cuonztech-privacy-chaos-gate 0.2.0 → 0.2.2

package/LICENSE

@@ -0,0 +1,97 @@
+CuonzTech Privacy Chaos Gate (CPCG) — Lizenz / License
+
+Copyright (c) 2026 CuonzTech · Carlo Cuonz. Alle Rechte vorbehalten. / All rights reserved.
+
+Source-available, proprietär. Der Quelltext ist einsehbar, aber nicht frei im Sinne einer
+Open-Source-Lizenz. Gilt ab Version 0.2.1.
+Fassung vom 2026-10-23 (Revision 2). / Revision of 2026-10-23 (revision 2).
+
+HINWEIS ZU FRÜHEREN VERSIONEN
+Die bereits auf npm veröffentlichten Versionen 0.1.0 und 0.2.0 wurden unter der MIT-Lizenz
+veröffentlicht. Für Empfänger dieser Versionen bleiben sie unter MIT. Diese Lizenz gilt für
+Version 0.2.1 und alle späteren Versionen.
+
+
+================================================================================
+DEUTSCH
+================================================================================
+
+1. Was ohne Lizenzschlüssel erlaubt ist
+   Sie dürfen die Software herunterladen, installieren und ausführen, um Websites zu
+   scannen und das Konsolen-Gate (Ergebnis in der Konsole, Exit-Code, JSON-Report) in der
+   CI zu verwenden. Das gilt auch für kommerzielle und interne Zwecke. Ziele auf dem
+   eigenen Rechner (localhost, Loopback) sind immer frei. Frei ist ebenso der lokale
+   Auto-Fix: Patches erzeugen und im eigenen Arbeitsverzeichnis anwenden, ohne Commit und
+   ohne Pull Request.
+
+2. Was eine gültige Lizenz von CuonzTech erfordert
+   a) Erzeugen eines PDF-Reports sowie eines Kundenreports (HTML/Markdown mit --client),
+   b) Auto-Fix als Commit oder Pull Request (Code-Patches in ein Repository schreiben,
+      nicht das lokale Anwenden im Arbeitsverzeichnis).
+   Eine Lizenz erhalten Sie über cuonztech.ch (Pilot, Pro, Agency). Der Umfang der Tarife
+   steht auf der Produktseite und in der Lizenzmail. Die Zahl der Domains je Tarif beruht
+   auf Vertrauen; die Software zählt sie nicht.
+
+3. Was nicht erlaubt ist
+   - Die Software oder Teile davon zu kopieren, zu verkaufen, weiterzugeben,
+     unterzulizenzieren oder als eigenes Produkt oder als Dienstleistung anzubieten,
+     soweit dies über Ziffer 1 hinausgeht.
+   - Lizenzprüfungen, Lizenzschlüssel, Signaturprüfungen oder Hinweise auf diese Lizenz zu
+     entfernen, zu umgehen, zu deaktivieren oder zu fälschen.
+   - Lizenzschlüssel Dritten zugänglich zu machen oder zu veröffentlichen.
+   - Copyright- und Lizenzhinweise zu entfernen.
+   Die Einsicht in den Quelltext begründet kein Recht, ihn zu verändern oder
+   weiterzuverbreiten.
+
+4. Keine Gewährleistung, keine Rechtsberatung
+   Die Software wird «wie besehen» geliefert, ohne Zusicherung der Eignung für einen
+   bestimmten Zweck, der Vollständigkeit der Befunde oder der Konformität einer Website mit
+   dem revDSG, der DSGVO oder anderem Recht. Sie ist ein technisches Hilfsmittel und
+   ersetzt keine Rechtsberatung. Die Haftung ist im gesetzlich zulässigen Rahmen
+   ausgeschlossen, insbesondere für indirekte Schäden und entgangenen Gewinn.
+
+5. Drittkomponenten
+   Die Software verwendet Open-Source-Bibliotheken (zum Beispiel Playwright, Commander, Zod)
+   unter deren jeweiligen Lizenzen. Diese Lizenz ändert sie nicht.
+
+6. Beendigung
+   Verstösse gegen Ziffer 3 beenden die Berechtigung nach Ziffer 1 und 2 ohne weitere
+   Mitteilung.
+
+7. Anwendbares Recht
+   Schweizer Recht. Gerichtsstand ist der Sitz von CuonzTech, soweit zwingendes Recht nichts
+   anderes vorsieht.
+
+8. Kontakt
+   support@cuonztech.ch · https://cuonztech.ch
+
+
+================================================================================
+ENGLISH (short version; the German text above governs in case of doubt)
+================================================================================
+
+Copyright (c) 2026 CuonzTech · Carlo Cuonz. All rights reserved. Source-available,
+proprietary, from version 0.2.1.
+
+Versions 0.1.0 and 0.2.0 were published on npm under the MIT License and remain under MIT
+for their recipients. This license applies to version 0.2.1 and later.
+
+Without a license key you may install and run the software to scan websites and use the
+console gate (console output, exit code, JSON report) in CI, including for commercial and
+internal use. Local targets (localhost, loopback) are always free. Local auto-fix (creating
+and applying patches in your own working directory, without a commit or pull request) is free
+as well.
+
+A valid license from CuonzTech is required for: the PDF report and customer reports (HTML,
+Markdown with --client) and auto-fix as a commit or pull request (writing patches into a repository).
+The number of domains per plan is based on trust and is not counted by the software.
+
+You may not copy, sell, redistribute or sublicense the software, offer it as your own
+product or service, or remove, bypass, disable or forge license checks, license keys or
+license notices. Viewing the source code grants no right to modify or redistribute it.
+
+The software is provided "as is", without warranty of any kind. It is a technical aid, not
+legal advice, and does not guarantee compliance with the Swiss revFADP, the GDPR or any
+other law. Liability is excluded to the extent permitted by law.
+
+Swiss law applies. Contact: support@cuonztech.ch

package/README.md

@@ -9,22 +9,55 @@ läuft erlaubtes Tracking nach dem Akzeptieren korrekt an?
 
 ## Installieren
 
+Voraussetzung: Node.js 20 oder neuer.
+
 ```bash
-pnpm add -D @cuonztech/privacy-chaos-gate
-# oder direkt
-npx @cuonztech/privacy-chaos-gate scan --url https://staging.example.com --license CPCG-…
+# 1. CLI installieren (Befehl: cpcg)
+npm install -g cuonztech-privacy-chaos-gate     # oder im Projekt: npm install -D cuonztech-privacy-chaos-gate
+
+# 2. Prüf-Browser installieren (einmalig pro Rechner)
+npx playwright install chromium
+
+# 3. Ersten Scan starten (Scan und Konsolen-Gate brauchen keine Lizenz)
+cpcg --url https://staging.example.com
 ```
 
-## Lizenz
+Ohne Installation: `npx cuonztech-privacy-chaos-gate --url https://staging.example.com`
+(der Browser aus Schritt 2 muss trotzdem vorhanden sein; auf Linux-CI zusätzlich mit Systembibliotheken:
+`npx playwright install --with-deps chromium`). Fehlt der Browser, meldet das CLI das und beendet sich mit Exit 3.
+
+Das CLI hat keine Subcommands: alle Angaben sind Optionen von `cpcg`.
 
+## Lizenz und Preise
+
+Das Paket ist proprietär und source-available (Datei `LICENSE`, ab 0.2.1; die Versionen 0.1.0 und 0.2.0 wurden unter MIT veröffentlicht und bleiben es).
 Online-Kauf → Code per Mail.
 
 ```bash
-export CPCG_LICENSE="CPCG-…"
-cpcg scan --url https://staging.example.com --jurisdiction CH
+export CPCG_LICENSE="CPCG-…"      # Lizenzcode (Pilot/Einmal) oder Kunden-Key CPCG-K-… (Abo)
+cpcg --url https://staging.example.com --jurisdiction CH
 ```
 
-Ohne Lizenz: localhost/Test-Fixtures; Produktiv-URLs mit Warnung (Trial-Modus).
+In CI die Lizenz als Secret setzen und per Umgebungsvariable `CPCG_LICENSE` übergeben, nicht als Argument.
+
+**Frei, ohne Lizenz** (auch kommerziell und intern, auch gegen Produktiv-URLs): Scan, Konsolen-Gate (Exit-Code, JSON-Report, neutraler Evidence-Report ohne Kundenbezug), lokales `--auto-fix` ohne Commit/PR. Ziele auf `localhost`, `127.0.0.1` und `::1` sind immer frei.
+
+**Nur mit gültiger Lizenz:**
+
+| Funktion | Option |
+|----------|--------|
+| PDF-Report sowie Kundenreport (HTML/Markdown mit `--client`) | `--report-pdf`, `--client` |
+| Auto-Fix als Commit oder Pull Request | `--git-commit`, `--create-pr` |
+
+Ohne Lizenz werden diese Funktionen mit einem Hinweis übersprungen; der Exit-Code bleibt der des Gates. Exit 2 gibt es nur bei einer **ungültigen, abgelaufenen oder gesperrten** Lizenz, nicht bei fehlender Lizenz und nicht bei einem nicht erreichbaren Lizenzserver.
+
+| Plan | Preis (netto, CHF) | Umfang |
+|------|--------------------|--------|
+| Pilot / Evidence | 890 einmalig | Kundenreport, Auto-Fix-PR, 1 Domain, 90 Tage |
+| Pro | 69 je Domain und Monat | Kundenreport, Auto-Fix-PR, GitHub Action und CLI-Lizenz |
+| Agency | 349 je Monat | Pro für bis zu 10 Domains |
+
+Die Domain-Anzahl beruht auf Vertrauen: das CLI zählt Domains nicht. Scans werden nicht gezählt. Monatlich kündbar. Kauf und Fragen: `support@cuonztech.ch`.
 
 ## Was das Tool prüft
 
@@ -61,32 +94,104 @@ JustRelate, Didomi, Axeptio, Sourcepoint, Consentmanager, Borlabs, Klaro.
 Jeder Scan schreibt ein Evidence-Paket:
 
 ```
-report.json          LeakReport (maschinenlesbar)
-report-evidence.md   Kunden-Report (Markdown)
-report-evidence.html Kunden-Report (HTML, CuonzTech-Brand)
-evidence/            Screenshots (portabel, relative Pfade)
-report-deluxe.pdf    Deluxe-PDF mit Deckblatt (mit --report-pdf)
+reports/privacy-chaos-report.json           LeakReport (maschinenlesbar), Pfad per --report-output
+reports/privacy-chaos-report-evidence.md    Evidence-Report (Markdown); mit Lizenz und --client als Kundenreport
+reports/privacy-chaos-report-evidence.html  Evidence-Report (HTML, CuonzTech-Brand); mit Lizenz und --client als Kundenreport
+reports/privacy-chaos-report-deluxe.pdf     Deluxe-PDF mit Deckblatt (mit --report-pdf, nur mit Lizenz)
+reports/evidence/                           Screenshots (portabel, relative Pfade)
 ```
 
-Der Report führt **Befunde** (Regelverstösse) und **beobachtete Requests**
+Die Dateinamen richten sich nach dem JSON-Pfad: `<name>.json` ergibt `<name>-evidence.md`, `<name>-evidence.html`
+und `<name>-deluxe.pdf` im selben Ordner, die Screenshots liegen in `evidence/` daneben. Standard ist
+`reports/privacy-chaos-report.json`; mit `--report-output reports/scan.json` heissen die Dateien `reports/scan-evidence.md` usw.
+
+Der Report führt **Befunde** (Regelverstösse), **Hinweise** und **beobachtete Requests**
 (Timelines) getrennt — und ordnet jedes Ergebnis mehreren Rechtsräumen zu
 (CH, EU, UK, US-CA, BR, ROW). Keine globale Compliance-Aussage.
 
+**Hinweise sind kein Blocker.** Rein funktionale Drittanbieter (etwa Google Fonts) erscheinen
+als Hinweis und blockieren das Gate nicht. Mit `--strict` blockieren auch Hinweise.
+Bekannte, bewusst akzeptierte Befunde lassen sich mit `--ignore` ausnehmen; sie stehen im Report weiterhin
+als «ignoriert».
+
 ## Flags
 
 ```bash
-cpcg scan \
-  --url https://staging.example.com \
-  --license CPCG-… \
-  --report-pdf            # Deluxe-PDF (Deckblatt + Evidence) erzeugen
-  --client "Firma AG"     # Kundenname fürs Deckblatt
-  --demo                  # Report als synthetische Testdaten kennzeichnen
-  --jurisdiction CH       # CH | EU | UK | US-CA | BR | ROW
-  --auto-fix true         # Auto-Fix generieren
-  --fail-on-leak true     # Exit 1 bei Leaks (CI-Gate)
+cpcg --url https://staging.example.com \
+  --report-pdf \
+  --client "Firma AG" \
+  --jurisdiction CH \
   --report-output reports/scan.json
 ```
 
+| Option | Wirkung |
+|--------|---------|
+| `--url <url>` | Ziel (Pflicht) |
+| `--license <code>` | Lizenzcode oder Kunden-Key; besser per Env `CPCG_LICENSE` |
+| `--jurisdiction <code>` | `CH`, `EU`, `UK`, `US-CA`, `BR` oder `ROW` |
+| `--report-output <pfad>` | JSON-Report (weitere Dateien daneben) |
+| `--report-pdf [boolean]` | Deluxe-PDF (Deckblatt + Evidence) — Lizenz erforderlich |
+| `--client <name>` | Kundenname für Kundenreport und Deckblatt — Lizenz erforderlich |
+| `--demo [boolean]` | Report als synthetische Testdaten kennzeichnen |
+| `--fail-on-leak [boolean]` | Exit 1 bei Leaks (CI-Gate, Standard `true`) |
+| `--fail-on-uncheckable [boolean]` | Exit 4, wenn Kernszenarien nicht prüfbar sind (Standard `true`); bei `false` Exit 0, das Ergebnis bleibt als unvollständig markiert |
+| `--strict [boolean]` | Auch Hinweise (z. B. Google Fonts) blockieren das Gate (Standard `false`) |
+| `--ignore <liste>` | Befunde ausnehmen: Tracker-Name oder Host-Muster, kommagetrennt oder mehrfach (`fonts.googleapis.com,*.hotjar.com`); im Report als «ignoriert». `*`/`**` und nackte TLDs (`com`, `ch`) werden **immer** abgelehnt, auch mit `--allow-broad-ignore` (zum Abschalten der Blockierung dient `--fail-on-leak false`); ganze Zonen (`*.com`, `.ch`) nur mit `--allow-broad-ignore`. Die Konsole nennt, wie viele Befunde ausgenommen wurden; ein Szenario, dessen Befunde alle ausgenommen sind, steht als «bestanden (Befunde ignoriert)» |
+| `--allow-broad-ignore [boolean]` | Ganze Zonen als `--ignore`-Muster (`*.com`, `*.co.uk`, `.ch`) bewusst zulassen; sie erscheinen in Konsole und Report als Warnung. `*` und nackte TLDs bleiben abgelehnt (Standard `false`) |
+| `--accept-selector <css>` | Eigener Selektor des Akzeptieren-Buttons, wenn die Erkennung ihn nicht findet (mehrfach oder kommagetrennt) |
+| `--reject-selector <css>` | Eigener Selektor des Ablehnen-Buttons |
+| `--settings-selector <css>` | Eigener Selektor des Einstellungen-Buttons |
+| `--banner-frame <teilstring>` | Teil der URL des iframes, in dem der Banner liegt (CMP im Frame); findet der Scan keinen solchen Frame, warnt er |
+| `--banner-wait <sekunden>` | Wartefenster auf einen spät erscheinenden Banner, 1 bis 60 (Standard 8; Umgebung `CPCG_BANNER_WAIT`). Mit Angabe wird das Fenster ausgeschöpft, ebenso bei `--accept-selector`/`--reject-selector`; die Schlussprüfung wartet zusätzlich eine Nachfrist |
+| `--max-subpages <n>` | Obergrenze der Unterseiten-Stichprobe (Szenario `subpage-spa`), 1 bis 40 (Standard 12; Umgebung `CPCG_MAX_SUBPAGES`); das Zeitbudget wächst moderat mit (45 s bis 12, 90 s bis 24, sonst 120 s) |
+| `--auto-fix [boolean]` | Patches erzeugen und im Quellverzeichnis anwenden (Standard `true` nur mit ausdrücklichem `--source-dir`) |
+| `--source-dir <dir>` | Quellcode für Auto-Fix; ein nicht vorhandenes Verzeichnis ist ein Fehler (Exit 3). Für `--git-commit`/`--create-pr` gilt das Git-Repository, in dem es liegt (nicht das Arbeitsverzeichnis) |
+| `--git-commit [boolean]` | Fix in den Git-Branch committen — Lizenz erforderlich |
+| `--create-pr [boolean]` | Fix als Pull Request öffnen (Token in Env `GITHUB_TOKEN`, ersatzweise `--github-token`) — Lizenz erforderlich; hat Vorrang vor `--git-commit` |
+| `--base-branch <branch>`, `--branch-prefix <prefix>` | Basisbranch und Branch-Präfix des Fix-PRs |
+| `--llm-remediation [boolean]` | Opt-in: Quellcode darf an den LLM-Anbieter gesendet werden (Standard `false`) |
+| `--llm-provider`, `--llm-model`, `--api-key` | Nur `openai` ist umgesetzt; andere Anbieter fallen auf die Regel-Engine zurück |
+| `--headless [boolean]`, `--timeout-ms <ms>` | Browser-Modus und Timeout je Szenario-Navigation |
+
+Alle Optionen und Standardwerte: `cpcg --help`.
+
+**Exit-Codes** (für CI): `0` ok · `1` Leaks gefunden (auch wenn ein Fix nur vorgeschlagen, aber nicht verifiziert ist) ·
+`2` Lizenz **ungültig, abgelaufen oder gesperrt** (eine fehlende Lizenz oder ein nicht erreichbarer Lizenzserver ist kein Exit 2) ·
+`3` Fehler (Ziel unerreichbar oder HTTP 4xx/5xx, Konfiguration, Browser fehlt, falsche Argumente) ·
+`4` unvollständig, Kernszenarien nicht prüfbar.
+Ein Lauf, der nichts abschliessend prüfen konnte, ist nie grün: `--fail-on-uncheckable` (Standard) macht daraus Exit 4.
+
+### Unterseiten-Stichprobe
+
+Das Szenario `subpage-spa` prüft höchstens `--max-subpages` verlinkte Unterseiten (verschiedene erste Pfadsegmente zuerst, Impressum und Datenschutz zuletzt). Sind mehr Unterseiten verlinkt als geprüft wurden, steht das nicht nur im Report: Die Konsole meldet «Unterseiten: X von Y geprüft — nicht geprüfte Routen können Verstösse enthalten; --max-subpages erhöhen», `report.json` führt es unter `gate.sampling`, die Step-Summary und der Report-Kopf zeigen «PASS, aber Stichprobe», und `gate.incomplete` ist `true`. Der Exit-Code bleibt bei PASS `0` (nicht `4`).
+
+### Banner nicht gefunden: Selektoren und Frames
+
+Findet die Erkennung den Banner oder einen Button nicht, wird das Szenario «nicht prüfbar» (nie grün). Dann helfen die Overrides:
+
+```bash
+cpcg --url https://staging.example.com \
+  --accept-selector "#meine-zustimmung" \
+  --reject-selector "button[data-consent=reject]" \
+  --settings-selector ".cookie-einstellungen" \
+  --banner-frame "consent.mein-cmp.example"
+```
+
+Erscheint der Banner erst spät, verlängert `--banner-wait <sekunden>` das Wartefenster (Standard 8 s). Der Scan behauptet «kein Banner» nur, wenn die Seite stabil lud und die Schlussprüfung das Fenster samt Nachfrist ohne Banner-Hinweis durchlief. Sonst steht eine eigene Meldung: «Banner erschien nach dem Wartefenster — mit --banner-wait erhöhen», «Banner vorhanden, aber nicht über Ablehnen/Akzeptieren bedienbar» (zum Beispiel nur ein Schliessen-Kreuz) oder «Seite instabil (Reload-Schleife) — Banner nicht auswertbar».
+
+## Auto-Fix: Grenzen und Consent-Anbindung
+
+`--auto-fix` verschiebt Tracker-Skripte hinter die Einwilligung. Das Ergebnis ist ein Vorschlag, den die Review-Stufe prüft;
+ein nicht verifizierter Fix macht das Gate nicht grün.
+
+- **OneTrust und Cookiebot** werden automatisch gelesen (Kategorien Statistik und Marketing); ein Hook ist nicht nötig. OneTrust wird auch ohne CDN-Marker erkannt, etwa bei selbst gehostetem SDK (`Optanon…`-Symbole, `OptanonConsent`-Cookie).
+- **Eigene Banner** melden die Einwilligung an die eingefügte Runtime, zum Beispiel `window.cpcgGrantConsent("analytics")` (Statistik) oder `window.cpcgGrantConsent("marketing")`, ohne Argument alle Kategorien. Der Report nennt die passenden Hooks. Ohne dieses Signal startet kein Tracker; «Ablehnen» ruft nichts auf.
+- **Andere Consent-Plattformen** (zum Beispiel Usercentrics, Sourcepoint, Didomi, iubenda) sind **nicht automatisch behebbar**: der Auto-Fix kann ihre Kategorie-Einwilligung nicht sicher lesen und erzeugt keinen Patch, sondern eine Anleitung zur manuellen Behebung.
+- **Tracker, die nicht im Quelltext stehen** (über Tag Manager, Server, CMS oder Drittanbieter geladen) bleiben «manuell zu beheben».
+- **LLM-gestützte Patches** sind ein Opt-in (`--llm-remediation`), nur mit OpenAI umgesetzt, und senden den Quellcode an den Anbieter. Ein API-Key allein genügt nicht und sendet nichts.
+- **Commit und Pull Request** (`--git-commit`, `--create-pr`) brauchen eine Lizenz; das lokale Anwenden der Patches nicht. Git läuft im Repository, in dem `--source-dir` liegt; liegt es in keinem, bleibt der Fix lokal und der Lauf meldet das ausdrücklich.
+- **Teilfix:** Bleiben gemeldete Tracker offen, zählt das Gate nur diese als «ungepatcht»; Score und «Passed» des Review-Agenten gelten dann ausdrücklich nur für den gepatchten Teil.
+
 ## Demo-Portal
 
 Reproduzierbare Testseite mit fünf absichtlichen Consent-Leaks
@@ -94,16 +199,19 @@ Reproduzierbare Testseite mit fünf absichtlichen Consent-Leaks
 
 ```bash
 node demo-portal/server.mjs     # http://127.0.0.1:8787
-pnpm exec tsx scripts/scan-demo-portal.mts   # voller Scan + Report
-pnpm exec tsx scripts/make-deluxe-report.mts # Deluxe-PDF daraus
+npx tsx scripts/scan-demo-portal.mts    # voller Scan + Report
+npx tsx scripts/make-deluxe-report.mts  # Deluxe-PDF daraus
 ```
 
+Die Skripte in `scripts/` sind TypeScript: `node scripts/x.mts` scheitert an den Importen, deshalb `npx tsx`.
+
 Erwartet: Gate **BLOCKED**, Szenarien «auffällig» — exakt dieselben Zahlen bei jedem Lauf.
 
 ## GitHub Action
 
 ```yaml
-- uses: cuonztech/privacy-chaos-gate@v1
+- uses: cuonztech/privacy-chaos-gate-action@v1
+  id: cpcg
   with:
     staging-url: ${{ vars.STAGING_URL }}
     license: ${{ secrets.CPCG_LICENSE }}
@@ -111,11 +219,66 @@ Erwartet: Gate **BLOCKED**, Szenarien «auffällig» — exakt dieselben Zahlen
     client-name: "Firma AG"
 ```
 
-Die Action nutzt `dist/cli.js` aus dem Action-Path; erst bei fehlendem Build greift `npx`.
+Die Action installiert das veröffentlichte Paket `cuonztech-privacy-chaos-gate` in der Version, die in `action.yml`
+fest eingetragen ist (`npm install --ignore-scripts`, ohne Secrets in der Umgebung dieses Schritts), samt dem passenden
+Chromium (`playwright install --with-deps chromium`). Kennt die installierte CLI eine angeforderte Option nicht, gibt die Action
+eine Warnung aus, statt sie still wegzulassen.
+
+Scan und Konsolen-Gate laufen ohne Lizenz. `report-pdf`, `client-name`, `git-commit` und `create-pr` brauchen eine gültige Lizenz;
+ohne sie werden sie mit Hinweis übersprungen.
+
+| Input | Standard | Bedeutung |
+|-------|----------|-----------|
+| `staging-url` | Pflicht | Zu prüfende URL |
+| `license` | leer | Lizenzcode oder Kunden-Key; wird nur per Umgebungsvariable `CPCG_LICENSE` übergeben |
+| `fail-on-leak` | `true` | Build blockieren (Exit 1), wenn Leaks bleiben |
+| `fail-on-uncheckable` | `true` | Build blockieren (Exit 4), wenn Kernszenarien nicht prüfbar sind |
+| `strict` | `false` | Auch Hinweise (z. B. Google Fonts) blockieren das Gate |
+| `ignore` | leer | Befunde ausnehmen (Tracker-Name oder Host-Muster, eine Angabe je Zeile oder kommagetrennt) |
+| `accept-selector`, `reject-selector`, `settings-selector` | leer | Eigene CSS-Selektoren der Banner-Buttons (eine Angabe je Zeile) |
+| `banner-frame` | leer | Teil der URL des iframes mit dem Banner |
+| `max-subpages` | leer (CLI: 12) | Höchstzahl verlinkter Unterseiten, die auf Tracker geprüft werden (max. 40; mehr dauert länger) |
+| `banner-wait` | leer (CLI-Standard) | Sekunden, die auf ein spät erscheinendes Banner gewartet wird (1–60) |
+| `auto-fix` | `false` | Patches auf dem Runner erzeugen und anwenden; ein Gate ändert Dateien nicht stillschweigend |
+| `create-pr` | `false` | Fix als Pull Request öffnen (braucht `auto-fix: true`, `github-token` und eine Lizenz) |
+| `github-token` | leer | Token für `create-pr` (`contents: write`, `pull-requests: write`) |
+| `git-commit` | `false` | Fix in den ausgecheckten Branch committen (braucht `auto-fix: true` und eine Lizenz) |
+| `target-source-dir` | `.` | Quellcode-Verzeichnis für Auto-Fix |
+| `report-output` | `reports/privacy-chaos-report.json` | Pfad des JSON-Reports |
+| `report-pdf`, `client-name` | `false`, leer | Deluxe-PDF und Kundenname (Lizenz erforderlich) |
+| `jurisdiction` | `CH` | Rechtsraum |
+| `llm-remediation`, `api-key`, `llm-provider`, `llm-model` | `false`, leer, `openai`, `gpt-4o` | Optional: LLM-gestützte Patches. Nur OpenAI ist umgesetzt; der Quellcode wird dann an den Anbieter gesendet; ohne `llm-remediation: true` wirkt der Key nicht |
+
+Beispiel mit Pull Request als Ergebnis:
+
+```yaml
+permissions:
+  contents: write
+  pull-requests: write
+steps:
+  - uses: actions/checkout@v4
+  - uses: cuonztech/privacy-chaos-gate-action@v1
+    with:
+      staging-url: ${{ vars.STAGING_URL }}
+      license: ${{ secrets.CPCG_LICENSE }}
+      auto-fix: true
+      create-pr: true
+      github-token: ${{ secrets.GITHUB_TOKEN }}
+```
+
+Outputs: `leaks-found`, `leaks-count`, `patch-applied`, `report-path` sowie `gate_state`, `incomplete`, `uncheckable_count`,
+`leak_requests` und `exit_code` (geschrieben vom CLI nach `GITHUB_OUTPUT`; leer, wenn die installierte CLI sie nicht kennt).
+Beispiel: `if: steps.cpcg.outputs.gate_state == 'blocked'`.
 
 ## Jurisdiktion
 
-`--jurisdiction CH|EU|UK|US-CA|BR|ROW` — gleicher Befund, unterschiedliche Einordnung:
+`--jurisdiction CH|EU|UK|US-CA|BR|ROW` — gleicher Befund, unterschiedliche Einordnung.
+
+> **Wichtig:** Das Gate selbst prüft in jedem Rechtsraum nach der strengen **Opt-in-Linie (EU)**: Jeder nicht-essenzielle
+> Tracker vor einer Einwilligung blockiert (Exit 1). Das Profil ändert nur Schweregrad und Begleittext im Bericht, nicht das
+> Ergebnis. Für eine reine Schweizer Seite mit Opt-out-Modell ist das Gate damit strenger als das Recht; ein «BLOCKED» ist
+> dort nicht automatisch ein Rechtsverstoss. Eine Bewertung nach Rechtsraum (CH und US-CA als Opt-out) ist für 0.3 geplant.
+
 
 - **EU:** Opt-In-Pflicht für nicht-essenzielle Tracker. Ein beobachteter Request ist ein
   schwerwiegender Hinweis — die Einstufung als Verstoß erfordert die Prüfung von Zweck,
@@ -131,13 +294,17 @@ Die Action nutzt `dist/cli.js` aus dem Action-Path; erst bei fehlendem Build gre
 
 ```bash
 pnpm install
-pnpm test        # 136 Tests
+pnpm test                # Vitest-Suite (inkl. PHP-Lizenzdienst, falls Docker läuft; action.yml-Pin und Optionsweitergabe)
 pnpm build
-pnpm exec tsx scripts/e2e-cli-deluxe.mts   # E2E: echte CLI gegen Demo-Portal
+pnpm typecheck:all       # src + tests + scripts
+npx tsx scripts/e2e-cli-deluxe.mts   # E2E: echte CLI gegen Demo-Portal
 ```
 
+Der Lizenzdienst liegt in `server/license-api/` (eigene README mit Deploy-Checkliste und Betrieb)
+und gehört nicht zum veröffentlichten Paket.
+
 Secrets (Stripe, Lizenz-Secret) nur über Env/KeePass — nie im Repo.
 
 ---
 
-© CuonzTech · Carlo Cuonz · [cuonztech.ch](https://cuonztech.ch)
+© CuonzTech · Carlo Cuonz · [cuonztech.ch](https://cuonztech.ch) · Lizenz: siehe [LICENSE](LICENSE)