Jeder Bericht, jedes Badge und jede Zertifizierung von inspect.software trägt denselben Hinweis: Ergebnisse sind Signale, keine Garantien. Diese Seite legt genau dar, was das bedeutet, denn das Vertrauen in das Register hängt davon ab, nie mehr zu beanspruchen, als die Evidenz trägt.
Was ein Ergebnis beansprucht
Ein Gesundheitsindex und seine zugrunde liegenden Metriken spiegeln öffentlich sichtbare Praxis wider: Commit- und Release-Historie, Verteilung der Beitragenden, Community-Dateien, CI- und Testkonfiguration, den Veröffentlichungsstand in Registries und sicherheitsrelevante Signale wie die von der OpenSSF Scorecard gemessenen. Jede Aussage ist:
- Beobachtbar — abgeleitet aus öffentlichen Daten, die jeder abrufen kann.
- Reproduzierbar — jede Metrik gibt ihre Eingaben wieder, und die Formeln sind in der Methodik veröffentlicht.
- Versioniert — jeder Bericht verzeichnet die Metrikversion, unter der er erstellt wurde, sodass ein Ergebnis später neu hergeleitet werden kann.
Was ein Ergebnis nicht beansprucht
- Es ist kein Code-Audit. Es findet keine zeilenweise Prüfung auf Korrektheit, Performance oder Verwundbarkeit statt. Ein Projekt mit vorbildlichem Prozess kann dennoch einen Defekt ausliefern.
- Es ist keine Sicherheitsgarantie. Die Sicherheitslage misst sichtbare Sicherheitshygiene — sie kann eine unentdeckte Schwachstelle oder ein kompromittiertes Maintainer-Konto nicht ausschließen.
- Es ist kein Urteil über eine Person oder ein Land. Exposition gegenüber Hochrisikojurisdiktionen leitet richtliniendefinierte Profilevidenz in eine vertiefte Prüfung. Sie bestimmt weder Nationalität, Vertrauenswürdigkeit, Sanktionsstatus, Berechtigungen noch böswillige Absicht.
- Es ist keine Empfehlung. Aufnahme in das öffentliche Register bedeutet, dass ein Repository geprüft wurde — nicht, dass inspect.software es empfiehlt.
- Es ist keine Vorhersage. Ein gut gepflegtes Projekt kann nächsten Monat aufgegeben werden. Die Werte beschreiben die beobachtbare Gegenwart und jüngere Vergangenheit.
Warum diese Grenze strikt gehalten wird
Der Wert des Registers entsteht aus seiner Zurückhaltung. Ein Register, das seine Ergebnisse überhöhte, würde vom Marketing ausgenutzt und von Ingenieuren abgewertet; eines, das genau benennt, was es misst, ist genau dafür verlässlich. Dieselbe Zurückhaltung zeigt sich in den Formeln selbst: Fehlende Daten werden ausgeschlossen und die Gewichte renormalisiert — nie geraten, nie gegen ein Projekt gewertet (siehe der Gesundheitsindex).
Unabhängigkeit
Veröffentlichte Ergebnisse sind unabhängig von Bezahlung. Kostenlose Scans im öffentlichen Interesse und bezahlte Zertifizierungen durchlaufen dieselbe versionierte Methodik, und keine Geschäftsbeziehung — Sponsoring, Zertifizierungsgebühren, Herstellernähe — kann einen veröffentlichten Wert verändern. Wo ein Scan die Methodik bewusst eingrenzt, weist der Bericht ausdrücklich darauf hin (siehe Scan-Konfiguration).