failproofai 1.0.1-beta.0 → 1.0.1

package/.next/standalone/docs-old/de/built-in-policies.mdx

@@ -0,0 +1,859 @@
+---
+title: Integrierte Richtlinien
+description: "Alle 39 integrierten Richtlinien, die häufige Agent-Fehlertypen abfangen"
+icon: shield
+---
+
+failproofai wird mit 39 integrierten Richtlinien ausgeliefert, die häufige Agent-Fehlertypen abfangen. Jede Richtlinie wird bei einem bestimmten Hook-Ereignistyp und Toolnamen ausgelöst. Neunzehn Richtlinien akzeptieren Parameter, mit denen Sie ihr Verhalten anpassen können, ohne Code zu schreiben. Fünf Workflow-Richtlinien erzwingen eine Commit → Push → PR → CI-Pipeline, bevor Claude stoppt.
+
+---
+
+## Übersicht
+
+Richtlinien sind in Kategorien gruppiert:
+
+| Kategorie | Richtlinien | Hook-Typ |
+|----------|----------|-----------|
+| [Gefährliche Befehle](#dangerous-commands) | block-sudo, block-rm-rf, block-curl-pipe-sh, block-failproofai-commands, block-self-pause | PreToolUse |
+| [Infra-Befehle](#infra-commands) | block-kubectl, block-terraform, block-aws-cli, block-gcloud, block-az-cli, block-helm, block-gh-pipeline | PreToolUse |
+| [Secrets (Sanitizer)](#secrets-sanitizers) | sanitize-jwt, sanitize-api-keys, sanitize-connection-strings, sanitize-private-key-content, sanitize-bearer-tokens | PostToolUse |
+| [Umgebung](#environment) | block-env-files, protect-env-vars | PreToolUse |
+| [Dateizugriff](#file-access) | block-read-outside-cwd, block-secrets-write | PreToolUse |
+| [Git](#git) | block-push-master, block-work-on-main, block-force-push, warn-git-amend, warn-git-stash-drop, warn-all-files-staged | PreToolUse |
+| [Datenbank](#database) | warn-destructive-sql, warn-schema-alteration | PreToolUse |
+| [Warnungen](#warnings) | warn-large-file-write, warn-package-publish, warn-background-process, warn-global-package-install | PreToolUse |
+| [Paketmanager](#package-managers) | prefer-package-manager | PreToolUse |
+| [Workflow](#workflow) | require-commit-before-stop, require-push-before-stop, require-pr-before-stop, require-no-conflicts-before-stop, require-ci-green-before-stop | Stop |
+
+- **`block-`** — verhindert, dass der Agent fortfährt.
+- **`warn-`** — gibt dem Agenten zusätzlichen Kontext, damit er sich selbst korrigieren kann.
+- **`sanitize-`** — bereinigt sensible Daten aus der Tool-Ausgabe, bevor der Agent sie sieht.
+
+### Namespaces
+
+Jede Richtlinie befindet sich in einem `<namespace>/<name>`-Slot. Integrierte Richtlinien gehören zum
+**`failproofai/`**-Namespace — zum Beispiel `failproofai/sanitize-jwt`. Der
+Namespace verhindert Kollisionen, wenn Sie auch benutzerdefinierte oder Drittanbieter-Richtlinien
+mit ähnlichen Kurznamen laden.
+
+In Ihrer Konfiguration können Sie eine integrierte Richtlinie entweder über ihren Kurznamen oder ihren
+vollständigen Namen referenzieren; beide Formen zeigen auf dieselbe Richtlinie:
+
+```json
+{
+  "enabledPolicies": [
+    "sanitize-jwt",
+    "failproofai/block-rm-rf"
+  ]
+}
+```
+
+Wenn ein Name kein `/` enthält, behandelt failproofai ihn als zum Standard-Namespace
+`failproofai` gehörend. Namen, die bereits ein `/` enthalten (z. B. `myorg/foo`,
+`custom/my-hook`), werden unverändert übernommen.
+- **`require-`** — blockiert das Stop-Ereignis, bis die Bedingungen erfüllt sind.
+
+---
+
+<Tip>
+Jede Richtlinie unterstützt ein optionales `hint`-Feld in `policyParams`. Der Hinweis wird an die deny- oder instruct-Nachricht angehängt, die Claude sieht, und gibt umsetzbare Anweisungen, ohne den Richtliniencode zu ändern. Funktioniert mit integrierten, benutzerdefinierten und konventionsbasierten Richtlinien. Siehe [Konfiguration → hint](/de/configuration#hint-cross-cutting) für Details.
+</Tip>
+
+---
+
+## Gefährliche Befehle
+
+Verhindert, dass Agenten Operationen ausführen, die schwer rückgängig zu machen sind oder das Hostsystem beschädigen könnten.
+
+### `block-sudo`
+
+**Ereignis:** PreToolUse (Bash)  
+**Standard:** Verweigert jeden `sudo`- oder `doas`-Befehl.
+
+Blockiert einen Befehl, der ein Elevation-Binary **in Befehlsposition** ausführt. Die Erkennung erfolgt strukturell statt textuell: Der Befehl wird in Segmente aufgeteilt, wie es eine Shell tun würde, Präfix-Zuweisungen (`FOO=bar`), Umleitungen und Runner mit ihren Flags (`env`, `nohup`, `timeout`, `xargs`, `sh -c`, …) werden abgetrennt, und das resultierende Binary wird anhand seines **Basisnamens** verglichen. So werden `/usr/bin/sudo`, `env sudo`, `timeout 5 sudo`, `"sudo"`, `\sudo` und `bash -c "sudo …"` alle verweigert, und `doas` wird als dieselbe Fähigkeit unter einem anderen Namen behandelt.
+
+Da die Prüfung auf die Befehlsposition verankert ist und nicht auf das Vorhandensein des Wortes irgendwo, wird sie **nicht** ausgelöst bei Befehlen, die es lediglich erwähnen — `grep -r sudo /etc`, `cat /etc/sudoers`, `git commit -m "fix sudo handling"` oder eine `grep`-Alternation, die das Wort enthält, laufen normal durch.
+
+<Warning>
+Dies stoppt den offensichtlichen Versuch; es schließt jedoch nicht die gesamte Klasse. Ein Agent, der beliebige Shell-Befehle ausführen kann, kann Elevation dennoch indirekt erreichen — über eine Variable (`S=sudo; $S …`), eine base64-dekodierte Pipe oder ein Wrapper-Skript auf der Festplatte — da keine Inspektion eines einzelnen Befehls-Strings diesen folgen kann. Betrachten Sie dies als Schutzmaßnahme gegen Fehler und versehentliche Eskalation, nicht als Sicherheitsgrenze gegen einen entschlossenen Agenten. Eine echte Grenze muss unterhalb der Shell durchgesetzt werden.
+</Warning>
+
+**Parameter:**
+
+| Parameter | Typ | Standard | Beschreibung |
+|-------|------|---------|-------------|
+| `allowPatterns` | `string[]` | `[]` | Exakte Befehlspräfixe, die erlaubt sind. Jeder Eintrag wird gegen die geparsten argv-Token geprüft. |
+
+**Beispiel:**
+
+```json
+{
+  "policyParams": {
+    "block-sudo": {
+      "allowPatterns": ["sudo systemctl status", "sudo journalctl"]
+    }
+  }
+}
+```
+
+Mit dieser Konfiguration ist `sudo systemctl status nginx` erlaubt, aber `sudo rm /etc/hosts` wird verweigert.
+
+<Note>
+Muster werden gegen geparste Token geprüft, nicht gegen den rohen Befehls-String. Dies verhindert Umgehung über angehängte Shell-Operatoren (z. B. entspricht `sudo systemctl status x; rm -rf /` nicht dem Muster `sudo systemctl status *`).
+</Note>
+
+---
+
+### `block-rm-rf`
+
+**Ereignis:** PreToolUse (Bash)  
+**Standard:** Verweigert `rm -rf`, `rm -fr` und ähnliche rekursive Löschformen.
+
+**Parameter:**
+
+| Parameter | Typ | Standard | Beschreibung |
+|-------|------|---------|-------------|
+| `allowPaths` | `string[]` | `[]` | Pfade, die sicher rekursiv gelöscht werden dürfen (z. B. `/tmp`). |
+
+**Beispiel:**
+
+```json
+{
+  "policyParams": {
+    "block-rm-rf": {
+      "allowPaths": ["/tmp", "/var/cache"]
+    }
+  }
+}
+```
+
+---
+
+### `block-curl-pipe-sh`
+
+**Ereignis:** PreToolUse (Bash)  
+**Standard:** Verweigert `curl <url> | bash`, `curl <url> | sh`, `wget <url> | bash` und ähnliche Muster.
+
+Keine Parameter.
+
+---
+
+### `block-failproofai-commands`
+
+**Ereignis:** PreToolUse (Bash)  
+**Standard:** Verweigert Befehle, die failproofai selbst deinstallieren oder deaktivieren würden (z. B. `npm uninstall failproofai`, `failproofai policies --uninstall`).
+
+Keine Parameter.
+
+---
+
+### `block-self-pause`
+
+**Ereignis:** PreToolUse (Bash)  
+**Standard:** Verweigert `failproofai config --pause`, das die Durchsetzung für eine Sitzung aussetzt. Das Pausieren ist eine menschliche Entscheidung — ein Agent, der dies ausführen kann, könnte mit einem einzigen Befehl alle anderen Richtlinien deaktivieren.
+
+Bewusst enger gefasst als [`block-failproofai-commands`](#block-failproofai-commands) und nicht davon abgedeckt: Diese Richtlinie verankert sich an einer Befehlsgrenze, sodass `npx -y failproofai config --pause` nicht darauf passt; und da sie breit gefasst ist, wird sie oft deaktiviert, damit Agenten `failproofai audit` ausführen können. `--resume` und `--status` sind erlaubt — keines davon entfernt die Durchsetzung.
+
+Dies stoppt den direkten Versuch, nicht die gesamte Klasse: Ein Agent kann denselben Zustand dennoch über einen Alias oder ein Wrapper-Skript erreichen. Um dies vollständig zu verhindern, muss die Pause-Funktion für Tool-Aufrufe gänzlich unerreichbar sein.
+
+Keine Parameter.
+
+---
+
+## Infra-Befehle
+
+Verhindert, dass Coding-Agenten Infrastruktur-CLIs ausführen oder CI/CD-Pipelines auslösen. Alle Richtlinien in dieser Kategorie sind **opt-in** (`defaultEnabled: false`) — Agenten, die `kubectl`, `terraform` usw. legitim aufrufen müssen, werden nicht gestört, es sei denn, Sie aktivieren die Richtlinie. Wenn aktiviert, wird jeder Aufruf des entsprechenden CLI verweigert, sofern der Befehl nicht einem Eintrag in `allowPatterns` entspricht.
+
+Die Mustergrammatik ist dieselbe wie bei [`block-sudo`](#block-sudo): Token werden gegen geparste argv geprüft, `*` ist ein Platzhalter für ein Token, und jeder Befehl mit einem eigenständigen Shell-Operator (`&&`, `||`, `|`, `;`) oder einem Token mit eingebetteten Shell-Metazeichen wird vor dem Allowlist-Abgleich abgelehnt, um Injection-Bypässe zu verhindern.
+
+### `block-kubectl`
+
+**Ereignis:** PreToolUse (Bash)  
+**Standard:** Verweigert jeden `kubectl`-Aufruf.
+
+**Parameter:**
+
+| Parameter | Typ | Standard | Beschreibung |
+|-------|------|---------|-------------|
+| `allowPatterns` | `string[]` | `[]` | kubectl-Befehlspräfixe, die erlaubt sind. |
+
+**Beispiel:**
+
+```json
+{
+  "policyParams": {
+    "block-kubectl": {
+      "allowPatterns": ["kubectl get *", "kubectl describe *", "kubectl logs *"]
+    }
+  }
+}
+```
+
+Mit dieser Konfiguration ist `kubectl get pods` erlaubt, aber `kubectl apply -f deploy.yaml` wird verweigert.
+
+---
+
+### `block-terraform`
+
+**Ereignis:** PreToolUse (Bash)  
+**Standard:** Verweigert jeden `terraform`- oder `tofu`-Aufruf (OpenTofu).
+
+**Parameter:**
+
+| Parameter | Typ | Standard | Beschreibung |
+|-------|------|---------|-------------|
+| `allowPatterns` | `string[]` | `[]` | terraform/tofu-Befehlspräfixe, die erlaubt sind. |
+
+**Beispiel:**
+
+```json
+{
+  "policyParams": {
+    "block-terraform": {
+      "allowPatterns": ["terraform plan", "terraform validate", "terraform show *"]
+    }
+  }
+}
+```
+
+---
+
+### `block-aws-cli`
+
+**Ereignis:** PreToolUse (Bash)  
+**Standard:** Verweigert jeden `aws`-CLI-Aufruf.
+
+**Parameter:**
+
+| Parameter | Typ | Standard | Beschreibung |
+|-------|------|---------|-------------|
+| `allowPatterns` | `string[]` | `[]` | aws-CLI-Befehlspräfixe, die erlaubt sind. |
+
+**Beispiel:**
+
+```json
+{
+  "policyParams": {
+    "block-aws-cli": {
+      "allowPatterns": ["aws s3 ls *", "aws sts get-caller-identity"]
+    }
+  }
+}
+```
+
+---
+
+### `block-gcloud`
+
+**Ereignis:** PreToolUse (Bash)  
+**Standard:** Verweigert jeden `gcloud`-CLI-Aufruf (Google Cloud).
+
+**Parameter:**
+
+| Parameter | Typ | Standard | Beschreibung |
+|-------|------|---------|-------------|
+| `allowPatterns` | `string[]` | `[]` | gcloud-Befehlspräfixe, die erlaubt sind. |
+
+**Beispiel:**
+
+```json
+{
+  "policyParams": {
+    "block-gcloud": {
+      "allowPatterns": ["gcloud auth list", "gcloud config list"]
+    }
+  }
+}
+```
+
+---
+
+### `block-az-cli`
+
+**Ereignis:** PreToolUse (Bash)  
+**Standard:** Verweigert jeden `az`-CLI-Aufruf (Azure).
+
+**Parameter:**
+
+| Parameter | Typ | Standard | Beschreibung |
+|-------|------|---------|-------------|
+| `allowPatterns` | `string[]` | `[]` | az-CLI-Befehlspräfixe, die erlaubt sind. |
+
+**Beispiel:**
+
+```json
+{
+  "policyParams": {
+    "block-az-cli": {
+      "allowPatterns": ["az account show", "az group list"]
+    }
+  }
+}
+```
+
+---
+
+### `block-helm`
+
+**Ereignis:** PreToolUse (Bash)  
+**Standard:** Verweigert jeden `helm`-Aufruf.
+
+**Parameter:**
+
+| Parameter | Typ | Standard | Beschreibung |
+|-------|------|---------|-------------|
+| `allowPatterns` | `string[]` | `[]` | helm-Befehlspräfixe, die erlaubt sind. |
+
+**Beispiel:**
+
+```json
+{
+  "policyParams": {
+    "block-helm": {
+      "allowPatterns": ["helm list", "helm status *"]
+    }
+  }
+}
+```
+
+---
+
+### `block-gh-pipeline`
+
+**Ereignis:** PreToolUse (Bash)  
+**Standard:** Verweigert die folgenden `gh`-CLI-Unterbefehle, die Zustand mutieren oder Pipelines auslösen:
+
+- `gh workflow run`, `gh workflow enable`, `gh workflow disable`
+- `gh run rerun`, `gh run cancel`
+- `gh pr merge`
+- `gh release create`, `gh release delete`
+- `gh cache delete`
+- `gh secret set`, `gh secret delete`
+
+Schreibgeschützte `gh`-Unterbefehle wie `gh pr view`, `gh pr list`, `gh run list`, `gh release view` und `gh api repos/.../...` werden von dieser Richtlinie **nicht** erfasst — sie werden routinemäßig für Workflow-Prüfungen benötigt (einschließlich failproofais eigenem `require-ci-green-before-stop`).
+
+**Parameter:**
+
+| Parameter | Typ | Standard | Beschreibung |
+|-------|------|---------|-------------|
+| `allowPatterns` | `string[]` | `[]` | Spezifische geskriptete Aufrufe, die erlaubt werden sollen, obwohl sie sonst verweigert würden. |
+
+**Beispiel:**
+
+```json
+{
+  "policyParams": {
+    "block-gh-pipeline": {
+      "allowPatterns": ["gh run rerun *"]
+    }
+  }
+}
+```
+
+---
+
+## Secrets (Sanitizer)
+
+Verhindert, dass Agenten Zugangsdaten in ihren Kontext oder ihre Ausgabe einschleusen. Sanitizer-Richtlinien werden bei **PostToolUse**-Ereignissen ausgelöst. Wenn Claude einen Bash-Befehl ausführt, eine Datei liest oder ein Tool aufruft, überprüfen diese Richtlinien die Ausgabe, bevor sie an Claude zurückgegeben wird. Wenn ein Secret-Muster erkannt wird, gibt die Richtlinie eine deny-Entscheidung zurück, die verhindert, dass die Ausgabe weitergeleitet wird.
+
+### `sanitize-jwt`
+
+**Ereignis:** PostToolUse (alle Tools)  
+**Standard:** Schwärzt JWT-Token (drei base64url-Segmente, getrennt durch `.`).
+
+Keine Parameter.
+
+---
+
+### `sanitize-api-keys`
+
+**Ereignis:** PostToolUse (alle Tools)  
+**Standard:** Schwärzt gängige API-Schlüsselformate: Anthropic (`sk-ant-`), OpenAI (`sk-`), GitHub PATs (`ghp_`), AWS-Zugriffsschlüssel (`AKIA`), Stripe-Schlüssel (`sk_live_`, `sk_test_`) und Google-API-Schlüssel (`AIza`).
+
+**Parameter:**
+
+| Parameter | Typ | Standard | Beschreibung |
+|-------|------|---------|-------------|
+| `additionalPatterns` | `{ regex: string; label: string }[]` | `[]` | Zusätzliche Regex-Muster, die als Secrets behandelt werden sollen. |
+
+**Beispiel:**
+
+```json
+{
+  "policyParams": {
+    "sanitize-api-keys": {
+      "additionalPatterns": [
+        { "regex": "myco_[A-Za-z0-9]{32}", "label": "MyCo internal API key" },
+        { "regex": "pat_[0-9a-f]{40}", "label": "Internal PAT" }
+      ]
+    }
+  }
+}
+```
+
+---
+
+### `sanitize-connection-strings`
+
+**Ereignis:** PostToolUse (alle Tools)  
+**Standard:** Schwärzt Datenbankverbindungszeichenketten mit eingebetteten Zugangsdaten (z. B. `postgresql://user:password@host/db`).
+
+Keine Parameter.
+
+---
+
+### `sanitize-private-key-content`
+
+**Ereignis:** PostToolUse (alle Tools)  
+**Standard:** Schwärzt PEM-Blöcke (`-----BEGIN PRIVATE KEY-----`, `-----BEGIN RSA PRIVATE KEY-----` usw.).
+
+Keine Parameter.
+
+---
+
+### `sanitize-bearer-tokens`
+
+**Ereignis:** PostToolUse (alle Tools)  
+**Standard:** Schwärzt `Authorization: Bearer <token>`-Header, bei denen das Token 20 oder mehr Zeichen lang ist.
+
+Keine Parameter.
+
+---
+
+## Umgebung
+
+Schützt sensible Umgebungskonfigurationen davor, von Agenten gelesen oder offengelegt zu werden.
+
+### `block-env-files`
+
+**Ereignis:** PreToolUse (Bash, Read)  
+**Standard:** Verweigert das Lesen von `.env`-Dateien über `cat .env`, Read-Tool-Aufrufe mit `.env` als Dateipfad usw.
+
+Blockiert nicht `.envrc` oder andere umgebungsnahe Dateien — nur Dateien, die exakt `.env` heißen.
+
+Keine Parameter.
+
+---
+
+### `protect-env-vars`
+
+**Ereignis:** PreToolUse (Bash)  
+**Standard:** Verweigert Befehle, die Umgebungsvariablen ausgeben: `printenv`, `env`, `echo $VAR`.
+
+Keine Parameter.
+
+---
+
+## Dateizugriff
+
+Hält Agenten innerhalb der Projektgrenzen und fernab von sensiblen Dateien.
+
+### `block-read-outside-cwd`
+
+**Ereignis:** PreToolUse (Read, Bash)  
+**Standard:** Verweigert das Lesen von Dateien außerhalb des Projektstamms. Die Grenze ist `CLAUDE_PROJECT_DIR` (einmal pro Sitzung von Claude Code gesetzt), mit einem Fallback auf das aktuelle Arbeitsverzeichnis der Sitzung, wenn diese Variable nicht gesetzt ist. Die Verwendung des Projektstamms statt des aktuellen `cwd` sorgt dafür, dass die Grenze stabil bleibt, auch wenn Claude per `cd` in ein Unterverzeichnis wechselt.
+
+**Parameter:**
+
+| Parameter | Typ | Standard | Beschreibung |
+|-------|------|---------|-------------|
+| `allowPaths` | `string[]` | `[]` | Absolute Pfadpräfixe, die auch außerhalb des Projektstamms erlaubt sind. |
+
+**Beispiel:**
+
+```json
+{
+  "policyParams": {
+    "block-read-outside-cwd": {
+      "allowPaths": ["/shared/data", "/opt/company/config"]
+    }
+  }
+}
+```
+
+---
+
+### `block-secrets-write`
+
+**Ereignis:** PreToolUse (Write, Edit)  
+**Standard:** Verweigert Schreibvorgänge in Dateien, die häufig für private Schlüssel und Zertifikate verwendet werden: `id_rsa`, `id_ed25519`, `*.key`, `*.pem`, `*.p12`, `*.pfx`.
+
+**Parameter:**
+
+| Parameter | Typ | Standard | Beschreibung |
+|-------|------|---------|-------------|
+| `additionalPatterns` | `string[]` | `[]` | Zusätzliche Dateinamenmuster (Glob-Stil), die blockiert werden sollen. |
+
+**Beispiel:**
+
+```json
+{
+  "policyParams": {
+    "block-secrets-write": {
+      "additionalPatterns": [".token", ".secret"]
+    }
+  }
+}
+```
+
+---
+
+## Git
+
+Verhindert versehentliche Pushes, Force-Pushes und Branch-Fehler, die schwer rückgängig zu machen sind.
+
+### `block-push-master`
+
+**Ereignis:** PreToolUse (Bash)  
+**Standard:** Verweigert `git push origin main` und `git push origin master`.
+
+**Parameter:**
+
+| Parameter | Typ | Standard | Beschreibung |
+|-------|------|---------|-------------|
+| `protectedBranches` | `string[]` | `["main", "master"]` | Branch-Namen, auf die nicht direkt gepusht werden darf. |
+
+**Beispiel:**
+
+```json
+{
+  "policyParams": {
+    "block-push-master": {
+      "protectedBranches": ["main", "master", "release", "prod"]
+    }
+  }
+}
+```
+
+<Tip>
+Um das Pushen auf alle Branches zu erlauben (was diese Richtlinie effektiv deaktiviert, ohne sie aus `enabledPolicies` zu entfernen), setzen Sie `protectedBranches: []`.
+</Tip>
+
+---
+
+### `block-work-on-main`
+
+**Ereignis:** PreToolUse (Bash)  
+**Standard:** Verweigert `git commit`, `git merge`, `git rebase` und `git cherry-pick`, wenn sich der Working Tree auf `main` oder `master` befindet. Branch-Erstellung und -Wechsel (`git checkout`, `git checkout -b`, `git switch`, `git switch -c`) sind nicht betroffen.
+
+**Parameter:**
+
+| Parameter | Typ | Standard | Beschreibung |
+|-------|------|---------|-------------|
+| `protectedBranches` | `string[]` | `["main", "master"]` | Branch-Namen, auf denen commit/merge/rebase/cherry-pick verweigert wird. |
+
+---
+
+### `block-force-push`
+
+**Ereignis:** PreToolUse (Bash)  
+**Standard:** Verweigert `git push --force` und `git push -f`.
+
+Keine richtlinienspezifischen Parameter. Verwenden Sie das übergreifende [`hint`](/de/configuration#hint-cross-cutting), um Alternativen vorzuschlagen:
+
+```json
+{
+  "policyParams": {
+    "block-force-push": {
+      "hint": "Create a new branch from your current HEAD (e.g. `git checkout -b <new-branch>`) and push that instead."
+    }
+  }
+}
+```
+
+---
+
+### `warn-git-amend`
+
+**Ereignis:** PreToolUse (Bash)  
+**Standard:** Weist Claude an, beim Ausführen von `git commit --amend` vorsichtig vorzugehen. Blockiert den Befehl nicht.
+
+Keine Parameter.
+
+---
+
+### `warn-git-stash-drop`
+
+**Ereignis:** PreToolUse (Bash)  
+**Standard:** Weist Claude an, vor dem Ausführen von `git stash drop` eine Bestätigung einzuholen. Blockiert den Befehl nicht.
+
+Keine Parameter.
+
+---
+
+### `warn-all-files-staged`
+
+**Ereignis:** PreToolUse (Bash)  
+**Standard:** Weist Claude an, zu überprüfen, was es staged, wenn es `git add -A` oder `git add .` ausführt. Blockiert den Befehl nicht.
+
+Keine Parameter.
+
+---
+
+## Datenbank
+
+Fängt destruktive SQL-Operationen ab, bevor sie gegen Ihre Datenbank ausgeführt werden.
+
+### `warn-destructive-sql`
+
+**Ereignis:** PreToolUse (Bash)  
+**Standard:** Weist Claude an, eine Bestätigung einzuholen, bevor SQL mit `DROP TABLE`, `DROP DATABASE` oder `DELETE` ohne `WHERE`-Klausel ausgeführt wird.
+
+Keine Parameter.
+
+---
+
+### `warn-schema-alteration`
+
+**Ereignis:** PreToolUse (Bash)  
+**Standard:** Weist Claude an, eine Bestätigung einzuholen, bevor `ALTER TABLE`-Anweisungen ausgeführt werden.
+
+Keine Parameter.
+
+---
+
+## Warnungen
+
+Gibt Agenten zusätzlichen Kontext vor potenziell riskanten, aber nicht destruktiven Operationen.
+
+### `warn-large-file-write`
+
+**Ereignis:** PreToolUse (Write)  
+**Standard:** Weist Claude an, eine Bestätigung einzuholen, bevor Dateien mit mehr als 1024 KB geschrieben werden.
+
+**Parameter:**
+
+| Parameter | Typ | Standard | Beschreibung |
+|-------|------|---------|-------------|
+| `thresholdKb` | `number` | `1024` | Dateigrößenschwellenwert in Kilobyte, ab dem eine Warnung ausgegeben wird. |
+
+**Beispiel:**
+
+```json
+{
+  "policyParams": {
+    "warn-large-file-write": {
+      "thresholdKb": 256
+    }
+  }
+}
+```
+
+<Note>
+Der Hook-Handler erzwingt ein stdin-Limit von 1 MB für Payloads. Um diese Richtlinie mit kleinen Inhalten zu testen, setzen Sie `thresholdKb` auf einen Wert deutlich unter 1024.
+</Note>
+
+---
+
+### `warn-package-publish`
+
+**Ereignis:** PreToolUse (Bash)  
+**Standard:** Weist Claude an, eine Bestätigung einzuholen, bevor `npm publish` ausgeführt wird.
+
+Keine Parameter.
+
+---
+
+### `warn-background-process`
+
+**Ereignis:** PreToolUse (Bash)  
+**Standard:** Weist Claude an, beim Starten von Hintergrundprozessen über `nohup`, `&`, `disown` oder `screen` vorsichtig zu sein.
+
+Keine Parameter.
+
+---
+
+### `warn-global-package-install`
+
+**Ereignis:** PreToolUse (Bash)  
+**Standard:** Weist Claude an, eine Bestätigung einzuholen, bevor `npm install -g`, `yarn global add` oder `pip install` ohne virtuelle Umgebung ausgeführt wird.
+
+Keine Parameter.
+
+---
+
+## Paketmanager
+
+Legt fest, welche Paketmanager der Agent verwenden darf.
+
+### `prefer-package-manager`
+
+**Ereignis:** PreToolUse (Bash)  
+**Standard:** Deaktiviert. Wenn aktiviert, blockiert jeden Paketmanager-Befehl, der nicht in der `allowed`-Liste steht, und weist Claude an, den Befehl mit einem erlaubten Manager umzuschreiben.
+
+Erkennt: pip, pip3, python -m pip, npm, npx, yarn, pnpm, pnpx, bun, bunx, uv, poetry, pipenv, conda, cargo.
+
+| Parameter | Typ | Standard | Beschreibung |
+|-----------|------|---------|-------------|
+| `allowed` | string[] | `[]` | Erlaubte Paketmanager-Namen. Jeder erkannte Manager, der nicht in dieser Liste steht, wird blockiert. Wenn leer, ist die Richtlinie wirkungslos. |
+| `blocked` | string[] | `[]` | Zusätzliche Manager-Namen, die über die integrierte Liste hinaus blockiert werden sollen (z. B. `['pdm', 'pipx']`). |
+
+Die integrierte Blockliste umfasst: pip, pip3, npm, npx, yarn, pnpm, pnpx, bun, bunx, uv, poetry, pipenv, conda, cargo. Verwenden Sie `blocked`, um Manager hinzuzufügen, die nicht in dieser Liste enthalten sind.
+
+**Beispielkonfiguration:**
+
+```json
+{
+  "enabledPolicies": ["prefer-package-manager"],
+  "policyParams": {
+    "prefer-package-manager": {
+      "allowed": ["uv", "bun"],
+      "blocked": ["pdm", "pipx"]
+    }
+  }
+}
+```
+
+Mit dieser Konfiguration werden `pip install flask` und `pdm install flask` beide verweigert, mit einer Meldung, die Claude auffordert, stattdessen `uv` oder `bun` zu verwenden. Befehle wie `uv pip install flask` sind erlaubt, da `uv` in der Allowlist steht und zuerst geprüft wird.
+
+---
+
+## KI-Verhalten
+
+Erkennt, wenn Agenten feststecken oder sich unerwartet verhalten.
+
+### `warn-repeated-tool-calls`
+
+**Ereignis:** PreToolUse (alle Tools)  
+**Standard:** Weist Claude an, seine Vorgehensweise zu überdenken, wenn dasselbe Tool 3 oder mehr Mal mit identischen Parametern aufgerufen wird — ein häufiges Zeichen dafür, dass der Agent in einer Schleife feststeckt.
+
+Keine Parameter.
+
+---
+
+## Workflow
+
+Erzwingt einen disziplinierten End-of-Session-Workflow. Diese Richtlinien werden beim **Stop**-Ereignis ausgelöst und verhindern, dass der Agent stoppt, bis jede Bedingung erfüllt ist. Sie folgen einer natürlichen Abhängigkeitskette: Commit → Push → PR → CI. Wenn eine Richtlinie verweigert, werden spätere Richtlinien in der Kette übersprungen (Deny ist Kurzschluss).
+
+Alle Workflow-Richtlinien sind **fail-open**: Wenn das erforderliche Tool nicht verfügbar ist (z. B. `gh` nicht installiert, kein Git-Remote), erlaubt die Richtlinie mit einer informativen Meldung, die erklärt, warum die Prüfung übersprungen wurde.
+
+### Stop-Semantik pro CLI
+
+Die Stop-Durchsetzung sieht bei den sechs unterstützten CLIs leicht unterschiedlich aus, da jede einen anderen Vertrag für den „Agent fertig"-Hook exponiert. Das **Ergebnis** ist dasselbe — der Agent kann nicht stoppen, während ein Workflow-Gate fehlschlägt — aber die **Mechanik** unterscheidet sich. Die folgende Tabelle fasst dies zusammen; nur Pi hat eine für den Benutzer sichtbare Eigenheit, die es wert ist, sie zu verstehen, bevor Sie eine `require-*-before-stop`-Richtlinie aktivieren.
+
+| CLI | Wann das Gate ausgelöst wird | Was Sie sehen |
+|---|---|---|
+| Claude Code | Gleiche Agent-Schleife, sofort | Claude arbeitet weiter — behebt das Problem und versucht dann erneut zu beenden. Für Sie keine sichtbare Unterbrechung. |
+| Codex | Gleiche Agent-Schleife, sofort | Wie Claude. |
+| GitHub Copilot CLI | Gleiche Agent-Schleife, sofort | Wie Claude (verwendet Copilots `{decision:"block", reason}`-Retry-Kanal — empirisch gegen Copilot CLI 1.0.41 verifiziert). |
+| Cursor Agent | Gleiche Agent-Schleife, sofort | Wie Claude (verwendet Cursors `{followup_message}`-Kanal — begrenzt auf `loop_limit`, standardmäßig 5 Wiederholungen). |
+| OpenCode | Gleiche Agent-Schleife, sofort | Wie Claude (verwendet OpenCodes `client.session.prompt(...)`-SDK-Aufruf, der über `hookSpecificOutput.additionalContext` weitergeleitet wird). |
+| **Pi (pi-coding-agent)** | **Nächster Benutzerturn** | **Pi stoppt sichtbar**, wenn das Gate ausgelöst wird — seine Agent-Schleife beendet sich und Sie kehren zur Eingabeaufforderung zurück. Das Gate wird beim nächsten eingereichten Prompt ausgelöst: failproofai stellt eine `MANDATORY ACTION REQUIRED`-Direktive dem System-Prompt dieses Turns voran und weist das LLM an, den Workflow-Schritt (Commit, Push usw.) abzuschließen, bevor es das Angeforderte tut. |
+
+<Note>
+**Pi-Einschränkung.** Pis `AgentEndEvent` (das Upstream-Äquivalent von Claudes Stop-Hook) hat keinen Result-Typ — wenn es ausgelöst wird, hat Pis Agent-Schleife bereits beendet. Pi kann nicht gezwungen werden, dieselbe Schleife zu wiederholen wie Claude / Copilot / Cursor / OpenCode. failproofai verschiebt das Gate auf Pis `before_agent_start`-Ereignis (das nach dem nächsten Benutzer-Prompt ausgelöst wird), sodass die Workflow-Prüfung noch durchgesetzt wird, nur beim nächsten Turn statt beim aktuellen.
+
+**Was das in der Praxis bedeutet:**
+
+- Nachdem Pi stoppt, wird der deny-Grund im Speicher gespeichert, indexiert nach Pi-Session-ID. Der allernächste Prompt, den Sie im selben Pi-Prozess einreichen, leert ihn: Das LLM sieht die `MANDATORY ACTION REQUIRED`-Direktive am Anfang seines System-Prompts, committet (oder pusht / öffnet den PR / wartet auf CI) und fährt erst dann mit Ihrer Anfrage fort. Der gespeicherte deny-Grund ist einmalig — nach dem Leeren ist das Gate frei.
+- Das Gate ist an die Prozesslebensdauer von Pi gebunden. Wenn Sie Pi mit `Ctrl+C` beenden oder zwischen den Turns verlassen, wird der In-Memory-Eintrag zusammen mit dem Prozess verworfen und das Gate wird verpasst. Claude, Copilot, Cursor und OpenCode haben dieselbe Bindung (Agent töten und das Gate wird verpasst) — Pi macht es nur sichtbarer, da der Agent sichtbar beendet wird, bevor das Gate ausgelöst wird.
+- Ein ausstehender deny wird auch bei `session_shutdown` aus beliebigem Grund (`new` / `resume` / `fork` / `quit`) gelöscht, sodass ein veraltetes Gate einer vorherigen Sitzung nicht in eine neue Sitzung im selben Pi-Prozess überlaufen kann.
+
+Wenn Sie den gleich-Schleife-Retry im Claude-Stil benötigen, führen Sie Ihre Stop-Richtlinien unter einem der anderen fünf unterstützten CLIs aus. Wir verfolgen Pi Upstream auf einen zukünftigen Result-Typ bei `AgentEndEvent`, der es uns ermöglichen würde, diese Lücke zu schließen.
+</Note>
+
+### `require-commit-before-stop`
+
+**Ereignis:** Stop  
+**Standard:** Verweigert das Stoppen, wenn uncommittete Änderungen vorhanden sind (geänderte, gestagete oder untracked Dateien). Gibt eine informative Meldung zurück, wenn das Arbeitsverzeichnis sauber ist.
+
+Keine Parameter.
+
+---
+
+### `require-push-before-stop`
+
+**Ereignis:** Stop  
+**Standard:** Verweigert das Stoppen, wenn es ungepushte Commits gibt oder wenn der aktuelle Branch keinen Remote-Tracking-Branch hat. Schlägt `git push -u` vor, um bei Bedarf einen Tracking-Branch zu erstellen. Fail-open, wenn kein Remote konfiguriert ist.
+
+**Parameter:**
+
+| Parameter | Typ | Standard | Beschreibung |
+|-------|------|---------|-------------|
+| `remote` | `string` | `"origin"` | Remote-Name, auf den gepusht werden soll. |
+
+**Beispiel:**
+
+```json
+{
+  "policyParams": {
+    "require-push-before-stop": {
+      "remote": "upstream"
+    }
+  }
+}
+```
+
+---
+
+### `require-pr-before-stop`
+
+**Ereignis:** Stop  
+**Standard:** Verweigert das Stoppen, wenn kein Pull Request für den aktuellen Branch existiert oder wenn der vorhandene PR ohne Merge geschlossen wurde. Weist Claude an, einen PR mit `gh pr create` zu erstellen. Wenn der PR **gemergt** wurde, erlaubt die Richtlinie (die Arbeit ist ausgeliefert) und die Meldung weist darauf hin, vom Branch zu wechseln (`git checkout main && git pull`).
+
+Keine Parameter.
+
+<Note>
+Diese Richtlinie erfordert, dass [GitHub CLI](https://cli.github.com/) (`gh`) installiert und authentifiziert ist.
+Führen Sie `gh auth login` mit einem Personal Access Token aus, das `repo`-Scope für Lesezugriff auf
+Pull Requests hat. Wenn `gh` nicht installiert oder nicht authentifiziert ist, ist die Richtlinie fail-open und berichtet den Grund an Claude.
+</Note>
+
+---
+
+### `require-no-conflicts-before-stop`
+
+**Ereignis:** Stop  
+**Standard:** Verweigert das Stoppen, wenn der aktuelle Branch nicht sauber in den Basis-Branch gemergt werden kann. Die Richtlinie bestätigt zunächst, dass ein `OPEN`-PR auf GitHub für den Branch vorhanden ist — ohne einen gibt es kein Merge-Ziel zum Durchsetzen, sodass die gesamte Richtlinie mit allow kurzschließt. Sobald ein `OPEN`-PR bestätigt ist, laufen zwei unabhängige Prüfungen:
+
+1. **Lokal** — `git merge-tree --write-tree --name-only origin/<baseBranch> HEAD`. Bei einem Konflikt nennt die deny-Meldung die konfliktierenden Dateien, damit Claude genau weiß, was zu lösen ist.
+2. **GitHub** — verwendet das bereits bei der Vorabprüfung abgerufene `gh pr view --json mergeable,state`-Ergebnis. Fängt Konflikte ab, die ein veraltetes lokales `origin/<baseBranch>` verpassen würde (z. B. wenn jemand seit dem letzten Fetch einen konfliktierenden PR auf `main` gemergt hat). Ein `CONFLICTING`-Ergebnis verweigert. Ein `UNKNOWN`-Ergebnis verweigert ebenfalls und weist Claude an, etwa 10 Sekunden zu warten und erneut zu prüfen, bevor ein erneuter Stoppversuch unternommen wird — dies verhindert falsch-negative Ergebnisse, während GitHub neu berechnet.
+
+Überspringt komplett (erlaubt), wenn: `gh` nicht installiert ist, kein PR für den Branch existiert, der PR-Status nicht `OPEN` ist (z. B. `MERGED`, `CLOSED`), oder `gh pr view` nicht parsbare Ausgabe zurückgibt. Fail-open auch, wenn `origin/<baseBranch>` lokal fehlt oder wenn keine Commits vor der Basis vorhanden sind — diese Layer-1-Fallbacks konsultieren die gecachte PR-Mergbarkeit noch, bevor sie erlauben.
+
+**Parameter:**
+
+| Parameter | Typ | Standard | Beschreibung |
+|-------|------|---------|-------------|
+| `baseBranch` | `string` | `"main"` | Basis-Branch, gegen den auf Konflikte geprüft wird. |
+
+<Note>
+GitHub CLI (`gh`) ist für diese Richtlinie erforderlich. Die Richtlinie verwendet `gh pr view`, um zu bestätigen,
+dass ein `OPEN`-PR vorhanden ist, bevor eine Konfliktprüfung durchgeführt wird — ohne `gh` schließt die Richtlinie
+mit allow kurz. Führen Sie `gh auth login` mit einem Personal Access Token aus, das
+`repo`-Scope für Lesezugriff auf Pull Requests hat.
+</Note>
+
+---
+
+### `require-ci-green-before-stop`
+
+**Ereignis:** Stop  
+**Standard:** Verweigert das Stoppen, wenn CI-Prüfungen fehlschlagen oder noch auf dem aktuellen Branch laufen. Prüft sowohl GitHub Actions-Workflow-Runs als auch Drittanbieter-Bot-Prüfungen (z. B. CodeRabbit, SonarCloud, Codecov). Behandelt `skipped`, `cancelled` und `neutral`-Ergebnisse als nicht-fehlschlagend (letzteres deckt z. B. Socket Security-Benachrichtigungen bei PRs externer Mitwirkender ab, bei denen die App absichtlich neutral statt success/failure meldet). Gibt eine informative Meldung zurück, wenn alle Prüfungen bestehen.
+
+Keine Parameter.
+
+<Note>
+Diese Richtlinie erfordert, dass [GitHub CLI](https://cli.github.com/) (`gh`) installiert und authentifiziert ist.
+Führen Sie `gh auth login` mit einem Personal Access Token aus, das `repo`-Scope für Lesezugriff auf
+Actions-Workflow-Runs und die Checks-API hat. Wenn `gh` nicht installiert oder nicht authentifiziert ist, ist die Richtlinie fail-open und berichtet den Grund an Claude.
+</Note>
+
+---
+
+---
+
+## Einzelne Richtlinien deaktivieren
+
+Entfernen Sie eine bestimmte Richtlinie aus `enabledPolicies` in Ihrer Konfiguration oder deaktivieren Sie sie im Policies-Tab des Dashboards.
+
+```json
+{
+  "enabledPolicies": [
+    "block-rm-rf",
+    "sanitize-api-keys"
+  ]
+}
+```
+
+Richtlinien, die nicht in `enabledPolicies` aufgeführt sind, werden nicht ausgeführt, auch wenn `policyParams`-Einträge für sie vorhanden sind.