Supply-chain security: manual repo-settings + post-merge verification

[WolfTasks]

The software supply-chain security hardening (17-task plan) is implemented and merged to main (merge commit ed84f35). The code-side work is complete; the items below cannot be done in code and need to be configured in the GitHub repo settings / verified after a release.

Repository Security settings

Settings → Code security and analysis:

• Enable Dependabot alerts
• Enable Dependabot security updates
• Enable Secret scanning + Push protection
• Enable Code scanning (CodeQL) (the codeql.yml workflow is in place)

Secrets

• Add repository secret NVD_API_KEY — speeds up the nightly OWASP Dependency-Check scan (nightly-security.yml) OBSOLET (2026-07-23): nightly OWASP wurde durch Trivy-FS-Scan ersetzt (PR fix(security): replace NVD-bound OWASP nightly with Trivy SCA scan (#30) #31), Secret am 2026-07-04 gelöscht — nicht mehr zutreffend.

Branch protection on main

Mark the new CI checks as required status checks:

• dependency-review
• npm audit (frontend build gate)
• codeql (both matrix legs: java-kotlin, javascript-typescript)
• gitleaks
• Trivy image scan (backend + frontend jobs)

2026-07-23: Alle o. g. Checks als required durchgesetzt via Repository-Ruleset main required checks (id 19642125, active) — s. Kommentar. gitleaks verifiziert lauffähig: Action erkennt WolfTasks als individuellen Account → kein GITLEAKS_LICENSE nötig, läuft bei jedem Push/PR über nur GITHUB_TOKEN, letzter Lauf auf main grün (no leaks found).

Post-release verification (deferred CI-gate check)

• After the first v*.*.* tag triggers docker-publish.yml, confirm that cosign signatures, SBOM, and SLSA provenance actually attach to the published Docker Hub images (cosign verify ... with --certificate-identity-regexp pointing at WolfTasks/TaskWolf). ✅ Verifiziert 2026-07-23 gegen v1.0.15 — s. Kommentar.
• One-time: confirm a seeded HIGH/CRITICAL finding actually fails the Trivy / dependency-review / npm-audit / OWASP gates as intended. ✅ 2026-07-23 via throwaway PR [TEST — do not merge] Verify CI security gates block a seeded critical CVE #94 (seeded lodash@4.17.11, critical): npm audit gate + dependency-review gate both RED; Trivy image-gate efficacy already evidenced by real-world base-image CVE blocks (PRs fix(security): upgrade libexpat 2.8.1-r0 -> 2.8.2-r0 in base images #34/fix(layout): pin sidebar to viewport height so logout stays reachable (#11) #48/#15 i18n S3 — localize comments slice (+ relative-time rollout, DE/EN) #65) + the 07-22 postgresql nightly failure. PR closed unmerged, branch deleted. See comment.

Separate follow-up (not part of this work)

• Repo-wide doc cleanup: other pre-existing docs still use the path taskowolf/TaskWolf; the real remote is WolfTasks/TaskWolf. Reconcile repo-wide (or rename the repo/org if taskowolf is the intended canonical name). ✅ 2026-07-23 via PR docs: fix GitHub repo slug taskowolf/TaskWolf → WolfTasks/TaskWolf #95 (merged 0add6df): live mkdocs repo_url/repo_name + git clone-Beispiele auf WolfTasks/TaskWolf; Package com.taskowolf, Docker-Images kwolfgang/taskowolf-*, DB-Name/User + historische Archive bewusst unverändert.

---

🤖 Generated with Claude Code

[WolfTasks]

Statusprüfung 2026-07-23

✅ Bestätigt aktiv (API-verifiziert)

• Dependabot alerts + security updates: enabled
• Secret scanning + Push protection: beide enabled

⚠️ NVD_API_KEY — Punkt ist OBSOLET, bitte streichen

Der nightly OWASP Dependency-Check wurde durch einen Trivy-Filesystem-Scan ersetzt (PR #31, d5a8ac2, nightly-security.yml), weil die NVD-Live-API dauerhaft ausgefallen war. OWASP + NVD_API_KEY sind damit weg — das Secret wurde am 2026-07-04 gelöscht. Der abgehakte Punkt trifft nicht mehr zu; SCA-Coverage läuft jetzt über Trivy (Image + FS) + Dependabot + CodeQL.

❗ Branch protection auf main — NICHT aktiv (Handlungsbedarf)

Laut GitHub-API hat main keine Branch-Protection und kein Ruleset:

• branches/main/protection → 404 Branch not protected
• rulesets → leer

Die oben als [x] markierten "required status checks" (dependency-review, npm audit, codeql, Trivy backend/frontend) sind damit faktisch nicht erzwungen — die Häkchen spiegeln den realen Zustand nicht wider. Bitte im Repo-UI gegenprüfen und (falls gewünscht) eine Ruleset/Protection-Regel mit den required checks anlegen.

Zusatzhinweise beim Wiederherstellen:

• gitleaks ist kein eigener Workflow, sondern ein Job in ci.yml — als required check den passenden Job-Context wählen.
• Der codeql java-kotlin-Leg läuft wegen Kotlin 2.4.10 nur mit continue-on-error (siehe Re-enable blocking CodeQL java-kotlin analysis once CodeQL supports Kotlin 2.4.0 #26) → "beide Matrix-Legs required" erzwingt real nur javascript-typescript.

🔎 Post-Release-Verifikation (teils erledigt)

Seit dem ersten Tag sind mehrere Releases bis v1.0.15 über docker-publish.yml gelaufen (durchweg grün); die versionierten v1.0.03-Images waren mit cosign publiziert verifiziert. Der explizite einmalige cosign verify / SBOM / SLSA-Provenance-Check gegen WolfTasks/TaskWolf sowie der seeded-HIGH/CRITICAL-Gate-Test können jetzt jederzeit final durchgezogen und abgehakt werden.

📝 Doku-Rename taskowolf → WolfTasks — weiterhin offen

Separater Follow-up, unverändert offen.

[WolfTasks]

Update 2026-07-23 — Branch protection ist jetzt aktiv ✅

Repository-Ruleset main required checks (id 19642125, enforcement: active) angelegt für refs/heads/main. Required status checks:

• backend-test
• frontend-build (npm-audit-Gate)
• backend-docker + frontend-docker (Trivy Image-Scan)
• gitleaks
• dependency-review
• analyze (javascript-typescript, none) + analyze (java-kotlin, manual) (CodeQL, beide Legs)

Bypass: Rolle Repository-Admin (bypass_mode: always) → direkte Pushes auf main durch Admins bleiben möglich; für PRs/Nicht-Admins greifen die Checks.

Damit sind die Branch-Protection-Punkte oben erledigt. Zwei Caveats:

• analyze (java-kotlin, manual) ist wegen Kotlin 2.4.10 durch continue-on-error maskiert (Re-enable blocking CodeQL java-kotlin analysis once CodeQL supports Kotlin 2.4.0 #26) → aktuell ein No-op-Gate (meldet immer success). Echter Kotlin-Schutz erst nach Re-enable blocking CodeQL java-kotlin analysis once CodeQL supports Kotlin 2.4.0 #26-Fix.
• dependency-review läuft nur auf PRs (auf Push "skipped"), auf PRs regulär durchgesetzt.

Verwaltung: https://github.com/WolfTasks/TaskWolf/rules/19642125

Weiterhin offen in diesem Issue: post-release cosign verify / SBOM / SLSA-Provenance final abhaken, seeded-HIGH/CRITICAL-Gate-Test, sowie NVD_API_KEY-Punkt streichen (obsolet, s. o.) + Doku-Rename taskowolf→WolfTasks.

[WolfTasks]

gitleaks-Status (2026-07-23) — erledigt, kein Setup nötig

gitleaks ist jetzt als required Check im Ruleset main required checks (id 19642125) aktiv und verifiziert lauffähig. Beleg aus dem letzten CI-Lauf auf main:

[WolfTasks] is an individual user. No license key is required.
INF  1 commits scanned.   INF  no leaks found
✅ No leaks detected

• Kein GITLEAKS_LICENSE-Secret erforderlich — die Lizenzpflicht von gitleaks-action gilt nur für Organisations-Repos; WolfTasks wird als individueller User-Account behandelt.
• Läuft als Job in ci.yml bei jedem Push und PR gegen main, nur mit automatischem GITHUB_TOKEN, kein manuelles Setup.
• Einzige künftige Handlung: falls gitleaks real anschlägt → Check rot, betroffenes Secret rotieren/widerrufen + aus History entfernen.

Damit ist der komplette Abschnitt "Branch protection on main" erledigt.

---

Was in diesem Issue noch offen ist

• Post-Release: cosign verify + SBOM + SLSA-Provenance an den auf Docker Hub publizierten Images gegenprüfen (--certificate-identity-regexp → WolfTasks/TaskWolf). Machbar — es sind Releases bis v1.0.15 gelaufen.
• Einmalig: seeded HIGH/CRITICAL-Finding testen, dass die Gates (Trivy / dependency-review / npm-audit) wirklich fehlschlagen.
• Separater Follow-up: repo-weiter Doku-Rename taskowolf → WolfTasks.

Erledigt: alle Repository-Security-Settings, NVD_API_KEY (obsolet/gestrichen), gesamte Branch-Protection.

[WolfTasks]

Post-Release-Verifikation cosign / SBOM / SLSA-Provenance — ✅ erledigt (2026-07-23)

Verifiziert gegen die publizierten Release-Images v1.0.15 auf Docker Hub, beide Images (kwolfgang/taskowolf-backend, kwolfgang/taskowolf-frontend).

Image-Struktur (docker buildx imagetools inspect)

	backend:1.0.15	frontend:1.0.15
Plattformen	linux/amd64 + linux/arm64	linux/amd64 + linux/arm64
Attestation-Manifeste	2 (je Plattform)	2 (je Plattform)
SBOM	SPDX-2.3, 167 Pakete	SPDX-2.3, 72 Pakete
Provenance	SLSA (mode=max) ✔	SLSA (mode=max) ✔

cosign keyless-Signatur (cosign verify, v3.1.2)

Beide Images verifiziert gegen:

• --certificate-identity = https://github.com/WolfTasks/TaskWolf/.github/workflows/docker-publish.yml@refs/tags/v1.0.15
• --certificate-oidc-issuer = https://token.actions.githubusercontent.com

Ergebnis für beide:

- The cosign claims were validated
- Existence of the claims in the transparency log was verified offline (Rekor)
- The code-signing certificate was verified using trusted certificate authority certificates

Hinweis zur ursprünglichen Checklisten-Formulierung: SBOM & SLSA-Provenance sind BuildKit-Attestations im OCI-Index (aus sbom: true / provenance: mode=max), nicht cosign-Attestations — sie werden per docker buildx imagetools inspect geprüft, nicht per cosign verify. Nur die Signatur ist cosign-keyless und wird per cosign verify bestätigt. Alle drei sind vorhanden und gültig.

Reproduzieren:

ID='https://github.com/WolfTasks/TaskWolf/.github/workflows/docker-publish.yml@refs/tags/v1.0.15'
cosign verify --certificate-identity "$ID"   --certificate-oidc-issuer https://token.actions.githubusercontent.com   kwolfgang/taskowolf-backend:1.0.15
docker buildx imagetools inspect kwolfgang/taskowolf-backend:1.0.15 --format '{{ json .SBOM }}'
docker buildx imagetools inspect kwolfgang/taskowolf-backend:1.0.15 --format '{{ json .Provenance }}'

Verbleibend in diesem Issue

• Einmaliger seeded-HIGH/CRITICAL-Gate-Test (Trivy / dependency-review / npm-audit)
• Doku-Rename taskowolf → WolfTasks (separater Follow-up)

[WolfTasks]

Seeded HIGH/CRITICAL Gate-Test — ✅ erledigt (2026-07-23)

Wegwerf-PR #94 (geschlossen ohne Merge, Branch test/seed-vuln-gate gelöscht) mit absichtlich verwundbarer Dependency lodash@4.17.11 (GHSA-jf85-cpcp-j695 Prototype Pollution, critical, exakt gepinnt).

Ergebnis — beide Dependency-Graph-Gates blocken wie vorgesehen:

Gate	Ergebnis	Beleg
npm audit (frontend-build)	❌ fail	Step-Konklusionen: Install dependencies (npm ci) = success → npm audit (block on high/critical) = failure → Rest skipped. Scheitert also am Audit-Gate, nicht an Lock-Mismatch.
dependency-review	❌ fail	PR-Kommentar: „❌ 1 vulnerable package(s)" — lodash 4.17.11, GHSA-jf85-cpcp-j695 critical (plus 3× high). fail-on-severity: high.

Trivy Image-Gate wurde durch diesen npm-Test nicht ausgelöst (Frontend-Runtime-Image = nginx mit statischen Assets, enthält lodash nicht; frontend-docker wird auf PRs zudem übersprungen). Die Wirksamkeit des Trivy-HIGH/CRITICAL-Gates ist aber bereits durch reale CVE-Blocks belegt: libexpat/c-ares/curl Base-Image-CVEs (PRs #34/#48/#65) und der postgresql-CVE-Fehlschlag des Nightly am 2026-07-22 (→ #91). Ein zusätzliches Container-CVE-Seeding wäre redundant.

Cleanup verifiziert: PR closed unmerged, Remote- + Local-Branch weg, main unverändert auf 5b1c50d, Working Tree clean.

---

Verbleibend in #5

• Doku-Rename taskowolf → WolfTasks (separater Follow-up, kein Security-Gate).

Alle Security-/Verifikations-Punkte dieses Issues sind damit abgeschlossen.

[WolfTasks]

Alle Punkte erledigt — Issue geschlossen ✅ (2026-07-23)

Abschluss der manuellen/Post-Merge-Nacharbeiten der Supply-Chain-Härtung:

• Repository-Security-Settings — Dependabot alerts+updates, Secret Scanning + Push Protection, CodeQL: aktiv (API-verifiziert).
• NVD_API_KEY — obsolet (OWASP→Trivy, PR fix(security): replace NVD-bound OWASP nightly with Trivy SCA scan (#30) #31), Punkt gestrichen.
• Branch protection — Repository-Ruleset main required checks (id 19642125, active) mit allen 5 gelisteten Checks + backend-test, Admin-Bypass; gitleaks lizenzfrei bestätigt.
• Post-Release cosign/SBOM/SLSA — gegen v1.0.15 verifiziert (beide Images: cosign-Signatur gültig via Rekor + trusted CA, SBOM SPDX-2.3, SLSA-Provenance).
• Seeded HIGH/CRITICAL Gate-Test — Wegwerf-PR [TEST — do not merge] Verify CI security gates block a seeded critical CVE #94 (lodash@4.17.11 critical): npm audit + dependency-review blockten wie vorgesehen; Trivy-Wirksamkeit durch reale CVE-Blocks belegt.
• Doku-Rename taskowolf→WolfTasks — PR docs: fix GitHub repo slug taskowolf/TaskWolf → WolfTasks/TaskWolf #95 (merged 0add6df): live mkdocs-Slug korrigiert; Code-Package/Docker-Images/DB-Namen/historische Archive bewusst unangetastet.

Nichts mehr offen → geschlossen.