cuonztech-privacy-chaos-gate 0.3.1 → 0.3.3

package/README.md

@@ -35,7 +35,7 @@ Das Paket ist proprietär und source-available (Datei `LICENSE`, ab 0.2.1; die V
 Online-Kauf → Code per Mail.
 
 ```bash
-export CPCG_LICENSE="CPCG-…"      # Lizenzcode (Pilot/Einmal) oder Kunden-Key CPCG-K-… (Abo)
+export CPCG_LICENSE="CPCG-…"      # Kunden-Key CPCG-K-… (Pilot und Abo; ältere Offline-Lizenzcodes CPCG-… gelten weiter)
 cpcg --url https://staging.example.com --jurisdiction CH
 ```
 

package/action.yml

@@ -188,7 +188,7 @@ runs:
       shell: bash
       env:
         ACTION_PATH: ${{ github.action_path }}
-        CPCG_PINNED_VERSION: "0.3.1" # = package.json version; bei jedem Release mit anheben (tests/action-pin.test.ts prüft das)
+        CPCG_PINNED_VERSION: "0.3.3" # = package.json version; bei jedem Release mit anheben (tests/action-pin.test.ts prüft das)
       run: |
         set -euo pipefail
 

package/dist/{chunk-BZFL6QDO.js → chunk-VCRSP7XL.js}

@@ -5263,6 +5263,21 @@ var ChaosScanner = class {
       checkedAt: (/* @__PURE__ */ new Date()).toISOString()
     });
   }
+  /** Hinweise (nie blockierend) auf Fremd-Iframes ohne Eintrag in der Tracker-Liste. */
+  unlistedEmbedHints(scenario, unlisted) {
+    return unlisted.map((u) => ({
+      id: `${scenario}-unlisted-${Date.now()}-${Math.random().toString(36).slice(2, 6)}`,
+      ruleId: "pre-consent-embed",
+      scenario,
+      trackerName: `${UNLISTED_EMBED_PREFIX}${u.host})`,
+      trackerCategory: "functional",
+      requestUrl: u.sample,
+      method: "GET",
+      timestamp: (/* @__PURE__ */ new Date()).toISOString(),
+      description: `Eingebetteter Inhalt von ${u.host} l\xE4dt vor Consent-Freigabe ${u.count} Request(s); der Anbieter steht nicht in der Tracker-Liste.`,
+      advisory: true
+    }));
+  }
   /**
    * Hosts eingebetteter Fremd-Frames, die vor der Freigabe Requests auslösen, ohne dass die Tracker-Liste sie kennt.
    * Eigene Hosts, Loopback/IP und bereits erkannte Tracker zählen nicht.
@@ -5292,7 +5307,15 @@ var ChaosScanner = class {
           return false;
         }
       });
-      if (own.length) out.push({ host, count: own.length, sample: own[0].url });
+      const known = timeline.some((t) => {
+        try {
+          const h = new URL(t.url).hostname;
+          return !!t.trackerName && (h === host || h.endsWith(`.${host}`));
+        } catch {
+          return false;
+        }
+      });
+      if (own.length && !known) out.push({ host, count: own.length, sample: own[0].url });
     }
     return out;
   }
@@ -6496,20 +6519,7 @@ var ChaosScanner = class {
       await this.snap(page, "embed-leaks", "01-embeds", screenshots, actionTimeline, actionSequence);
       const storageAfter = await this.snapshotStorage(page);
       const unlistedEmbeds = this.unlistedEmbedHosts(embeds, config.targetUrl, timeline);
-      for (const u of unlistedEmbeds) {
-        violations.push({
-          id: `embed-leaks-unlisted-${Date.now()}-${Math.random().toString(36).slice(2, 6)}`,
-          ruleId: "pre-consent-embed",
-          scenario: "embed-leaks",
-          trackerName: `${UNLISTED_EMBED_PREFIX}${u.host})`,
-          trackerCategory: "functional",
-          requestUrl: u.sample,
-          method: "GET",
-          timestamp: (/* @__PURE__ */ new Date()).toISOString(),
-          description: `Eingebetteter Inhalt von ${u.host} l\xE4dt vor Consent-Freigabe ${u.count} Request(s); der Anbieter steht nicht in der Tracker-Liste.`,
-          advisory: true
-        });
-      }
+      violations.push(...this.unlistedEmbedHints("embed-leaks", unlistedEmbeds));
       if (embeds.length === 0 && embedLeakCount === 0 && embedAdvisoryCount === 0) {
         const status2 = embedsEvalOk ? "not-applicable" : "not-checkable";
         evidence.push({
@@ -6701,8 +6711,13 @@ var ChaosScanner = class {
     const actionTimeline = [];
     const screenshots = [];
     let armed = false;
+    const frameSrcs = [];
     onTargetRequest(page, scope, (req) => {
       if (!armed) return;
+      try {
+        if (req.isNavigationRequest() && req.frame().parentFrame() === page.mainFrame()) frameSrcs.push({ src: req.url() });
+      } catch {
+      }
       const hit = identifyTracker(req.url());
       timeline.push({ at: (/* @__PURE__ */ new Date()).toISOString(), url: req.url(), trackerName: hit?.name, trackerCategory: hit?.category, phase: "pre-consent" });
       if (hit && this.trackerVerdict(hit) !== "skip") {
@@ -6807,6 +6822,9 @@ var ChaosScanner = class {
       await this.snap(page, "subpage-spa", "02-after-spa", screenshots, actionTimeline, actionSequence);
       const storageAfter = await this.snapshotStorage(page);
       await this.applyCnameCloaking("subpage-spa", config, timeline, violations, /* @__PURE__ */ new Map());
+      const unlistedFrames = this.unlistedEmbedHosts(frameSrcs, config.targetUrl, timeline);
+      violations.push(...this.unlistedEmbedHints("subpage-spa", unlistedFrames));
+      const frameNote = unlistedFrames.length ? ` Fremd-Inhalt ohne Eintrag in der Tracker-Liste l\xE4dt auf Unterseiten vor Freigabe: ${unlistedFrames.map((u) => `${u.host} (${u.count} Request(s))`).join(", ")} \u2014 Hinweis, ohne Gate-Wirkung.` : "";
       const leaks = timeline.filter((e) => this.isBlocking(e) && e.phase === "pre-consent");
       const status = leaks.length > 0 ? "suspicious" : reached.length === 0 ? "not-checkable" : "passed";
       const sampling = deep ? deepSamplingText(deep, reached.length, visited.length, deepSaved, budgetExhausted) : sample.total > reached.length ? `Stichprobe: ${reached.length} von ${sample.total} verlinkten Unterseiten gepr\xFCft \u2014 keine vollst\xE4ndige Pr\xFCfung der Website; nicht gepr\xFCfte Routen k\xF6nnen Verst\xF6sse enthalten (--max-subpages erh\xF6hen).` : `${reached.length} von ${sample.total} verlinkten Unterseiten der Startseite gepr\xFCft (Unterseiten ohne Link auf der Startseite bleiben ungepr\xFCft).`;
@@ -6826,7 +6844,7 @@ var ChaosScanner = class {
       evidence.push({
         scenario: "subpage-spa",
         status,
-        note: status === "passed" ? `Kein Tracking ohne Consent auf ${reached.length} verlinkter Unterseite(n)${spaNavigations > 0 ? ` und bei ${spaNavigations} clientseitiger SPA-Navigation(en)` : " (keine clientseitige SPA-Navigation beobachtet \u2014 Links laden die Seite neu)"}.${spaSkipped ? ` ${spaSkipped} SPA-Durchgang/-g\xE4nge ausgelassen (Seite nicht stabil ladbar).` : ""} ${sampling}` : status === "suspicious" ? `${leaks.length} Tracker auf Unterseite/SPA ohne Consent. ${sampling}` : links.length === 0 ? deep ? `Weder Sitemap noch Startseite lieferten eine Unterseite im Zielbereich \u2014 Unterseiten/SPA nicht pr\xFCfbar. ${sampling}` : "Keine verlinkte Same-Origin-Unterseite auf der Startseite gefunden \u2014 Unterseiten/SPA nicht pr\xFCfbar." : `Keine der verlinkten Unterseiten antwortete mit HTTP-Status < 400 \u2014 Unterseiten/SPA nicht pr\xFCfbar.${deep ? ` ${sampling}` : ""}`,
+        note: status === "passed" ? `Kein Tracking ohne Consent auf ${reached.length} verlinkter Unterseite(n)${spaNavigations > 0 ? ` und bei ${spaNavigations} clientseitiger SPA-Navigation(en)` : " (keine clientseitige SPA-Navigation beobachtet \u2014 Links laden die Seite neu)"}.${spaSkipped ? ` ${spaSkipped} SPA-Durchgang/-g\xE4nge ausgelassen (Seite nicht stabil ladbar).` : ""} ${sampling}${frameNote}` : status === "suspicious" ? `${leaks.length} Tracker auf Unterseite/SPA ohne Consent. ${sampling}${frameNote}` : links.length === 0 ? deep ? `Weder Sitemap noch Startseite lieferten eine Unterseite im Zielbereich \u2014 Unterseiten/SPA nicht pr\xFCfbar. ${sampling}` : "Keine verlinkte Same-Origin-Unterseite auf der Startseite gefunden \u2014 Unterseiten/SPA nicht pr\xFCfbar." : `Keine der verlinkten Unterseiten antwortete mit HTTP-Status < 400 \u2014 Unterseiten/SPA nicht pr\xFCfbar.${deep ? ` ${sampling}` : ""}`,
         actionSequence,
         actionTimeline,
         requestTimeline: timeline,
@@ -10878,7 +10896,7 @@ async function resolveLicenseGrant(opts) {
       return {
         ok: false,
         reason: "invalid",
-        detail: "Grant vom Dienst nicht verifizierbar."
+        detail: `Grant vom Dienst nicht verifizierbar${fresh.detail ? ` (${fresh.detail.replace(/\.$/, "")})` : ""}.`
       };
     }
     if (outcome.kind === "rejected") {
@@ -10957,6 +10975,9 @@ async function resolveEntitlement(input = {}) {
       return { status: "unreachable", detail: resolved.detail };
     }
     if (resolved.reason === "blocked") {
+      if (/^Laufzeit abgelaufen/i.test(resolved.detail)) {
+        return { status: "invalid", messages: ["\u2716 Lizenz abgelaufen: " + resolved.detail] };
+      }
       return { status: "invalid", messages: ["\u2716 Lizenz gesperrt: " + resolved.detail, "  Kontakt: support@cuonztech.ch"] };
     }
     return { status: "invalid", messages: ["\u2716 Lizenz nicht verf\xFCgbar: " + resolved.detail] };
@@ -10988,7 +11009,7 @@ import pc from "picocolors";
 import { createHash } from "crypto";
 import fs10 from "fs/promises";
 import path10 from "path";
-var CPCG_VERSION = true ? "0.3.1" : "dev";
+var CPCG_VERSION = true ? "0.3.3" : "dev";
 function scanConfigOf(config) {
   return {
     targetUrl: config.targetUrl,

package/dist/cli.js

@@ -11,12 +11,17 @@ import {
   resolveEntitlement,
   resolveGateConfig,
   resolveJurisdictions
-} from "./chunk-BZFL6QDO.js";
+} from "./chunk-VCRSP7XL.js";
 
 // src/cli.ts
 import { Command, CommanderError } from "commander";
 import pc from "picocolors";
-var VERSION = true ? "0.3.1" : "dev";
+var VERSION = true ? "0.3.3" : "dev";
+for (const stream of [process.stdout, process.stderr]) {
+  stream.on("error", (err) => {
+    if (err.code !== "EPIPE") throw err;
+  });
+}
 loadProjectEnv();
 function finish(code) {
   process.exitCode = code;

package/dist/index.d.ts

@@ -2439,6 +2439,8 @@ declare class ChaosScanner implements ChaosScannerInterface {
      * Ergebnis: passed nur bei ausgeführter Aktion und null Illegal-Funden.
      */
     private runScenario;
+    /** Hinweise (nie blockierend) auf Fremd-Iframes ohne Eintrag in der Tracker-Liste. */
+    private unlistedEmbedHints;
     /**
      * Hosts eingebetteter Fremd-Frames, die vor der Freigabe Requests auslösen, ohne dass die Tracker-Liste sie kennt.
      * Eigene Hosts, Loopback/IP und bereits erkannte Tracker zählen nicht.

package/dist/index.js

@@ -56,7 +56,7 @@ import {
   uncheckableReasons,
   uncheckableReasonsForReport,
   waitForVerifyUrl
-} from "./chunk-BZFL6QDO.js";
+} from "./chunk-VCRSP7XL.js";
 
 // src/index.ts
 async function runGate(optionsOrConfig) {

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "cuonztech-privacy-chaos-gate",
-  "version": "0.3.1",
+  "version": "0.3.3",
   "description": "CuonzTech Privacy Chaos Gate — CI/CD Consent-Scanner, Chaos-Szenarien und Auto-Fix-PR",
   "main": "dist/index.js",
   "types": "dist/index.d.ts",
@@ -39,7 +39,7 @@
     "test:watch": "vitest",
     "typecheck": "tsc --noEmit",
     "typecheck:all": "tsc -p tsconfig.test.json --noEmit",
-    "prepublishOnly": "pnpm run typecheck && pnpm run test && pnpm run build",
+    "prepublishOnly": "pnpm run typecheck && pnpm run build && pnpm run test",
     "demo": "tsx scripts/scan-demo-portal.mts && tsx scripts/make-deluxe-report.mts && tsx scripts/package-delivery.mts",
     "demo:report": "tsx scripts/make-deluxe-report.mts"
   },