Transparenz · Verlauf

Changelog

Ein transparentes Protokoll jeder wesentlichen Änderung – jeweils verknüpft mit dem RFC oder PR, der sie eingeführt hat.

Änderungen ansehen ↓ Roadmap GitHub

Framework · Website · WAFPass · Action · MCP Verknüpft mit PRs & RFCs Vollständig öffentlich

Changelog

Alle Änderungen

Komponente auswählen, um den jeweiligen Änderungsverlauf anzusehen. Jeder Eintrag verweist auf den PR oder RFC, in dem die Entscheidung getroffen wurde.

v1.0.0 veröffentlicht

WAF++ Framework v1.0.0 wurde am 12. Mai 2026 am Vorabend der Cloud Native Conference DE veröffentlicht. Alle acht Säulen sind stabil, die Controls-Bibliothek ist eingefroren und das PASS-Scoring-Modell ist finalisiert. Agentic (Säule 8) für v1.1 angekündigt.

new Pillar-8 Agentic — die Agentic-Säule (WAF-AGT) dem Framework mit Struktur, Controls, Dokumentation und regulatorischem Mapping hinzugefügt

new Deutsche Agentic-Dokumentation — vollständige Agentic-Säulen-Controls und Dokumentation auf Deutsch veröffentlicht

improvement Framework-Version 1.0.1 — Version 1.0.1 in den Antora-Komponenten-Metadaten und Dokumentations-URLs übernommen

fix Control-Sprachkonsistenz — Controls auf eine einzige Sprachquelle zurückgeführt, da Controls nur in einer Sprache existieren

new WAF++ Framework v1.0.0 — erste stabile Veröffentlichung. Alle sieben Säulen vollständig dokumentiert mit vollständigen Control-Sets, Design-Prinzipien, Best Practices, Reifegradmodellen, regulatorischen Mappings (DSGVO, BSI C5, ISO 27001, SOC 2, HIPAA, NIS2), Evidenz, Scope und Glossar. Veröffentlicht am Vorabend der Cloud Native Conference DE.

improvement Security-Pillar (Säule 1) — Dokumentation finalisiert mit vollständigem WAF-SEC-Control-Set, Zero-Trust-Modell, IAM-Hardening-Richtlinien, Verschlüsselungsanforderungen und Compliance-Evidenz-Templates

improvement PASS-Scoring-Modell v1.0 — stabile Scoring-Formel über alle sieben Säulen; Reifegrade L1 (Foundational) bis L5 (Excellence) sind festgelegt und dokumentiert

improvement Controls-Bibliothek stabilisiert — alle WAF-SEC, WAF-COST, WAF-PERF, WAF-REL, WAF-OPS, WAF-SUS und WAF-SOV Controls auf v1.0 eingefroren; Control-Schema für stabile Tooling-Integration festgelegt

new Pillar-übergreifende Referenzarchitektur — kanonische Referenzarchitektur veröffentlicht, die zeigt, wie alle sieben Säulen in einem produktiven Multi-Cloud-Deployment zusammenwirken

docs Framework-Dokumentation verfügbar unter waf2p.dev/docs/wafpp/1.0.1-de/ — stabile URL, versionierte Antora-Komponente

improvement Cost-Optimization-Pillar (Säule 2) — vollständige Dokumentation finalisiert: vollständiger Kontrollsatz, Design-Prinzipien, Best Practices, Reifegradmodell, Evidenz, Scope und Glossar (PR #16)

improvement Sovereign-Pillar (Säule 7) — vollständige Dokumentation finalisiert: vollständiger Kontrollsatz mit Best Practices, Case Studies, modularer Struktur, Reifegradmodell, Evidenz, Scope und Glossar (PR #16)

new Sustainability-Pillar (Säule 6) — vollständige Dokumentation mit 10 Controls (WAF-SUS-010 bis WAF-SUS-100), Design-Prinzipien, Best Practices (Carbon Measurement, Compute Efficiency, Data Efficiency, ESG Reporting, Green Regions, Idle Elimination, Workload Scheduling), Reifegradmodell, Evidenz, Scope und Glossar

new Performance-Efficiency-Pillar (Säule 3) — vollständige Dokumentation mit 10 Controls (WAF-PERF-010 bis WAF-PERF-100), Design-Prinzipien, Best Practices, Reifegradmodell, Evidenz, Scope und Glossar

new Reliability-Pillar (Säule 4) — vollständige Dokumentation mit Controls (WAF-REL-Reihe), Design-Prinzipien, Best Practices, Reifegradmodell, Evidenz, Scope und Glossar

new Operational-Excellence-Pillar (Säule 5) — vollständige Dokumentation mit 10 Controls (WAF-OPS-010 bis WAF-OPS-100), Design-Prinzipien, Best Practices, Reifegradmodell, Evidenz, Scope und Glossar

new Ressourcen-Seiten hinzugefügt — Control-Schema-Referenz, Regulatorisches Mapping (DSGVO, BSI, ISO 27001, SOC 2, HIPAA) und WAFPass-Integrationsleitfaden

improvement Controls-Katalog erweitert — verbesserte Navigation, Kategorisierung und Pillar-übergreifender Index in modules/controls/

new Security-Pillar (Säule 1) — Struktur übernommen, erster Inhalt und Controls hinzugefügt

infra Controls nach modules/controls/controls/ verschoben — zentrale Control-Bibliothek unter eigenem Antora-Modul

new Cost-Optimization-Pillar (Säule 2) — Initiale Struktur und Inhalt hinzugefügt

new Sovereign-Pillar (Säule 7) — erster Kontrollsatz mit 10 Controls (WAF-SOV-010 bis WAF-SOV-100)

improvement Antora-Dokumentationsindex mit vollständiger Framework-Übersicht, Pillar-Zusammenfassungen und Navigation erweitert

docs Gesamte Dokumentation auf AsciiDoc / Antora migriert — strukturierte Navigation und Komponenten-Versionierung (v1.0)

docs AGENTS.md-Richtlinien für KI-gestützte Beiträge und Inhaltsstil hinzugefügt

new CONTRIBUTING.md, CODE_OF_CONDUCT.md und SECURITY.md zum Framework-Repository hinzugefügt

fix E-Mail-Adress-Tippfehler in der Community-Dokumentation korrigiert

new Erste Beschreibungen und Kernfragen für alle 7 Säulen hinzugefügt

new Öffentlichen Roadmap-Entwurf 2026 mit Q1–Q4-Meilensteinen veröffentlicht

new Initiale Framework-Struktur: Governance, Architektur-Richtlinien, Best Practices, Ressourcen und Wording

new Framework-Repository initialisiert — erster öffentlicher Commit

Vollständiger Verlauf: github.com/waf2p/framework

new Agentic-Säule Launch (Säule 8) — neue zweisprachige Landingpages unter /pillars/agentic/ und /de/pillars/agentic/; Agentic-Karte von 'geplant' auf 'verfügbar' auf Start- und Säulen-Seiten hochgestuft; Navigation um Agentic unter Framework erweitert; einmaliges Launch-Modal hinzugefügt (einmal pro Browser)

new Erklärungs-Landingpages für alle 8 Säulen (Security, Cost Optimization, Performance Efficiency, Reliability, Operational Excellence, Sustainability, Sovereign, Agentic) auf EN und DE; Übersichtsgrids unter /pillars/ und /de/pillars/ aktualisiert, inklusive Docs-Links für ausgereifte Säulen

improvement Bilder, Assets und Artikel-Erwähnungen auf den Marketing-Seiten aktualisiert #81

new Struktur-Landingpages für Säule 8 (Agentic) und Navigations-Gerüst hinzugefügt #80

improvement Release-Countdown-Modal entfernt; Medien-Echo-Bereich auf der Presse-Seite hinzugefügt #79

new Release-Countdown-Modal und Homepage-Counter — Ankündigungs-Modal (einmal pro Browser gezeigt) und Live-Countdown-Leiste für das WAF++ 1.0 & WAFPass 1.0 Release am 12. Mai 2026; zweisprachig (EN/DE); Countdown wechselt nach dem Release-Datum zu 'live'-Meldung

improvement Changelog-Seiten (EN + DE) — v1.0.0-Einträge für alle vier Komponenten hinzugefügt (Framework, WAFPass CLI, WAFPass Dashboard, WAFPass Server); Beta-Hinweise durch grüne 'veröffentlicht'-Hinweise für alle WAFPass- und Framework-Panes ersetzt

improvement WAFPass-Seite (EN + DE) — auf v1.0.0 aktualisiert: Badge von 'v0.4.0 · Beta' auf 'v1.0.0 · Stabil' geändert; Hero-Lead aktualisiert, um das stabile Release anzukündigen; PyPI-Installationsanleitung hinzugefügt (pip install wafpass-core); Beta-Badge aus dem Anforderungsbereich entfernt; alle v0.4.0-Versionsreferenzen aktualisiert

improvement Roadmap-Seiten (EN + DE) — JETZT-Sektion von 'v1.0-Ziel' auf 'v1.0.0 veröffentlicht' aktualisiert; Kicker von 'JETZT' auf 'VERÖFFENTLICHT' geändert; alle Release-Tracker-Karten zeigen grünes Check-Kreissymbol; WAFPass-Tracker-Eintrag zeigt Progression v0.3.0 → v0.4.0 → v1.0.0

improvement WAFPass-Seite (EN + DE) — auf v0.3.0 aktualisiert: neue WAFPass-Ökosystem-Sektion mit Erklärung der Drei-Komponenten-Architektur (wafpass CLI, wafpass-dashboard, wafpass-server) und Architektur-Flussdiagramm; Dashboard-Sektion komplett überarbeitet für React/Vite SPA und FastAPI/PostgreSQL-Stack; Intelligence-Layer von 4 auf 6 Karten erweitert (Terraform-Plan-Analyse, Exploit-Pfad-Analyse hinzugefügt); Feature-Grid um Policy-Versions-Tracking und Einstellungs-Persistenz ergänzt; Badge auf v0.3.0 aktualisiert; PyPI-Hinweis aktualisiert

improvement Roadmap-Seite (EN + DE) — aktualisiert mit dem tatsächlichen Fortschritt vom März 2026: WAFPass v0.3.0 live, alle 7 Säulen vorzeitig dokumentiert, Dashboard- und Server-Stack live; Q4-2026-Karte von 'Vollständige Säulen-Ausarbeitung' zu 'Stabilisierung & Ökosystem-Wachstum' überarbeitet, da das Säulen-Meilenstein vorzeitig erreicht wurde

fix Fehlende LinkedIn-Icons behoben — 'linkedin'-Lucide-Icon (zusammen mit anderen Brand-Icons entfernt) nachträglich bereitgestellt; betrifft alle Teammitglieder-Profilseiten

improvement Changelog-Seite — Mobile-Layout korrigiert: Tab-Navigation scrollt auf kleinen Bildschirmen jetzt horizontal (overflow-x: auto, versteckter Scrollbar, nowrap-Labels) und verhindert Layout-Überlauf auf Mobilgeräten

fix Fehlende GitHub-Icons behoben — 'github'-Lucide-Icon (in Lucide v1.x durch Brand-Icons-Policy entfernt) nachträglich bereitgestellt; betrifft Footer, Navigation und alle Inhaltsseiten

improvement Startseiten-Redesign (EN + DE) — vollständige Überarbeitung beider Indexseiten: cinematischer Hero mit Gradient-Headline und KPI-Karte, 7-Säulen-Icon-Grid mit hervorgehobener Sovereign-Karte über 2 Spalten, WAFPass-Teaser-Sektion mit Terminal-Mockup und Feature-Aufschlüsselung, WAF++-Prinzip-Karten, neu gestalteter finaler CTA mit Compliance-Badges; neues home.scss-Design-Modul hinzugefügt

new Benutzerdefinierte 404-Fehlerseiten — EN + DE Versionen mit markenkonformem Layout und Navigation zurück zur Startseite

improvement Antora Docs — Sprachumschalter (EN/DE) im Header hinzugefügt; CSS und Header-Partial für zweisprachige Dokumentation aktualisiert

new Impressum-Seite (EN) — vollständig ins Englische übersetzt, Frontmatter korrigiert, mit modernem Card-Layout wie alle anderen Seiten neu aufgebaut

improvement Impressum-Seite (DE) — von einfachem text-container auf das moderne Card-Grid-Layout der EN-Seite umgestellt

fix Dark-Mode-Fix: Vision-Seite — alle hartkodierten rgba/Hex-Farben in vision-quote, vision-principle-Karten und Texten durch CSS-Variablen ersetzt

fix Dark-Mode-Fix: Vergleichstabelle — hartcodierte Hintergrund- und Rahmenfarben durch CSS-Variablen ersetzt; Icons von Textsymbolen (✔ ✖ ●) auf Lucide-Icon-Set (check-circle-2, x-circle, minus-circle) umgestellt

fix Dark-Mode-Fix: Säulen-Seite — hartkodierten #fff-Hintergrund und rgba-Rahmen auf Pillar-Karten und cta-soft durch CSS-Variablen ersetzt

improvement Navigations-Dropdown (Desktop) — 250-ms-Schließverzögerung und unsichtbare Hover-Brücke ergänzt, um versehentliches Schließen beim Bewegen zur Menüleiste zu verhindern

fix SEO: og:image der Startseite verwendet jetzt korrekt das WAF++-Logo statt des ersten Inhaltsbilds (Review-Avatar)

fix Alle 7 Säulen-Dokumentationslinks korrigiert — URL-Muster auf /docs/wafpp/1.0/pillars/{name}/ korrigiert, alle Säulen-Karten aktiviert

new WAFPass-Produktseite (BETA) — Marketing-Landingpage für das WAFPass CLI mit Browser-seitigem Controls-Download (JSZip + GitHub API), EN + DE #57

improvement Theme-Struktur aktualisiert und Dashboard-Seiten verbessert #56

fix Slack-Community-Einladungslink aktualisiert #55

fix SEO-Meta-Informationen der Artikel korrigiert #54

fix Bild-URLs der Artikel korrigiert #53

new Neuer Blog-Artikel veröffentlicht; Sprache in allen bestehenden Artikeln vereinheitlicht #51

new RFC-Tracker-Seite — datengesteuerter, tab-gefilterter Tracker für alle WAF++-Requests for Comments (EN + DE)

new GitHub-Issue-Templates für die Marketing-Website: Bug Report, Content Issue, Feature Request

improvement Presse-Seite neu gestaltet — Brand-Asset-Galerie mit Live-Vorschau, freigegebener Boilerplate-Text, Dos/Don'ts, Pressekontakt auf page@waf2p.dev aktualisiert

improvement Brand-Richtlinien aktualisiert: Kanonische URL auf waf2p.dev geändert

new Community-Seiten hinzugefügt: Mitmachen, Verhaltenskodex, Anwendungsfälle, Presse & Medien, Changelog, Auf dem Laufenden (EN + DE)

new Slack-Community-Integration — Header-Icon, Footer-Link und CTA-Sektionen auf Startseite und Governance-Seite

new Navigation erweitert: Mitmachen, Anwendungsfälle, Auf dem Laufenden unter Community; Verhaltenskodex, Presse, Changelog unter Projekt

new Umfassender SEO-Layer: Kanonische URLs, hreflang-Alternates, Open Graph Tags, JSON-LD Structured Data, XML-Sitemap #49

fix Sprachumschalter korrigiert — EN/DE-Seiten rendern jetzt durchgängig die richtige Sprache in allen Sektionen

fix Dark-Mode-Fixes für Footer-Hintergrund und Sichtbarkeit von Navigationselementen #48

new Vollständiges visuelles Redesign — neues Design-System, Komponentenbibliothek, Typografie-Skala, Hell-/Dunkelmodus #47

new Vollständig zweisprachige Website (EN/DE) — deutsche Übersetzungen für alle Marketing-Seiten mit Sprachumschalter

new Neue Seiten: Governance & Community, PASS-Scoring, Rollen & Mitglieder, Why not X?, Vision, FAQ, Legal, Übersetzungen

new Antora-Dokumentationsintegration — Docs aus dem Framework-Repository gebaut und unter /docs/ bereitgestellt

new Teammitglieder-Profile mit Einzelseiten für alle Teammitglieder

improvement Korrekturen und inhaltliche Verbesserungen bei Blog-Beiträgen #46

improvement Neue Konferenzeinträge für 2026 hinzugefügt; draw.io-Diagrammunterstützung für Architekturdiagramme ergänzt

fix Fehlende Bilder und Meta-Informationen auf mehreren Seiten korrigiert

fix URLs korrigiert und Konferenzseite aktualisiert

new Teammitglieder-Profile hinzugefügt

improvement Navigation für Docs und Konferenzen hinzugefügt

infra Dokumentation in ein eigenes Framework-Repository ausgelagert, bereitgestellt via Git-Submodul

new Erste öffentliche Version der WAF++-Marketing-Website

new Erste Seiten: Startseite, Über uns, Säulen, Blog

infra GitHub Actions Deployment-Pipeline für Jekyll + GitHub Pages

Vollständiger Verlauf: github.com/waf2p/waf2p.github.io

v1.0.0 veröffentlicht

WAFPass v1.0.0 (wafpass-core) wurde am 12. Mai 2026 gemeinsam mit Framework v1.0.0 veröffentlicht. Die CLI ist stabil, die Python-Bibliotheks-API ist auf PyPI veröffentlicht und alle 8 Säulen sind abgedeckt. Agentic (Säule 8) für v1.1 angekündigt.

breaking API-Versionierung — alle Server-Aufrufe verwenden jetzt `/api/v1/*`-Endpunkte; ältere unversionierte Pfade werden nicht mehr unterstützt

improvement Reifegrad-Gap-Analyse — `wafpass check` liefert jetzt pro-Control Reifegrad-Tier-Abdeckung und Gap-Reporting, abgestimmt auf die Dashboard-Maturity-Journey

fix Schweregrad-False-Positives — Engine ordnet keine kritische Schweregrade mehr zu, wenn eine Ressource lediglich im gescannten Scope fehlt

fix KI-erstellter Checkup-Fix — falsche `created`-Zeitstempel-Logik für KI-generierte Findings korrigiert

fix Secret-Scanner-False-Positives — False-Positives bei Terraform-Placeholder-Werten und Variablen reduziert

new Erstklassige Multi-IaC-Unterstützung — framework-bewusstes Auto-Fix funktioniert jetzt über Terraform, Bicep, CDK und Pulumi in einem einzigen Scan-Lauf

new Pillar-8 Agentic-Unterstützung — die Agentic-Säule (WAF-AGT) wird jetzt von `wafpass check` evaluiert; Controls und Scoring integrieren mit dem Dashboard

new Pipelines-Ansicht — neue Seite zur Visualisierung von Scan- und Remediation-Pipelines im Dashboard

improvement Erweiterte Cloud-Provider-Regionenabdeckung — Scaleway, IONOS, UpCloud und Cleura Rechenzentren hinzugefügt; Regionserkennung und Provider-Metadaten aktualisiert

fix Regionserkennungs-Fixes — Erkennung für SINA Cloud und UpCloud korrigiert sowie Randfälle bei der projekt-/run-basierten RBAC-Regionserkennung behoben

fix Severity-Handling-Fix — Tippfehler im Control-Handling korrigiert, der die Schweregrad-Zuweisung beeinflusst hat

new Control Pack Verwaltung — `wafpass control pack init`- und `wafpass control pack update`-Befehle für versionierte Control-Snapshots; regulatorisches Mapping im controls-releases-Verzeichnis gespeichert

new Internationalisierungsunterstützung — vollständiges i18n-System mit 6+ Sprachen; Englisch und Deutsch vollständig übersetzt; Framework zum Hinzufügen neuer Sprachen

new WAFPass v1.0.0 — erste stabile Veröffentlichung der WAFPass CLI (wafpass-core). Python-Bibliotheks-API (run_scan / WafpassResultSchema) ist stabil und auf PyPI veröffentlicht. CLI-Interface eingefroren. Veröffentlicht zusammen mit WAF++ Framework v1.0.0 am Vorabend der Cloud Native Conference DE.

improvement Vollständige 7-Säulen-Control-Abdeckung — Controls für WAF-SEC, WAF-COST, WAF-PERF, WAF-REL, WAF-OPS, WAF-SUS und WAF-SOV werden alle in einem einzelnen wafpass check-Lauf ausgewertet; Pillar-Loading ist vollständig dynamisch

improvement Stabiles regulatorisches Mapping — alle Controls tragen gesperrte DSGVO, BSI C5, ISO 27001, SOC 2, HIPAA und NIS2-Tags für v1.0; das Mapping wird von PDF-Reports und der Dashboard-Gap-Analysis-Seite verwendet

improvement Control-Authoring (wafpass control generate) stabil — Wizard, Validator und Checkov-Export sind Teil des stabilen v1.0-Interface

docs Auf PyPI als wafpass-core 1.0.0 veröffentlicht — pip install wafpass-core installiert die stabile CLI und Python-Bibliothek

new Authentifizierungsmodul — `wafpass login` authentifiziert sich gegen wafpass-server und speichert einen Bearer-Token; alle nachfolgenden CLI-Aufrufe verwenden ihn automatisch; `wafpass auth status` zeigt die aktive Session; `wafpass auth logout` löscht gespeicherte Anmeldedaten

new Gruppen-Rollen-Mapping — `wafpass auth roles` listet die vom Server zugewiesenen Rollen auf; rollengerechte CLI-Ausgabe passt Meldungen für Team-Deployments an

new API-Key Bearer-Token — `--api-key`-Flag oder `WAFPASS_API_KEY`-Umgebungsvariable fügt den Token in jede Server-Anfrage ein; ermöglicht headlose CI/CD-Läufe ohne interaktives Login

new `stage`-Feld in der Run-Ausgabe — `--stage`-CLI-Flag (dev / staging / prod / etc.) wird in `WafpassResultSchema` gespeichert und an wafpass-server übermittelt; ermöglicht Compliance-Vergleiche je Stage

new Evidence-Lock mit QR-Code — `wafpass evidence lock` signiert das aktuelle Compliance-Evidence-Paket kryptografisch und erstellt einen QR-Code, der auf den unveränderlichen gesperrten Eintrag in wafpass-server zeigt; ermöglicht Offline-Verifikation von Audit-Nachweisen

infra Pre-Commit-Hooks — `hooks/install.sh` und `hooks/install.ps1` fügen Commit-Zeitprüfungen für Formatierung, Linting und Test-Gates hinzu; Einrichtung in README und TECH.md dokumentiert

new Übersprungene Controls — Terraform-Plugin sammelt jetzt übersprungene Controls und stellt sie in der Run-Ausgabe bereit; `WafpassResultSchema` enthält eine `skipped_controls`-Liste mit Anzahl und control-spezifischen Skip-Gründen #22

docs Umgebungseinrichtungsdokumentation — `.env.example` dem Repository hinzugefügt; TECH.md mit Umgebungsvariablen-Referenz und lokalem Einrichtungsleitfaden aktualisiert #22

new Secret-Findings-Persistenz — Secret-Scanner-Ergebnisse werden jetzt über die secret_findings-JSONB-Spalte in wafpass-server gespeichert; Ergebnisse werden bei jedem Scan synchronisiert und sind sitzungsübergreifend im Dashboard sichtbar

new Python-Bibliotheks-API — wafpass-core stellt jetzt eine stabile öffentliche API bereit: run_scan(paths, controls_dir) → WafpassResultSchema; Engine kann direkt in Python-Anwendungen oder Pipelines eingebettet werden ohne das CLI aufzurufen

docs TECH.md hinzugefügt — umfassende technische Referenz zu interner Architektur, IaC-Plugin-System, Assertion-Evaluierungs-Loop, SKIP-Semantik, Scoring-Formel, bekannten nicht implementierten Operatoren und Beitragshinweisen

new wafpass control — neue Subcommand-Gruppe zum Erstellen, Validieren und Verwalten von WAF++-Controls direkt aus dem CLI

new wafpass control generate — interaktiver 7-Schritte-Assistent zum Erstellen neuer WAF++-Controls: Anforderung beschreiben, klassifizieren (Pillar, Schweregrad, Typ), Checks definieren, Vorschau und Bearbeiten (YAML + $EDITOR), validieren, exportieren (YAML-Control + Checkov-Python-Stub) und optional an wafpass-server pushen; unterstützt auch den nicht-interaktiven Modus via JSON/YAML-Spec-Datei (--non-interactive)

new wafpass control validate — beliebige YAML-Control-Datei gegen das WizardControl-Pydantic-Schema validieren; gibt bei Erfolg id, Pillar und Schweregrad aus, bei Fehler detaillierte Feldebenen-Fehler

new wafpass control list — alle Controls im Controls-Verzeichnis auflisten, als Tabelle mit id, Pillar, Schweregrad und Typ dargestellt

new wafpass control show — vollständiges YAML eines einzelnen Controls anhand der ID ausgeben

new Checkov-Integration — Controls können jetzt den 'checkov'-Engine als Ziel angeben; wafpass control generate exportiert einen Python-Checkov-Check-Stub neben der YAML-Control-Datei und ermöglicht so Policy-as-Code-Durchsetzung über Checkov-Pipelines

new control_schema.py — Pydantic-Schema (WizardControl, WizardCheck) als Single Source of Truth für die Validierung wizard-generierter Controls; definiert erlaubte Pillars, Schweregrade, Typen und Engines (terraform, checkov, manual)

new Terraform-Plan-Dry-Run-Analyse — WAFPass kann jetzt die Terraform-Plan-Ausgabe parsen und Security-, Compliance- und Blast-Radius-Auswirkungen vor `terraform apply` auswerten

new Exploit-Pfad-Analyse — Controls können jetzt Angriffsketten und Exploit-Pfade aufzeigen, die zu einem Fehler-Status führen, visualisiert im Dashboard

new Einstellungs-Persistenz — CLI- und Dashboard-Einstellungen (API-URL, Report-Präferenzen, Schwellenwerte) werden jetzt sitzungsübergreifend gespeichert

new Policy-Versions-Tracking — Controls tragen jetzt ein Policy-Versionsfeld, das die Erkennung veralteter Controls gegenüber der aktuellen Framework-Version ermöglicht

new Changelog- und Installations-Tab im Dashboard — In-App-Changelog und Installationsanleitung direkt aus dem Web-UI zugänglich

infra Architekturelle Aufteilung — Dashboard-UI in wafpass-dashboard (React / Vite SPA) und Persistenzschicht in wafpass-server (FastAPI / PostgreSQL) ausgelagert; das wafpass CLI bleibt die zentrale Evaluierungs-Engine

improvement Erweiterte CLI-Evaluierungsbefehle — zusätzliche Control-Evaluierungsfähigkeiten und verbesserter Output für programmatische Weiterverarbeitung

improvement Dashboard-Datenschema aktualisiert — erweitertes Schema für reichhaltigere Control- und Run-Metadaten zur Unterstützung der neuen Dashboard- und Server-Funktionen

new Web-UI — browserbasiertes Dashboard zur Visualisierung von Control-Ergebnissen, Compliance-Status und Detailansicht je Control #13

improvement Mobil-responsives Dashboard-Theme #13

new Deployed Regions — Compliance-Output enthält jetzt Informationen zu deployten Regionen je Control #13

new Sandbox-Umgebungsunterstützung — Controls können im Sandbox-Modus evaluiert werden #13

new Risiko-Akzeptanz (Waivers) — Controls können über eine Waivers-Datei explizit mit Begründung akzeptiert werden #13

new Auto-Fix-Engine — automatisierte Behebungsvorschläge und Fixes für fehlschlagende Controls #13

fix Favicon zur Web-UI hinzugefügt #13

new Carbon-Footprint-Schätzung — ESG-Modul verfolgt und berichtet den CO₂-Einfluss von Cloud-Workload-Entscheidungen #12

new Secret-Scanner und Remediation — erkennt exponierte Secrets in Konfigurationen und liefert umsetzbare Behebungshinweise #11

new Blast-Radius-Informationen für Controls — jede Control enthält jetzt eine Blast-Radius-Bewertung zur Quantifizierung des potenziellen Ausfallimpakts #10

docs Erlaubter Git-Workflow dokumentiert — Contributing-Guide für Branching, PRs und Release-Prozess dem Repository hinzugefügt

fix Release-Workflow korrigiert — GitHub-Actions-Pipeline für PyPI-Publishing schlug fehl; Pfad- und Trigger-Probleme behoben #9

infra Release-Workflow-Fix-Versuch — Zwischenlösung für die defekte PyPI-Release-Automation #8

new Alicloud, Yandex Cloud und Oracle Cloud Rechenzentrumsunterstützung zum geografischen Datenmodell hinzugefügt #3

new Executive Summary in PDF-Reports hinzugefügt — übergeordnete Compliance-Übersicht am Anfang jedes Reports #3

new Decision Board in PDF-Reports hinzugefügt — strukturierter Entscheidungsunterstützungsbereich für Stakeholder-Kommunikation #3

improvement Finanzielle Auswirkungen in PDF-Reports in separate Wurzelgruppen aufgeteilt für klarere Risikokostenzuordnung #3

new Multi / Split-Report-Modus — ein einzelner wafpass-Lauf kann jetzt separate Reports pro Säule oder Modul erzeugen #3

new Intentionales Skip-Feature — Controls können über eine Skip-Datei explizit als übersprungen markiert werden; übersprungene Controls werden im Report ausgegeben #3

fix CLI Skip-Datei-Erkennung — Pfadauflösung für die Skip-Konfigurationsdatei korrigiert #3

new Risikoschätzung in PDF-Reports — faktenbasierte Risikoschätzung und Risikokostenabschätzung dem Compliance-Report-Output hinzugefügt #3

new OpenStreetMap-Integration in PDF-Reports — geografische Karte wird direkt in der PDF-Ausgabe gerendert #3

new Regionale Verteilungskarte in PDF-Reports — Karte zur Visualisierung der weltweiten Datenverteilung über Regionen #3

new Regulatorisches Controls-Mapping — Controls können nun in PDF-Reports regulatorischen Rahmenwerken (z.B. DSGVO, BSI, ISO 27001) zugeordnet werden #3

new Dynamisches Pillar-Laden — Control-Logik ist jetzt in jeder Control-Datei eingebettet; neue Pillars werden automatisch ohne Code-Änderungen geladen #2

new PDF-Export der Compliance-Check-Ergebnisse — teilbare Reports direkt aus dem CLI #2

new Security-Pillar-Checks (Säule 1) hinzugefügt — erster Nicht-Cost-Kontrollsatz integriert #2

new Initiale Control-Check-Applikation — Basis-Architektur, Control-Loading und Pillar-Evaluierungs-Engine #1

infra WAFPass-Repository initialisiert — erster öffentlicher Commit

Vollständiger Verlauf: github.com/waf2p/pass

v1.0.0 veröffentlicht

WAFPass Dashboard v1.0.0 ist die stabile React / Vite SPA-Begleitanwendung zum WAFPass CLI. Alle 22+ Seiten sind stabil. Verbindet sich mit wafpass-server und visualisiert Compliance-Status, Exploit-Pfade, Gap-Analyse und Audit-Evidenz.

breaking API-Versionierung — Dashboard ruft jetzt `/api/v1/*`-Endpunkte auf wafpass-server auf; unversionierte API-Routen werden nicht mehr verwendet

improvement Reifegrad-Gap-Analyse — Projektübersicht und Maturity Journey zeigen jetzt pro-Control Tier-Abdeckung und Gap-Reporting

new Control-Center-Dashboard — überarbeitete Projektübersicht mit neuen Control-Center-Dashboards und konsolidierter Navigation

improvement Modernes Theme, Tour und Hilfe — mehrere Seiten auf modernes Theme aktualisiert; geführte Tour und kontextuelle Hilfe hinzugefügt; Maturity Journey neu gestaltet

fix Navigations-Fixes — Routing und Active-State-Probleme in der neuen Navigationsstruktur korrigiert

new Pillar-8 Agentic-Unterstützung — Agentic-Säulen-Controls (WAF-AGT), Scoring und Gap-Analyse jetzt im Dashboard verfügbar

new Pipelines-Ansicht — neue Dashboard-Seite zur Visualisierung von Scan- und Remediation-Pipelines

new Benachrichtigungssystem — In-App-Benachrichtigungen für Control-Updates, Scan-Abschlüsse und Team-Events

improvement Neue Navigation und Footer — überarbeitete mobile Navigation und Footer-Komponenten

improvement Erweiterte Cloud-Provider-Regionenabdeckung — Scaleway, IONOS, UpCloud und Cleura Rechenzentren hinzugefügt; Regionserkennung, Provider-Labels und Farben aktualisiert

fix Regionserkennungs-Fixes — Erkennung für SINA Cloud und UpCloud korrigiert, projekt-/run-basierte RBAC-Regionserkennung behoben und ein Display-Hotfix-Problem gelöst

fix PDF-Report-Fix — ein PDF-Generierungsproblem behoben, das in der v1.0.0-Veröffentlichung aufgetreten war

fix Severity-Handling-Fix — Tippfehler im Control-Handling korrigiert, der die Schweregrad-Zuweisung beeinflusst hat

docs Rechtliche Informationen — fehlende rechtliche Informationen und Footer-Links hinzugefügt

new Control-Pack-Systemintegration — Dashboard spiegelt versionierte Control-Snapshots von wafpass-server wider; Control-Update-Benachrichtigungen bei Versionsdrift von lokalen Packs

new Vollständige Internationalisierung — volle Unterstützung für 6+ Sprachen (en, de, fr, es, pt, br); alle 58+ Seiten vollständig lokalisert mit übersetzten UI-Strings, Hilfetexten und Fehlermeldungen

new LANGUAGE.md-Dokumentation — vollständiger i18n-Leitfaden mit Dokumentation des Übersetzungsworkflows, Hinzufügen neuer Sprachen und Verwalten von Locale-Dateien

new i18n-Framework — `src/i18n/`-Verzeichnis mit Locale-Loadern, Übersetzungs-Kontext und Sprachauswahl-Komponente; Sprachumschaltung zur Laufzeit ohne Neuladen der Seite

new wafpass-dashboard v1.0.0 — erste stabile Veröffentlichung. Alle 22+ Seiten sind stabil und werden mit dem v1.0.0-Docker-Image ausgeliefert. Vollständige SSO-Integration (OIDC/SAML2) und rollenbasierte Zugriffskontrolle (clevel → ciso → architect → engineer) standardmäßig aktiviert.

improvement Evidence-Package-Seite (#/evidence) stabil — audit-fähiger HTML-Bericht mit regulatorischem Mapping, aktiven Waivers, Risk-Acceptances und eingebettetem JSON-Manifest; für regulatorische Einreichungen als PDF druckbar

improvement Gap-Analysis-Seite (#/gapanalysis) stabil — regulatorische Gap-Analyse deckt SOC 2, ISO 27001, PCI-DSS, DSGVO, BSI C5, HIPAA und NIS2 ab; direkt mit den regulatorischen Tags der v1.0.0-Controls verknüpft

improvement Reifegradvoreinstellungen (L1–L5) eingefroren — Control-Sets und Feature-Toggles für jeden Reifegrad sind auf v1.0.0 eingefroren und mit dem PASS-Scoring-Modell abgestimmt

new Docker-Image als waf2p/wafpass-dashboard:1.0.0 auf Docker Hub veröffentlicht — stabiles Tag; als Standalone (nginx) oder als Teil des vollständigen WAFPass-Stacks deploybar

new Projektübersichts-Seite (`#/projects`) — projektbezogene Compliance-Zusammenfassung, Run-Historie, Score-Timeline und Teammitgliederliste

new Passport-Dashboard-Seite (`#/passport`) — Projekt-Reifegradpass mit PASS-Score-Ebenen, aktiver Pillar-Abdeckung, regulatorischem Badge-Raster und einem in wafpass-server konfigurierbaren teilbaren Passport-Bild

new Leaderboard-Seite (`#/leaderboard`) — Team-Compliance-Leaderboard nach PASS-Score geordnet mit Score-Delta-Badges je Mitglied

new Badges-Seite (`#/badges`) — verdiente Achievement-Badges je Nutzer; Badge-Verifikations-Drawer zeigt den von wafpass-server abgerufenen ECDSA-signierten Nachweis

improvement Evidence-Seite überarbeitet — Evidence-Package-Seite überarbeitet, um den Evidence-Lock-Flow zu unterstützen; gesperrte Evidence-Einträge zeigen einen SHA-256-Fingerprint und einen QR-Code zur Offline-Audit-Verifikation

infra Test-Suite eingeführt — `src/__tests__/api.test.ts`, `audit.test.ts` und `useControlsCatalogue.test.ts` hinzugefügt; vitest-Konfiguration enthalten; deckt API-Helfer, Audit-Utilities und den Controls-Katalog-Hook ab

infra Sidebar-Komponente ausgelagert — `src/components/Sidebar.tsx` ersetzt die interne Navigation in `App.tsx`; Routing für alle neuen Seiten überarbeitet; Navigationszustand über `AuthContext` verwaltet

new Login-Seite — `/login`-Route mit JWT-Authentifizierungsformular; `AuthContext` verwaltet Token-Speicherung, Refresh und Logout-Zustand in der gesamten SPA

new Benutzerverwaltungs-Seite (`#/users`) — Benutzer auflisten, einladen und entfernen; Rollen je Benutzer innerhalb der konfigurierten Rollenhierarchie (clevel → ciso → architect → engineer) zuweisen

new API-Management-Seite (`#/api-management`) — API-Keys für CI/CD-Integrationen generieren und widerrufen; per-Key-Nutzungsprotokoll aus wafpass-server anzeigen

new SSO-Einstellungs-Seite (`#/sso-settings`) — OIDC- und SAML2-Identity-Provider direkt im Dashboard konfigurieren; Test-Provider-Verbindungsschaltfläche sendet eine Live-Validierungsanfrage an wafpass-server

new Gruppen-Mapping-Seite (`#/group-mappings`) — IdP-Gruppenansprüche je Provider auf WAFPass-Rollen abbilden; in wafpass-server gespeicherte Mappings erstellen, bearbeiten und löschen

new Run Scan aus der UI — RunScanPage sendet POST `/api/scans` an wafpass-server und streamt das Ergebnis ins Dashboard; beseitigt die Abhängigkeit von einer lokalen CLI-Installation für interaktives Scanning

new Stage-Anzeige in der Run-Liste — Runs-Liste zeigt jetzt ein Deployment-Stage-Badge (dev / staging / prod), das aus dem pro-Run gespeicherten `stage`-Feld stammt

improvement Access-Roles-Seite neu gestaltet — RBAC-Geltungsbereichsannotierungen je Funktion hinzugefügt; Seite spiegelt jetzt die vollständige Rollenhierarchie aus wafpass-server wider

improvement Dashboard-Seite neu gestaltet — DashboardPage komplett neu aufgebaut mit neuen KPI-Karten, Compliance-Score-Ring, Pillar-für-Pillar-Aufschlüsselung und verbesserter Run-Vergleichsansicht; CostImpactPage an das neue Design-System angepasst

new Skipped-Controls-Seite (`#/skipped`) — dedizierte Seite mit allen im letzten Run übersprungenen Controls mit Skip-Grund und Pillar-Aufschlüsselung

fix Issue #2 — Renderfehler in der Run-Liste korrigiert; Issue #3 — Anzeige des Waiver-Ablaufdatums korrigiert #4

new Run-Vergleichs-Seite (#/diff) — Finding-Level-Diff zwischen zwei beliebigen gespeicherten Runs nebeneinander; hebt neu eingeführte, gelöste und unveränderte Findings über die Run-Historie hervor

new Secret-Scanner-Seite (#/secrets) — dedizierte Ansicht für Hardcoded-Credential-Findings; Ergebnisse werden in wafpass-server gespeichert und sitzungsübergreifend angezeigt; Findings enthalten Dateipfad, Zeile, Secret-Typ und Schweregrad

new Module-Scores-Seite (#/modules) — Pass-Rate-Aufschlüsselung pro Terraform-Modul; zeigt, welche Module am stärksten zu Compliance-Fehlern und Score-Regressionen beitragen

new Audit-Log-Seite (#/audit) — zeitgestempeltes Ereignisprotokoll aller Waiver- und Risk-Acceptance-Erstell-/Aktualisierungs-/Löschereignisse; als CSV oder JSON exportierbar; enthält First-Seen-Failure-Tracking je Control

new Änderungs- & Drift-Seite erweitert (#/changes) — neue Drift-Erkennungsansicht neben der Terraform-Plan-Änderungsansicht; zeigt Controls, die zwischen Runs ihren Status geändert haben, ohne explizite Code-Änderung

new Gap-Analysis-Seite (#/gapanalysis) — regulatorische Gap-Analyse mit dem kürzesten Weg zur vollständigen Compliance für jedes unterstützte regulatorische Rahmenwerk (SOC2, ISO 27001, PCI-DSS, DSGVO, BSI C5, HIPAA, NIS2)

new Kostenauswirkungs-Seite (#/cost) — $/Monat-Auswirkungsschätzung für fehlschlagende WAF-COST-Controls; quantifiziert das finanzielle Risiko jedes fehlschlagenden Cost-Controls, damit Remediation nach Business-Impact priorisiert werden kann

new Waivers-Seite (#/waivers) mit Server-Persistenz — Waivers werden über die /waivers-API in wafpass-server gespeichert; lokale Waivers werden automatisch mit dem Server synchronisiert, sobald eine Verbindung besteht (konfigurierbar in den Einstellungen)

new Risk-Acceptance-Seite (#/risk) — Restrisiken formal akzeptieren mit Genehmiger-Abzeichnung, RFC-Referenz, Jira-Link, Risikolevel und Ablaufdatum; wird in wafpass-server mit vollständiger Rückverfolgbarkeit gespeichert

new Evidence-Package-Seite (#/evidence) — erstellt einen eigenständigen zeitgestempelten HTML-Audit-Bericht für Auditoren; enthält bestandene Controls mit regulatorischem Mapping, aktive Waivers, Risk-Acceptances, Audit-Ereignisprotokoll und eingebettetes JSON-Manifest; für die Einreichung als PDF druckbar

new Persistente Deep-Links — jede Seite und Run-Kombination hat eine teilbare URL; ein Copy-Link-Schaltfläche in der Kopfzeile kopiert den aktuellen Deep-Link in die Zwischenablage

new Sandbox-Deep-Link — Sandbox-Run-Ergebnisse können als Lesezeichen gespeichert und über eine stabile URL geteilt werden; Ergebniszustand wird für sofortige Wiedergabe in der URL kodiert

new Findings-Massenaktionen — mehrere Findings per Checkbox auswählen, um alle Ausgewählten zu waiven (gemeinsamer Grund, Eigentümer, Ablauf) oder als CSV zu exportieren; CSV-Export der gefilterten Ansicht immer in der Filterleiste verfügbar

improvement Einstellungen: Reifegradvoreinstellungen — fünf Voreinstellungen (L1 Foundational bis L5 Excellence) konfigurieren aktive Controls, Pillars und Feature-Toggles; Runtime-Server-URL-Überschreibung in localStorage ohne Neubau gespeichert

improvement Leerstatusführung — alle Seiten zeigen jetzt kontextbezogene Hinweise, wenn keine Daten verfügbar sind, und leiten Benutzer zum Ausführen eines Scans oder zur Konfiguration der Serververbindung

fix Blast-Radius- und Abhängigkeitsgraph-Ansicht korrigiert — Rendering-Randfälle mit zirkulären Abhängigkeiten und fehlenden Knoten behoben

docs TECH.md hinzugefügt — dokumentiert Routing-Implementierung, Seiteninventar, Reifegradkonfiguration, LocalStorage-Schema und Komponentenbeitragshinweise

new Controls-Katalog-Seite — ersetzt die Controls-Bibliothek durch einen vollständigen Katalog, der WAF++-Core-Controls und via wafpass control generate erstellte Custom-Controls vereint; unterstützt Filterung nach Pillar, Schweregrad, Typ und Engine (terraform, checkov, manual)

improvement Navigation: 'Controls Library' in 'Controls Catalogue' umbenannt — spiegelt den erweiterten Seitenumfang wider (Core-Controls, Custom-Controls, Browsen, Filtern, Erstellen und Exportieren)

new Checkov-Engine-Badge im Katalog — Controls, die den Checkov-Engine als Ziel haben, werden mit einem eigenen Badge angezeigt und von Terraform- und manuellen Controls unterschieden

improvement Controls-API-Integration — Katalog ruft Controls über die wafpass-server /controls-Endpunkte ab und erstellt sie dort, sodass über CLI oder Wizard erstellte Custom-Controls in Echtzeit neben Framework-Controls erscheinen

new Terraform-Plan-Änderungsseite — visualisiert Ressourcen-Änderungen eines Terraform-Plan-Dry-Runs vor dem Apply; integriert mit wafpass-server

improvement Dashboard-Seite überarbeitet — reichhaltigere Metriken, Control-Status-Aufschlüsselung, Compliance-Score-Timeline und Run-Vergleichsansicht

improvement Exploit-Pfad-Seite neu gestaltet — klarere Angriffsketten-Visualisierung mit Schweregrad-Badges und Remediation-Links

improvement Controls- und Run-Scan-Seiten poliert — verbessertes Layout, Filterung und Benutzerinteraktionsflüsse

fix Bugfix im Release-Workflow und fehlende Datei ergänzt

new Vollständige SPA — Seiten für Dashboard, Compliance, Controls, Findings, Regionen, Risiko-Akzeptanz (Waivers), Sandbox, Einstellungen, Exploit-Pfade und Run-Scan

new React / Vite SPA mit Docker + nginx — eigenständiger Container hinter nginx; deploybar als Standalone oder als Teil des WAFPass-Stacks

Vollständiger Verlauf: github.com/waf2p/wafpass-dashboard

v1.0.0 veröffentlicht

WAFPass Server v1.0.0 ist die stabile FastAPI / PostgreSQL-Persistenzschicht des WAFPass-Stacks. Vollständiges SSO (OIDC/SAML2), API-Key-Verwaltung, rollenbasierte Zugriffskontrolle und alle 14 Datenbankmigrationen sind im stabilen Docker-Image enthalten.

breaking API-Versionierung — alle REST-Endpunkte befinden sich jetzt unter `/api/v1/*`; unversionierte Routen wurden entfernt

improvement Reifegrad-Gap-Analyse-API — neue Endpunkte und Schema-Felder für projektbezogene Reifegrad-Tier-Abdeckung und Gap-Reporting

new Framework-Release-Sync — Server lädt veröffentlichte Framework-Versionen von GitHub Releases herunter und synchronisiert Control-Packs nach `WAFPASS_CONTROLS_DIR`

fix Alembic-Migrationskette — fehlende Migration 0009 wiederhergestellt, Dockerfile bereinigt und Alembic-Ketten-Test zur CI hinzugefügt

new Pillar-8 Agentic-Unterstützung — Server-seitige Unterstützung für die Agentic-Säule (WAF-AGT): Schema-Updates, Control-Ingestion und Scoring-APIs

new Pipelines-Ansicht-API — neue Backend-Endpunkte und Datenmodell für die Pipelines-Ansicht in wafpass und Dashboard

new Benachrichtigungssystem — Server-seitige Benachrichtigungsinfrastruktur für Scan-Abschlüsse, Control-Updates und Team-Events

improvement Erweiterte Cloud-Provider-Regionenabdeckung — Scaleway, IONOS, UpCloud und Cleura Rechenzentren dem Regions-Schema und der Erkennungslogik hinzugefügt

fix Regionserkennungs-Fixes — Erkennung für SINA Cloud und UpCloud korrigiert sowie Randfälle bei der projekt-/run-basierten RBAC-Regionserkennung behoben

fix Severity-Handling-Fix — Tippfehler im Control-Handling korrigiert, der die Schweregrad-Zuweisung beeinflusst hat

new Versioniertes Control-Snapshot-System — `wafpass control pack init`- und `wafpass control pack update`-Befehle; Snapshots in `controls-releases/` mit Versions-Tags und regulatorischen Mapping-Dateien gespeichert

improvement Control-Update-Verwaltung — `wafpass control update` lädt die neuesten Control-Packs aus dem zentralen Registry herunter und validiert sie; erkennt Versionsdrift zwischen lokalen Controls und veröffentlichten Packs

new wafpass-server v1.0.0 — erste stabile Veröffentlichung. Vollständiger Authentifizierungs-Stack (lokale Accounts, OIDC, SAML2, CI/CD-API-Keys), vollständige Rollenhierarchie (clevel → ciso → architect → engineer → admin), alle 14 Alembic-Migrationen enthalten und produktionsreifes Docker-Image veröffentlicht.

new Vollständige SSO-Unterstützung — OIDC- und SAML2-Provider konfigurierbar über die sso_configs-Tabelle (Migration 0013); Gruppen-zu-Rollen-Mapping über group_role_mappings (Migration 0014)

new API-Key-Verwaltung mit Usage-Logging — api_keys (Migration 0010) und api_key_usage_logs (Migration 0011) ermöglichen CI/CD-Integrationen mit vollständiger Audit-Trail

new Benutzer-Audit-Log — user_audit_logs (Migration 0012) protokolliert alle für den Benutzer sichtbaren Zustandsänderungen für Compliance und Rückverfolgbarkeit

improvement OpenAPI-Dokumentation stabil unter /api/docs — alle Endpunkte dokumentiert, typisiert und durch Integrationstests abgedeckt

new Project Passport — `/api/projects`-Router mit Alembic-Migrationen 0016 (`add_project_passports`) und 0017 (`add_passport_image_url`); speichert pro-Projekt-Reifegradmetadaten und eine individuelle Passport-Bild-URL; zurückgegeben über `PassportOut`-Schema

new Leaderboard, Badges und Achievements — `/api/leaderboard`-, `/api/badges`- und `/api/achievements`-Router; Alembic-Migration 0018 (`add_achievements`); Achievement-Grants werden ECDSA-signiert für kryptografische Verifikation; Badge-Earn-Events werden durch Scan-Läufe ausgelöst

infra Compliance-Audit-Ereignisprotokoll — Alembic-Migration 0019 (`add_compliance_audit_events`) und `/api/compliance-audit`-Router; strukturiertes Protokoll compliance-relevanter Zustandsänderungen bei Waivers, Risk-Acceptances und Run-Ergebnissen

infra Run-Findings-Tabelle — Alembic-Migration 0023 (`run_findings_table`) lagert Finding-Datensätze aus dem Run-JSONB-Blob in eine dedizierte Tabelle aus; ermöglicht server-seitige Filterung, Paginierung und First-Seen-Tracking

infra Typisierte Ablaufdaten — Alembic-Migration 0022 (`typed_expiry_dates`) konvertiert alle Text-Ablaufdatum-Spalten in waivers und risk_acceptances zu `timestamptz` für zuverlässige Sortierung und Vergleiche

infra Refresh-Token-Family — Alembic-Migration 0021 (`add_refresh_token_family`) fügt familienbasierte Refresh-Token-Rotation hinzu, um Token-Wiederverwendungsangriffe zu verhindern

infra Runs-Cursor-Index — Alembic-Migration 0020 (`add_runs_cursor_index`) fügt einen B-Tree-Index auf `(project, created_at)` für effiziente cursor-basierte Run-Historie-Paginierung hinzu

infra Secret-Verschlüsselung im Ruhezustand — `secret_enc.py`-Modul verschlüsselt alle Secret-Klassen-Felder (OIDC-Client-Secrets, SAML-Private-Keys) mit `WAFPASS_ENCRYPTION_KEY` vor Datenbankschreibvorgängen; transparente Entschlüsselung beim Lesen

fix OIDC-Sicherheitshärtung — `oidc_callback` ruft jetzt den IdP-JWKS-Endpunkt ab und verifiziert die `id_token`-Signatur; Nonce ist im signierten State-JWT eingebettet und wird im Callback validiert, um Replay-Angriffe zu verhindern; gefälschte Tokens geben `sso_error=token_verification_failed` zurück

fix JWT- und Encryption-Key-Startvalidierung — `Settings`-Modell wirft beim Start `ValueError`, wenn `WAFPASS_JWT_SECRET` noch den Standardwert hat oder `WAFPASS_ENCRYPTION_KEY` in nicht-lokalen Umgebungen nicht gesetzt ist; lokale Entwicklung ist nicht betroffen

new `/scans` REST-Endpunkt — POST `/api/scans` startet einen wafpass-Scan remote vom Dashboard aus; akzeptiert eine Projektreferenz und gibt ein gestreamtes Run-Ergebnis zurück; integriert mit der Run-Scan-Seite in wafpass-dashboard

new Autorisierungsschicht — JWT-basierte Authentifizierung für alle geschützten Endpunkte hinzugefügt; `/api/auth/*`-Routen umfassen Login, Logout, Token-Refresh und Current-User; lokaler Account-Provider mit `WAFPASS_JWT_SECRET`- und `WAFPASS_ENV`-Konfigurationsschlüsseln enthalten

new Evidence REST API — `/api/evidence`-Router mit Alembic-Migration 0015 (`add_evidence`); Evidence-Pakete werden kryptografisch mit SHA-256-Fingerprint und QR-Code-URL gesperrt; gesperrte Einträge sind unveränderlich

infra Stage-Feld bei Runs — Alembic-Migration 0008 (`add_stage_to_runs`) fügt eine `stage`-Spalte zur Runs-Tabelle hinzu; `RunIn`/`RunOut`-Schemas und der Runs-Router stellen das Feld für stage-spezifische Compliance-Filterung bereit

fix Skipped-Controls-Endpunkt — Server gibt `skipped_controls`-Daten aus dem Run-JSONB korrekt aus, um die neue Seite für übersprungene Controls in wafpass-dashboard zu unterstützen #4

fix Abhängigkeitskorrektur — pyproject.toml-Abhängigkeiten korrigiert; entfernt Versionskonflikte, die eine saubere Installation verhinderten #2

new Secret-Findings-Persistenz — neue secret_findings-JSONB-Spalte im Run-Modell speichert Hardcoded-Credential-Findings des wafpass Secret Scanners; Alembic-Migration 0006_add_secret_findings wird automatisch beim Container-Start angewendet

new Waivers REST API — neuer /waivers-Router mit GET (Liste, projektgefiltert), PUT (idempotenter Upsert nach Control-ID) und DELETE; lokal im Dashboard erstellte Waivers werden mit dem Server synchronisiert, sobald eine Verbindung besteht

new Risk-Acceptances REST API — neuer /risks-Router mit GET, PUT (Upsert mit Genehmiger, RFC, Jira-Link, Risikolevel, Restrisiko, Ablaufdatum) und DELETE; formal akzeptierte Risiken werden mit vollständigen Rückverfolgbarkeits-Metadaten gespeichert

infra Alembic-Migration 0007_add_waivers_risks — fügt waivers- und risk_acceptances-Tabellen mit Feldern für reason, owner, expires, project, approver, rfc, jira_link, risk_level, residual_risk und accepted_at hinzu

new Sandbox-Deep-Link-Unterstützung — Sandbox-Endpunkt erweitert, um Deep-Links für Evaluierungssessions zu unterstützen; das Dashboard kann eine teilbare URL für jedes Sandbox-Run-Ergebnis generieren

docs TECH.md hinzugefügt — technische Referenz zu Request-Lifecycle, Datenbank-Session-Management, JSONB-Speicherstrategie, ORM-Modell-Designentscheidungen und Migrationshistorie

new Controls REST API — neuer /controls-Router mit POST (idempotenter Upsert nach id), GET (Liste mit Pillar- und Schweregrad-Filter, paginiert) und DELETE-Endpunkten; ermöglicht die server-seitige Speicherung und Abfrage von über wafpass control generate erstellten Custom-Controls

new Control-Datenbankmodell — neues Control-ORM-Modell mit Feldern für id, Pillar, Schweregrad, Typ, Beschreibung, Checks (JSON), Quelle, created_at und updated_at

infra Alembic-Migration 0005_add_controls — fügt die controls-Tabelle dem PostgreSQL-Schema hinzu; wird beim Container-Start automatisch über den Docker-Entrypoint angewendet

new ControlIn / ControlOut Schemas — typisierte Pydantic Request- und Response-Modelle für die Controls-API, mit Envelope-Wrapping konsistent zur restlichen API-Oberfläche

new Terraform-Plan-Änderungs-Schema — Alembic-Migration und REST-API-Unterstützung für das Speichern und Abfragen von Terraform-Plan-Dry-Run-Ergebnissen je Run

improvement Run-Metadaten und Controls-Meta-Schema — erweitertes Run-Modell mit Metadaten-Feldern; Controls-Meta-Tabelle für Control-seitige Persistenz über Runs hinzugefügt

infra Docker-Entrypoint-Skript — automatische Alembic-Migration beim Container-Start; produktionsreifes containerisiertes Deployment

new FastAPI REST-Server mit PostgreSQL — Erstveröffentlichung: Runs CRUD-API, Alembic-Migrationen, Docker-Image, OpenAPI-Docs und GitHub-Actions-Release-Workflow

Vollständiger Verlauf: github.com/waf2p/wafpass-server

v0.1.0 veröffentlicht

WAF++ PASS GitHub Action führt WAFPass-Scans in CI/CD aus und übermittelt die Ergebnisse an den WAFPass-Server. Unterstützt Terraform, Bicep, CDK und Pulumi sowie Bearer-Token- oder API-Key-Authentifizierung und konfigurierbare Fehlerpolitiken.

breaking Migration zum API-v1-Endpunkt — Action sendet Ergebnisse jetzt an den versionierten Endpunkt `/api/v1/runs`; `server_url` muss auf einen Server zeigen, der `/api/v1/*` bereitstellt

new Controls aus Framework-Repo laden — neuer `fetch_controls`-Input klont die WAF++-Framework-Controls vor dem Scan; `framework_repo`-Input wählt die Quell-Repository

new WAF++ PASS GitHub Action v0.1.0 — erste Veröffentlichung. Installiert die `wafpass`-CLI automatisch, scannt Terraform/Bicep/CDK/Pulumi-IaC-Dateien und übermittelt die vollständige Ergebnis-Payload an den WAF++-Server

new Authentifizierungsunterstützung — akzeptiert entweder einen Bearer-Token (`api_token`) oder einen Ingestion-API-Key (`api_key`) für headlose CI/CD-Läufe

new Konfigurierbare Fehlerpolitiken — `fail_on`-Input unterstützt `fail`, `skip`, `any`, `low`, `medium`, `high`, `critical` und `never`

new CI/CD-Metadaten — Läufe werden automatisch mit `is_cicd: true` und `triggered_by: github-actions` markiert; `project`, `stage`, `branch` und `git_sha` werden durchgereicht

new Action-Outputs — gibt `run_id`, `score` und `findings_count` für nachgelagerte Workflow-Schritte zurück

Vollständiger Verlauf: github.com/waf2p/wafpass-action

v0.1.0 veröffentlicht

WAF++ MCP Bridge stellt WAFpass-REST-Endpunkte als Model-Context-Protocol-Tools für KI-Assistenten bereit. Nutzt SSE-Transport, rollenbewusste Tool-Filterung und OpenAPI-gesteuerte Argumentenvalidierung.

breaking Migration zu API-v1-Endpunkten — Bridge auf die versionierten `/api/v1/*`-Endpunkte von wafpass-server aktualisiert

new Smoke-Tests und Integration-Test-Abdeckung — eigenständige Smoke-Tests und Integration-Tests für den SSE-Transport und Tool-Proxying hinzugefügt

improvement Übersetzung von Upstream-Fehlermeldungen — Server-Fehlerpayloads werden in nutzerfreundliche MCP-Fehlerinhalte übersetzt

improvement Stdio-Default für Passwort- und Token-Handling — Passwort- und Token-Flows verwenden jetzt standardmäßig Stdio für sicherere lokale und containerisierte Deployments

new WAF++ MCP Bridge v0.1.0 — erste Veröffentlichung. Ein Model-Context-Protocol-Server, der WAFpass-REST-Endpunkte als MCP-Tools für KI-Assistenten bereitstellt

new SSE-Transport — stellt den MCP-Endpunkt über Server-Sent Events auf Port 3001 bereit, kompatibel mit Claude Desktop und anderen MCP-Clients

new IdP-agnostisches Sicherheitsmodell — vertraut WAF++-Access-Tokens, die von wafpass-server ausgestellt werden; leitet den originalen `Authorization`-Header weiter, damit zeilenbasierte Autorisierung erhalten bleibt

new Rollenbewusste Tool-Filterung — `tools/list` wird nach der Rolle des authentifizierten Nutzers gefiltert; unautorisierte Tools werden vor dem KI-Client verborgen

new OpenAPI-gesteuerte Validierung — Tool-Argumente werden gegen Pydantic-Modelle validiert, die aus der WAFpass-OpenAPI-Spezifikation generiert werden

Vollständiger Verlauf: github.com/waf2p/wafpass-mcp

Auf dem Laufenden bleiben

Kein Update verpassen.

Den RSS-Feed abonnieren, das GitHub-Repository beobachten oder Slack beitreten – so wirst du benachrichtigt, wenn neue Releases erscheinen.

Auf dem Laufenden bleiben → Roadmap GitHub

RSS-Feed Release watch Community Slack

Changelog

Alle Änderungen

Juli 2026 — v1.0.1

Mai 2026

März 2026

Februar 2026

Dezember 2025

Juli 2026

Juni 2026

Mai 2026

April 2026

März 2026

Februar 2026 — v1.0 Redesign

Januar 2026

Dezember 2025

November 2025 — Erster Launch

August 2026 — v1.1.3

Juli 2026 — v1.1.2

Juli 2026 — v1.1.1

Juli 2026 — v1.1.0

Mai 2026 — Control Pack & Lokalisierung

Mai 2026

April 2026

April 2026 — v0.4.1

April 2026

März 2026

März 2026

März 2026

März 2026

März 2026

Februar 2026 — Erster Commit

August 2026 — v1.1.2

Juli 2026 — v1.1.1

Juli 2026 — v1.1.0

Mai 2026 — Control Pack & Lokalisierung

Mai 2026

April 2026

April 2026 — Autorisierung & Benutzerverwaltung

April 2026 — Scanning & Stage

April 2026 — v0.4.1

April 2026

März 2026

März 2026 — Erste Version

August 2026 — v1.0.3

Juli 2026 — v1.0.2

Juni 2026 — v1.0.1

Mai 2026 — Control Pack Verwaltung

Mai 2026

April 2026

April 2026 — Autorisierung & Scanning

April 2026 — v0.4.2

April 2026 — v0.4.1

April 2026

März 2026

März 2026 — Erste Version

August 2026 — v0.1.1

Juli 2026 — v0.1.0

August 2026 — v0.1.2

Juli 2026 — v0.1.0

Kein Update verpassen.