inspect.software führt ein öffentliches Register zur Gesundheit von Open-Source-Software. Jedes Repository darin wird an derselben transparenten, versionierten Methodik gemessen, die Wartbarkeit, Engineering-Qualität, Sicherheitslage, Verbreitung im Ökosystem und Governance umfasst. Die Methodik ist veröffentlicht, die Gewichte sind veröffentlicht, und kein Repository kann sich ein besseres Ergebnis erkaufen.
Auftrag
Gesundheit, Qualität und Sicherheit von Open-Source-Software lesbar und vertrauenswürdig machen – für alle, die davon abhängen: Entwicklerinnen und Entwickler bei der Wahl einer Bibliothek, Sicherheitsteams bei der Prüfung einer Lieferkette, Beschaffungsstellen bei der Freigabe des Technologie-Stacks eines Anbieters.
Das Problem, das dieses Register lösen soll
Moderne Software wird aus Tausenden von Open-Source-Abhängigkeiten zusammengesetzt, doch die Signale, nach denen sie beurteilt werden, sind schwach. Sterne messen Popularität, nicht Gesundheit. Der Bus-Faktor ist unsichtbar: Ein Paket mit fünfzig Millionen wöchentlichen Downloads, das von einer einzigen erschöpften Freiwilligen gepflegt wird, ist ein systemisches Risiko – das Muster hinter left-pad, Log4Shell und der xz-utils-Hintertür. Die Sicherheitspraxis ist undurchsichtig, und das Wartungstempo lässt sich nur mit manueller Recherche ablesen.
Kein konsistentes, transparentes Signal einer dritten Partei hat diese Faktoren zu etwas gebündelt, worauf ein Entwicklungsteam, ein Sicherheitsteam oder eine CTO handeln könnte. Das öffentliche Register ist angetreten, dieses Signal zu sein.
Technische Gesundheit ist nur ein Teil einer unternehmerischen Abhängigkeitsentscheidung. Das Register macht auch richtliniendefinierten Kontext durch Signale wie Exposition gegenüber Hochrisikojurisdiktionen sichtbar. Security und Beschaffung erkennen damit Abhängigkeiten für eine vertiefte Prüfung, ohne öffentliche Profilevidenz zum Urteil über Menschen zu machen.
Grundsätze
- Transparenz ist das Produkt. Jede Metrik, jedes Gewicht, jede Formel und jeder Schwellenwert ist in der Methodik und im Wiki veröffentlicht. Jeder Bericht weist seine Eingangsdaten aus, sodass sich jeder Wert von Hand nachrechnen lässt.
- Ergebnisse sind unabhängig von Bezahlung. Keine Geschäftsbeziehung – Zertifizierungsgebühren, Sponsoring, Anbieternähe – kann ein veröffentlichtes Ergebnis verändern. Bezahlung kauft Analyse, Vertraulichkeit und Häufigkeit; niemals eine bessere Zahl.
- Signale, keine Garantien. Das Register benennt genau, was es misst, und nicht mehr – siehe wie die Ergebnisse zu lesen sind.
- Versioniert und rechenschaftspflichtig. Änderungen an der Methodik werden datiert, begründet und in jedem Bericht vermerkt – siehe Methodik-Versionen.
- Gemeinwohl zuerst. Die Prüfung von Open-Source-Software mit hohem öffentlichem Wert ist kostenlos, und ihre Ergebnisse sind dauerhaft öffentlich.
Wie sich die Institution trägt
Die kostenlose gemeinwohlorientierte Abdeckung wird durch kostenpflichtige Leistungen darum herum finanziert: Audits privater Repositories, Zertifizierung von Nischen-Repositories auf Anfrage, kontinuierliche Überwachung und Enterprise-Berichte – beschrieben auf der Seite Zertifizierung & Preise. Die Leitplanke gilt absolut: Ein besseres Ergebnis ist niemals käuflich.
Das Register
Das öffentliche Register führt jedes geprüfte Repository mit seinem vollständigen Bericht: Kategorienprofil, Aufschlüsselung je Metrik, Belege je Komponente und die maschinenlesbaren Rohdaten. Repositories tragen einbettbare Badges, die ihren aktuellen Stand widerspiegeln.
Fragen und Korrekturen sind willkommen – Datenfehler können über die Kontaktkanäle gemeldet werden, und der Korrekturweg ist Teil der Rechenschaftspflicht der Methodik.