           ports:
             - containerPort: 6432
           env:
-            - name: POSTGRESQL_HOST
+            - name: DB_HOST
               value: postgresql.database.svc.cluster.local
-            - name: PGBOUNCER_POOL_MODE
+            - name: LISTEN_PORT
+              value: "6432"
+            - name: POOL_MODE
               value: transaction
-            - name: PGBOUNCER_MAX_CLIENT_CONN
+            - name: MAX_CLIENT_CONN
               value: "100"
-            - name: PGBOUNCER_DEFAULT_POOL_SIZE
+            - name: DEFAULT_POOL_SIZE
               value: "10"
           resources:
             requests:

package/Infra/i18n/de/PgBouncer/commands/deploy-setup.md

@@ -54,7 +54,7 @@ DEPLOYMENT-STRATEGIE
 
 Methode: {Docker Compose / K8s Standalone / K8s Sidecar / Systemd}
 HA: {Active-Passive / Mehrere Replicas / Einzelinstanz}
-Image: bitnami/pgbouncer:1.25.1
+Image: edoburu/pgbouncer:v1.26.0-p0
 
 | Entscheidung | Wahl | Begruendung |
 |-------------|------|-------------|

package/Infra/i18n/en/Ansible/agents/ansible-architect.md

@@ -32,6 +32,8 @@ You are a **Senior Ansible Architect** capable of designing complete automation
 | Multi-environment | Dev / staging / production separation | High |
 | Hierarchical (Landscape/Type/Function) | Enterprise datacenter management | High |
 
+> Hetzner Cloud: use the `hetzner.hcloud` collection (7.2.0) with ansible-core 2.21.5, pinned in `requirements.yml`.
+
 ## Methodology
 
 ### Phase 1 -- Discovery

package/Infra/i18n/en/Docker/commands/docker-architecture.md

@@ -142,8 +142,6 @@ project/
 
 ```yaml
 # docker-compose.yml
-version: "3.8"
-
 services:
   # ═══════════════════════════════════════════════════════════
   # REVERSE PROXY

package/Infra/i18n/en/Docker/commands/docker-compose-setup.md

@@ -51,8 +51,6 @@ Stack: {stack}
 
 ```yaml
 # docker-compose.yml - Common base
-version: "3.8"
-
 services:
   app:
     build:

package/Infra/i18n/en/FrankenPHP/agents/frankenphp-architect.md

@@ -7,7 +7,7 @@ description: FrankenPHP Caddyfile design, worker topology, and framework integra
 
 ## Identity
 
-You are a **Senior FrankenPHP Architect** capable of designing complete PHP application serving topologies using FrankenPHP 1.12+. You coordinate worker mode vs classic mode decisions, thread sizing, Caddyfile design, framework integration (Symfony, Laravel), Mercure real-time setup, and Early Hints (103) configuration to deliver production-ready FrankenPHP deployments.
+You are a **Senior FrankenPHP Architect** capable of designing complete PHP application serving topologies using FrankenPHP 1.13+. You coordinate worker mode vs classic mode decisions, thread sizing, Caddyfile design, framework integration (Symfony, Laravel), Mercure real-time setup, and Early Hints (103) configuration to deliver production-ready FrankenPHP deployments.
 
 ## Technical Expertise
 
@@ -120,6 +120,9 @@ Extract and clarify:
    - `max_requests = 500` to prevent memory accumulation
    - Benchmark with `wrk` or `k6`, adjust up/down
    - Monitor: RSS memory per worker, response time p99
+   - Run FrankenPHP 1.13.0+: 1.12.4 is vulnerable (security fixes in 1.12.5: phpinfo in the default image, session ID leak in worker mode, request body timeout; 5 advisories including 2 high in 1.13.0)
+   - FrankenPHP 1.13+: `num_threads` only counts threads for requests no worker serves; worker threads come on top, and startup fails if `max_threads` < `num_threads` + worker threads
+   - Development hot reload goes through Mercure 1.0: `$_SERVER['FRANKENPHP_HOT_RELOAD']` now advertises `/.well-known/mercure?match=<topic>` (do not hardcode `?topic=`)
 
 ### Phase 3 -- Implementation Blueprint