RFC Tracker
Jede wesentliche Änderung an WAF++ beginnt mit einem öffentlichen Request for Comments oder Architecture Decision Record. Diese Seite verfolgt jede Entscheidung — vom ersten Entwurf bis zum Merge.
Alle Requests for Comments
Nach Projekt und Status filtern, Zusammenfassungen lesen und den verlinkten Diskussionen sowie Pull Requests folgen.
Framework
Legt das grundlegende Sieben-Säulen-Modell als Basis von WAF++ fest. Durch RFC-0012 auf acht Säulen erweitert.
Definiert die öffentliche Roadmap für 2026 mit Q1–Q4-Meilensteinen, v1.0-Ziel, Pilotprogramm und Foundation-Readiness-Zielen.
Fügt die initiale Inhaltsdefinition für jede der 7 Säulen hinzu. Später um die 8. Säule Agentic erweitert (RFC-0012).
Migriert die gesamte Framework-Dokumentation von Markdown nach AsciiDoc und etabliert Antora als Dokumentations-Build-System mit Komponenten-Versionierung.
Fügt dem Framework-Repository die Standard-Open-Source-Health-Dateien hinzu.
Führt den Sovereign-Pillar als 7. Säule von WAF++ ein mit 10 initialen Controls.
Strukturiert den Governance-Pillar in modulare Best-Practice-Seiten um und ergänzt Fallstudien.
Definiert ein formales Schema für WAF++-Controls-YAML-Dateien für Validierung und Tool-Integration.
Formalisiert das PASS-Scoring-Modell als normative Spezifikation für Tier-Definitionen, Berechnungsregeln, Aggregationslogik und Versionierungsvertrag.
Definiert den Ansatz für das offizielle WAF++-Assessment-Tooling inklusive WAFPass CLI, Server, Dashboard und Web-Scorecard.
Führt automatisierte Checks und Release-Workflows für die Framework- und WAFPass-Repositories ein.
Fügt den Agentic-Pillar als 8. Säule von WAF++ hinzu mit 10 initialen Controls, regulatorischen Mappings und deutscher/englischer Dokumentation.
Standardisiert maschinen- und menschenlesbare Remediation-Anleitungen für jeden WAF++-Control.
Definiert, wie WAFPass-Erkennung und Controls um Azure, GCP und weitere Cloud-Provider erweitert werden, während das Framework cloud-agnostic bleibt.
CI-Checks für tote xrefs, nicht registrierte nav.adoc-Dateien und Control-Schema-Konsistenz.
Sovereign-Definition/Scope erweitern, Evidence-Matrix und echte Übersichts-/Glossar-Seiten erstellen.
Agentic-Säule um Maturity, Evidence, Glossar und Best-Practice-Beispiele vervollständigen.
Modul-Links vereinheitlichen, relative xrefs in Modul-Präfix-xrefs umwandeln und Markdown-Links bereinigen.
antora.yml finalisieren, pillar-security/nav.adoc anlegen, README/AGENTS auf 8-Modul-Layout aktualisieren.
Controls auf 8 Säulen ausrichten, Agentic aufnehmen und control-schema.adoc erweitern.
Framework — Offen zur Prüfung
CI-Checks für tote xrefs, nicht registrierte nav.adoc-Dateien und Control-Schema-Konsistenz.
Sovereign-Definition/Scope erweitern, Evidence-Matrix und echte Übersichts-/Glossar-Seiten erstellen.
Agentic-Säule um Maturity, Evidence, Glossar und Best-Practice-Beispiele vervollständigen.
Modul-Links vereinheitlichen, relative xrefs in Modul-Präfix-xrefs umwandeln und Markdown-Links bereinigen.
antora.yml finalisieren, pillar-security/nav.adoc anlegen, README/AGENTS auf 8-Modul-Layout aktualisieren.
Controls auf 8 Säulen ausrichten, Agentic aufnehmen und control-schema.adoc erweitern.
Framework — Entwürfe
Standardisiert maschinen- und menschenlesbare Remediation-Anleitungen für jeden WAF++-Control.
Definiert, wie WAFPass-Erkennung und Controls um Azure, GCP und weitere Cloud-Provider erweitert werden, während das Framework cloud-agnostic bleibt.
Framework — Entschieden / umgesetzt
Legt das grundlegende Sieben-Säulen-Modell als Basis von WAF++ fest. Durch RFC-0012 auf acht Säulen erweitert.
Definiert die öffentliche Roadmap für 2026 mit Q1–Q4-Meilensteinen, v1.0-Ziel, Pilotprogramm und Foundation-Readiness-Zielen.
Fügt die initiale Inhaltsdefinition für jede der 7 Säulen hinzu. Später um die 8. Säule Agentic erweitert (RFC-0012).
Migriert die gesamte Framework-Dokumentation von Markdown nach AsciiDoc und etabliert Antora als Dokumentations-Build-System mit Komponenten-Versionierung.
Fügt dem Framework-Repository die Standard-Open-Source-Health-Dateien hinzu.
Führt den Sovereign-Pillar als 7. Säule von WAF++ ein mit 10 initialen Controls.
Strukturiert den Governance-Pillar in modulare Best-Practice-Seiten um und ergänzt Fallstudien.
Definiert ein formales Schema für WAF++-Controls-YAML-Dateien für Validierung und Tool-Integration.
Formalisiert das PASS-Scoring-Modell als normative Spezifikation für Tier-Definitionen, Berechnungsregeln, Aggregationslogik und Versionierungsvertrag.
Definiert den Ansatz für das offizielle WAF++-Assessment-Tooling inklusive WAFPass CLI, Server, Dashboard und Web-Scorecard.
Führt automatisierte Checks und Release-Workflows für die Framework- und WAFPass-Repositories ein.
Fügt den Agentic-Pillar als 8. Säule von WAF++ hinzu mit 10 initialen Controls, regulatorischen Mappings und deutscher/englischer Dokumentation.
Core
Erweitert WAFPass CLI, Server und Dashboard, um die Agentic-Pillar-Controls im Rahmen einer vollständigen PASS-Bewertung auszuwerten.
Veröffentlicht WAFPass CLI v1.1.0, Server v1.1.0 und Dashboard v1.1.0 mit Unterstützung für Säule-8 Agentic, Erkennungskorrekturen und SINA-Cloud-Region-Erkennung.
Fragmentierte Test- und Coverage-Strategie über wafpass-core, Server und Dashboard vereinheitlichen.
API-Maturity, Abwärtskompatibilitätsregeln und Versionierungsstrategie für WAF++ PASS APIs definieren.
Zuverlässigen Source-Snapshot-Ingestion-Vertrag definieren für Dashboard-Vorschau und Auto-Fix.
Dashboard-Navigation vereinfachen und geführte Onboarding- sowie rollenbasierte Landing-Pages hinzufügen.
Dashboard-Benachrichtigungen aktionierbar machen statt passiver Textanzeigen.
Control-Packs-Funktion über Admin-Uploads hinaus zu einem Marktplatz mit Discovery und Governance ausbauen.
Maturity-Tiers an CI/CD-Policy-Gates koppeln, damit Pipelines Promotion unter einem Ziel-Tier blockieren können.
Core — Offen zur Prüfung
Fragmentierte Test- und Coverage-Strategie über wafpass-core, Server und Dashboard vereinheitlichen.
API-Maturity, Abwärtskompatibilitätsregeln und Versionierungsstrategie für WAF++ PASS APIs definieren.
Zuverlässigen Source-Snapshot-Ingestion-Vertrag definieren für Dashboard-Vorschau und Auto-Fix.
Dashboard-Navigation vereinfachen und geführte Onboarding- sowie rollenbasierte Landing-Pages hinzufügen.
Dashboard-Benachrichtigungen aktionierbar machen statt passiver Textanzeigen.
Control-Packs-Funktion über Admin-Uploads hinaus zu einem Marktplatz mit Discovery und Governance ausbauen.
Maturity-Tiers an CI/CD-Policy-Gates koppeln, damit Pipelines Promotion unter einem Ziel-Tier blockieren können.
Core — Entschieden / umgesetzt
Erweitert WAFPass CLI, Server und Dashboard, um die Agentic-Pillar-Controls im Rahmen einer vollständigen PASS-Bewertung auszuwerten.
Veröffentlicht WAFPass CLI v1.1.0, Server v1.1.0 und Dashboard v1.1.0 mit Unterstützung für Säule-8 Agentic, Erkennungskorrekturen und SINA-Cloud-Region-Erkennung.
MCP
Erlaubt kuratierte Aliase für lange, automatisch generierte MCP-Tool-Namen.
Fügt MCP-Resource-Definitionen für Läufe, Controls usw. hinzu, um lesenden Zugriff ohne mehrere Tool-Aufrufe zu ermöglichen.
Erweitert auto-fix/classify um einen Apply-Schritt mit Änderungsprotokoll und Rollback.
Fügt paginierte Hilfsmethoden hinzu, damit große Läufe die MCP-Nachrichtengröße nicht sprengen.
Ergänzt Fix-Blöcke in Control-YAMLs oder eine zentrale Provider-Registry für Standard-Patches.
MCP — Offen zur Prüfung
Erlaubt kuratierte Aliase für lange, automatisch generierte MCP-Tool-Namen.
Fügt MCP-Resource-Definitionen für Läufe, Controls usw. hinzu, um lesenden Zugriff ohne mehrere Tool-Aufrufe zu ermöglichen.
Erweitert auto-fix/classify um einen Apply-Schritt mit Änderungsprotokoll und Rollback.
Fügt paginierte Hilfsmethoden hinzu, damit große Läufe die MCP-Nachrichtengröße nicht sprengen.
Ergänzt Fix-Blöcke in Control-YAMLs oder eine zentrale Provider-Registry für Standard-Patches.
Framework
Legt das grundlegende Sieben-Säulen-Modell als Basis von WAF++ fest. Durch RFC-0012 auf acht Säulen erweitert.
Definiert die öffentliche Roadmap für 2026 mit Q1–Q4-Meilensteinen, v1.0-Ziel, Pilotprogramm und Foundation-Readiness-Zielen.
Fügt die initiale Inhaltsdefinition für jede der 7 Säulen hinzu. Später um die 8. Säule Agentic erweitert (RFC-0012).
Migriert die gesamte Framework-Dokumentation von Markdown nach AsciiDoc und etabliert Antora als Dokumentations-Build-System mit Komponenten-Versionierung.
Fügt dem Framework-Repository die Standard-Open-Source-Health-Dateien hinzu.
Führt den Sovereign-Pillar als 7. Säule von WAF++ ein mit 10 initialen Controls.
Strukturiert den Governance-Pillar in modulare Best-Practice-Seiten um und ergänzt Fallstudien.
Definiert ein formales Schema für WAF++-Controls-YAML-Dateien für Validierung und Tool-Integration.
Formalisiert das PASS-Scoring-Modell als normative Spezifikation für Tier-Definitionen, Berechnungsregeln, Aggregationslogik und Versionierungsvertrag.
Definiert den Ansatz für das offizielle WAF++-Assessment-Tooling inklusive WAFPass CLI, Server, Dashboard und Web-Scorecard.
Führt automatisierte Checks und Release-Workflows für die Framework- und WAFPass-Repositories ein.
Fügt den Agentic-Pillar als 8. Säule von WAF++ hinzu mit 10 initialen Controls, regulatorischen Mappings und deutscher/englischer Dokumentation.
Standardisiert maschinen- und menschenlesbare Remediation-Anleitungen für jeden WAF++-Control.
Definiert, wie WAFPass-Erkennung und Controls um Azure, GCP und weitere Cloud-Provider erweitert werden, während das Framework cloud-agnostic bleibt.
CI-Checks für tote xrefs, nicht registrierte nav.adoc-Dateien und Control-Schema-Konsistenz.
Sovereign-Definition/Scope erweitern, Evidence-Matrix und echte Übersichts-/Glossar-Seiten erstellen.
Agentic-Säule um Maturity, Evidence, Glossar und Best-Practice-Beispiele vervollständigen.
Modul-Links vereinheitlichen, relative xrefs in Modul-Präfix-xrefs umwandeln und Markdown-Links bereinigen.
antora.yml finalisieren, pillar-security/nav.adoc anlegen, README/AGENTS auf 8-Modul-Layout aktualisieren.
Controls auf 8 Säulen ausrichten, Agentic aufnehmen und control-schema.adoc erweitern.
Core
Erweitert WAFPass CLI, Server und Dashboard, um die Agentic-Pillar-Controls im Rahmen einer vollständigen PASS-Bewertung auszuwerten.
Veröffentlicht WAFPass CLI v1.1.0, Server v1.1.0 und Dashboard v1.1.0 mit Unterstützung für Säule-8 Agentic, Erkennungskorrekturen und SINA-Cloud-Region-Erkennung.
Fragmentierte Test- und Coverage-Strategie über wafpass-core, Server und Dashboard vereinheitlichen.
API-Maturity, Abwärtskompatibilitätsregeln und Versionierungsstrategie für WAF++ PASS APIs definieren.
Zuverlässigen Source-Snapshot-Ingestion-Vertrag definieren für Dashboard-Vorschau und Auto-Fix.
Dashboard-Navigation vereinfachen und geführte Onboarding- sowie rollenbasierte Landing-Pages hinzufügen.
Dashboard-Benachrichtigungen aktionierbar machen statt passiver Textanzeigen.
Control-Packs-Funktion über Admin-Uploads hinaus zu einem Marktplatz mit Discovery und Governance ausbauen.
Maturity-Tiers an CI/CD-Policy-Gates koppeln, damit Pipelines Promotion unter einem Ziel-Tier blockieren können.
MCP
Erlaubt kuratierte Aliase für lange, automatisch generierte MCP-Tool-Namen.
Fügt MCP-Resource-Definitionen für Läufe, Controls usw. hinzu, um lesenden Zugriff ohne mehrere Tool-Aufrufe zu ermöglichen.
Erweitert auto-fix/classify um einen Apply-Schritt mit Änderungsprotokoll und Rollback.
Fügt paginierte Hilfsmethoden hinzu, damit große Läufe die MCP-Nachrichtengröße nicht sprengen.
Ergänzt Fix-Blöcke in Control-YAMLs oder eine zentrale Provider-Registry für Standard-Patches.
Framework
Rollt das radical dunkle Design-System auf die verbleibenden öffentlichen Seiten aus.
MCP
Erlaubt kuratierte Aliase für lange, automatisch generierte MCP-Tool-Namen.
Fügt MCP-Resource-Definitionen für Läufe, Controls usw. hinzu, um lesenden Zugriff ohne mehrere Tool-Aufrufe zu ermöglichen.
Erweitert auto-fix/classify um einen Apply-Schritt mit Änderungsprotokoll und Rollback.
Fügt paginierte Hilfsmethoden hinzu, damit große Läufe die MCP-Nachrichtengröße nicht sprengen.
Ergänzt Fix-Blöcke in Control-YAMLs oder eine zentrale Provider-Registry für Standard-Patches.
Framework
CI-Checks für tote xrefs, nicht registrierte nav.adoc-Dateien und Control-Schema-Konsistenz.
Sovereign-Definition/Scope erweitern, Evidence-Matrix und echte Übersichts-/Glossar-Seiten erstellen.
Agentic-Säule um Maturity, Evidence, Glossar und Best-Practice-Beispiele vervollständigen.
Modul-Links vereinheitlichen, relative xrefs in Modul-Präfix-xrefs umwandeln und Markdown-Links bereinigen.
antora.yml finalisieren, pillar-security/nav.adoc anlegen, README/AGENTS auf 8-Modul-Layout aktualisieren.
Controls auf 8 Säulen ausrichten, Agentic aufnehmen und control-schema.adoc erweitern.
Core
Fragmentierte Test- und Coverage-Strategie über wafpass-core, Server und Dashboard vereinheitlichen.
API-Maturity, Abwärtskompatibilitätsregeln und Versionierungsstrategie für WAF++ PASS APIs definieren.
Zuverlässigen Source-Snapshot-Ingestion-Vertrag definieren für Dashboard-Vorschau und Auto-Fix.
Dashboard-Navigation vereinfachen und geführte Onboarding- sowie rollenbasierte Landing-Pages hinzufügen.
Dashboard-Benachrichtigungen aktionierbar machen statt passiver Textanzeigen.
Control-Packs-Funktion über Admin-Uploads hinaus zu einem Marktplatz mit Discovery und Governance ausbauen.
Maturity-Tiers an CI/CD-Policy-Gates koppeln, damit Pipelines Promotion unter einem Ziel-Tier blockieren können.
Framework
Standardisiert maschinen- und menschenlesbare Remediation-Anleitungen für jeden WAF++-Control.
Definiert, wie WAFPass-Erkennung und Controls um Azure, GCP und weitere Cloud-Provider erweitert werden, während das Framework cloud-agnostic bleibt.
Framework
Legt das grundlegende Sieben-Säulen-Modell als Basis von WAF++ fest. Durch RFC-0012 auf acht Säulen erweitert.
Definiert die öffentliche Roadmap für 2026 mit Q1–Q4-Meilensteinen, v1.0-Ziel, Pilotprogramm und Foundation-Readiness-Zielen.
Fügt die initiale Inhaltsdefinition für jede der 7 Säulen hinzu. Später um die 8. Säule Agentic erweitert (RFC-0012).
Migriert die gesamte Framework-Dokumentation von Markdown nach AsciiDoc und etabliert Antora als Dokumentations-Build-System mit Komponenten-Versionierung.
Fügt dem Framework-Repository die Standard-Open-Source-Health-Dateien hinzu.
Führt den Sovereign-Pillar als 7. Säule von WAF++ ein mit 10 initialen Controls.
Strukturiert den Governance-Pillar in modulare Best-Practice-Seiten um und ergänzt Fallstudien.
Definiert ein formales Schema für WAF++-Controls-YAML-Dateien für Validierung und Tool-Integration.
Formalisiert das PASS-Scoring-Modell als normative Spezifikation für Tier-Definitionen, Berechnungsregeln, Aggregationslogik und Versionierungsvertrag.
Definiert den Ansatz für das offizielle WAF++-Assessment-Tooling inklusive WAFPass CLI, Server, Dashboard und Web-Scorecard.
Führt automatisierte Checks und Release-Workflows für die Framework- und WAFPass-Repositories ein.
Fügt den Agentic-Pillar als 8. Säule von WAF++ hinzu mit 10 initialen Controls, regulatorischen Mappings und deutscher/englischer Dokumentation.
Core
Erweitert WAFPass CLI, Server und Dashboard, um die Agentic-Pillar-Controls im Rahmen einer vollständigen PASS-Bewertung auszuwerten.
Veröffentlicht WAFPass CLI v1.1.0, Server v1.1.0 und Dashboard v1.1.0 mit Unterstützung für Säule-8 Agentic, Erkennungskorrekturen und SINA-Cloud-Region-Erkennung.
Eine Änderung vorschlagen?
Eine GitHub Discussion mit dem RFC-Template eröffnen. Die Community prüft es, Maintainer entscheiden — alles ist dokumentiert und nachvollziehbar.
Architecture Decision Records
ADRs dokumentieren die strukturellen und querschnittlichen Entscheidungen, die das WAF++-Ökosystem, die Repositories und die Verträge prägen.
Master onboarding document explaining the WAF++ ecosystem, repository layout, two-branch documentation model, and central wafpass-result.json contract.
Defines the single JSON schema that all WAF++ components use to exchange scan results, findings, waivers, risks, and metadata.
Uses main-de and main-en branches (checked out as framework/ and framework-en/) so German and English Antora component releases can evolve independently.
Master onboarding document explaining the WAF++ ecosystem, repository layout, two-branch documentation model, and central wafpass-result.json contract.
Defines the single JSON schema that all WAF++ components use to exchange scan results, findings, waivers, risks, and metadata.
Uses main-de and main-en branches (checked out as framework/ and framework-en/) so German and English Antora component releases can evolve independently.
Maschinenlesbare Entscheidungs-Registry
Alle RFCs und ADRs stehen auch als einzelne YAML-Datei zur Verfügung, die Tools, Skripte und andere Consumer parsen können. Die Registry enthält Status, Kategorien, Repositories, Tags und direkte Links zu jedem Eintrag.
Was qualifiziert sich als RFC?
Nicht jede Änderung braucht einen RFC — nur wesentliche. Die folgende Tabelle hilft bei der Entscheidung.
| Änderungstyp | RFC erforderlich? | Prozess |
|---|---|---|
| Neue Säule oder Entfernung einer Säule | Ja | RFC → TSC-Abstimmung → PR |
| Änderungen am Scoring-Modell (PASS-Tiers, Gewichtungen) | Ja | RFC → TSC-Abstimmung → PR |
| Breaking Changes am Controls-Schema oder IDs | Ja | RFC → TSC-Abstimmung → PR |
| Neuer Working-Group-Vorschlag | Ja | RFC → Lazy Consensus → Charter veröffentlicht |
| Governance- oder Rollenänderungen | Ja | RFC → TSC-Supermehrheit |
| Neuer Control (nicht-breaking, additiv) | Empfohlen | PR mit Diskussionslink · Lazy Consensus |
| Docs-Wording, Tippfehler, Übersetzungen | Nein | PR only |
| Website-Inhalte, Blog-Posts | Nein | PR only |
RFC-Status-Flow
Jeder RFC durchläuft denselben dokumentierten Pfad — vom ersten Entwurf bis zur geschlossenen Entscheidung.
Wie man einen guten RFC schreibt
Drei Dinge, die den Unterschied zwischen einem RFC, der schnell vorankommt, und einem, der steckenbleibt, ausmachen.
Beschreibe das Problem, nicht die Lösung
Beginne damit, was kaputt oder fehlend ist — nicht mit dem, was du bauen willst. Reviewer müssen dem Problem zustimmen, bevor sie die Lösung bewerten können. Zuerst das „Warum", dann das „Was".
Zeige Trade-offs und Alternativen
Ein starker RFC erklärt, was sonst noch in Betracht gezogen wurde und warum es verworfen wurde. Das spart Review-Zyklen und gibt zukünftigen Maintainern Kontext, wenn der ursprüngliche Autor nicht mehr dabei ist.
Sei spezifisch über die Auswirkungen
Wer ist betroffen? Welche Repositories, Dateien oder öffentlichen Verträge ändern sich? Je klarer der Scope, desto schneller kann die Community nützliches Feedback geben und ein Maintainer entscheiden.
Jede Entscheidung beginnt mit einem Gespräch.
Wähle einen offenen RFC, teile deine Perspektive oder eröffne einen neuen. Das Framework wird öffentlich gebaut und jede Stimme zählt.