mjolnir-qa 0.5.11 → 0.5.13

package/CHANGELOG.md

@@ -74,6 +74,38 @@ scan`. Unknown categories are a usage error (exit 10).
 - help registry gained `why`, `handoff`, `install` and the new flags;
   site/reference/cli.md documents the handoff trust model.
 
+## [0.5.13] — 2026-09-07
+
+### Changes since 0.5.12
+
+- Merge pull request #33 from Sergey-Bar/claude/readme-demo-video-4rzxij
+- fix(video): resolve ffmpeg/ffprobe without a shell
+- Resync generated assets after merging origin/main (v0.5.12)
+- Merge remote-tracking branch 'origin/main' into claude/readme-demo-video-4rzxij
+- merge: catch up to main again (v0.5.6) — a second PR landed underneath this one
+- Merge remote-tracking branch 'origin/main' into claude/readme-demo-video-4rzxij
+- fix: explain's fixture path was OS-native, breaking Windows CI
+- merge: bring in main's UX overhaul, reconcile the reporter conflicts
+- Merge remote-tracking branch 'origin/main' into claude/readme-demo-video-4rzxij
+- video: adopt react.doctor's terminal palette and font
+- video: fix invisible command text, and guard the whole class
+- video: present the terminal as a window, not a maximised screenshot
+- video: re-render both demos against the fixed reporter
+- report: one hammer, and output that fits the terminal it prints to
+- video: add the manual render workflow and document the pipeline
+- docs: restructure the README around the demo, and lead with the video
+- video: add the media-format contract, and ship the hero MP4
+- video: render the committed scripts to 1440p H.264, frame by frame
+- video: capture the demo scripts from real scans, and contract them
+- video: vendor the render font stack, gated by a cmap-exact glyph probe
+- docs: fix the stale numbers in the honesty section, and guard them
+
+## [0.5.12] — 2026-09-07
+
+### Changes since 0.5.11
+
+- Product-Experience Master Plan: content integrity, canonical terminology, brand cleanup, CI path integrity (#44)
+
 ## [0.5.11] — 2026-09-07
 
 ### Changes since 0.5.10

package/README.ar.md

@@ -14,7 +14,7 @@
 
 [English](README.md) | [简体中文](README.zh.md) | [繁體中文](README.zht.md) | [한국어](README.ko.md) | [Deutsch](README.de.md) | [Español](README.es.md) | [Français](README.fr.md) | [Italiano](README.it.md) | [Dansk](README.da.md) | [日本語](README.ja.md) | [Polski](README.pl.md) | [Русский](README.ru.md) | [Norsk](README.no.md) | [Português (Brasil)](README.br.md) | [ไทย](README.th.md) | [Türkçe](README.tr.md) | [Українська](README.uk.md) | [বাংলা](README.bn.md) | [Ελληνικά](README.gr.md) | [Tiếng Việt](README.vi.md) | [עברית](README.he.md) | العربية | [Bosanski](README.bs.md)
 
-> 🤖 Machine-assisted translation. The [English README](README.md) is canonical. Last synced: 2026-09-04.
+> 🤖 Machine-assisted translation. The [English README](README.md) is canonical. Last synced: 2026-09-07.
 
 ```bash
 npx mjolnir-qa@latest
@@ -290,13 +290,13 @@ npx mjolnir-qa@latest --scope changed
 
 ### كم من هذا مقيس
 
-**74 من 99 قاعدة تحمل معدل إنذارات كاذبة مقيسًا على كود OSS حقيقي**
+**78 من 99 قاعدة تحمل معدل إنذارات كاذبة مقيسًا على كود OSS حقيقي**
 (≥ 10 اكتشافات مصنفة يدويًا لكل منها؛ راجع
-[docs/FP-AUDIT.md](docs/FP-AUDIT.md)). الـ19 الأخرى تُشحن على تقدير
+[docs/FP-AUDIT.md](docs/FP-AUDIT.md)). الـ21 الأخرى تُشحن على تقدير
 المؤلف. ذيل كل فحص يخبرك كم من القواعد التي _انطلقت_ مقيسة؛ و
 `mjolnir rules --unmeasured` يسرد غير المقيسة؛ وصفحة `mjolnir explain`
 لكل قاعدة تُصرّح بحالتها. ننشر المعدل حتى حين يكون قبيحًا — QA-CS-103
-يدقّق عند 95% ولذلك هو في الحجر الصحي. تنمية الـ78 تلك هي العمل
+يدقّق عند 95% ولذلك هو في الحجر الصحي. تنمية ذلك العدد هي العمل
 المستمر للمشروع.
 
 ### طبقات القواعد ونضج اللغات
@@ -440,14 +440,14 @@ FAILING    declines an expired card (e2e/checkout.spec.ts)
 في فرق؛ لكنها لا تثبت أن نظام التحقق ككل جدير بالثقة — وهي لا ترى إلا
 الفرق الذي تريه لها.
 
-|                               | مراجعة بالذكاء الاصطناعي (Copilot وغيره) |         **Mjölnir**         |
-| ----------------------------- | :--------------------------------------: | :-------------------------: |
-| الكلفة لكل فحص                |         رموز (تتدرج بحجم الفرق)          |   **صفر** (محلي، مثبَّت)    |
-| يرى الطقم كله + كل إعدادات CI |           الفرق الذي تريه فقط            |     **كل شيء، كل مرة**      |
-| حتمي (مدخل واحد → مخرج واحد)  |              ❌ (غير حتمي)               |           **✅**            |
-| يلتقط أنماطًا راقدة أشهرًا    |          فقط إن وردت في السياق           |  **✅** (يفحص كل الملفات)   |
-| يتذكر الاكتشافات بين الجولات  |        ❌ (لا ذاكرة عبر الجلسات)         |  **✅** (baseline + diff)   |
-| يعمل دون استداء بشري          |            يحتاج PR أو موجهًا            | **✅** (خُطّاف CI، 3 ثوانٍ) |
+|                               | مراجعة بالذكاء الاصطناعي (Copilot وغيره) |            **Mjölnir**            |
+| ----------------------------- | :--------------------------------------: | :-------------------------------: |
+| الكلفة لكل فحص                |         رموز (تتدرج بحجم الفرق)          |      **صفر** (محلي، مثبَّت)       |
+| يرى الطقم كله + كل إعدادات CI |           الفرق الذي تريه فقط            |        **كل شيء، كل مرة**         |
+| حتمي (مدخل واحد → مخرج واحد)  |              ❌ (غير حتمي)               |              **✅**               |
+| يلتقط أنماطًا راقدة أشهرًا    |          فقط إن وردت في السياق           |     **✅** (يفحص كل الملفات)      |
+| يتذكر الاكتشافات بين الجولات  |        ❌ (لا ذاكرة عبر الجلسات)         |     **✅** (baseline + diff)      |
+| يعمل دون استداء بشري          |            يحتاج PR أو موجهًا            | **✅** (خُطّاف CI، يعمل في ثوانٍ) |
 
 **استخدم كليهما.** يلتقط الذكاء الاصطناعي الدقائق والقصد وعيوب التصميم
 التي لا يعثر عليها أي regex. يلتقط Mjölnir الأنماط البنيوية التي يغفلها
@@ -562,10 +562,16 @@ Mjölnir صفر إعداد. ملف `mjolnir.config.json` اختياري (أو `.
   حقيقي تُشحن في الطبقات الرئيسية (انظر
   [كم من هذا مقيس](#كم-من-هذا-مقيس))؛ ذيل الفحص و`mjolnir rules --unmeasured`
   يخبرانك أيُّها أي.
-- **الثقة بالإضافات** — الإضافات حزم npm معلنة تحت `"plugins"`.
+- **الثقة بالإضافات وبوابة التنفيذ** — الإضافات حزم npm معلنة تحت
+  `"plugins"`؛ وحدات JS تعيش في `mjolnir-rules/*.mjs`.
   **لا غرفة رمل**: كود الإضافة يجري بكامل صلاحيات Node، النموذج نفسه
-  لإضافات ESLint أو Vitest. بادئات معرّفات القواعد الأساسية محجوزة
-  وتُرفض من الإضافات منعًا للانتحال.
+  لإضافات ESLint أو Vitest. لهذا فإن تنفيذ الكود **اختياري في كل فحص**:
+  مرّر `--enable-plugins` (أو اضبط `MJOLNIR_ENABLE_PLUGINS=1`)، وإلا
+  فلن تُحمَّل المصادر — تنبيه صريح على stderr يسرد بالضبط ما تم تخطيه.
+  فحص كود غير موثوق لا ينفّذه أبدًا. بيانات القواعد JSON
+  (`mjolnir-rules/*.json`) غير متأثرة: تعلن أنماط regex ولا تنفذ أي
+  كود بحكم تصميمها. بادئات معرّفات القواعد الأساسية محجوزة
+  وتُرفض من الإضافات والقواعد الخارجية منعًا للانتحال.
 - **قواعد خارجية محلية للمساحة** (مجلدية، صفر شبكة) — مجلد
   `mjolnir-rules/` بجوار هدف الفحص يحمّل قواعد مخصصة: ملفات JSON تعلن
   أنماط regex (لا يُنفَّذ كود)، ووحدات `.mjs`/`.js` تصدّر `rules` (ثقة

package/README.bn.md

@@ -15,7 +15,7 @@
 
 [English](README.md) | [简体中文](README.zh.md) | [繁體中文](README.zht.md) | [한국어](README.ko.md) | [Deutsch](README.de.md) | [Español](README.es.md) | [Français](README.fr.md) | [Italiano](README.it.md) | [Dansk](README.da.md) | [日本語](README.ja.md) | [Polski](README.pl.md) | [Русский](README.ru.md) | [Norsk](README.no.md) | [Português (Brasil)](README.br.md) | [ไทย](README.th.md) | [Türkçe](README.tr.md) | [Українська](README.uk.md) | বাংলা | [Ελληνικά](README.gr.md) | [Tiếng Việt](README.vi.md) | [עברית](README.he.md) | [العربية](README.ar.md) | [Bosanski](README.bs.md)
 
-> 🤖 Machine-assisted translation. The [English README](README.md) is canonical. Last synced: 2026-09-04.
+> 🤖 Machine-assisted translation. The [English README](README.md) is canonical. Last synced: 2026-09-07.
 
 ```bash
 npx mjolnir-qa@latest
@@ -293,14 +293,14 @@ false-positive ফায়ারওয়াল।
 
 ### এর মধ্যে কতটা পরিমাপ করা হয়েছে
 
-**৯৯টি রুলের ৭৪টি বাস্তব OSS কোডের বিরুদ্ধে পরিমাপকৃত false-positive
+**৯৯টি রুলের ৭৮টি বাস্তব OSS কোডের বিরুদ্ধে পরিমাপকৃত false-positive
 হার বহন করে** (প্রতিটিতে ≥ ১০টি হাতে-শ্রেণিবদ্ধ finding; দেখুন
-[docs/FP-AUDIT.md](docs/FP-AUDIT.md))। বাকি ১৯টি লেখকের অনুমানে শিপ হয়।
+[docs/FP-AUDIT.md](docs/FP-AUDIT.md))। বাকি ২১টি লেখকের অনুমানে শিপ হয়।
 প্রতিটি স্ক্যানের ফুটার বলে দেয় _ফায়ার_ করা রুলগুলোর কতগুলো পরিমাপকৃত;
 `mjolnir rules --unmeasured` যেগুলো নয় তা তালিকাভুক্ত করে; প্রতিটি রুলের
 `mjolnir explain` পেজ তার অবস্থা জানায়। আমরা হারটি প্রকাশ করি — এমনকি
 কুৎসিত হলেও — QA-CS-103 ৯৫%-এ অডিট হয় এবং এজন্যই কোয়ারেন্টাইনে। সেই
-৭৮ বাড়ানোই প্রজেক্টের চলমান কাজ।
+সংখ্যা বাড়ানোই প্রজেক্টের চলমান কাজ।
 
 ### রুল টিয়ার ও ভাষা-পরিপক্বতা
 
@@ -454,7 +454,7 @@ flakiness রিপোর্ট তৈরি করে না।
 | নির্ধারণী (একই ইনপুট → একই আউটপুট) |         ❌ (অনির্ধারণী)          |            **✅**             |
 | মাসের পর মাস সুপ্ত প্যাটার্ন ধরে   |       শুধু কনটেক্সটে থাকলে       | **✅** (সব ফাইল স্ক্যান করে)  |
 | রানের মাঝে finding মনে রাখে        | ❌ (সেশনের মাঝে কোনো স্মৃতি নেই) |   **✅** (baseline + diff)    |
-| মানুষের ট্রিগার ছাড়াই চলে         |        PR বা prompt দরকার        |  **✅** (CI হুক, ৩ সেকেন্ড)   |
+| মানুষের ট্রিগার ছাড়াই চলে         |        PR বা prompt দরকার        | **✅** (CI হুক, সেকেন্ডে চলে) |
 
 **দুটোই ব্যবহার করুন।** AI সূক্ষ্মতা, অভিপ্রায় ও এমন ডিজাইন-ত্রুটি ধরে
 যা কোনো regex খুঁজে পায় না। Mjölnir সেই কাঠামোগত প্যাটার্ন ধরে যা AI
@@ -572,10 +572,18 @@ JSON/SARIF রিপোর্ট `schemaVersion: 1`। রুল ID (`QA-<FAMILY
   false-positive হার আছে তা হেডলাইন টিয়ারে শিপ হয় (দেখুন
   [এর মধ্যে কতটা পরিমাপ করা হয়েছে](#এর-মধ্যে-কতটা-পরিমাপ-করা-হয়েছে));
   স্ক্যান ফুটার ও `mjolnir rules --unmeasured` কোনটি কী তা বলে।
-- **প্লাগইন-আস্থা** — প্লাগইন হলো `"plugins"`-এর অধীনে ঘোষিত npm
-  প্যাকেজ। **কোনো sandbox নেই**: প্লাগইন কোড পূর্ণ Node বিশেষাধিকারে
-  চলে, ESLint বা Vitest প্লাগইনের একই আস্থার মডেল। core রুল-ID প্রিফিক্স
-  সংরক্ষিত এবং জালিয়াতি রোধে প্লাগইন থেকে প্রত্যাখ্যাত।
+- **প্লাগইন-আস্থা এবং এক্সিকিউশন গেট** — প্লাগইন হলো `"plugins"`-এর
+  অধীনে ঘোষিত npm
+  প্যাকেজ; JS মডিউল থাকে `mjolnir-rules/*.mjs`-এ।
+  **কোনো sandbox নেই**: প্লাগইন কোড পূর্ণ Node বিশেষাধিকারে
+  চলে, ESLint বা Vitest প্লাগইনের একই আস্থার মডেল। এজন্যই কোড এক্সিকিউশন
+  **প্রতিটি স্ক্যানে opt-in**: `--enable-plugins` দিন (অথবা
+  `MJOLNIR_ENABLE_PLUGINS=1` সেট করুন), নইলে সোর্স লোড হয় না —
+  stderr-এ একটি স্পষ্ট বার্তা ঠিক কী বাদ পড়েছে তা তালিকাভুক্ত করে।
+  অবিশ্বস্ত কোড স্ক্যান করা কখনোই তা চালায় না। JSON রুল ম্যানিফেস্ট
+  (`mjolnir-rules/*.json`) প্রভাবিত হয় না: সেগুলো regex প্যাটার্ন
+  ঘোষণা করে এবং ডিজাইনগতভাবে কোনো কোড চালায় না। core রুল-ID প্রিফিক্স
+  সংরক্ষিত এবং জালিয়াতি রোধে প্লাগইন ও বাহ্যিক রুল থেকে প্রত্যাখ্যাত।
 - **Workspace-লোকাল বাহ্যিক রুল** (ফোল্ডার-ভিত্তিক, শূন্য নেটওয়ার্ক) —
   স্ক্যান টার্গেটের পাশে একটি `mjolnir-rules/` ডিরেক্টরি কাস্টম রুল লোড
   করে: JSON ফাইল regex প্যাটার্ন ঘোষণা করে (কোনো কোড চালানো হয় না),

package/README.br.md

@@ -15,7 +15,7 @@ exatamente onde a confiança se quebra.
 
 [English](README.md) | [简体中文](README.zh.md) | [繁體中文](README.zht.md) | [한국어](README.ko.md) | [Deutsch](README.de.md) | [Español](README.es.md) | [Français](README.fr.md) | [Italiano](README.it.md) | [Dansk](README.da.md) | [日本語](README.ja.md) | [Polski](README.pl.md) | [Русский](README.ru.md) | [Norsk](README.no.md) | Português (Brasil) | [ไทย](README.th.md) | [Türkçe](README.tr.md) | [Українська](README.uk.md) | [বাংলা](README.bn.md) | [Ελληνικά](README.gr.md) | [Tiếng Việt](README.vi.md) | [עברית](README.he.md) | [العربية](README.ar.md) | [Bosanski](README.bs.md)
 
-> 🤖 Machine-assisted translation. The [English README](README.md) is canonical. Last synced: 2026-09-04.
+> 🤖 Machine-assisted translation. The [English README](README.md) is canonical. Last synced: 2026-09-07.
 
 ```bash
 npx mjolnir-qa@latest
@@ -299,14 +299,14 @@ que dispara na própria fixture negativa não pode ser publicada — esse
 
 ### Quanto disso é medido
 
-**74 de 99 regras carregam uma taxa de falsos positivos medida contra
+**78 de 99 regras carregam uma taxa de falsos positivos medida contra
 código OSS real** (≥ 10 findings classificados à mão cada; veja
-[docs/FP-AUDIT.md](docs/FP-AUDIT.md)). As outras 19 são publicadas com
+[docs/FP-AUDIT.md](docs/FP-AUDIT.md)). As outras 21 são publicadas com
 a estimativa do autor. O rodapé de cada escaneio diz quantas das regras
 _que dispararam_ são medidas; `mjolnir rules --unmeasured` lista as que
 não são; a página `mjolnir explain` de cada regra declara seu status.
 Publicamos a taxa mesmo quando ela é feia — QA-CS-103 audita em 95 % e
-está em quarentena por isso. Fazer esse 78 crescer é o trabalho contínuo
+está em quarentena por isso. Fazer esse número crescer é o trabalho contínuo
 do projeto.
 
 ### Tiers de regras e maturidade por linguagem
@@ -459,14 +459,14 @@ Problema diferente, camada diferente. A revisão com IA pode detectar uma
 mudança suspeita de teste em um diff; ela não prova que o sistema de
 verificação como um todo é confiável — e só vê o diff que você mostra.
 
-|                                              | Revisão de código com IA (Copilot etc.) |             **Mjölnir**             |
-| -------------------------------------------- | :-------------------------------------: | :---------------------------------: |
-| Custo por escaneio                           |  Tokens (escala com o tamanho do diff)  |     **Zero** (local, instalado)     |
-| Vê toda a suíte + todas as configs de CI     |     Só o diff da PR que você mostra     |         **Tudo, toda vez**          |
-| Determinístico (mesma entrada → mesma saída) |         ❌ (não determinístico)         |               **✅**                |
-| Pega padrões dormentes por meses             |        Só se estiver no contexto        | **✅** (escaneia todos os arquivos) |
-| Lembra dos findings entre execuções          |     ❌ (sem memória entre sessões)      |      **✅** (baseline + diff)       |
-| Roda sem gatilho humano                      |       Precisa de uma PR ou prompt       |   **✅** (hook de CI, 3 segundos)   |
+|                                              | Revisão de código com IA (Copilot etc.) |              **Mjölnir**              |
+| -------------------------------------------- | :-------------------------------------: | :-----------------------------------: |
+| Custo por escaneio                           |  Tokens (escala com o tamanho do diff)  |      **Zero** (local, instalado)      |
+| Vê toda a suíte + todas as configs de CI     |     Só o diff da PR que você mostra     |          **Tudo, toda vez**           |
+| Determinístico (mesma entrada → mesma saída) |         ❌ (não determinístico)         |                **✅**                 |
+| Pega padrões dormentes por meses             |        Só se estiver no contexto        |  **✅** (escaneia todos os arquivos)  |
+| Lembra dos findings entre execuções          |     ❌ (sem memória entre sessões)      |       **✅** (baseline + diff)        |
+| Roda sem gatilho humano                      |       Precisa de uma PR ou prompt       | **✅** (hook de CI, roda em segundos) |
 
 **Use ambos.** A IA captura nuance, intenção e defeitos de design que
 nenhuma regex encontra. O Mjölnir captura os padrões estruturais que a
@@ -591,11 +591,20 @@ O relatório JSON/SARIF é `schemaVersion: 1`. Os IDs de regra
   de código OSS real entram nos tiers de destaque (veja
   [Quanto disso é medido](#quanto-disso-é-medido)); o rodapé do
   escaneio e o `mjolnir rules --unmeasured` dizem qual é qual.
-- **Confiança em plugins** — plugins são pacotes npm declarados sob
-  `"plugins"`. **Não há sandbox**: o código do plugin roda com todos os
+- **Confiança em plugins e porta de execução** — plugins são pacotes
+  npm declarados sob
+  `"plugins"`; módulos JS vivem em `mjolnir-rules/*.mjs`.
+  **Não há sandbox**: o código do plugin roda com todos os
   privilégios do Node, o mesmo modelo de confiança dos plugins ESLint
-  ou Vitest. Prefixos de IDs de regras core são reservados e rejeitados
-  de plugins para evitar falsificação.
+  ou Vitest. Por isso, a execução de código é **opt-in a cada
+  escaneio**: passe `--enable-plugins` (ou defina
+  `MJOLNIR_ENABLE_PLUGINS=1`), ou as fontes NÃO são carregadas — um
+  aviso sonoro no stderr lista exatamente o que foi pulado. Escanear
+  código não confiável nunca o executa. Manifestos de regras JSON
+  (`mjolnir-rules/*.json`) não são afetados: eles declaram padrões
+  regex e por projeto não executam código. Prefixos de IDs de regras
+  core são reservados e rejeitados
+  de plugins e regras externas para evitar falsificação.
 - **Regras externas locais ao workspace** (baseadas em pasta, zero
   rede) — um diretório `mjolnir-rules/` ao lado do alvo do escaneio
   carrega regras personalizadas: arquivos JSON declaram padrões regex

package/README.bs.md

@@ -15,7 +15,7 @@ povjerenje lomi.
 
 [English](README.md) | [简体中文](README.zh.md) | [繁體中文](README.zht.md) | [한국어](README.ko.md) | [Deutsch](README.de.md) | [Español](README.es.md) | [Français](README.fr.md) | [Italiano](README.it.md) | [Dansk](README.da.md) | [日本語](README.ja.md) | [Polski](README.pl.md) | [Русский](README.ru.md) | [Norsk](README.no.md) | [Português (Brasil)](README.br.md) | [ไทย](README.th.md) | [Türkçe](README.tr.md) | [Українська](README.uk.md) | [বাংলা](README.bn.md) | [Ελληνικά](README.gr.md) | [Tiếng Việt](README.vi.md) | [עברית](README.he.md) | [العربية](README.ar.md) | Bosanski
 
-> 🤖 Machine-assisted translation. The [English README](README.md) is canonical. Last synced: 2026-09-04.
+> 🤖 Machine-assisted translation. The [English README](README.md) is canonical. Last synced: 2026-09-07.
 
 ```bash
 npx mjolnir-qa@latest
@@ -291,14 +291,14 @@ Ukupno 20 Python pravila (QA-PY-001…012 pytest higijena + QA-PY-101…108 Play
 
 ### Koliko je od ovoga izmjereno
 
-**74 od 99 pravila nose stopu lažnih pozitiva izmjerenu nad stvarnim
+**78 od 99 pravila nose stopu lažnih pozitiva izmjerenu nad stvarnim
 OSS kodom** (≥ 10 ručno klasificiranih nalaza svako; vidi
-[docs/FP-AUDIT.md](docs/FP-AUDIT.md)). Ostalih 19 izlazi na autorovoj
+[docs/FP-AUDIT.md](docs/FP-AUDIT.md)). Ostalih 21 izlazi na autorovoj
 procjeni. Podnožje svakog skana kaže koliko od _okinutih_ pravila je
 izmjereno; `mjolnir rules --unmeasured` izlista neizmjerena; stranica
 `mjolnir explain` svakog pravila navodi njen status. Objavljujemo stopu
 čak i kad je ružna — QA-CS-103 se audita na 95 % i u karanteni je radi
-toga. Rast tog 78 je neprekidni rad projekta.
+toga. Rast tog broja je neprekidni rad projekta.
 
 ### Tierovi pravila i jezična zrelost
 
@@ -448,14 +448,14 @@ Drugi problem, drugi sloj. AI review može primijetiti sumnjivu promjenu
 testa u diffu; ne dokazuje da je verifikacioni sistem kao cjelina
 dostojan povjerenja — i vidi samo diff koji mu pokažeš.
 
-|                                          |  AI code review (Copilot i sl.)  |           **Mjölnir**           |
-| ---------------------------------------- | :------------------------------: | :-----------------------------: |
-| Trošak po skanu                          | Tokeni (raste s veličinom diffa) | **Nula** (lokalno, instalirano) |
-| Vidi cijeli suite + sve CI konfiguracije |    Samo PR diff koji pokažeš     |       **Sve, svaki put**        |
-| Deterministički (isti ulaz → isti izlaz) |      ❌ (nedeterministički)      |             **✅**              |
-| Hvata obrasce dormantne mjesecima        |     Samo ako je u kontekstu      |  **✅** (skenira sve fajlove)   |
-| Pamti nalaze između runova               | ❌ (nema memorije između sesija) |    **✅** (baseline + diff)     |
-| Radi bez ljudskog okidača                |       Treba PR ili prompt        |   **✅** (CI hook, 3 sekunde)   |
+|                                          |  AI code review (Copilot i sl.)  |               **Mjölnir**               |
+| ---------------------------------------- | :------------------------------: | :-------------------------------------: |
+| Trošak po skanu                          | Tokeni (raste s veličinom diffa) |     **Nula** (lokalno, instalirano)     |
+| Vidi cijeli suite + sve CI konfiguracije |    Samo PR diff koji pokažeš     |           **Sve, svaki put**            |
+| Deterministički (isti ulaz → isti izlaz) |      ❌ (nedeterministički)      |                 **✅**                  |
+| Hvata obrasce dormantne mjesecima        |     Samo ako je u kontekstu      |      **✅** (skenira sve fajlove)       |
+| Pamti nalaze između runova               | ❌ (nema memorije između sesija) |        **✅** (baseline + diff)         |
+| Radi bez ljudskog okidača                |       Treba PR ili prompt        | **✅** (CI hook, izvodi se u sekundama) |
 
 **Koristi oba.** AI hvata nijansu, namjeru i dizajnerske mane koje
 nijedan regex ne nađe. Mjölnir hvata strukturne obrasce koje AI
@@ -578,11 +578,19 @@ ponovo koriste.
   stopom lažnih pozitiva iz stvarnog OSS koda (vidi
   [Koliko je od ovoga izmjereno](#koliko-je-od-ovoga-izmjereno));
   podnožje skana i `mjolnir rules --unmeasured` kažu koje su koje.
-- **Povjerenje u pluginove** — pluginovi su npm paketi deklarirani pod
-  `"plugins"`. **Nema sandboxa**: plugin kod radi s punim Node
+- **Povjerenje u pluginove i kapija izvršavanja** — pluginovi su npm
+  paketi deklarirani pod
+  `"plugins"`; JS moduli žive u `mjolnir-rules/*.mjs`.
+  **Nema sandboxa**: plugin kod radi s punim Node
   privilegijama, isti model povjerenja kao ESLint ili Vitest pluginovi.
+  Zato je izvršavanje koda **opt-in pri svakom skanu**: proslijedite
+  `--enable-plugins` (ili postavite `MJOLNIR_ENABLE_PLUGINS=1`), inače
+  se izvori NE učitavaju — glasna stderr obavijesta izlista tačno što
+  je preskočeno. Skeniranje nepouzdanog koda nikada ga ne izvršava.
+  JSON pravila manifesti (`mjolnir-rules/*.json`) nisu pogođeni:
+  deklariraju regex obrasce i po konstrukciji ne izvršavaju kod.
   Core prefiksi ID-jeva pravila su rezervirani i odbijaju se od
-  pluginova radi sprečavanja spoofinga.
+  pluginova i eksternih pravila radi sprečavanja spoofinga.
 - **Eksterna pravila lokalna workspaceu** (folder-bazirana, nula
   mreže) — `mjolnir-rules/` direktorij pored skan cilja učitava
   vlastita pravila: JSON fajlovi deklariraju regex obrasce (nikakav kod

package/README.da.md

@@ -15,7 +15,7 @@ tilliden brister.
 
 [English](README.md) | [简体中文](README.zh.md) | [繁體中文](README.zht.md) | [한국어](README.ko.md) | [Deutsch](README.de.md) | [Español](README.es.md) | [Français](README.fr.md) | [Italiano](README.it.md) | Dansk | [日本語](README.ja.md) | [Polski](README.pl.md) | [Русский](README.ru.md) | [Norsk](README.no.md) | [Português (Brasil)](README.br.md) | [ไทย](README.th.md) | [Türkçe](README.tr.md) | [Українська](README.uk.md) | [বাংলা](README.bn.md) | [Ελληνικά](README.gr.md) | [Tiếng Việt](README.vi.md) | [עברית](README.he.md) | [العربية](README.ar.md) | [Bosanski](README.bs.md)
 
-> 🤖 Machine-assisted translation. The [English README](README.md) is canonical. Last synced: 2026-09-04.
+> 🤖 Machine-assisted translation. The [English README](README.md) is canonical. Last synced: 2026-09-07.
 
 ```bash
 npx mjolnir-qa@latest
@@ -297,14 +297,14 @@ det er false-positive-firewallen.
 
 ### Hvor meget er målt
 
-**74 af 99 regler bærer en false-positive-rate målt mod rigtig OSS-kode**
+**78 af 99 regler bærer en false-positive-rate målt mod rigtig OSS-kode**
 (≥ 10 håndklassificerede fund hver; se
-[docs/FP-AUDIT.md](docs/FP-AUDIT.md)). De andre 19 skiber på forfatterens
+[docs/FP-AUDIT.md](docs/FP-AUDIT.md)). De andre 21 skiber på forfatterens
 estimat. Hver scan-fodnote fortæller, hvor mange af de _udløste_ regler,
 der er målt; `mjolnir rules --unmeasured` lister de uregistrerede; hver
 regels `mjolnir explain`-side angiver dens status. Vi offentliggør
 raten, selv når den er grim — QA-CS-103 auditeres til 95 % og er sat i
-karantæne for det. At få de 78 til at vokse er projektets fortsatte
+karantæne for det. At få det tal til at vokse er projektets fortsatte
 arbejde.
 
 ### Regel-tiers og sproglig modenhed
@@ -456,14 +456,14 @@ Andet problem, andet lag. AI-review kan spotte en mistænkelig
 testændring i en diff; det beviser ikke, at verifikationssystemet som
 helhed er troværdigt — og det ser kun den diff, du viser det.
 
-|                                             |        AI-kodereview (Copilot m.fl.)        |         **Mjölnir**          |
-| ------------------------------------------- | :-----------------------------------------: | :--------------------------: |
-| Omkostning pr. scan                         |    Tokens (skalerer med diff-størrelse)     | **Nul** (lokal, installeret) |
-| Ser hele suiten + alle CI-konfigs           |          Kun den PR-diff, du viser          |      **Alt, hver gang**      |
-| Deterministisk (samme input → samme output) |          ❌ (ikke-deterministisk)           |            **✅**            |
-| Fanger mønstre, der har sovet i måneder     |        Kun hvis det er i konteksten         | **✅** (scanner alle filer)  |
-| Husker fund mellem kørsler                  | ❌ (ingen hukommelse på tværs af sessioner) |   **✅** (baseline + diff)   |
-| Kører uden menneskelig udløser              |          Kræver en PR eller prompt          | **✅** (CI-hook, 3 sekunder) |
+|                                             |        AI-kodereview (Copilot m.fl.)        |            **Mjölnir**             |
+| ------------------------------------------- | :-----------------------------------------: | :--------------------------------: |
+| Omkostning pr. scan                         |    Tokens (skalerer med diff-størrelse)     |    **Nul** (lokal, installeret)    |
+| Ser hele suiten + alle CI-konfigs           |          Kun den PR-diff, du viser          |         **Alt, hver gang**         |
+| Deterministisk (samme input → samme output) |          ❌ (ikke-deterministisk)           |               **✅**               |
+| Fanger mønstre, der har sovet i måneder     |        Kun hvis det er i konteksten         |    **✅** (scanner alle filer)     |
+| Husker fund mellem kørsler                  | ❌ (ingen hukommelse på tværs af sessioner) |      **✅** (baseline + diff)      |
+| Kører uden menneskelig udløser              |          Kræver en PR eller prompt          | **✅** (CI-hook, kører i sekunder) |
 
 **Brug begge.** AI fanger nuance, intention og designfejl, ingen regex
 kan finde. Mjölnir fanger de strukturelle mønstre, AI overser, fordi de
@@ -587,11 +587,18 @@ genbruges aldrig.
   rigtig OSS-kode skiber i overskriftstierne (se
   [Hvor meget er målt](#hvor-meget-er-målt)); scan-fodnoten og
   `mjolnir rules --unmeasured` fortæller dig, hvilke der er hvad.
-- **Plugin-tillid** — plugins er npm-pakker deklareret under
-  `"plugins"`. Der er **ingen sandbox**: plugin-kode kører med fulde
+- **Plugin-tillid og kørselsport** — plugins er npm-pakker deklareret under
+  `"plugins"`; JS-moduler bor i `mjolnir-rules/*.mjs`.
+  Der er **ingen sandbox**: plugin-kode kører med fulde
   Node-privilegier, samme tillidsmodel som ESLint- eller
-  Vitest-plugins. Core regel-ID-præfikser er reserverede og afvises
-  fra plugins mod spoofing.
+  Vitest-plugins. Derfor er kodekørsel **opt-in ved hver scan**: giv
+  `--enable-plugins` (eller sæt `MJOLNIR_ENABLE_PLUGINS=1`), ellers
+  indlæses kilderne IKKE — en højlydt stderr-meddelelse lister
+  præcis, hvad der blev sprunget over. At skanne utroværdig kode
+  udfører den aldrig. JSON-regelmanifester (`mjolnir-rules/*.json`)
+  berøres ikke: de deklarerer regex-mønstre og udfører ingen kode af
+  konstruktion. Core regel-ID-præfikser er reserverede og afvises
+  fra plugins og eksterne regler mod spoofing.
 - **Workspace-lokale eksterne regler** (mappebaserede, nul netværk) —
   en `mjolnir-rules/`-mappe ved siden af scan-målet loader brugerdefinerede
   regler: JSON-filer deklarerer regex-mønstre (ingen kode eksekveres),

package/README.de.md

@@ -15,7 +15,7 @@ bricht.
 
 [English](README.md) | [简体中文](README.zh.md) | [繁體中文](README.zht.md) | [한국어](README.ko.md) | Deutsch | [Español](README.es.md) | [Français](README.fr.md) | [Italiano](README.it.md) | [Dansk](README.da.md) | [日本語](README.ja.md) | [Polski](README.pl.md) | [Русский](README.ru.md) | [Norsk](README.no.md) | [Português (Brasil)](README.br.md) | [ไทย](README.th.md) | [Türkçe](README.tr.md) | [Українська](README.uk.md) | [বাংলা](README.bn.md) | [Ελληνικά](README.gr.md) | [Tiếng Việt](README.vi.md) | [עברית](README.he.md) | [العربية](README.ar.md) | [Bosanski](README.bs.md)
 
-> 🤖 Machine-assisted translation. The [English README](README.md) is canonical. Last synced: 2026-09-04.
+> 🤖 Machine-assisted translation. The [English README](README.md) is canonical. Last synced: 2026-09-07.
 
 ```bash
 npx mjolnir-qa@latest
@@ -301,15 +301,15 @@ geshippt werden — das ist die False-Positive-Firewall.
 
 ### Wie viel davon gemessen ist
 
-**74 von 99 Regeln tragen eine False-Positive-Rate, gemessen an echtem
+**78 von 99 Regeln tragen eine False-Positive-Rate, gemessen an echtem
 OSS-Code** (jeweils ≥ 10 handklassifizierte Befunde; siehe
-[docs/FP-AUDIT.md](docs/FP-AUDIT.md)). Die anderen 19 gehen auf der
+[docs/FP-AUDIT.md](docs/FP-AUDIT.md)). Die anderen 21 gehen auf der
 Schätzung des Autors. Jeder Scan-Footer sagt dir, wie viele der
 _ausgelösten_ Regeln gemessen sind; `mjolnir rules --unmeasured` listet
 die nicht gemessenen; die `mjolnir explain`-Seite jeder Regel nennt
 ihren Status. Wir veröffentlichen die Rate, selbst wenn sie hässlich
 ist — QA-CS-103 auditiert bei 95 % und ist deshalb quarantäniert. Diese
-78 zu vergrößern ist die fortlaufende Arbeit des Projekts.
+Zahl zu vergrößern ist die fortlaufende Arbeit des Projekts.
 
 ### Regel-Tiers und Sprachreife
 
@@ -463,14 +463,14 @@ Teständerung in einem Diff erkennen; sie beweist nicht, dass das
 Verifikationssystem als Ganzes vertrauenswürdig ist — und sie sieht nur
 das Diff, das du ihr zeigst.
 
-|                                                    |   KI-Code-Review (Copilot & co.)   |          **Mjölnir**          |
-| -------------------------------------------------- | :--------------------------------: | :---------------------------: |
-| Kosten pro Scan                                    |  Tokens (skaliert mit Diff-Größe)  | **Null** (lokal, installiert) |
-| Sieht die ganze Suite + alle CI-Konfigs            |   Nur das PR-Diff, das du zeigst   |     **Alles, jedes Mal**      |
-| Deterministisch (gleicher Input → gleicher Output) |     ❌ (nicht-deterministisch)     |            **✅**             |
-| Findet monatelang schlafende Muster                |   Nur, wenn es im Kontext steht    | **✅** (scannt alle Dateien)  |
-| Erinnert sich an Befunde zwischen Läufen           | ❌ (kein Gedächtnis über Sessions) |   **✅** (Baseline + Diff)    |
-| Läuft ohne menschlichen Auslöser                   |    Braucht einen PR oder Prompt    | **✅** (CI-Hook, 3 Sekunden)  |
+|                                                    |   KI-Code-Review (Copilot & co.)   |             **Mjölnir**             |
+| -------------------------------------------------- | :--------------------------------: | :---------------------------------: |
+| Kosten pro Scan                                    |  Tokens (skaliert mit Diff-Größe)  |    **Null** (lokal, installiert)    |
+| Sieht die ganze Suite + alle CI-Konfigs            |   Nur das PR-Diff, das du zeigst   |        **Alles, jedes Mal**         |
+| Deterministisch (gleicher Input → gleicher Output) |     ❌ (nicht-deterministisch)     |               **✅**                |
+| Findet monatelang schlafende Muster                |   Nur, wenn es im Kontext steht    |    **✅** (scannt alle Dateien)     |
+| Erinnert sich an Befunde zwischen Läufen           | ❌ (kein Gedächtnis über Sessions) |      **✅** (Baseline + Diff)       |
+| Läuft ohne menschlichen Auslöser                   |    Braucht einen PR oder Prompt    | **✅** (CI-Hook, läuft in Sekunden) |
 
 **Benutze beides.** KI findet Nuance, Intent und Designfehler, die
 keine Regex findet. Mjölnir findet die strukturellen Muster, die KI
@@ -597,11 +597,19 @@ nie wiederverwendet.
   Headline-Tiers (siehe [Wie viel davon gemessen ist](#wie-viel-davon-gemessen-ist));
   der Scan-Footer und `mjolnir rules --unmeasured` sagen dir, welche
   welche sind.
-- **Plugin-Vertrauen** — Plugins sind npm-Pakete, deklariert unter
-  `"plugins"`. Es gibt **keine Sandbox**: Plugin-Code läuft mit vollen
+- **Plugin-Vertrauen & Ausführungs-Gate** — Plugins sind npm-Pakete,
+  deklariert unter `"plugins"`; JS-Module liegen in `mjolnir-rules/*.mjs`.
+  Es gibt **keine Sandbox**: Plugin-Code läuft mit vollen
   Node-Privilegien, dasselbe Vertrauensmodell wie ESLint- oder
-  Vitest-Plugins. Kern-Regel-ID-Präfixe sind reserviert und werden von
-  Plugins abgelehnt, um Spoofing zu verhindern.
+  Vitest-Plugins. Deshalb ist Code-Ausführung **bei jedem Scan
+  Opt-in**: Übergib `--enable-plugins` (oder setze
+  `MJOLNIR_ENABLE_PLUGINS=1`), sonst werden die Quellen NICHT geladen —
+  ein deutlicher stderr-Hinweis listet genau, was übersprungen wurde.
+  Das Scannen nicht vertrauenswürdigen Codes führt ihn nie aus.
+  JSON-Regel-Manifeste (`mjolnir-rules/*.json`) sind davon unberührt:
+  sie deklarieren Regex-Muster und führen per Design keinen Code aus.
+  Kern-Regel-ID-Präfixe sind reserviert und werden von Plugins und
+  externen Regeln abgelehnt, um Spoofing zu verhindern.
 - **Workspace-lokale externe Regeln** (ordnerbasiert, null Netzwerk) —
   ein `mjolnir-rules/`-Verzeichnis neben dem Scan-Ziel lädt eigene
   Regeln: JSON-Dateien deklarieren Regex-Muster (kein Code wird

package/README.es.md

@@ -15,7 +15,7 @@ exactamente dónde se rompe la confianza.
 
 [English](README.md) | [简体中文](README.zh.md) | [繁體中文](README.zht.md) | [한국어](README.ko.md) | [Deutsch](README.de.md) | Español | [Français](README.fr.md) | [Italiano](README.it.md) | [Dansk](README.da.md) | [日本語](README.ja.md) | [Polski](README.pl.md) | [Русский](README.ru.md) | [Norsk](README.no.md) | [Português (Brasil)](README.br.md) | [ไทย](README.th.md) | [Türkçe](README.tr.md) | [Українська](README.uk.md) | [বাংলা](README.bn.md) | [Ελληνικά](README.gr.md) | [Tiếng Việt](README.vi.md) | [עברית](README.he.md) | [العربية](README.ar.md) | [Bosanski](README.bs.md)
 
-> 🤖 Machine-assisted translation. The [English README](README.md) is canonical. Last synced: 2026-09-04.
+> 🤖 Machine-assisted translation. The [English README](README.md) is canonical. Last synced: 2026-09-07.
 
 ```bash
 npx mjolnir-qa@latest
@@ -299,14 +299,14 @@ ese es el cortafuegos de falsos positivos.
 
 ### Cuánto está medido
 
-**74 de 99 reglas llevan una tasa de falsos positivos medida contra
+**78 de 99 reglas llevan una tasa de falsos positivos medida contra
 código OSS real** (≥ 10 hallazgos clasificados a mano cada una; ver
-[docs/FP-AUDIT.md](docs/FP-AUDIT.md)). Las otras 19 salen sobre la
+[docs/FP-AUDIT.md](docs/FP-AUDIT.md)). Las otras 21 salen sobre la
 estimación del autor. Cada pie de escaneo te dice cuántas de las reglas
 _que se dispararon_ están medidas; `mjolnir rules --unmeasured` lista
 las que no; la página `mjolnir explain` de cada regla declara su
 estado. Publicamos la tasa aunque sea fea — QA-CS-103 audita al 95 % y
-está en cuarentena por ello. Hacer crecer ese 78 es el trabajo continuo
+está en cuarentena por ello. Hacer crecer esa cifra es el trabajo continuo
 del proyecto.
 
 ### Tiers de reglas y madurez por lenguaje
@@ -461,14 +461,14 @@ cambio de test sospechoso en un diff; no demuestra que el sistema de
 verificación en su conjunto sea confiable — y solo ve el diff que le
 muestras.
 
-|                                             | Revisión de código con IA (Copilot, etc.) |             **Mjölnir**             |
-| ------------------------------------------- | :---------------------------------------: | :---------------------------------: |
-| Coste por escaneo                           |  Tokens (escala con el tamaño del diff)   |     **Cero** (local, instalado)     |
-| Ve toda la suite + todas las configs de CI  |    Solo el diff de PR que le muestras     |         **Todo, cada vez**          |
-| Determinista (misma entrada → misma salida) |           ❌ (no determinista)            |               **✅**                |
-| Detecta patrones dormidos durante meses     |        Solo si está en el contexto        | **✅** (escanea todos los archivos) |
-| Recuerda hallazgos entre ejecuciones        |      ❌ (sin memoria entre sesiones)      |      **✅** (baseline + diff)       |
-| Corre sin disparador humano                 |        Necesita una PR o un prompt        |   **✅** (hook de CI, 3 segundos)   |
+|                                             | Revisión de código con IA (Copilot, etc.) |              **Mjölnir**               |
+| ------------------------------------------- | :---------------------------------------: | :------------------------------------: |
+| Coste por escaneo                           |  Tokens (escala con el tamaño del diff)   |      **Cero** (local, instalado)       |
+| Ve toda la suite + todas las configs de CI  |    Solo el diff de PR que le muestras     |           **Todo, cada vez**           |
+| Determinista (misma entrada → misma salida) |           ❌ (no determinista)            |                 **✅**                 |
+| Detecta patrones dormidos durante meses     |        Solo si está en el contexto        |  **✅** (escanea todos los archivos)   |
+| Recuerda hallazgos entre ejecuciones        |      ❌ (sin memoria entre sesiones)      |        **✅** (baseline + diff)        |
+| Corre sin disparador humano                 |        Necesita una PR o un prompt        | **✅** (hook de CI, corre en segundos) |
 
 **Usa ambos.** La IA capta el matiz, la intención y los defectos de
 diseño que ninguna regex encuentra. Mjölnir capta los patrones
@@ -594,11 +594,20 @@ reutilizan.
   código OSS real salen en los tiers titulares (ver
   [Cuánto está medido](#cuánto-está-medido)); el pie del escaneo y
   `mjolnir rules --unmeasured` te dicen cuál es cuál.
-- **Confianza en plugins** — los plugins son paquetes npm declarados
-  bajo `"plugins"`. **No hay sandbox**: el código del plugin corre con
+- **Confianza en plugins y puerta de ejecución** — los plugins son
+  paquetes npm declarados
+  bajo `"plugins"`; los módulos JS viven en `mjolnir-rules/*.mjs`.
+  **No hay sandbox**: el código del plugin corre con
   todos los privilegios de Node, el mismo modelo de confianza que los
-  plugins de ESLint o Vitest. Los prefijos de IDs de reglas core están
-  reservados y se rechazan de los plugins para evitar suplantación.
+  plugins de ESLint o Vitest. Por eso, la ejecución de código es
+  **opt-in en cada escaneo**: pasa `--enable-plugins` (o define
+  `MJOLNIR_ENABLE_PLUGINS=1`), o las fuentes NO se cargan — un aviso
+  ruidoso en stderr lista exactamente qué se omitió. Escanear código
+  no confiable nunca lo ejecuta. Los manifiestos de reglas JSON
+  (`mjolnir-rules/*.json`) no se ven afectados: declaran patrones regex
+  y por diseño no ejecutan código. Los prefijos de IDs de reglas core
+  están reservados y se rechazan de plugins y reglas externas para
+  evitar suplantación.
 - **Reglas externas locales al workspace** (basadas en carpeta, cero
   red) — un directorio `mjolnir-rules/` junto al objetivo del escaneo
   carga reglas personalizadas: archivos JSON declaran patrones regex