Sicherheitsnoten A–F und die Denofy-Qualitätsnote

Ein „Verified“-Siegel sagt, dass alle Prüfungen bestanden sind. Es sagt nicht, wie nah ein Paket mit Warnungen am Bestehen ist oder wie sich zwei saubere Pakete unterscheiden. Zwei neue Noten beantworten das.

Sicherheitsnote A–F#

Jede Version bekommt jetzt eine Sicherheitsnote, die nur aus ihrem Prüfbericht berechnet wird:

• sie startet mit 100 Punkten;
• jeder Befund zieht Punkte nach seinem effektiven Schweregrad ab – dasselbe curl | bash zählt in einem Skript voll, im Fließtext deutlich weniger und in einem ausdrücklichen „niemals so“ nur als Information;
• Lizenzprobleme, neue Risiken seit der Vorversion und Strukturfehler kosten ebenfalls Punkte;
• manche Regeln deckeln die Note: ein kritischer Befund bedeutet F, ein hoher höchstens C und ein vom Autor in denofy.yml erlaubter Befund höchstens B.

Die Note steht auf jeder Karte, auf der Paketseite (jeder Abzug wird im Prüfbericht erklärt) und im README-Badge. Die Suche kann danach filtern (minGrade=B) und sortieren. Alle Regeln und Gewichte stehen auf der Methodik-Seite, und /security zeigt, wie es um die ganze Registry steht.

Qualitätsnote S, A, B, C#

Sicherheit ist nicht alles. Die neue Qualitätsnote kombiniert fünf Bestandteile:

Die Nutzung zählt eindeutige Clients pro Tag, ohne Bots und ohne CI, logarithmisch skaliert. Bewertungen nutzen einen bayesschen Mittelwert, damit eine 5-Sterne-Bewertung nicht fünfzig gute überholt. S braucht außerdem Sicherheitsnote A. Alles erklärt die Ranking-Methodik.

Was Autoren tun können#

• Befunde beheben oder Negativbeispiele markieren – siehe Sichere Skills schreiben.
• use_when und avoid_when ins Frontmatter schreiben – das zählt zur Dokumentation und hilft bei der Entscheidung.
• Das Paket pflegen: alle paar Monate eine neue Version hält die Pflege-Punkte oben.