Zum Inhalt

Doku

Alles, was du für deine erste Prüfung brauchst. Wie wir prüfen und bewerten, steht unter So prüfen wir.

1. Schnellscan

Auf der Startseite eine Datei oder ein ZIP bis 2 MB hochladen oder die Adresse eines öffentlichen Repositorys eingeben. Nach wenigen Sekunden steht der Bericht da, 7 Tage lang unter seinem Link. Der Schnellscan prüft Dateien, Inhalte, Secrets und Abhängigkeiten, nicht den Code und nicht die DSGVO, und gilt ausdrücklich ohne Gewähr. Gespeichert wird nichts außer dem Bericht.

2. Registrieren und erstes Projekt

Nach der Registrierung und der Bestätigung deiner E-Mail-Adresse hast du ein Projekt und drei Prüfungen frei. Weitere Prüfungen gibt es als Guthaben: 10 für 4,90 € oder 25 für 9,90 €, kein Abo.

Ein Projekt ist ein Skill, Plugin, Tool oder MCP-Server. Lege es an und lade eine Version hoch:

  • Einzelne Dateibis 10 MB
  • Mehrere Dateien oder ein Ordnerbis 1.000 Dateien und 50 MB zusammen
  • ZIP- oder tar-Archivbis 50 MB gepackt, 200 MB entpackt, 10.000 Dateien
  • Eingefügter Textbis 200 KB, etwa eine SKILL.md
  • Git-Repositoryöffentlich, von GitHub, GitLab oder Codeberg

Archive werden nur gelesen, nie ausgeführt. Symbolische Links, absolute Pfade und Pfade mit „..“ werden abgelehnt. Für eine einzelne Datei ohne Projekt gibt es auf der Übersicht „Schnell prüfen, ohne Projekt“.

3. Den Bericht lesen

Oben stehen die Ampeln für Sicherheit und DSGVO, die Gesamtbewertung und die Note von 0 bis 100. Darunter die Befunde, die schwersten zuerst. Jeder Befund nennt die Datei, die Zeile, einen kurzen Beleg (Zugangsdaten gekürzt), eine Erklärung, einen Vorschlag zum Beheben und einen fertigen Prompt für deinen Coding-Agent. Ganz unten steht, was geprüft wurde und was nicht.

Herunterladen kannst du den Bericht als:

  • PDF als Standard oder mit allen Details, zum Weitergeben oder Ablegen.
  • CSV eine Zeile je Befund, für Excel und LibreOffice.
  • JSON der vollständige Bericht zum Weiterverarbeiten.
  • SARIF für GitHub Code Scanning und andere Werkzeuge; akzeptierte Befunde sind als unterdrückt markiert.

Über „Teilen“ erzeugst du einen Link, den du jederzeit wieder zurückziehen kannst. Er gilt 90 Tage, wenn du keine andere Dauer wählst.

4. Befunde bearbeiten und vergleichen

Einen Befund kannst du mit Begründung akzeptieren, etwa weil das Verhalten gewollt ist, oder bestreiten, wenn du ihn für einen Fehlalarm hältst. Bestrittene Befunde sieht sich die Moderation an. Ist ein Befund in einer neuen Version mit gleichem Prüfumfang verschwunden, steht er automatisch auf „behoben“. Ampel und Note bleiben davon unberührt.

Ab der zweiten Prüfung zeigt die Projektseite den Verlauf von Note und Befunden. Zwei Prüfungen lassen sich vergleichen: neue, behobene und unveränderte Befunde.

5. Das Manifest luibui.json

Mit einer Datei luibui.json im Hauptordner sagst du, was dein Paket darf und mit wem es spricht. Nur dann wird die DSGVO-Ampel vergeben, und wir prüfen, ob Code und Angaben zusammenpassen: Spricht der Code einen Dienst an, der nicht im Manifest steht, ist das ein Befund.

{
  "schema_version": "1",
  "name": "beispiel/wetter-skill",
  "version": "1.0.0",
  "typ": "skill",
  "beschreibung": "Zeigt die Wettervorhersage für einen Ort.",
  "lizenz": "MIT",
  "einstieg": "SKILL.md",
  "rechte": {
    "netzwerk": true,
    "dateien": { "lesen": [], "schreiben": [] },
    "shell": false,
    "zugangsdaten": false,
    "umgebungsvariablen": []
  },
  "endpunkte": [
    {
      "host": "api.wetter.example",
      "zweck": "Vorhersage abrufen",
      "land": "DE",
      "datenkategorien": ["nutzereingaben", "standortdaten"],
      "rechtsgrundlage": "keine_uebermittlung"
    }
  ],
  "datenkategorien": ["nutzereingaben", "standortdaten"],
  "speicherung": { "lokal": false, "dauer": "keine" }
}
  • typ: skill, mcp-server, plugin oder tool.
  • lizenz: ein SPDX-Ausdruck wie MIT oder Apache-2.0.
  • endpunkte: alle Hosts, mit denen das Paket spricht, mit Zweck, Land und den übermittelten Daten. Leer, wenn netzwerk false ist.
  • repository (optional): das öffentliche Git-Repository auf GitHub, Codeberg oder GitLab. Beim Veröffentlichen im Register gleicht luibui das Paket mit dem Tag der Version ab (v1.2.0 oder 1.2.0) und zeigt das Ergebnis auf der Paketseite. Abweichungen werden markiert, nicht gesperrt.
Doku – luibui