Qualitätssicherung

Von Code zu Gewissheit

Bevor deine App live geht, führt Airbuild mehrschichtige automatische Prüfungen aus — Tests, Code-Qualität, Abhängigkeiten und Sicherheit — damit fehlerhafter oder riskanter Code auffällt, bevor er deine Nutzer erreicht. Jede Prüfung ist im Tests-Tab sichtbar in genau der Reihenfolge, in der sie ausgeführt wird, jeweils mit Checkliste pro Prüfung und klarem Bestanden/Fehlgeschlagen-Status. Der Tab gehört zur Testing-Integration und erscheint, sobald sie aktiv ist.

Das Test-Cockpit

Der Tests-Tab ist ein vollwertiges Cockpit:

• Tests auf Abruf ausführen oder den KI-Agent schreiben und ausführen lassen
• Ergebnisse pro Test mit Filtern, gruppiert nach Datei
• Zeilengenaue Code-Coverage
• Lauf-Verlauf und exportierbare Ergebnisse
• Live-Fortschritt als Karte im Chat

Qualitäts- & Sicherheits-Gates vor dem Veröffentlichen

Beim Veröffentlichen — und jederzeit auf Abruf aus dem Chat — führt Airbuild Open-Source-Tools in der eigenen EU-Pipeline aus, gegen einen eingefrorenen Snapshot genau des Codes, der live geht.

Für jedes Projekt standardmäßig aktiv, High-Severity-Funde blockieren die Veröffentlichung:

• Statische Sicherheit (SAST) — Semgrep: findet unsichere Muster im generierten Code
• Abhängigkeiten & Secrets — Trivy: Scan auf bekannte Schwachstellen (CVEs) und offengelegte Secrets
• Code-Qualität — Ruff (Python) und Biome (TypeScript/React): Fehlerbehandlung, Async-Fallen, Performance-Fallstricke und ein Security-Regelsatz

Bei Backend-Apps immer aktiv: Jeder ohne Authentifizierung erreichbare Endpunkt wird aufgelistet und muss vor dem Veröffentlichen bestätigt werden. Lässt sich die OpenAPI-Spezifikation gar nicht erzeugen, läuft diese Prüfung durch, statt zu blockieren.

Pro Projekt zuschaltbar:

• Deep Quality — SonarQube Cloud: Analyse des gesamten Projekts auf Bugs, Code-Smells und Wartbarkeit
• API-Vertrag — Spectral: lintet die generierte OpenAPI-Spezifikation (nur Hinweise)
• Dynamische Sicherheit (DAST) — OWASP ZAP: prüft eine Wegwerf-Kopie der laufenden App (nur Hinweise)

Diese Tools analysieren deinen generierten Code, keine personenbezogenen Daten. Alle laufen in Airbuilds eigener EU-Pipeline — mit einer Ausnahme: Das Deep-Quality-Gate überträgt den analysierten Code an SonarQube Cloud (SonarSource SA), wo er in der EU (AWS Frankfurt) verarbeitet wird; jeder Scan läuft in einem Wegwerf-Analyse-Projekt, das wir nach dem Scan löschen — schlägt eine Löschung fehl, richtet sich die Aufbewahrung nach den Bedingungen von SonarSource. SonarSource steht in unserer Sub-Prozessor-Liste.

Was eine durchgelaufene Veröffentlichung heißt

Ein Gate hängt daran, was eine Prüfung meldet — nicht daran, ob sie überhaupt melden konnte. Kann eine gar nicht laufen — ein Scanner startet nicht, die OpenAPI-Spezifikation lässt sich nicht erzeugen —, läuft die Veröffentlichung durch, statt verweigert zu werden. Eine durchgelaufene Veröffentlichung heißt also: Es wurde nichts Blockierendes gemeldet, nicht, dass jede Prüfung fertig geworden ist. Welche Werkzeuge tatsächlich liefen, listet das Publish-Checks-Panel.

Funde mit KI beheben

Jeder Fund landet in einem einheitlichen Probleme-Panel, gruppiert nach Prüfungsart. Übergib die ganze Liste an Mit KI beheben und der Agent löst sie in einem Durchgang — dann Gate erneut laufen lassen und veröffentlichen.

Test-Gate vor dem Veröffentlichen (pro Projekt, standardmäßig aus)

Die generierte Testsuite ist eine Einstellung pro Projekt und startet aus: Tests laufen und melden im Tests-Tab, eine rote Suite stoppt aber kein Release. Schalte das Gate in den Einstellungen ein, dann blockiert eine fehlgeschlagene Suite ab da das Veröffentlichen. Danach zeigt das Publish-Checks-Panel, welche Tests und Gates liefen und was sie zurückgegeben haben.

Prüfung offener Endpunkte

Vor dem Live-Gang markiert Airbuild außerdem öffentlich erreichbare, nicht authentifizierte API-Endpunkte und lässt dich auswählen, welche du absichern und direkt an Mit KI beheben übergeben willst.