cuonztech-privacy-chaos-gate 0.0.0-stage → 0.2.0

package/README.md

@@ -1,3 +1,143 @@
-# Temporary Holding Version
+# CuonzTech Privacy Chaos Gate (CPCG)
 
-This version is a temporary placeholder for this package. An operational version to replace this has been submitted for review and is awaiting a staged release.
+CI-Gate und Auto-Fix für Consent-Tracker: findet Requests, die **vor** der Einwilligung
+firen — und liefert den Fix als Pull Request. Prüft auch die Gegenrichtung:
+läuft erlaubtes Tracking nach dem Akzeptieren korrekt an?
+
+> **Hinweis:** Technisches Hilfsmittel, **keine Rechtsberatung**, keine Garantie für
+> revDSG-/DSGVO-/TTDSG-Konformität. / Technical aid, **not legal advice**.
+
+## Installieren
+
+```bash
+pnpm add -D @cuonztech/privacy-chaos-gate
+# oder direkt
+npx @cuonztech/privacy-chaos-gate scan --url https://staging.example.com --license CPCG-…
+```
+
+## Lizenz
+
+Online-Kauf → Code per Mail.
+
+```bash
+export CPCG_LICENSE="CPCG-…"
+cpcg scan --url https://staging.example.com --jurisdiction CH
+```
+
+Ohne Lizenz: localhost/Test-Fixtures; Produktiv-URLs mit Warnung (Trial-Modus).
+
+## Was das Tool prüft
+
+15 Chaos-Szenarien in einem Lauf — jedes mit ehrlichem Status
+(**bestanden / auffällig / nicht prüfbar**). Ein Button, der nicht gefunden wird,
+wird nie zu einem grünen Häkchen.
+
+| # | Szenario | Frage |
+|---|----------|-------|
+| 1 | happy-path-denied | Bleibt Tracking nach «Ablehnen» aus? |
+| 2 | happy-path-accepted | Ist vor dem Klick Ruhe — und läuft erlaubtes Tracking danach an? |
+| 3 | fast-click | Navigation vor dem Banner: feuert dann schon etwas? |
+| 4 | state-manipulation | Tracking nach Storage-Wipe? |
+| 5 | network-drop | Tracker trotz blockiertem CMP? |
+| 6 | consent-revoked | Stoppt Tracking nach Widerruf? Welche IDs bleiben liegen? |
+| 7 | category-selective | Nur Statistik erlaubt — bleiben Marketing-Tracker aus? |
+| 8 | consent-persistence | Überlebt die Entscheidung Reload, Unterseite und Neustart? |
+| 9 | banner-ignored | Starten Tracker per Timer/Scroll ohne Klick? |
+| 10 | subpage-spa | Greift der Schutz auf Unterseiten und bei SPA-Navigation? |
+| 11 | cmp-failure | Tracking-Zeitfenster bei verzögerter/defekter CMP? |
+| 12 | embed-leaks | Kontaktieren YouTube/Maps/Social-Embeds vor Freigabe? |
+| 13 | consent-mode-v2 | Decken sich Consent-Mode-Zustände mit Cookies/Requests? |
+| 14 | duplicate-events | Doppelte page_view-Events (Plugin + GTM parallel)? |
+| 15 | mobile-usability | Sind Ablehnen/Einstellungen auf dem Handy bedienbar? |
+
+**Tracker (Auswahl):** Google Tag Manager, Google Analytics, Meta, TikTok, LinkedIn,
+Hotjar, Criteo, Marketo, HubSpot, Matomo.
+
+**CMPs (Auswahl):** OneTrust, Cookiebot, Usercentrics, Tealium, iubenda, etracker,
+JustRelate, Didomi, Axeptio, Sourcepoint, Consentmanager, Borlabs, Klaro.
+
+## Output: der Prüfbericht
+
+Jeder Scan schreibt ein Evidence-Paket:
+
+```
+report.json          LeakReport (maschinenlesbar)
+report-evidence.md   Kunden-Report (Markdown)
+report-evidence.html Kunden-Report (HTML, CuonzTech-Brand)
+evidence/            Screenshots (portabel, relative Pfade)
+report-deluxe.pdf    Deluxe-PDF mit Deckblatt (mit --report-pdf)
+```
+
+Der Report führt **Befunde** (Regelverstösse) und **beobachtete Requests**
+(Timelines) getrennt — und ordnet jedes Ergebnis mehreren Rechtsräumen zu
+(CH, EU, UK, US-CA, BR, ROW). Keine globale Compliance-Aussage.
+
+## Flags
+
+```bash
+cpcg scan \
+  --url https://staging.example.com \
+  --license CPCG-… \
+  --report-pdf            # Deluxe-PDF (Deckblatt + Evidence) erzeugen
+  --client "Firma AG"     # Kundenname fürs Deckblatt
+  --demo                  # Report als synthetische Testdaten kennzeichnen
+  --jurisdiction CH       # CH | EU | UK | US-CA | BR | ROW
+  --auto-fix true         # Auto-Fix generieren
+  --fail-on-leak true     # Exit 1 bei Leaks (CI-Gate)
+  --report-output reports/scan.json
+```
+
+## Demo-Portal
+
+Reproduzierbare Testseite mit fünf absichtlichen Consent-Leaks
+(Pre-Consent-Bootstrap, Timer, Widerruf, Embeds, doppelte Events):
+
+```bash
+node demo-portal/server.mjs     # http://127.0.0.1:8787
+pnpm exec tsx scripts/scan-demo-portal.mts   # voller Scan + Report
+pnpm exec tsx scripts/make-deluxe-report.mts # Deluxe-PDF daraus
+```
+
+Erwartet: Gate **BLOCKED**, Szenarien «auffällig» — exakt dieselben Zahlen bei jedem Lauf.
+
+## GitHub Action
+
+```yaml
+- uses: cuonztech/privacy-chaos-gate@v1
+  with:
+    staging-url: ${{ vars.STAGING_URL }}
+    license: ${{ secrets.CPCG_LICENSE }}
+    report-pdf: true
+    client-name: "Firma AG"
+```
+
+Die Action nutzt `dist/cli.js` aus dem Action-Path; erst bei fehlendem Build greift `npx`.
+
+## Jurisdiktion
+
+`--jurisdiction CH|EU|UK|US-CA|BR|ROW` — gleicher Befund, unterschiedliche Einordnung:
+
+- **EU:** Opt-In-Pflicht für nicht-essenzielle Tracker. Ein beobachteter Request ist ein
+  schwerwiegender Hinweis — die Einstufung als Verstoß erfordert die Prüfung von Zweck,
+  Technologie und Consent-Zustand. Consent Mode ist eine technische Implementierung,
+  keine Rechtsgrundlage.
+- **CH:** Risiko nach revDSG-Praxis; der EDÖB verlangt insbesondere bei personalisierter
+  Werbung eine Einwilligung.
+- **US-CA:** Opt-out-Modell. Ohne Prüfung von Sale/Sharing-Opt-out und GPC ist die
+  Bewertung unvollständig.
+- **ROW:** Nicht bewertet — länderspezifische Prüfung erforderlich.
+
+## Entwicklung
+
+```bash
+pnpm install
+pnpm test        # 136 Tests
+pnpm build
+pnpm exec tsx scripts/e2e-cli-deluxe.mts   # E2E: echte CLI gegen Demo-Portal
+```
+
+Secrets (Stripe, Lizenz-Secret) nur über Env/KeePass — nie im Repo.
+
+---
+
+© CuonzTech · Carlo Cuonz · [cuonztech.ch](https://cuonztech.ch)

package/action.yml

@@ -0,0 +1,109 @@
+name: "Cuonztech Privacy Chaos Gate"
+description: "Agentic CI/CD Privacy Chaos Engineering & Auto-Remediation Gate for Cookie/Consent Leaks"
+author: "Cuonztech"
+branding:
+  icon: "shield"
+  color: "purple"
+
+inputs:
+  staging-url:
+    description: "The URL of the staging or localhost web environment to stress-test"
+    required: true
+  api-key:
+    description: "API key for the auto-remediation LLM (e.g. OpenAI, Anthropic, Gemini)"
+    required: false
+    default: ""
+  llm-provider:
+    description: "LLM Provider to use for auto-remediation ('openai', 'anthropic', 'gemini')"
+    required: false
+    default: "openai"
+  llm-model:
+    description: "Model to use for auto-remediation"
+    required: false
+    default: "gpt-4o"
+  auto-fix:
+    description: "Automatically generate and apply code patches when tracker leaks are detected"
+    required: false
+    default: "true"
+  fail-on-leak:
+    description: "Block the build (exit code 1) if unpatched critical leaks remain"
+    required: false
+    default: "true"
+  report-output:
+    description: "File path where the JSON LeakReport will be written"
+    required: false
+    default: "reports/privacy-chaos-report.json"
+  target-source-dir:
+    description: "Root directory of the application source code to inspect and patch"
+    required: false
+    default: "."
+  git-commit:
+    description: "Automatically commit generated privacy fixes into the branch"
+    required: false
+    default: "false"
+  license:
+    description: "CuonzTech CPCG Lizenzcode (CPCG-…) — aus Secrets, nach Online-Kauf"
+    required: false
+    default: ""
+  report-pdf:
+    description: "Deluxe-PDF (Deckblatt + Evidence) nach dem Scan erzeugen"
+    required: false
+    default: "false"
+  client-name:
+    description: "Kundenname für das PDF-Deckblatt"
+    required: false
+    default: ""
+  jurisdiction:
+    description: "Rechtsraum für Bewertung: CH | EU | UK | US-CA | BR | ROW"
+    required: false
+    default: "CH"
+
+outputs:
+  leaks-found:
+    description: "'true' if leaks were detected during chaos tests"
+    value: ${{ steps.cpcg-run.outputs.leaks_found }}
+  leaks-count:
+    description: "Number of tracker leaks detected"
+    value: ${{ steps.cpcg-run.outputs.leaks_count }}
+  patch-applied:
+    description: "'true' if an auto-remediation patch was successfully applied"
+    value: ${{ steps.cpcg-run.outputs.patch_applied }}
+  report-path:
+    description: "Absolute or relative path to the generated JSON report"
+    value: ${{ steps.cpcg-run.outputs.report_path }}
+
+runs:
+  using: "composite"
+  steps:
+    - name: Setup Node.js
+      uses: actions/setup-node@v4
+      with:
+        node-version: "20"
+
+    - name: Run Privacy Chaos Gate
+      id: cpcg-run
+      shell: bash
+      env:
+        CPCG_LLM_API_KEY: ${{ inputs.api-key }}
+        CPCG_LLM_PROVIDER: ${{ inputs.llm-provider }}
+        CPCG_LLM_MODEL: ${{ inputs.llm-model }}
+        CPCG_LICENSE: ${{ inputs.license }}
+      run: |
+        CLI_PATH="${{ github.action_path }}/dist/cli.js"
+        if [ -f "$CLI_PATH" ]; then
+          RUNNER="node $CLI_PATH"
+        else
+          RUNNER="npx @cuonztech/privacy-chaos-gate"
+        fi
+
+        $RUNNER \
+          --url "${{ inputs.staging-url }}" \
+          --auto-fix "${{ inputs.auto-fix }}" \
+          --fail-on-leak "${{ inputs.fail-on-leak }}" \
+          --report-output "${{ inputs.report-output }}" \
+          --source-dir "${{ inputs.target-source-dir }}" \
+          --git-commit "${{ inputs.git-commit }}" \
+          --license "${{ inputs.license }}" \
+        --report-pdf "${{ inputs.report-pdf }}" \
+        --client "${{ inputs.client-name }}" \
+          --jurisdiction "${{ inputs.jurisdiction }}"

package/dist/chunk-FN3QUFUZ.js

@@ -0,0 +1,36 @@
+// src/core/license/ed25519.ts
+import crypto from "crypto";
+
+// src/core/license/publicKey.ts
+var LICENSE_PUBLIC_KEY = "q20XyLRZGURVvMLR6q0SCIc6poLhW73KE5Ds94Yq1FQ=";
+
+// src/core/license/ed25519.ts
+var PKCS8_PREFIX = Buffer.from("302e020100300506032b657004220420", "hex");
+var SPKI_PREFIX = Buffer.from("302a300506032b6570032100", "hex");
+function rawKey(b64, what) {
+  const raw = Buffer.from(b64, "base64");
+  if (raw.length !== 32) throw new Error(`${what}: erwartet 32 Byte (base64), erhalten ${raw.length}`);
+  return raw;
+}
+function defaultPublicKey() {
+  return process.env.CPCG_LICENSE_PUBLIC_KEY || LICENSE_PUBLIC_KEY;
+}
+function verifyEd25519(domain, payload, sigB64url, publicKeyB64 = defaultPublicKey()) {
+  try {
+    const key = crypto.createPublicKey({
+      key: Buffer.concat([SPKI_PREFIX, rawKey(publicKeyB64, "Public Key")]),
+      format: "der",
+      type: "spki"
+    });
+    const sig = Buffer.from(sigB64url, "base64url");
+    return sig.length === 64 && crypto.verify(null, Buffer.from(`${domain}.${payload}`), key, sig);
+  } catch {
+    return false;
+  }
+}
+
+export {
+  defaultPublicKey,
+  verifyEd25519
+};
+//# sourceMappingURL=chunk-FN3QUFUZ.js.map

package/dist/chunk-FN3QUFUZ.js.map

@@ -0,0 +1 @@
+{"version":3,"sources":["../src/core/license/ed25519.ts","../src/core/license/publicKey.ts"],"sourcesContent":["import crypto from \"node:crypto\";\nimport { LICENSE_PUBLIC_KEY } from \"./publicKey.js\";\n\n/**\n * Ed25519-Signaturen für Lizenzen und Grants.\n *\n * Der Server signiert mit dem privaten Seed (nur in config.php / KeePass),\n * der Client prüft ausschliesslich mit dem öffentlichen Schlüssel. Wer das CLI\n * besitzt, kann damit nichts ausstellen. Schlüssel sind rohe 32 Byte, base64.\n *\n * Jeder Token-Typ signiert mit eigenem Domain-Präfix, damit eine Lizenz-\n * Signatur nie als Grant (oder umgekehrt) durchgeht.\n */\nexport type SignDomain = \"cpcg-license-v1\" | \"cpcg-grant-v1\";\n\nconst PKCS8_PREFIX = Buffer.from(\"302e020100300506032b657004220420\", \"hex\");\nconst SPKI_PREFIX = Buffer.from(\"302a300506032b6570032100\", \"hex\");\n\nfunction rawKey(b64: string, what: string): Buffer {\n  const raw = Buffer.from(b64, \"base64\");\n  if (raw.length !== 32) throw new Error(`${what}: erwartet 32 Byte (base64), erhalten ${raw.length}`);\n  return raw;\n}\n\nexport function generateLicenseKeyPair(): { seed: string; publicKey: string } {\n  const { privateKey, publicKey } = crypto.generateKeyPairSync(\"ed25519\");\n  return {\n    seed: privateKey.export({ format: \"der\", type: \"pkcs8\" }).subarray(-32).toString(\"base64\"),\n    publicKey: publicKey.export({ format: \"der\", type: \"spki\" }).subarray(-32).toString(\"base64\"),\n  };\n}\n\nexport function signEd25519(domain: SignDomain, payload: string, seedB64: string): string {\n  const key = crypto.createPrivateKey({\n    key: Buffer.concat([PKCS8_PREFIX, rawKey(seedB64, \"CPCG_LICENSE_SIGNING_SEED\")]),\n    format: \"der\",\n    type: \"pkcs8\",\n  });\n  return crypto.sign(null, Buffer.from(`${domain}.${payload}`), key).toString(\"base64url\");\n}\n\n/** Öffentlicher Schlüssel: CPCG_LICENSE_PUBLIC_KEY (Tests, Self-Hosting) vor dem eingebetteten. */\nexport function defaultPublicKey(): string {\n  return process.env.CPCG_LICENSE_PUBLIC_KEY || LICENSE_PUBLIC_KEY;\n}\n\nexport function verifyEd25519(\n  domain: SignDomain,\n  payload: string,\n  sigB64url: string,\n  publicKeyB64: string = defaultPublicKey()\n): boolean {\n  try {\n    const key = crypto.createPublicKey({\n      key: Buffer.concat([SPKI_PREFIX, rawKey(publicKeyB64, \"Public Key\")]),\n      format: \"der\",\n      type: \"spki\",\n    });\n    const sig = Buffer.from(sigB64url, \"base64url\");\n    return sig.length === 64 && crypto.verify(null, Buffer.from(`${domain}.${payload}`), key, sig);\n  } catch {\n    return false;\n  }\n}\n","/**\n * Öffentlicher Ed25519-Schlüssel des Cuonztech-Lizenzdienstes (32 Byte, base64).\n * Der zugehörige private Seed liegt nur serverseitig (config.php) und im KeePass.\n */\nexport const LICENSE_PUBLIC_KEY = \"q20XyLRZGURVvMLR6q0SCIc6poLhW73KE5Ds94Yq1FQ=\";\n"],"mappings":";AAAA,OAAO,YAAY;;;ACIZ,IAAM,qBAAqB;;;ADWlC,IAAM,eAAe,OAAO,KAAK,oCAAoC,KAAK;AAC1E,IAAM,cAAc,OAAO,KAAK,4BAA4B,KAAK;AAEjE,SAAS,OAAO,KAAa,MAAsB;AACjD,QAAM,MAAM,OAAO,KAAK,KAAK,QAAQ;AACrC,MAAI,IAAI,WAAW,GAAI,OAAM,IAAI,MAAM,GAAG,IAAI,yCAAyC,IAAI,MAAM,EAAE;AACnG,SAAO;AACT;AAoBO,SAAS,mBAA2B;AACzC,SAAO,QAAQ,IAAI,2BAA2B;AAChD;AAEO,SAAS,cACd,QACA,SACA,WACA,eAAuB,iBAAiB,GAC/B;AACT,MAAI;AACF,UAAM,MAAM,OAAO,gBAAgB;AAAA,MACjC,KAAK,OAAO,OAAO,CAAC,aAAa,OAAO,cAAc,YAAY,CAAC,CAAC;AAAA,MACpE,QAAQ;AAAA,MACR,MAAM;AAAA,IACR,CAAC;AACD,UAAM,MAAM,OAAO,KAAK,WAAW,WAAW;AAC9C,WAAO,IAAI,WAAW,MAAM,OAAO,OAAO,MAAM,OAAO,KAAK,GAAG,MAAM,IAAI,OAAO,EAAE,GAAG,KAAK,GAAG;AAAA,EAC/F,QAAQ;AACN,WAAO;AAAA,EACT;AACF;","names":[]}