cuonztech-privacy-chaos-gate 0.2.0 → 0.2.2

package/dist/index.js

@@ -1,11 +1,15 @@
 import {
-  CONSENT_ACTIVATION_RUNTIME,
+  CORE_SCENARIOS,
   ChaosScanner,
   ChaosScenarioSchema,
+  ENV_FILE_KEYS_HELP,
+  EXIT,
   EvidenceRecordSchema,
   EvidenceStatusSchema,
   FilePatchSchema,
   GateConfigSchema,
+  JurisdictionCodeSchema,
+  LICENSE_CONTACT,
   LeakReportSchema,
   PrivacyChaosGate,
   PullRequestResultSchema,
@@ -16,37 +20,52 @@ import {
   StorageSnapshotSchema,
   TrackerCategorySchema,
   TrackerViolationSchema,
+  assessReport,
   buildCoverHtml,
   buildEvidenceHtml,
   buildEvidenceMarkdown,
-  clickFirstSameOriginLink,
+  checkTargetReachable,
   codeSolutionsFor,
   deriveReportFacts,
+  evidenceLabelOf,
   findingsCountText,
+  gateNotesOf,
   groupFindings,
-  isOnTargetOrigin,
+  isEnvKeyAllowedFromFile,
+  isLoopbackTarget,
+  licenseSkipText,
+  loadProjectEnv,
+  parseGateConfig,
   problemsTextOf,
   renderDeluxeCombined,
   renderDeluxePdf,
   reproductionText,
+  requestedLicensedFeatures,
+  resolveEntitlement,
   resolveGateConfig,
-  statusLabelOf
-} from "./chunk-T5D6BUAC.js";
+  resolveReportGate,
+  statusLabelOf,
+  uncheckableReasons
+} from "./chunk-42D7PLVP.js";
 
 // src/index.ts
 async function runGate(optionsOrConfig) {
-  const config = "targetUrl" in optionsOrConfig && typeof optionsOrConfig.targetUrl === "string" ? optionsOrConfig : resolveGateConfig(optionsOrConfig);
+  const input = "targetUrl" in optionsOrConfig && typeof optionsOrConfig.targetUrl === "string" ? optionsOrConfig : resolveGateConfig(optionsOrConfig);
   const gate = new PrivacyChaosGate();
-  return gate.run(config);
+  return gate.run(input);
 }
 export {
-  CONSENT_ACTIVATION_RUNTIME,
+  CORE_SCENARIOS,
   ChaosScanner,
   ChaosScenarioSchema,
+  ENV_FILE_KEYS_HELP,
+  EXIT,
   EvidenceRecordSchema,
   EvidenceStatusSchema,
   FilePatchSchema,
   GateConfigSchema,
+  JurisdictionCodeSchema,
+  LICENSE_CONTACT,
   LeakReportSchema,
   PrivacyChaosGate,
   PullRequestResultSchema,
@@ -57,21 +76,31 @@ export {
   StorageSnapshotSchema,
   TrackerCategorySchema,
   TrackerViolationSchema,
+  assessReport,
   buildCoverHtml,
   buildEvidenceHtml,
   buildEvidenceMarkdown,
-  clickFirstSameOriginLink,
+  checkTargetReachable,
   codeSolutionsFor,
   deriveReportFacts,
+  evidenceLabelOf,
   findingsCountText,
+  gateNotesOf,
   groupFindings,
-  isOnTargetOrigin,
+  isEnvKeyAllowedFromFile,
+  isLoopbackTarget,
+  licenseSkipText,
+  loadProjectEnv,
+  parseGateConfig,
   problemsTextOf,
   renderDeluxeCombined,
   renderDeluxePdf,
   reproductionText,
+  requestedLicensedFeatures,
+  resolveEntitlement,
   resolveGateConfig,
+  resolveReportGate,
   runGate,
-  statusLabelOf
+  statusLabelOf,
+  uncheckableReasons
 };
-//# sourceMappingURL=index.js.map

package/docs/BRAND-PILOT-EVIDENCE.md

@@ -1,13 +1,17 @@
 # Cuonztech Privacy Chaos Gate
-## Evidence Report ”” Consent-Pre-Consent-Leaks auf pilot-kunde.ch
+## Evidence Report — Consent-Pre-Consent-Leaks auf pilot-kunde.ch
+
+> **BEISPIELBERICHT (Demo):** Dieses Dokument zeigt das Format eines Evidence-Reports an einem
+> **erfundenen Beispiel**. `pilot-kunde.ch`, die Tag-ID `GTM-DEMO01`, das Datum und alle Zahlen sind
+> Platzhalter aus Demo-Daten. Es beschreibt keinen realen Kunden und keine reale Website.
 
 **Produkt:** Cuonztech Privacy Chaos Gate (CPCG)  
 **Kategorie:** CI-Gate · Chaos-Scanner · Auto-Fix-PR  
-**Auftraggeber/Pilot:** Read-only Audit, 20.10.2026  
-**Status:** Gate BLOCKED ”” 10 Tracker-Leaks vor Einwilligung
+**Auftraggeber/Pilot:** Beispiel (Platzhalter), Read-only Audit, 20.10.2026  
+**Status:** Gate BLOCKED — 10 Tracker-Leaks vor Einwilligung (Beispielwerte)
 
-> âš ï¸ **Hinweis / Disclaimer:** CPCG ist ein technisches Hilfsmittel zur Unterstützung bei der
-> Implementierung von Consent-Lösungen ”” **keine Rechtsberatung** und keine Garantie für
+> ⚠️ **Hinweis / Disclaimer:** CPCG ist ein technisches Hilfsmittel zur Unterstützung bei der
+> Implementierung von Consent-Lösungen — **keine Rechtsberatung** und keine Garantie für
 > DSGVO-/TTDSG-Konformität. Bitte lassen Sie die endgültige Umsetzung anwaltlich prüfen.
 > / CPCG is a technical aid, **not legal advice** and no guarantee of GDPR/ePrivacy compliance.
 
@@ -16,8 +20,8 @@
 ## 1. Was ist passiert?
 
 Die Produktionsseite **pilot-kunde.ch** setzt professionell auf **OneTrust** (`cdn.cookielaw.org`,
-Domain-Script `151e70dd-”¦`). Trotzdem lädt der **Google-Tag-Manager-Bootstrap**
-(`GTM-DEMO01`) **ungedeckt im HTML-Head** ”” **bevor** das OneTrust-Banner irgendeine
+Domain-Script `151e70dd-…`). Trotzdem lädt der **Google-Tag-Manager-Bootstrap**
+(`GTM-DEMO01`) **ungedeckt im HTML-Head** — **bevor** das OneTrust-Banner irgendeine
 Entgegennahme von Einwilligung darstellt.
 
 Ergebnis des CPCG-Chaos-Scans: **10 Unauthorized Tracker Requests**.
@@ -47,76 +51,64 @@ Ergebnis des CPCG-Chaos-Scans: **10 Unauthorized Tracker Requests**.
 
 ```html
 <!-- OneTrust Cookies Consent Notice start for pilot-kunde.ch -->
-<script src="https://cdn.cookielaw.org/consent/151e70dd-”¦/OtAutoBlock.js"></script>
-<script src="https://cdn.cookielaw.org/scripttemplates/otSDKStub.js" ”¦></script>
+<script src="https://cdn.cookielaw.org/consent/151e70dd-…/OtAutoBlock.js"></script>
+<script src="https://cdn.cookielaw.org/scripttemplates/otSDKStub.js" …></script>
 
-<!-- Google Tag Manager ”” läuft ohne Consent -->
-<script>(function(w,d,s,l,i){ ”¦ j.src='https://www.googletagmanager.com/gtm.js?id='+i;
+<!-- Google Tag Manager — läuft ohne Consent -->
+<script>(function(w,d,s,l,i){ … j.src='https://www.googletagmanager.com/gtm.js?id='+i;
 })(window,document,'script','dataLayer','GTM-DEMO01');</script>
 ```
 
 ---
 
-## 3. Warum das ein echtes Produkt-Feature ist
+## 3. Einordnung
 
-| Wettbewerber | Können Sie | Können Sie **nicht** |
-|--------------|------------|----------------------|
-| Cookiebot / Usercentrics / Ketch / Osano | CMP, Banner, Consent-Storage | **CI-Gate + Auto-Fix-PR** |
-| CookieYes / Webxray | Cookie-Scan, Reporting | **Chaos-Szenarien (Fast-Click, Network-Drop) + Fix-PR** |
-| **Cuonztech CPCG** | Pre-Consent-Detektion + Auto-Fix-PR im CI | ”” |
+CMPs prüfen vorrangig die **Konfiguration** (Banner, Kategorien, Consent-Speicherung), CPCG prüft das **Verhalten**
+der laufenden Seite im Browser. CPCG ersetzt kein CMP und keine Rechtsberatung, sondern ergänzt beides.
 
-**Differenzierung:** Shift-Left. Nicht nach dem Go-Live dokumentieren, sondern vor dem
-Merge blockieren ”” und den Fix als Pull Request liefern.
+| | Schwerpunkt | Zeitpunkt |
+|---|---|---|
+| CMP (typisch) | Konfiguration: Banner, Kategorien, Consent-Speicherung | im Betrieb der Seite |
+| **CuonzTech CPCG** | Verhalten: welche Requests laufen vor und nach der Einwilligung (Fast-Click, Network-Drop u. a.) | im CI vor dem Merge oder als Stichprobe; optional mit Fix-Vorschlag |
 
----
+**Ansatz:** Shift-Left. Nicht erst nach dem Go-Live dokumentieren, sondern vor dem Merge prüfen.
 
-## 4. Empfohlener Fix (Auszug ”” nicht ohne Kunden-Freigabe anwenden)
+---
 
-**Vorher (verkürzt):**
-```html
-<script>(function(w,d,s,l,i){ ”¦ j.src='https://www.googletagmanager.com/gtm.js?id='+i; ”¦
-})(window,document,'script','dataLayer','GTM-DEMO01');</script>
-```
+## 4. Fix-Prinzip (nicht ohne Kunden-Freigabe anwenden)
 
-**Nachher (Prinzip ”” Consent Mode v2 default denied):**
-```html
-<script type="text/plain" data-cookiecategory="analytics"
-        data-src="https://www.googletagmanager.com/gtm.js?id=GTM-DEMO01"></script>
-<script data-cpcg="deferred-gtm">
-  window.dataLayer = window.dataLayer || [];
-  function gtag(){dataLayer.push(arguments);}
-  gtag('consent','default',{ad_storage:'denied',analytics_storage:'denied',wait_for_update:500});
-  window.__cpcgInits = window.__cpcgInits || [];
-  window.__cpcgInits.push(function(){
-    if (localStorage.getItem('OptanonConsent') !== 'accepted') return;
-    gtag('consent','update',{ad_storage:'granted',analytics_storage:'granted'});
-    // GTM-Bootstrap erst hier laden ”¦
-  });
-</script>
-```
+Das Tracker-Skript darf erst nach der Einwilligung der passenden Kategorie (Statistik/Marketing)
+laden, nicht im Head ohne Consent-Prüfung. Den konkreten Patch erzeugt CPCG im Scan-Lauf mit
+`--auto-fix` und `--source-dir <Quellverzeichnis>`; er steht als Diff im Report. Bei OneTrust und
+Cookiebot liest der Patch die Kategorien automatisch, bei eigenen Bannern meldet die Seite die
+Einwilligung an die eingefügte Runtime. Andere Consent-Plattformen und Tracker, die nicht im
+Quelltext stehen (Tag Manager, Server, CMS), bleiben «manuell zu beheben» (siehe README, Abschnitt
+«Auto-Fix: Grenzen»). Dieses Beispiel enthält bewusst keinen Beispiel-Patch: ein gekürzter Code
+würde nicht dem echten Ausgabeformat entsprechen.
 
-**Nach Umsetzung:** Rescan über CPCG muss `GATE RESULT: PASS` liefern.
+**Nach Umsetzung:** Ein erneuter Scan muss ein grünes Gate liefern (Exit-Code 0).
 
 ---
 
 ## 5. Was der Kunde bekommt (Produkt-Fluss)
 
 1. **Online-Kauf** auf cuonztech.ch → Lizenzcode per E-Mail
-2. **Scan:** `npx @cuonztech/privacy-chaos-gate --url <staging> --license <code>`
-3. **Report** (JSON + Markdown, dieses Template)
-4. **Auto-Fix-PR** (optional, mit Review-Agent)
-5. **CI-Gate** im GitHub-Action-Workflow ”” Merge-Blocker bei Pre-Consent-Leaks
+2. **Scan:** `npx cuonztech-privacy-chaos-gate --url <staging>`. Scan und Konsolen-Gate brauchen keine Lizenz.
+3. **Report** (JSON + Markdown/HTML). Den **Kundenreport** (mit `--client`, PDF mit `--report-pdf`) schaltet die Lizenz frei:
+   Code per Umgebungsvariable `CPCG_LICENSE` übergeben.
+4. **Auto-Fix-PR** (optional, mit Review-Agent; Commit/PR brauchen eine Lizenz, das lokale Anwenden nicht)
+5. **CI-Gate** im GitHub-Action-Workflow — Merge-Blocker bei Pre-Consent-Leaks
 
 ---
 
 ## 6. Nächste Schritte
 
 - [ ] Technische Umsetzung Fix (intern oder CPCG Auto-Fix-PR)
-- [ ] Juristische Prüfung (Datenschutzbeauftragte/r) ”” siehe Disclaimer
+- [ ] Juristische Prüfung (Datenschutzbeauftragte/r) — siehe Disclaimer
 - [ ] Rescan + Freigabe
 - [ ] CPCG als CI-Gate in die Pipeline
 
 ---
 
-*© Cuonztech ”” Cuonztech Privacy Chaos Gate (CPCG)*  
+*© Cuonztech — Cuonztech Privacy Chaos Gate (CPCG)*  
 *Technisches Hilfsmittel, keine Rechtsberatung.*

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "cuonztech-privacy-chaos-gate",
-  "version": "0.2.0",
+  "version": "0.2.2",
   "description": "CuonzTech Privacy Chaos Gate — CI/CD Consent-Scanner, Chaos-Szenarien und Auto-Fix-PR",
   "main": "dist/index.js",
   "types": "dist/index.d.ts",
@@ -10,11 +10,11 @@
   "type": "module",
   "files": [
     "dist",
+    "!dist/**/*.map",
     "action.yml",
+    "LICENSE",
     "README.md",
-    "docs/BRAND-PILOT-EVIDENCE.md",
-    "docs/LIZENZ-KAUFFLUSS.md",
-    "docs/PREISMODELL.md"
+    "docs/BRAND-PILOT-EVIDENCE.md"
   ],
   "engines": {
     "node": ">=20"
@@ -36,6 +36,7 @@
     "test": "vitest run",
     "test:watch": "vitest",
     "typecheck": "tsc --noEmit",
+    "typecheck:all": "tsc -p tsconfig.test.json --noEmit",
     "prepublishOnly": "pnpm run typecheck && pnpm run test && pnpm run build",
     "demo": "tsx scripts/scan-demo-portal.mts && tsx scripts/make-deluxe-report.mts && tsx scripts/package-delivery.mts",
     "demo:report": "tsx scripts/make-deluxe-report.mts"
@@ -52,7 +53,7 @@
     "cuonztech"
   ],
   "author": "CuonzTech · Carlo Cuonz",
-  "license": "MIT",
+  "license": "SEE LICENSE IN LICENSE",
   "dependencies": {
     "commander": "^12.1.0",
     "dotenv": "^16.4.5",

package/dist/chunk-FN3QUFUZ.js

@@ -1,36 +0,0 @@
-// src/core/license/ed25519.ts
-import crypto from "crypto";
-
-// src/core/license/publicKey.ts
-var LICENSE_PUBLIC_KEY = "q20XyLRZGURVvMLR6q0SCIc6poLhW73KE5Ds94Yq1FQ=";
-
-// src/core/license/ed25519.ts
-var PKCS8_PREFIX = Buffer.from("302e020100300506032b657004220420", "hex");
-var SPKI_PREFIX = Buffer.from("302a300506032b6570032100", "hex");
-function rawKey(b64, what) {
-  const raw = Buffer.from(b64, "base64");
-  if (raw.length !== 32) throw new Error(`${what}: erwartet 32 Byte (base64), erhalten ${raw.length}`);
-  return raw;
-}
-function defaultPublicKey() {
-  return process.env.CPCG_LICENSE_PUBLIC_KEY || LICENSE_PUBLIC_KEY;
-}
-function verifyEd25519(domain, payload, sigB64url, publicKeyB64 = defaultPublicKey()) {
-  try {
-    const key = crypto.createPublicKey({
-      key: Buffer.concat([SPKI_PREFIX, rawKey(publicKeyB64, "Public Key")]),
-      format: "der",
-      type: "spki"
-    });
-    const sig = Buffer.from(sigB64url, "base64url");
-    return sig.length === 64 && crypto.verify(null, Buffer.from(`${domain}.${payload}`), key, sig);
-  } catch {
-    return false;
-  }
-}
-
-export {
-  defaultPublicKey,
-  verifyEd25519
-};
-//# sourceMappingURL=chunk-FN3QUFUZ.js.map

package/dist/chunk-FN3QUFUZ.js.map

@@ -1 +0,0 @@
-{"version":3,"sources":["../src/core/license/ed25519.ts","../src/core/license/publicKey.ts"],"sourcesContent":["import crypto from \"node:crypto\";\nimport { LICENSE_PUBLIC_KEY } from \"./publicKey.js\";\n\n/**\n * Ed25519-Signaturen für Lizenzen und Grants.\n *\n * Der Server signiert mit dem privaten Seed (nur in config.php / KeePass),\n * der Client prüft ausschliesslich mit dem öffentlichen Schlüssel. Wer das CLI\n * besitzt, kann damit nichts ausstellen. Schlüssel sind rohe 32 Byte, base64.\n *\n * Jeder Token-Typ signiert mit eigenem Domain-Präfix, damit eine Lizenz-\n * Signatur nie als Grant (oder umgekehrt) durchgeht.\n */\nexport type SignDomain = \"cpcg-license-v1\" | \"cpcg-grant-v1\";\n\nconst PKCS8_PREFIX = Buffer.from(\"302e020100300506032b657004220420\", \"hex\");\nconst SPKI_PREFIX = Buffer.from(\"302a300506032b6570032100\", \"hex\");\n\nfunction rawKey(b64: string, what: string): Buffer {\n  const raw = Buffer.from(b64, \"base64\");\n  if (raw.length !== 32) throw new Error(`${what}: erwartet 32 Byte (base64), erhalten ${raw.length}`);\n  return raw;\n}\n\nexport function generateLicenseKeyPair(): { seed: string; publicKey: string } {\n  const { privateKey, publicKey } = crypto.generateKeyPairSync(\"ed25519\");\n  return {\n    seed: privateKey.export({ format: \"der\", type: \"pkcs8\" }).subarray(-32).toString(\"base64\"),\n    publicKey: publicKey.export({ format: \"der\", type: \"spki\" }).subarray(-32).toString(\"base64\"),\n  };\n}\n\nexport function signEd25519(domain: SignDomain, payload: string, seedB64: string): string {\n  const key = crypto.createPrivateKey({\n    key: Buffer.concat([PKCS8_PREFIX, rawKey(seedB64, \"CPCG_LICENSE_SIGNING_SEED\")]),\n    format: \"der\",\n    type: \"pkcs8\",\n  });\n  return crypto.sign(null, Buffer.from(`${domain}.${payload}`), key).toString(\"base64url\");\n}\n\n/** Öffentlicher Schlüssel: CPCG_LICENSE_PUBLIC_KEY (Tests, Self-Hosting) vor dem eingebetteten. */\nexport function defaultPublicKey(): string {\n  return process.env.CPCG_LICENSE_PUBLIC_KEY || LICENSE_PUBLIC_KEY;\n}\n\nexport function verifyEd25519(\n  domain: SignDomain,\n  payload: string,\n  sigB64url: string,\n  publicKeyB64: string = defaultPublicKey()\n): boolean {\n  try {\n    const key = crypto.createPublicKey({\n      key: Buffer.concat([SPKI_PREFIX, rawKey(publicKeyB64, \"Public Key\")]),\n      format: \"der\",\n      type: \"spki\",\n    });\n    const sig = Buffer.from(sigB64url, \"base64url\");\n    return sig.length === 64 && crypto.verify(null, Buffer.from(`${domain}.${payload}`), key, sig);\n  } catch {\n    return false;\n  }\n}\n","/**\n * Öffentlicher Ed25519-Schlüssel des Cuonztech-Lizenzdienstes (32 Byte, base64).\n * Der zugehörige private Seed liegt nur serverseitig (config.php) und im KeePass.\n */\nexport const LICENSE_PUBLIC_KEY = \"q20XyLRZGURVvMLR6q0SCIc6poLhW73KE5Ds94Yq1FQ=\";\n"],"mappings":";AAAA,OAAO,YAAY;;;ACIZ,IAAM,qBAAqB;;;ADWlC,IAAM,eAAe,OAAO,KAAK,oCAAoC,KAAK;AAC1E,IAAM,cAAc,OAAO,KAAK,4BAA4B,KAAK;AAEjE,SAAS,OAAO,KAAa,MAAsB;AACjD,QAAM,MAAM,OAAO,KAAK,KAAK,QAAQ;AACrC,MAAI,IAAI,WAAW,GAAI,OAAM,IAAI,MAAM,GAAG,IAAI,yCAAyC,IAAI,MAAM,EAAE;AACnG,SAAO;AACT;AAoBO,SAAS,mBAA2B;AACzC,SAAO,QAAQ,IAAI,2BAA2B;AAChD;AAEO,SAAS,cACd,QACA,SACA,WACA,eAAuB,iBAAiB,GAC/B;AACT,MAAI;AACF,UAAM,MAAM,OAAO,gBAAgB;AAAA,MACjC,KAAK,OAAO,OAAO,CAAC,aAAa,OAAO,cAAc,YAAY,CAAC,CAAC;AAAA,MACpE,QAAQ;AAAA,MACR,MAAM;AAAA,IACR,CAAC;AACD,UAAM,MAAM,OAAO,KAAK,WAAW,WAAW;AAC9C,WAAO,IAAI,WAAW,MAAM,OAAO,OAAO,MAAM,OAAO,KAAK,GAAG,MAAM,IAAI,OAAO,EAAE,GAAG,KAAK,GAAG;AAAA,EAC/F,QAAQ;AACN,WAAO;AAAA,EACT;AACF;","names":[]}