Ihre App läuft. Und sie wächst schneller, als Sie sie verstehen können.
Wenn sich ein mit KI entwickeltes Projekt ändert, zählt, was geprüft wurde, was offenbleibt und welche Handlung freigegeben ist. Care erklärt den Evidenzansatz von EolSpace; CareProof ist dessen Evidenzkomponente. Das Beispiel unten ist vorbereitet, eine öffentliche Beauftragung ist nicht offen.
„Ich kann das nicht debuggen, ich habe diesen Code nicht geschrieben“ — und jeder kleine Fehler wird zu einem Abend voller Vermutungen.
Ihre Datenbankschlüssel liegen irgendwo im Seitencode und Sie wissen nicht sicher, ob das sicher ist.
Nach jedem Deploy sind Sie nicht sicher, ob das, was gestern lief, heute noch läuft.
So läuft es ab
01
Eine Prüfung von außen
Wir sehen die App so, wie ein gewöhnlicher Besucher sie sieht: Zertifikat, Erreichbarkeit, öffentlicher Seitencode, Build-Markierung. Wir zerstören nichts, ändern nichts und gehen nie in Ihren Code hinein.
02
Eine Quittung mit drei Zuständen
Jede Zeile erhält eines von drei Urteilen — bestätigt, fehlerhaft, nicht festgestellt — und die Adresse ihres Belegs. Eine Gesamtnote gibt es bewusst nicht: sie würde genau das verdecken, was Sie sehen müssen.
03
Ein fertiger Prompt für Ihre KI
Eine Problemzeile enthält Text für Ihren gewohnten Editor oder Ihr KI-Werkzeug. Er hilft, eine Änderung vorzubereiten; Sie prüfen sie und wenden sie an. Erst ein neuer Lauf desselben Nachweises kann die Korrektur bestätigen.
04
Ehrliches Veralten
Sie deployen — die Quittung tut nicht so, als sei weiterhin alles geprüft. Sie geht in „wartet auf erneute Prüfung“, bis wir wieder hinsehen. Eine alte Quittung, die still grün bleibt, ist schlimmer als gar keine.
So sieht eine Zeile der Quittung aus
Das sind echte Zeilen aus der Prüfung — nur an einer erfundenen App.
secret-scan:ihre-app.examplefehlerhaft
Im öffentlichen Seitencode wurde ein Supabase-Serviceschlüssel gefunden. Dieser Schlüssel umgeht alle Zugriffsregeln Ihrer Datenbank: wer ihn findet, liest und ändert alle Ihre Daten.
Fertiger Prompt für Ihren KI-Editor
Im öffentlichen Bundle meiner Web-App wurde ein Geheimnis gefunden. Finde es im Frontend-Code, entferne es aus dem Client-Bundle, verlagere alle Operationen damit auf die Serverseite (API-Route oder Edge Function), widerrufe dann den Schlüssel und stelle beim Anbieter einen neuen aus. Zeige den Diff und erkläre, was jetzt noch auf dem Client liegt.
secret-scan:andere-app.examplenicht festgestellt
Ein öffentlicher Supabase-Schlüssel wurde gefunden — das ist normal, dafür ist er da. Ob Ihre Tabellen aber durch Zugriffsregeln geschlossen sind, sieht eine Prüfung von außen nicht. Deshalb: nicht festgestellt, nicht „alles gut“.
tls:ihre-app.examplebestätigt
Das Domain-Zertifikat ist zum Prüfdatum gültig und nicht abgelaufen.
Im Baum gibt es keine .claude/settings.json und keine .claude/settings.local.json — also auch keinen Hook, der beim Start einer Agentensitzung einen Befehl ausführen würde. Das Fehlen ist hier gemessen, nicht „nicht erreicht“: Die Zeile ist an den Commit gebunden und veraltet mit dem nächsten.
AGENTS.md wurde vollständig gelesen: keine versteckten Unicode-Zeichen, die ein Editor verbirgt, ein Modell aber als Anweisung liest. Die gelesene Datei ist in der Abdeckungsgrenze dieser Zeile benannt.
Einen gefundenen Schlüssel zitieren wir nie — weder im Bericht noch in einer E-Mail. Wir benennen die Klasse des Fundes und den Ort, damit die Quittung nicht zur zweiten undichten Stelle wird.
Die zwei „agent-hygiene“-Zeilen stammen aus einer anderen Quelle als die Prüfung von außen: Der Befehl eol erzeugt sie in Ihrem eigenen Baum. Er liest nur Dateien und führt nichts aus. Die Familie hat fünf Prüfungen: Hooks in .claude/settings.json, das automatische Aktivieren aller MCP-Server des Projekts, VS-Code-Aufgaben, die beim Öffnen des Ordners starten, Skills, die sich selbst Bash am Vertrauens-Gate vorbei erlauben, und versteckte Unicode-Zeichen in CLAUDE.md oder AGENTS.md. Das ist eine Selbsteinschätzung an einem konkreten Commit, kein Abzeichen: Ändert sich der Code, wartet die Zeile auf einen neuen Lauf.
Lebende Belege statt Versprechen
Bevor Sie jemandem vertrauen, sehen Sie sich an, was dieses System wirklich tut. Beide Seiten sind offen und laufen jetzt gerade.
Markierungen, die an konkrete Commits gebunden sind — diese Website eingeschlossen. Bewegt sich der Code, geht die Markierung von selbst zurück auf „wartet auf erneute Prüfung“.
Was wir nicht versprechen
Das ist eine Selbsteinschätzung anhand der Prüfungen, die wir tatsächlich ausführen — kein Audit und keine Garantie.
„Nicht festgestellt“ heißt weder „alles gut“ noch „alles schlecht“. Es ist eine benannte Grenze: das haben wir nicht geprüft oder konnten es nicht.
Eine Gesamtnote gibt es nicht. Ein grüner Punkt über drei verschiedenen Zuständen ist genau das, was wir ablehnen.
Wir sehen von außen. Was nur von innen in Ihrem Code sichtbar ist, sieht eine Prüfung von außen nicht — und sagt das offen, statt zu schweigen. In den Baum geht nur der Befehl eol, den Sie selbst starten: Agentenkonfigurationen liest er, ohne sie auszuführen, und Ihre Tests laufen nur auf Ihren separaten Befehl.
Zugangsstatus von EolSpace
EolSpace soll Raum bieten, Ihren Fall zu besprechen: was Sie entwickeln, was Sie beobachten möchten und welche Änderungen wichtig sind. Ein öffentlicher Kanal für solche Anfragen ist noch nicht bestätigt; der geschlossene Pilot ist kein offener Dienst.