Ihre Abhängigkeiten, jeden Monat aktuell
Jede Anwendung baut auf Hunderten Open-Source-Paketen auf. Sicherheitskorrekturen erscheinen jede Woche, und die grossen Versionssprünge stauen sich, bis jeder davon ein eigenes Projekt wird. Wir übernehmen diese Arbeit: getestete Pull Requests, ein monatlicher Bericht und ein Plan für die grossen Updates, zu einer festen Monatspauschale statt einer Neueinstellung.
Das Problem, das wir übernehmen
- Bot-Pull-Requests, die niemand merged. Dependabot und Renovate schlagen die Updates vor, aber jedes braucht jemanden, der das Changelog liest, die Anwendung startet und merged. Sie bleiben monatelang offen, und die Sicherheitskorrekturen mit ihnen.
- Major-Versionen, die verschoben werden. Ein Bot migriert keine Major-Version. Wenn eine Schwachstelle erst in der nächsten Version behoben ist, wird die Korrektur zur Migration, und niemand ist dafür zuständig.
- Fragen ohne schnelle Antwort. «Sind wir von dieser neuen Schwachstelle betroffen? Welches Produkt, welche Version?» Dafür braucht es ein aktuelles Inventar dessen, was Sie ausliefern.
So funktioniert es
1. Erste Analyse
Festpreis, im Voraus vereinbart. Wir prüfen Ihre Repositories: bekannte Schwachstellen in dem, was Sie deployen, wie weit jede Abhängigkeit zurückliegt, verwaiste oder veraltete Pakete, offene Bot-Pull-Requests. Sie erhalten einen schriftlichen Bericht mit priorisiertem Plan, den Sie behalten, ob Sie weitermachen oder nicht.
2. Monatliche Wartung
Jeden Monat: Sicherheitskorrekturen und Updates als kleine, getestete Pull Requests, die Ihr Team nur noch reviewen muss; offene Bot-Pull-Requests geprüft, getestet und gemerged oder begründet; ein geplanter Migrationsschritt nach dem anderen für Major-Versionen; ein kurzer Bericht über Änderungen und nächste Schritte.
3. Wenn eine Schwachstelle bekannt wird
Wenn eine kritische Schwachstelle etwas betrifft, das Sie ausliefern, hören Sie von uns, mit den betroffenen Repositories und Versionen und einer Korrektur als Pull Request, bevor ein Scanner oder ein Kunde Sie darauf hinweist.
Der EU Cyber Resilience Act (CRA)
Seit dem 11. September 2026 müssen Hersteller von Software, die in der EU vertrieben wird, aktiv ausgenutzte Schwachstellen innerhalb von 24 Stunden an die ENISA melden; ab Dezember 2027 gelten alle Pflichten, darunter eine Software-Stückliste (SBOM) für jedes Produkt und ein dokumentierter Prozess für den Umgang mit Schwachstellen. Optional erstellen und pflegen wir die SBOM jeder Version und übernehmen das Schwachstellenmanagement Ihrer Abhängigkeiten: Überwachung, Bewertung, Korrekturen und Protokoll der Massnahmen. Das ist technische Unterstützung für Ihren Prozess, keine Rechtsberatung.
Wie wir arbeiten
- Alles kommt als Pull Request in Ihre Repositories, über Ihren normalen Review-Prozess. Wir brauchen keinen Zugang zur Produktion.
- Jeder Pull Request beschreibt, was geprüft wurde: Build, Typen, Tests, und was nicht getestet werden konnte und warum.
- Wir sagen, wenn sich ein Update nicht lohnt oder eine Abhängigkeit besser ersetzt als gepatcht wird.
- JavaScript und TypeScript (Node.js, Next.js, React) sowie Python. Andere Technologien auf Anfrage.
Unsere Arbeit, öffentlich
Wir messen und veröffentlichen, was wir in fremdem Code finden: Beispiel-Apps mit verwundbaren Abhängigkeiten, Installationsbefehle mit nicht registrierten Paketnamen und die Fehlalarmrate unserer eigenen Prüfungen (Seiten auf Englisch). Von uns vorgeschlagene Korrekturen wurden unter anderem von NVIDIA SkillSpector, OpenHands und Countly übernommen.
Mit einer Analyse beginnen
Schreiben Sie an presendapp@gmail.com mit dem Link zu Ihren Repositories (oder einer kurzen Beschreibung, falls sie privat sind). Wir antworten mit dem Umfang der ersten Analyse und ihrem Festpreis.