m-6 · Tillgänglighetstester med axe på verkstadsgränssnittets
grundkomponenter: knapp, textfält, panel och bild. Gränssnittet var
genomtänkt för handskar, buller och solljus men obevisat — ingenting
kontrollerade att en knapp har ett tillgängligt namn eller att ett
formulärfält har en etikett.
Att bilder bär alternativtext är i den här produkten inte bara ett
tillgänglighetskrav: bilden *är* bevisningen, och beskrivningen är det
som säger vad den visar.
Ungefär en tredjedel av WCAG går att kontrollera maskinellt. Testet
säger det rakt ut, och den manuella granskningen står kvar som öppen —
automatik hittar inte om ett gränssnitt är användbart, bara om det är
felformat.
m-4 · Paritetstestet mellan orkesterkopiorna jämför nu innehåll i
stället för att kontrollera att strängar förekommer: grundreglerna ord
för ord, metodikkatalogens id i ordning, och modellvalet per uppgift.
Ett substrängtest hade inte fångat att en grundregel ändrats i ena
kopian.
Den riktiga åtgärden är att avveckla Supabase-vägen. Det är ett
driftbeslut, inte en kodändring, och står kvar som öppet.
Revisionsdokumentet har fått en avdelning med utfall per fynd, så att en
omgranskning kan verifiera i stället för att lita på ordet. Två punkter
är ärligt öppna och ingen av dem är kod: personuppgiftsbiträdesavtalet
med konsekvensbedömning, och avvecklingen av den äldre orkestern.
Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_012EQg3rJsrQ1ZNTvkzmQAtt
En genomgång av koden — inte av dokumentationens påståenden — med den
granskning en fordonstillverkares leverantörskvalitet skulle göra.
Dokumentet säger uttryckligen att det är en intern övning med Volkswagen
AG som referenskund, inte en revision utförd av eller på uppdrag av dem.
Fyra kritiska fynd, varav två underminerar produktens kärnlöfte:
Servern tar emot anvandare och tidpunkt från klienten och kontrollerar
bara att de är strängar respektive sanningsvärda. JWT:n bär redan den
verifierade identiteten men används inte på den vägen. En append-only
logg vars författare och tidpunkt sätts av anroparen är inte en
revisionskedja.
Kvalitetsgrinden finns bara i webbläsaren. Ett ärende kan avslutas utan
evidens genom ett anrop till API:t, och rapporten presenterar det som
komplett. Dokumentationen säger att systemet aldrig kan skriva en
slutsats ECM inte godkänt; det stämmer inte vid API-gränsen.
De två övriga är rättsliga: append-only utan raderingsväg går inte att
förena med dataskyddsförordningens artikel 17, och överföringen av
kunduppgifter och VIN till modell-API:t saknar dokumenterad grund.
Sex allvarliga fynd, bland dem att mätvärden rankas som hög evidens utan
att bära vilket instrument som mätte eller om det var kalibrerat, och
att högvoltsteget går att svara nej på och ändå fortsätta.
Dokumentet listar också det som håller — och varför det bör skyddas i
åtgärdsarbetet. En revision som bara räknar fel ger en falsk bild.
Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_012EQg3rJsrQ1ZNTvkzmQAtt
Claude