Every fleet repository's GitHub settings and the organisation rulesets live as code in platform #10

version = 1
now = "G1 (#22, 8e56c0c), #34 (e6be2c6), #214 (#215, 18aa412) and G2 (#221, d47e7e0) are landed. An agent's apply of 08.11.2026 imported the three organisation rulesets and the property schema (4 imported, 1 changed, 0 destroyed) and the next plan is empty, so the rulesets and every declared repository match."
next = "G3 is cut, the weekly drift check; it runs once the operator has created the read-only App."
done_when = "Every fleet repository's security and merge settings and the organisation rulesets are declared in platform and applied from it the ruled way, a scheduled check fails on drift and on an undeclared repository, and no setting the code holds is set by hand any more."

size = "M"

[[expectation]]
text = "Die Sicherheits- und Merge-Einstellungen aller Repos und die Regeln der Organisation werden auf dem gewählten Weg gesetzt und gehalten."
asked_on = 2026-11-06
ruling = "A"
ruled_on = 2026-11-06
card_hash = "sha256:a51603139ab8da42e721d35ff4063b2e3221156aaca03edb41c7eb4757049328"
via = "chat"
question = "Sollen die Einstellungen aller deiner Repos an einer Stelle stehen, mit Prüfung, und wie werden Änderungen wirksam?"
problem = "Jedes Repo wird von Hand eingestellt; dreht jemand einen Schutz ab oder kommt ein Repo dazu, merkt es niemand."
decision_kind = "data_risk"
area = "GitHub-Organisation"
topic = "Repo-Einstellungen als Code"
recommended = "A"
reason = "Einstellungen ändern sich selten, ein Befehl nach dem Merge kostet also wenig; dafür liegt nirgends ein neuer Schlüssel, der Repos löschen könnte."

[[expectation.option]]
name = "Code, du wendest an"
effect = "Alle Einstellungen stehen als Code in platform; nach dem Merge setzt ein mitgelieferter Befehl sie mit deinem GitHub-Login."
notice = "Du mergst wie immer, dann läuft ein Befehl, auf deinen Zuruf auch durch mich; weicht etwas ab, wird jede Woche ein Check rot."
cost = "Eine Lane, rund drei Stunden Agentenzeit; du legst einmal im Browser eine App an, die nur lesen darf."
undo = "reversible"
undo_how = "Code und App entfernen; die Einstellungen bleiben, wie sie sind."
contract = "OpenTofu with the integrations/github provider in platform declares, for every non-archived non-fork fleet repository, secret scanning, push protection, Dependabot alerts, squash-only merging and delete-branch-on-merge, plus the organisation rulesets. Apply runs only through a command platform ships, with the operator's own gh login on his machine, started by him or on his word by an agent in his session; no credential that can write organisation or repository settings is stored in CI. A weekly scheduled CI run with a read-only organisation GitHub App fails on drift and on a repository the code does not declare. Repositories are never destroyed (prevent_destroy, archive_on_destroy). CodeQL default setup stays off."

[[expectation.option]]
name = "Code, Merge wendet an"
effect = "Wie eben, nur setzt ein Lauf nach jedem Merge die Einstellungen selbst, mit einer App, die Repos verwalten darf."
notice = "Du mergst, Minuten später gilt es in allen Repos; weicht etwas ab, wird jede Woche ein Check rot."
cost = "Wie eben; dazu liegt der Schlüssel einer App mit Admin-Rechten, die auch Repos löschen könnte, als Geheimnis in GitHub."
undo = "reversible"
undo_how = "App löschen und den Lauf entfernen; die Einstellungen bleiben, wie sie sind."
contract = "The same declarations; a push to main applies them through an organisation GitHub App with repository administration and organisation administration write, whose key is a secret of a GitHub environment limited to main; the same App's weekly scheduled plan fails on drift and on an undeclared repository. Repositories are never destroyed (prevent_destroy, archive_on_destroy). CodeQL default setup stays off."

[[expectation.option]]
name = "Nur GitHub-Vorgabe"
effect = "Ich setze einmal die Sicherheitsvorgabe der Organisation für alle und neue Repos und stelle alle auf Squash um; sonst bleibt alles Handarbeit."
notice = "Nichts Neues im Repo; eine Abweichung fällt erst beim nächsten Audit auf."
cost = "Kein Bau, keine App; Regeln und Merge-Einstellungen bleiben von Hand und ungeprüft."
undo = "reversible"
undo_how = "Die Vorgabe lässt sich in GitHub jederzeit ändern."
contract = "One organisation code security configuration with secret scanning, push protection and Dependabot alerts is attached to every repository and set as the default for new ones, and every repository is set squash-only with delete-branch-on-merge, through the API with the operator's login once he says yes to that change; rulesets stay as they are in the web UI; no drift check."

[[expectation]]
text = "Der wöchentliche Abgleich der GitHub-Einstellungen läuft auf dem gewählten Weg."
asked_on = 2026-11-06
ruling = "A"
ruled_on = 2026-11-06
card_hash = "sha256:0df985e17743bf131b51e12c0a35575d698d97be6dad6b41da6542d93196a51e"
via = "chat"
question = "Soll der wöchentliche Abgleich ohne jeden Schlüssel mit Schreibrecht laufen, auch wenn er dann zwei Dinge nur bei deinen eigenen Läufen sieht?"
problem = "GitHub zeigt Ausnahmelisten der Regeln und Merge-Einstellungen nur Schlüsseln mit Schreibrecht; ein Lese-Check sieht sie nicht."
decision_kind = "data_risk"
area = "GitHub-Organisation"
topic = "Wöchentlicher Abgleich"
recommended = "A"
reason = "Fast alles wird jede Woche geprüft, auch ob jemand eine Regel umgangen hat, und nirgends liegt ein Schlüssel, der etwas ändern kann; den Rest prüft jeder Lauf deines Befehls."

[[expectation.option]]
name = "Nur lesen, fast alles"
effect = "Eine App, die nur lesen darf, prüft jede Woche fast alles; eine noch nie benutzte Ausnahme und vielleicht die Merge-Einstellungen prüft nur dein Befehl."
notice = "Jede Woche ein Check, der bei einer Abweichung rot wird und das Repo nennt; dein Befehl prüft bei jedem Lauf alles."
cost = "Eine kleine Lücke zwischen deinen Läufen; du legst einmal im Browser die Lese-App an."
undo = "reversible"
undo_how = "Später auf einen der anderen Wege umstellbar."
contract = "G3: a read-only organisation GitHub App (Repository Administration read, Metadata read, Organization custom properties read; key in a GitHub environment limited to main) runs a weekly scheduled CI check outside the gate. It fails on an undeclared repository, on Dependabot alerts or CodeQL setup differing, on the property schema, on the rulesets' visible rules and enforcement, on targeting by effect (properties/values against rules/branches, for managed and unmanaged repositories), on any bypass use (rule-suites with rule_suite_result=bypass), on scanning where visible, and on merge settings if GraphQL shows them to the App. Not seen weekly, and checked on every run of the operator's command instead: a non-empty bypass list nobody has used, a targeting change that still agrees with every repository's current value, and merge settings unless GraphQL answers. Reopen when GitHub gives Apps read access to ruleset definitions or merge settings."

[[expectation.option]]
name = "App mit Schreibrecht"
effect = "Eine App mit Admin-Rechten prüft jede Woche wirklich alles."
notice = "Jede Woche ein vollständiger Check."
cost = "Der Schlüssel einer App, die Einstellungen ändern kann, liegt dann doch als Geheimnis in GitHub; genau das hast du mit deiner Wahl ausgeschlossen."
undo = "reversible"
undo_how = "App löschen; die Einstellungen bleiben, wie sie sind."
contract = "G3 runs the full plan weekly in CI through an organisation GitHub App with organisation administration write and repository administration and contents write, its key a secret of a GitHub environment limited to main; this replaces the read-only App of the ruled option A."

[[expectation.option]]
name = "Abgleich auf deinem PC"
effect = "Dein PC startet jede Woche selbst den vollständigen Abgleich mit deinem Login."
notice = "Läuft nur, wenn dein PC an ist; das Ergebnis siehst du als Meldung auf dem PC, nicht in GitHub."
cost = "Eine Änderung an deinem laufenden PC vor der Umstellung, und kein Check, den andere sehen."
undo = "reversible"
undo_how = "Den Zeitplan auf dem PC wieder entfernen."
contract = "A systemd user timer on the operator's PC runs the shipped command plan-only weekly with his own login; no App and no CI run; a host change before P10, so it waits for the operator's word to touch the live PC."

[[expectation]]
text = "Ein Repo, das nicht mehr verwaltet werden soll, wird auf dem gewählten Weg aus der Verwaltung genommen, und kein Weg löscht je ein Repo."
asked_on = 2026-11-06
ruling = "B"
ruled_on = 2026-11-06
card_hash = "sha256:70534633a0082801bedcb2c63bcfdeee2edd7acde4a4a2739ffef8646533b572"
via = "chat"
question = "Soll ein Repo, das nicht mehr verwaltet werden soll, mit einer sichtbaren Zeile im Pull Request freigegeben werden statt mit einem Handgriff?"
problem = "Mit dem bisher gewählten Schutz bricht das Werkzeug ab, wenn ein Repo aus dem Code genommen wird."
decision_kind = "data_risk"
area = "GitHub-Organisation"
topic = "Repo aus Verwaltung nehmen"
recommended = "B"
reason = "Beide Wege löschen nie; der zweite macht das Freigeben zu einer Zeile, die du im Pull Request siehst, und der wöchentliche Abgleich meldet trotzdem jedes vergessene Repo."

[[expectation.option]]
name = "Sperre, wie gewählt"
effect = "Nimmt jemand ein Repo aus dem Code, bricht der Lauf ab; zum Freigeben braucht es einen Handgriff am gespeicherten Zustand."
same_as_today = true
notice = "Beim Archivieren von hal tippt jemand einen Extra-Befehl, den kein Review sieht."
cost = "Ein Handgriff außerhalb des Codes."
undo = "reversible"
undo_how = "Später auf den anderen Weg umstellbar."
contract = "Every managed repository carries lifecycle prevent_destroy = true and archive_on_destroy = true; taking one out of management needs a hand tofu state rm."

[[expectation.option]]
name = "Nur loslassen, nie löschen"
effect = "Nimmt jemand ein Repo aus dem Code, lässt das Werkzeug es nur los und löscht nie; der Abgleich meldet es, bis es mit Grund als nicht verwaltet eingetragen ist."
notice = "Ein Repo freigeben ist eine Zeile im Pull Request, die du siehst und mergst."
cost = "Braucht eine etwas neuere Version des Werkzeugs; sonst kein Mehraufwand."
undo = "reversible"
undo_how = "Später auf die Sperre umstellbar."
contract = "Every managed repository carries lifecycle destroy = false and archive_on_destroy = true, with OpenTofu 1.12.0 or later as the required_version floor; prevent_destroy is not used; a removed key is forgotten, never destroyed, and the undeclared-repository check stays red until the repository is listed as unmanaged with a reason. Until this line is ruled, G1 builds the ruled prevent_destroy form."

[[expectation]]
text = "Eine Änderung, die eine neue schwere Sicherheitswarnung des Code-Scanners mitbringt, kommt nicht unbemerkt in den Hauptstand."
asked_on = 2026-11-09
ruling = "A"
ruled_on = 2026-11-09
card_hash = "sha256:4ee62cf642f9a58b3b2408bd210849ec6f25f5abefecdd502cb9629b4d429656"
via = "board"
question = "Soll eine Änderung mit einer neuen schweren Sicherheitswarnung gar nicht erst in den Hauptstand kommen?"
problem = "Eine schwere Sicherheitswarnung kann unbemerkt im Hauptstand liegen; bei einer App lagen zwei fast drei Wochen."
decision_kind = "technical"
area = "Sicherheit"
topic = "Code-Scanner als Sperre"
recommended = "A"
reason = "Bei einer App lagen zwei schwere Warnungen vom 18.10. bis zur Prüfung am 06.11. unbemerkt im Hauptstand. Der Scanner läuft schon bei jeder Änderung, nur sperrt sein Ergebnis nichts. Dein Grundsatz sagt: Was eine Maschine prüfen kann, gehört in die Prüfungen, nicht ins Erinnern. A sperrt nur, was eine Änderung neu mitbringt; alte Warnungen halten nichts auf. Die wöchentliche Durchsicht bei B ließe bis zu einer Woche Lücke."

[[expectation.option]]
name = "Neue schwere Warnung sperrt"
effect = "Bringt eine Änderung eine neue schwere oder kritische Sicherheitswarnung des Code-Scanners mit, lässt sie sich nicht mergen. Das gilt, bis die Warnung behoben oder mit Begründung abgewiesen ist."
notice = "Du siehst am Pull Request einen roten Pflicht-Check mit der Warnung. Eine Fehlwarnung weist ein Agent mit Begründung ab, dann geht es weiter."
cost = "Eine Regel in den Regeln der Organisation. Eine Fehlwarnung hält eine Änderung auf, bis sie abgewiesen ist. Jedes betroffene Repository muss den Scanner laufen haben; das wird vor dem Anwenden je Repository geprüft."
undo = "reversible"
undo_how = "Die Regel aus den Organisationsregeln entfernen und erneut anwenden."
contract = "In `src/opentofu/github` (module `organization/`): a code-scanning rule (provider `required_code_scanning`, tool CodeQL, `security_alerts_threshold = \"high_or_higher\"`, `alerts_threshold = \"none\"`) reaching repositories through `quality_gate=true`, with `prevent_destroy` and `destroy = false` like the other rulesets; applied only by `scripts/apply_github_settings.sh --apply` from a clean `origin/main`. Verified at the pull, else this card returns: provider 6.13.0 carries the rule, every `quality_gate=true` repository runs CodeQL through quality's `codeql.yml`, and the rule judges only alerts a pull request introduces."

[[expectation.option]]
name = "Wöchentliche Durchsicht"
effect = "Nichts sperrt. Ein geplanter Lauf geht jede Woche jedes Repository durch und macht aus neuen Warnungen einen Eintrag zum Abarbeiten."
notice = "Spätestens nach einer Woche steht eine neue Warnung auf der Liste. Kein Merge wird aufgehalten."
cost = "Bis zu einer Woche, in der eine Warnung im Hauptstand liegt. Es hängt daran, dass der Lauf jede Woche wirklich startet."
undo = "reversible"
undo_how = "Den geplanten Lauf wieder abstellen."
contract = "No ruleset change; the `sonar-distributor` skill's weekly scheduled run per fleet repository owns untriaged CodeQL alerts (one distributor issue per repository), scheduled on marketplace's board."

[[expectation.option]]
name = "Wie heute"
effect = "Der Scanner läuft bei jeder Änderung, sein Ergebnis sperrt nichts, und niemand sieht planmäßig nach."
same_as_today = true
notice = "Eine Warnung fällt auf, wenn jemand zufällig hinschaut oder eine Prüfung sie findet."
cost = "Nichts zu bauen. Warnungen können wochenlang unbemerkt liegen."
undo = "reversible"
undo_how = "Eine der anderen Wahlen später nachholen."
contract = "No change; marketplace#484's row S5 stays an accepted risk named on #10."

[[expectation]]
text = "Die Sperre gegen neue schwere Sicherheitswarnungen gilt für jedes Repo am Qualitäts-Tor, und das Repo der verschlüsselten Geheimnisse ist auf dem gewählten Weg geregelt."
asked_on = 2026-11-09
ruling = "A"
ruled_on = 2026-11-09
card_hash = "sha256:c9234a31d2c3c5723658e985a9b08ef2e066be062ce1fd002f0ccfe2a364b320"
via = "board"
question = "Wie soll die neue Sperre mit dem Geheimnis-Repo umgehen, das keinen Code-Scanner hat?"
problem = "Das Geheimnis-Repo hat keinen Code-Scanner; die Sperre würde dort jede Änderung für immer blockieren."
decision_kind = "access"
area = "Sicherheit"
topic = "Code-Scanner-Sperre"
recommended = "A"
reason = "Du hast heute A gewählt: Eine Änderung mit neuer schwerer Warnung wird nicht gemergt. Bei der Prüfung vor dem Bau zeigte sich: 14 der 16 Repos am Qualitäts-Tor haben den Scanner. Ein Repo ist archiviert und nimmt keine Änderungen mehr an. Das Geheimnis-Repo ist privat und hat den Scanner nicht. GitHub sperrt dort jede Änderung, solange der Scanner fehlt. Das Repo enthält nur verschlüsselte Dateien und keinen Programmcode, also hätte der Scanner dort nichts zu prüfen. A nimmt nur dieses eine Repo aus und behält die Sperre für alle anderen. B kostet monatlich Geld und prüft nichts Sinnvolles."

[[expectation.option]]
name = "Geheimnis-Repo ausnehmen"
effect = "Die Sperre gilt für jedes Repo am Qualitäts-Tor außer dem Geheimnis-Repo, das ausdrücklich ausgenommen wird."
notice = "In 15 Repos wird eine Änderung mit neuer schwerer Warnung nicht mehr gemergt. Im Geheimnis-Repo ändert sich nichts."
cost = "Eine Ausnahme mehr in den Regeln. Ein späteres Repo ohne Scanner bräuchte wieder eine Entscheidung."
undo = "reversible"
undo_how = "Die Ausnahme wieder streichen."
contract = "G4 as drafted (a new organisation ruleset with the rule required_code_scanning: tool CodeQL, security_alerts_threshold high_or_higher, alerts_threshold none; prevent_destroy and destroy = false) targets quality_gate=true and excludes platform-secrets: by a repository-name exclusion if the provider and GitHub's API allow it beside the property condition, else by a second custom property declared in src/opentofu/github/organization whose excluded value only platform-secrets carries; verified at the pull. Condition 3 (only alerts a pull request introduces) is proven by a throwaway pull request after the apply; if it fails, this line returns."

[[expectation.option]]
name = "Scanner dort einschalten"
effect = "Das Geheimnis-Repo bekommt GitHubs kostenpflichtige Code-Sicherheit und einen eigenen Scanner-Lauf. Die Sperre gilt dann überall gleich."
notice = "Keine Ausnahme in den Regeln. Im Geheimnis-Repo läuft bei jeder Änderung ein Scanner, der keinen Programmcode findet."
cost = "Monatliche Kosten für das private Repo. Ein Scanner-Lauf ohne Programmcode kann scheitern und Änderungen dort trotzdem sperren."
undo = "reversible"
undo_how = "Die Code-Sicherheit wieder abschalten, dann gilt A oder C."
contract = "GitHub Code Security is enabled for platform-secrets (the operator's purchase), it gains a workflow calling quality's codeql.yml, and G4's ruleset targets quality_gate=true without exception."

[[expectation.option]]
name = "Sperre vorerst nicht"
effect = "Es kommt keine neue Sperre. Neue schwere Warnungen sammelt weiter der wöchentliche Prüflauf je Repo."
same_as_today = true
notice = "Eine Änderung mit neuer schwerer Warnung kann gemergt werden, wenn das Review sie übersieht."
cost = "Ein Sicherheitsproblem fällt erst beim wöchentlichen Prüflauf auf."
undo = "reversible"
undo_how = "Später A oder B wählen."
contract = "No ruleset change; the sonar-distributor skill's weekly scheduled run per fleet repository owns untriaged CodeQL alerts, as line 4's option B described."

[[expectation]]
text = "Die neue Sperre verhindert, dass ein Pull Request mit einem neuen schweren Sicherheitsfund gemergt wird. Eingerichtet und ausgelesen ist sie; gesehen, wie sie einen echten Merge abweist, hat sie noch niemand. Mein Testlauf dafür wurde vom Sicherheitsfilter dieser Sitzung abgelehnt, weil er einen absichtlichen Merge-Versuch enthält."
asked_on = 2026-11-09
ruling = "A"
ruled_on = 2026-11-09
card_hash = "sha256:f22316dbc3a34ba3b0b5f9e1d547db07b0d3f758178ddf14b26dd7e0f0bd2837"
via = "board"
question = "Wie soll geprüft werden, dass die neue Merge-Sperre bei Sicherheitsfunden wirklich greift?"
problem = "Die Sperre ist gesetzt, aber nie im Ernstfall gesehen; ein Testlauf braucht einen absichtlichen Merge-Versuch, den der Sicherheitsfilter ablehnt."
decision_kind = "technical"
area = "GitHub"
topic = "Merge-Sperre bei Sicherheitsfunden prüfen"
recommended = "A"
reason = "Die Regel ist gesetzt und ausgelesen; ein Lesetest kostet fast nichts und braucht keinen Merge-Versuch. Den Merge-Versuch würde ich nur nehmen, wenn dir die stärkere Antwort den Aufwand wert ist."

[[expectation.option]]
name = "Nur Zustand lesen"
effect = "Ein Agent öffnet einen Wegwerf-Pull-Request mit einem absichtlichen Fund, liest nur ab, ob GitHub ihn als gesperrt zeigt, und löscht ihn wieder. Es gibt keinen Merge-Versuch."
notice = "Du merkst nichts. Der Beweis ist etwas schwächer, weil GitHub beim Sperren oft mehrere Gründe zugleich hat."
cost = "Ein CI-Lauf und etwa 15 Minuten eines Agenten."
undo = "reversible"
undo_how = "Der Pull Request wird geschlossen und sein Zweig gelöscht."
contract = "Throwaway PR planting py/request-without-cert-validation; reads mergeStateStatus and the code-scanning alert; no PUT /merge; closed unmerged, branch deleted. #308 rows 6 and 7 are recorded as read, not as refused."

[[expectation.option]]
name = "Merge-Versuch erlauben"
effect = "Du gibst frei, dass ein Agent einmal absichtlich versucht, diesen Wegwerf-Pull-Request zu mergen, nur solange GitHub ihn als gesperrt zeigt. Die Antwort nennt genau die Regel, die greift."
notice = "Du merkst nichts. Sollte die Sperre wider Erwarten nicht greifen, landet eine harmlose Testdatei auf dem Hauptzweig."
cost = "Ein CI-Lauf, dazu deine Freigabe, weil der Filter den Versuch sonst ablehnt."
undo = "reversible"
undo_how = "Ein Pull Request nimmt die Testdatei wieder heraus."
contract = "As A, plus one PUT /repos/overnightworks/platform/pulls/N/merge with sha, only while mergeStateStatus is BLOCKED and current_user_can_bypass is never on every ruleset of main; #308 rows 6 and 7 and aco's request for the refusal text."

[[expectation.option]]
name = "Nicht testen"
effect = "Die Regel bleibt, wie sie ist. Der erste echte Fund zeigt, ob sie greift."
notice = "Du merkst nichts, außer sie greift nicht: dann läge ein echter Sicherheitsfund schon auf dem Hauptzweig."
cost = "Keine Arbeit. Das Restrisiko bleibt, bis der erste echte Fall kommt."
undo = "reversible"
undo_how = "Der Testlauf lässt sich jederzeit nachholen."
contract = "#308 rows 6 and 7 stay not driven and are named as such; no throwaway PR."