7 Commits

Author	SHA1	Message	Date
Claude	6665004ec7	Härdning: kedjesvep i drift — och svepets första egna fynd ... KEDJESVEPET. Verifieringen fanns men anropades bara vid tvist: ett brott kunde stå oupptäckt i åratal och upptäckas i sämsta tänkbara ögonblick. Nu går driften igenom varje kedja och varje försegling i varje organisation — POST /api/kedjesvep för arbetsledaren, `node server.mjs --kedjesvep` för nattlig cron utan server, med felkod vid brott så att larmet är gratis. Endpoint och svep delar EN implementation (kedjestatus): två implementationer av "är kedjan hel?" kommer att svara olika den dag det betyder något — det var T-13/T-14:s rot, tillämpad i förebyggande syfte. SVEPETS FÖRSTA FYND VAR PÅ RIKTIGT. Första körningen mot integrationsmiljön rapporterade TRE brott där testerna saboterat två. Det tredje var en bugg: leverantörshändelser bär `enhet: undefined`, och den kanoniska formen serialiserade nyckeln som null medan databasens rundresa släpper den. Skriv-digest och läs-digest skilde sig — varje leverantörshändelse bröt sin egen kedjelänk. Klienthändelser gick fria av en slump: JSON.parse kan inte producera undefined. Fixat vid roten: kanonisk form är nu exakt den form som överlever rundresan, inte en nästan likadan. Mekanismen fungerade precis som avsett — dag ett, mot sina egna upphovsmän. TRANSPORTEN. Säkerhetshuvuden på varje API-svar: nosniff, no-store (ett API vars svar är personuppgifter får inte bli en cacheträff), frame-ancestors 'none', no-referrer, HSTS. För stor kropp svarar 413 i stället för ett intetsägande 500. Kroppstak 4 MiB och batchtak 500 verifierade som redan på plats — bokfört, inte antaget. En skriptläxa på vägen: cron-svepets felkod är själva poängen, men under `set -e` dödade den testskriptet vid tilldelningen — felkoden måste fångas i samma andetag. Utgåva 3.4. API-specen dokumenterar svepet. TÜV-2-rapporten har bilaga A med samma-dags-härdningen, inklusive svepets eget fynd. 768 enhetstester, 224 integrationskontroller mot riktig Postgres, återställningsprov, genomgång 4/4, portalspärr, typkontroll och lint. Co-Authored-By: Claude Fable 5 <noreply@anthropic.com> Claude-Session: https://claude.ai/code/session_012EQg3rJsrQ1ZNTvkzmQAtt	2026-08-06 20:55:21 +00:00
Claude	0941e53c50	Revision 3: härdningen granskad — fyra fynd i en dag gammal kod, alla åtgärdade ... Revisionens föremål är hashkedjan, förseglingen och säkerhetstaket från igår. Skälet att granska det nyaste först: det farligaste ögonblicket för en skyddsmekanism är veckan efter att den byggts, när testerna är skrivna av samma person som skrev mekanismen och provar samma antaganden. K-1, KRITISK. Förseglingen larmade falskt i normal drift. Offline-synk kan lämna in händelser EFTER att ärendet stängts — en sen bild, ett sent kundbesked — och verifieringen jämförde förseglingens rot med kedjans NUVARANDE rot. Varje legitim efterhändelse gav OGILTIG. Reproducerad i integrationsmiljön innan den kallades fynd. En verifiering som larmar falskt avfärdas snart som trasig, och därefter avfärdas även de äkta larmen — falsklarmet är inte en mindre bugg i ett skydd, det är det som dödar skyddet. Åtgärd: förseglingen täcker sitt PREFIX. Den förseglade roten ska vara en länk i den omräknade kedjan; det som kom efter redovisas öppet i `efterForsegling` i stället för att smittas eller smitta. Motvikten är prövad: sabotage INUTI prefixet fäller fortfarande både kedjan och förseglingen — annars vore "täcker sitt prefix" bara ett artigare ord för "täcker ingenting". m-1. Kedjelänken vilade på ett tidsformat som garanterades tre filer bort. Inte utlösbart i dag — alla vägar går genom tillPost — men första nya skrivväg utan millisekunder hade gett en kedja som aldrig verifierar. Normaliseringen bor nu i skrivKedjat, i samma uttryck som länken och databasraden får den ur. m-2. Protokollvägens skrivna/dubbletter räknades med två count(*) runt anropet; en samtidig skrivning från någon annan hamnade i vår siffra. skrivKedjat returnerar nu räkningen ur transaktionen som gjorde jobbet. m-3. Läsordning och kedjeordning var två ordningar. Kedjan ordnas av sekvens; GET, grinden och delningsvyn sorterade på tidpunkt och id — inom en batch kunde id:ts bokstavsordning avgöra vilken händelse som var "senast". Alla läsvägar sorterar nu i kedjeordning. Granskat utan anmärkning, bokfört så nästa revision vet att "hittade inget" betyder "letade": numerisk rundresa genom jsonb (provad med 1e-7 och 0.10000000000000009, inte antagen), dubbletter flyttar inte kedjan, krypto-shredding mot kedjan, signaturens serverägdhet, takets monotoni. Mönstret i alla fyra fynd är detsamma och står i rapporten: testerna som skrevs med mekanismen provade manipulation, som är det man tänker på när man bygger ett skydd. Det som gick sönder var normal drift — sen synk, samtidiga grannar, en batch i samma millisekund. Skydd fallerar oftare genom att larma falskt än genom att missa angrepp. 766 tester, 206 integrationskontroller, genomgång 4/4, portalspärr, typkontroll, lint och artefaktmätning gröna. API-specen dokumenterar prefixsemantiken och efterForsegling. docs/QUALITY-AUDIT-3.md. Co-Authored-By: Claude Fable 5 <noreply@anthropic.com> Claude-Session: https://claude.ai/code/session_012EQg3rJsrQ1ZNTvkzmQAtt	2026-08-06 20:03:43 +00:00
Claude	1ba5aaaefa	Härdning efter panelgranskningen: kedjad logg, förseglat avslut, härledd säkerhetsnivå ... Fyra av granskningens fynd åtgärdade, i bevisvärdesordning. HASHKEDJAN (ALVA-SPEC-070). Triggrar skyddar loggen mot applikationen, inte mot den som äger databasen — det var granskningens allvarligaste invändning mot ett system vars hela värde är bevisvärde. Varje händelse bär nu en hash av sitt innehåll och föregående händelses hash, beräknad av servern vid insättningen. All skrivning går genom en enda kedjande funktion; en händelse vid sidan av kedjan är ett hål i beviset, så den bekväma vägen förbi finns inte. Digest tas över den LAGRADE händelsen, efter kryptering: verifieringen ska kunna räkna om den ur databasen för all framtid, och krypto-shredding förstör nycklar, inte rader, så kedjan överlever en radering. Radlås per ärende hindrar att två samtidiga batchar forkar kedjan — en falsk larmande verifiering avfärdas snart som trasig, och då är den värdelös. Integrationstestet provar hotmodellen ordagrant: triggern släpps, en rad ändras med full databasbehörighet, triggern återskapas. Verifieringen pekar ut raden — inte bara att något är fel, utan vilken. FÖRSEGLINGEN. Avslut skriver kedjans rot och en HMAC med en nyckel som aldrig finns i databasen, i samma transaktion som avslutshändelsen. Den som räknar om hela kedjan efter sin ändring stoppas av att förseglingen inte går att räkna om utan nyckeln. Engångs: triggern vägrar ändra en satt försegling. Svaret säger vad det bevisar och inte — innehållet är oförändrat sedan mottagandet, ingenting om tiden före, ingenting om sanningshalten. Den texten följer med in i varje rapport som citerar svaret, för det är precis den skillnad en motpartsjurist annars hittar. SIGNATUREN. Fältet hette signatur men var teknikerns egen text — det inbjöd en jurist att tro något som inte gällde. Det skrivs nu ur verifierad token som övriga härkomstfält och intygar exakt vad det kan intyga: vem som var inloggad när avslutet togs emot. SÄKERHETSNIVÅN (ALVA-SPEC-071). Var teknikerns fria val — ett självskattat värde som ser ut som en mätning. Nu ett tak härlett ur underlaget: hög kräver reproducerat symptom OCH spårbart mätvärde ur mätdonsregistret; enbart observationer bär inte ens medel. Teknikern kan sänka men aldrig höja — asymmetrin är poängen, ärlig osäkerhet är information. Grinden spärrar påståenden över taket på alla tio språken, och gränssnittet visar taket medan arbetet pågår i stället för att spara beskedet till avslutsknappen. "Delvis reproducerat" bär inte hög: delvis är ett annat ord för att felet inte är förstått. Taket bet direkt i två av våra egna testfixturer som påstod hög utan spårbart mätdon — vilket är regeln som fungerar, inte testet som är fel. Genomgången avslöjade följdkravet: vid medel/låg kräver panelen att teknikern anger vilka ytterligare kontroller som skulle stärka bedömningen, och det fältet fylls nu i som en tekniker skulle. Kvar ur granskningens lista, medvetet: extern förankring (RFC 3161), klienthashat foto vid upptagning, gränsvärden som data, OIDC/SAML. 766 tester, 200 integrationskontroller mot riktig Postgres — inklusive sabotage som databasägare — genomgång 4/4, portalspärr, typkontroll, lint och artefaktmätning gröna. Utgåva 3.3, API-specen uppdaterad, åtgärderna bokförda i panelrapportens bilaga A. Co-Authored-By: Claude Fable 5 <noreply@anthropic.com> Claude-Session: https://claude.ai/code/session_012EQg3rJsrQ1ZNTvkzmQAtt	2026-08-06 19:26:16 +00:00
Claude	b147694e31	Härdning av hela TÜV-revisionen ... Tio av tolv fynd stängda, två reducerade med skälen utskrivna. Varje stängning prövas av integrationssviten mot riktig Postgres — 144 kontroller, upp från 100. T-1 Händelsenyckeln är nu (arende_id, id). Det finns inget delat namnrum kvar att ockupera, så attacken saknar yta i stället för att vara mildrad. Inom ett ärende bedöms en kollision på klientens avtryck — en hash av det kanoniserade innehåll klienten skickade, taget före serverns egna fält och före krypteringen, eftersom varken raden eller nyttolasten går att jämföra. Identiskt innehåll är fortfarande idempotent; samma id med annat innehåll ger 409 och skriver ingenting alls, inte heller resten av satsen. Samma attack en nivå upp — ärende-id är lika förutsägbart — stängs separat: ett id som ägs av en annan organisation ger 409 i stället för att tyst låta bli, vilket tidigare lämnade offrets ärende oskapat och varje senare synk svarande 404. T-2 Mätdonet slås upp i registret. Beteckning och kalibrering HÄRLEDS därifrån och skriver över det klienten skickade. Okänt mätdon ger 400. Utgånget avvisas inte — mätningen gjordes — men registrets datum följer med, så graderingen faller på registrets uppgift. Ett mätvärde utan mätdon får sina påstådda uppgifter borttagna. T-3 Reducerad, inte stängd. Personnycklarna kuverteras under en huvudnyckel utanför databasen. En återställd dump ger nycklar som inte öppnas — verifierat genom att starta om utan huvudnyckeln. Vad som återstår står utskrivet: en backup tagen FÖRE en radering, plus huvudnyckeln, återställer fortfarande uppgifterna. Därtill: gallringen verkställs nu av ett eget jobb och grupperar på det blindade fordonsindexet så att en delad nyckel inte gallras för tidigt (T-4) · AI-avlästa mätvärden bär härkomst (T-5) · bcrypt kostnad 12 (T-6) · åtkomstloggen och raderingsregistret är append-only, med en smalare regel för personnycklarna som måste kunna förstöras (T-7) · åtkomstloggen dokumenterad (T-8) · ett externt regelpaket utan signatur spärrar avslut (T-9) · CORS faller inte längre öppet (T-10) · exp krävs i token (T-11) · react-router 7 (T-12, med den kvarvarande avvikelsen motiverad). Den motspelande hyresgästen som revisionen efterlyste finns nu som testform och körs i CI. ---- Vad härdningen själv avslöjade ----------------------------------- Två av rättelserna var kortvarigt fel på samma sätt som fynden, och bägge fångades bara av att jag försökte bevisa dem: T-7-testet var grönt mot en TOM tabell. En radnivåtrigger har inga rader att fyra på, så delete lyckades och kontrollen mätte ingenting. T-6-testet påstod anropet, inte kostnaden. toContain("gen_salt('bf')") hade accepterat kostnad 6 för evigt — och gjorde det, så länge det fanns. Bägge är mönstret revisionen namngav: en kontroll som är riktig i sina egna termer och oprövad vid sin gräns. Det gäller tester lika mycket som kod. Co-Authored-By: Claude Opus 5 <noreply@anthropic.com> Claude-Session: https://claude.ai/code/session_012EQg3rJsrQ1ZNTvkzmQAtt	2026-08-06 13:05:16 +00:00
Claude	d1b361573e	Faktureringens serverdel — och två fel den grävde fram ... Fakturering fanns som modell, vy och tester men aldrig som något en server kunde utfärda. Nu finns tabellerna, vägarna och gränsen mellan kund och utfärdare. Beloppet tas aldrig emot. Det härleds ur organisationens faktiska tillstånd — de konton som verkligen kan logga in, de moduler som verkligen är påslagna — och ett anrop som ändå skickar rader eller totalt avvisas med 400 i stället för att tigas ihjäl. Samma hållning som mot okända fält i händelseschemat. Fakturaraden är oföränderlig, skyddad av samma trigger som loggen. Det får en följd som är lätt att missa: "betald" kan då inte vara en kolumn som uppdateras. Betalningen är en egen händelse och statusen en projektion av händelserna. En felaktig faktura rättas inte heller — den bemöts av en kreditfaktura med omvänt tecken och ett granskbart skäl. Utfärdaren är inte en användare. Ingen av rollerna i en verkstad är motpart i avtalet, så en kunds administratör kan varken utfärda sin egen faktura eller bokföra den som betald; utfärdandet kräver en egen nyckel, och utan den i miljön utfärdas ingenting alls. Nummerserien är utan luckor — en sequence hade varit billigare men lämnar hål vid rollback, och ett underlag med hål i är en lista. ---- Vad som föll ut när sviten faktiskt kördes ------------------------ integrationstest.sh fanns men låg utanför CI, och den föll på andra raden — i kod som inte hade med fakturering att göra: C-7 Append-only-triggern på felsokning_arenden förbjöd ALL update. Två av radens kolumner är härledda efteråt: gallringsdatumet vid avslut och det blindade fordonsindexet. Alltså föll varje avslut med 500, efter att kvalitetsgrinden redan godkänt ärendet. Skyddet är nu kolumnvis: identitet och ursprung är fortfarande låsta, radering fortfarande omöjlig, men de fält systemet självt härleder får skrivas. C-8 Fordonshistoriken sökte i klartext efter en identifierare som krypteras i vila. Jämförelsen kunde aldrig träffa: historiken svarade tomt på varje fordon, med 200. Det blindade indexet fanns just för den frågan och var aldrig inkopplat. Bägge ligger i backenden till produktens centrala löfte — att ett avslutat ärende är ett varaktigt underlag — och ingen av dem kunde synas i en grön enhetssvit, eftersom ingen av dem kan falla utan en databas. Sviten är därför ett eget CI-jobb nu. Bevisad: 364 enhetstester, 100+ integrationskontroller mot riktig Postgres, genomgången 4/4 ärenden. Spärren mot angivet belopp mutationstestad — borttagen ger den 201 i stället för 400. Co-Authored-By: Claude Opus 5 <noreply@anthropic.com> Claude-Session: https://claude.ai/code/session_012EQg3rJsrQ1ZNTvkzmQAtt	2026-08-06 10:54:31 +00:00
Claude	cd6b2caca5	Sammanfattning och slutsats i rapport och Live Share; API dokumenterat ... Sammanfattningen ligger först i både kundrapporten och Live Share. Mottagaren är oftast inte tekniker — det är kunden, en försäkringshandläggare eller en flottansvarig — och de ska få bilden på fem sekunder och sedan kunna gå djupare, inte tvärtom. I Live Share härleds den ur det NIVÅFILTRERADE underlaget. Det betyder att sammanfattningen aldrig kan avslöja något som delningsnivån döljer: filtret ligger före projektionen, inte efter. Slutsatsen visas som ett eget avsnitt före underlaget. En handläggare läser skälet först och kontrollerar det sedan — den ordningen är hela poängen med att fältet finns. Sju nya vägar dokumenterade i OpenAPI och låsta av paritetstestet: sammanfattning, protokollinläsning, statistik, integrationskategorier, prenumerationer, radering och mätdon. Ett API som inte är dokumenterat är inte ett API någon kan koppla in sig mot — och specen valideras maskinellt så dokumentationen inte kan glida från servern. Co-Authored-By: Claude Opus 5 <noreply@anthropic.com> Claude-Session: https://claude.ai/code/session_012EQg3rJsrQ1ZNTvkzmQAtt	2026-08-05 15:55:31 +00:00
Claude	301c477e25	Merge main: Guidad Felsökning flyttar ur roten till felsokning/ ... Main är sedan den här grenen skapades en helt annan produkt — Semantika, en mobilapp med egen CDK-infrastruktur. Den äger nu repots rot: en npm-workspaces-monorepo med apps/mobile, services/api och infra. För att båda ska rymmas i samma repo flyttar Guidad Felsökning in i en egen katalog i stället för att göra anspråk på roten: felsokning/app webbklienten (Vite, egen package.json och eslint-/vitest-konfiguration) felsokning/services plattformstjänsten och AI-orkestern felsokning/infra Terraform och databasschemat felsokning/docs vision, moduler, drift felsokning/supabase edge-funktion och migrationer Merge:n hade tagit bort 128 filer som Guidad Felsökning bygger på — värdapplikationens komponenter, Supabase-klienten, tillgångar — eftersom main raderat dem och den här grenen inte råkat ändra just dem. De är återställda på sin nya plats. Utan dem gick varken bygget eller testerna: ai.ts och synk.ts importerar Supabase-klienten. Semantikas rotfiler är orörda: package.json, eslint.config.js och .github/workflows/ är deras. Guidad Felsökning har egna motsvarigheter i sin katalog. CI flyttar samtidigt från GitHub Actions till .gitea/workflows — samma syntax, egna runners. .github/workflows/ tillhör Semantika härefter. Verifierat på den nya platsen: 96 vitest-tester, typkontroll, eslint på både klient och tjänster, bygge, och integrationstest mot riktig Postgres. Co-Authored-By: Claude Opus 5 <noreply@anthropic.com> Claude-Session: https://claude.ai/code/session_012EQg3rJsrQ1ZNTvkzmQAtt	2026-08-04 12:22:49 +00:00