# MeshForge — überprüftes IST/ZIEL-Gap-Inventar 25. Oktober 2026. Additive Vorgabe: [unveränderte Governance-Spezifikation](MESHFORGE_CODEX_GOVERNANCE.md), SHA256 `48f16bfc2a7fe9dcc0704952b537f06485406f4edd5edff160ed8ff39afa7912`. Der frühere Masterplan bleibt vollständig erhalten. Seine damalige Beschreibung „kein Remote-Workflow“ bezeichnet das Ausgangsarchiv; inzwischen existiert ein experimenteller **öffentlicher** Workflow sowie ein separater privater E2EE- Historytransport mit expliziter CLI. Das ist keine Produktionsabnahme. Geprüft wurden vorhandene Quellen/Tests, README, SECURITY, Architektur, Speicher-/Identity-/Remote-/Discovery-Spezifikationen und die MIT-Lizenz. Mehrere ältere Sicherheits-/Architekturabsätze beschrieben noch den ersten Fundamentstand; sie werden mit dieser Integration auf den tatsächlichen Stand gebracht. Historische Auditberichte und beide Originalvorgaben bleiben erkennbar. ## Priorisierte Tickets der Erweiterung | Ticket | Tatsächlicher Stand / Nachweis | Offene Voraussetzung | |---|---|---| | P0-1 Inventar/Branding | dieses Gap-Inventar; Umstellung sichtbarer Produktmarke auf MeshForge, exakter Footer, About und kompatible CLI-Buildnamen im selben Schritt | vollständige englische UI bleibt offen; keine kryptografische ID-Umbenennung | | P0-2 Speicherung/Privacy | v1-kompatible Root-Confinement, Linux/Windows-Prozesslocks, atomare Objekte/HEAD, CAS, Crash-/Writer-/Teilwrite-/Syncfehler-Tests; atomarer Linux-amd64/arm64-Export, private Browseraktionen mit Review-Digest | echte Windows-/Powerloss-/Disk-full-/NFS-Abnahme; Windows-/andere Exporte nicht crash-atomar; unabhängiger Audit | | P0-3 lokaler Key-Store | begrenzte reguläre gepinnte Key-Reads, Linux-UID/Mode-Prüfung, exklusive geflushte Initialisierung, Ed25519-Konsistenz, getrennte Geräte/Delegation und persistenter Widerruf | unverschlüsselte Schlüsseldateien, kein OS-Keystore/Recovery-/Rotations-UI; Loopback ist keine OS-Benutzeranmeldung | | P0-4 Remote-E2E | expliziter Public-Store/Owner-Pin, signierte Import-Provenienz, bounded Upload/CAS, echte Zwei-CLI-Fixtures und Crossbuilds | separater privater E2EE-Push/Clone mit Geräte-ACLs und historischen Readkeys lokal getestet; umfassende Gruppen-/Enrollment-UX und echte Windows-Läufe fehlen | | P0-5 öffentliche Endpunkte | Public-Sync AuthZ/Replay/Quotas; Discovery-Signaturen/Ingress-Limits/SSRF-Schutz/Backoff; MCP mit striktem Origin/JSON-RPC, Versionsaushandlung, Paging/Batches/Quotas, nur öffentliche Reads | keine vollständige MCP-Konformität/AuthZ-/Lastabnahme, keine Internet-Produktionsfreigabe, Sybil-Schutz begrenzt | | P1-6 Peerstore/Bootstrap | expliziter signierter Public-Bootstrap, gepinnter frischer Nonce-Peerproof, begrenzte private Endpoint-/Quellenbeobachtungen; gemeinsame konservative IP/DNS-Policy | keine automatische Quellendiversitäts-/Eclipse-Policy, Peerrotation/LAN/Installer; keine unabhängig bestätigten Founder-Roots | | P1-7 Peer Exchange/Gossip | begrenzte persistente Public-Outbox, Lease/Retry/Dedupe, Batch-Anti-Entropy, tatsächlicher Verbindungsstatus | automatische Quellendiversität/Eclipse-Abwehr und gesonderte LAN-Policy fehlen; Peer-ID-Probe separat opt-in implementiert; Herkunftsgraph kein Vertrauen | | P1-8 Releases | experimentelle Offline-Manifest-/Artefaktprüfung, separat konfigurierte Roots, Delegationen, Quoren, Ablauf, persistenter linearer Checkpoint und CLI; Peerzahl ohne Autorität | kein realer Founder-Trust-Anker, Installer/Updater oder unabhängiger Audit; v2 Rootrotation/Recovery separat implementiert; privilegierter State-Rollback bleibt Grenze | | P1-9 Governance | experimentelle opt-in Policy-Transitions: lokale unveränderliche Transition-Regeln/Floors, stärkeres Rootquorum, Security-Reviews/-Tests, Gruppenquorum, lokale Frist, persistierte Ablehnungen und CLI; nil-Regeln lassen Wechsel gesperrt | v1 Quarantäne bleibt terminal. V2 Rotation/Recovery mit separat vorab provisionierter Autorität und erhaltenen Negatives implementiert; kein Emergency-Bypass. Reale Gruppenunabhängigkeit/Trust-Provisionierung und unabhängige Abnahme offen | | P2-10 Discover/Pulse | getrennte/gruppierte Neu-/Release-/Wichtig-Feeds, lokale Kategorien, private Merkliste, explizite öffentliche Sterne/Entzug, Quotas; 1000 Commits ohne Promotion | öffentliche signierte Follows, Kategorie-Abos, zeitbezogenes Trending und TTL/GC offen | | P2-11 Attribution/Workspaces | lesende öffentliche MCP-Werkzeuge; lokaler nativer signierter Autoren-/Proposal-/Reviewpfad mit Quorum, Journal und geschütztem Apply | Tasks/Issues, Konfliktauflösung, Policy-Recovery, MCP-Schreibautorität, vollständige private Teamrollen und Agentensandbox fehlen; privater Repository-E2EE-Transport getrennt vorhanden | | P2-12 optionale Module | spezifizierte Profile-/Firmen-/Payment-/Wallet-Schnittstellen | keine benannte Konto-/Profil-Runtime, keine verifizierten Wallet-Adapter/Provider/externen Firmenbelege; nach P0/P1 | | P2-13 Buzz/Nostr | Nutzerziel block/buzz, gepinnter Upstream-/Lizenz-/API-Vertrag in BUZZ_ADAPTER_DESIGN geprüft | Adapter, Kryptodependency-Integration, eigene Nostr-Keys, Kanal-/Rechtezuordnung und Isolationstests fehlen | ## Neue Reihenfolge und harte Vertrauensgrenzen Zuerst P0-1 abschließen und prüfen, dann P0-2/3/4/5 anhand realer Lücken in kleinen Schritten erweitern. Danach signierter Bootstrap, Releases und Governance vor optionalen Profil-/Payment-Funktionen. Kein Mehrheits-Updater, kein Auto-Run fremder Artefakte und keine Gleichsetzung von Sternen/Peerzahl mit Autorität. Es liegt **kein unabhängig bestätigter SteveCo-AI-Release-Fingerprint** vor. Kein automatisch erzeugter lokaler Node-Key wird als Founder-Root ausgegeben. Testschlüssel dürfen ausschließlich Fixtures autorisieren. Root-Bootstrap, Rotations-/Schwellenpolicy und unabhängiger Verifikationskanal müssen vor einer echten Release-Freigabe festgelegt werden. Der sichtbare Initiator-Text ist Attribution, keine kryptografische Authentisierung und keine Besitzbehauptung über fremde Projekte. `mf:repo:` in der Erweiterung ist schematisch. Bereits gespeicherte `dh:repo:`, `dh:id:`, DOP-/v1-IDs und Signaturkontexte bleiben unverändert. Eine zukünftige Namespace-Version benötigt ein eigenes signiertes Mapping und Interop-/Migrationsverfahren; die Markenänderung ist keine Datenmigration. Die bekannte MIT-Copyright-/Lizenznotiz wird erhalten. Die Portfolio-Domain `decentrealhub.de` ist optional; kein Login, Bootstrap, Download oder Update setzt diese Domain voraus. Die nächste Freigabe bleibt eine Entwicklungsvorschau. Zusätzlicher Architekturplan: [Original](../ARCHITECTURE_WORKPLAN.md), [ARCH01/02-Analyse](ARCHITECTURE_REVIEW.md). Konkrete gemeinsame Netzpolicy statt Provider-Registry; bedingte P2-Adaptertickets bleiben nachgeordnet. ## Lokal ergänzte Implementierung, weiterhin begrenzte Freigabe [Private Sync](PRIVATE_SYNC_CLI.md) und [lokale Pakete](PRIVATE_PACKAGES.md) sind getrennte explizite Pfade: keine privaten Klartext-IDs/-Namen in Public- Discovery/MCP, manuell authentifiziertes Onboarding, frische Geräteautorisierung, durable Writerbudgets und native Full-history-Clonefixtures. Plattform-/OS-Keychain- und reale Betriebsabnahme bleiben offen. Backup-/Restore-CLI ist implementiert. [V2 Recovery-CLI](RECOVERY_CLI.md) und Bibliothek haben lokale Prozess-/Race- Prüfungen; v1-Trustfingerprints und Quarantäne werden nicht umgeschrieben. Migration eines v1 mit aktiviertem LastTransition ist ausdrücklich gesperrt. [Reproduzierbare Build-/SBOM-/Provenienztools](REPRODUCIBLE_BUILDS.md) wurden auf Source-Snapshot 11 geprüft; aktuelle WIP-Dateien sind dadurch nicht freigegeben. Der neue separate DOP-Store plus native CLI-Primitiven erlauben owner-signierte Refs/CAS und erhaltene divergente Zweige. N3 pure Mergeplanung ist lokal geprüft; autorisiertes Apply, Delegation, Reviewautorität, historische Autorenatteste und Browserbranch-UI sind nicht geliefert. N5-Neuzielmigration mit ausdrücklich begrenztem Owner-Importerattest ist experimentell implementiert. [Ausführungsmatrix](MASTERPLAN_EXECUTION.md) hält die jeweiligen Teilabnahmen fest. N5 ist experimentell implementiert: [explizite Neuzielmigration](NATIVE_MIGRATION_CLI.md) aus einem [vollständig gepinnten Backup](BACKUP_READER.md), mit erhaltenen Rohobjekten, abgetrennten Historien, `.dh/ignore` und unabhängig nachprüfbarem Owner-Importerattest. HEAD allein genügt nicht; die genaue Manifest-SHA256 ist Pflicht. Die Signatur ersetzt keine vollständige Konversionsprüfung und belegt keine historische Autorenschaft. Linux-No-replace-Publikation lässt das Quellrepository unverändert; Windows-Backend, DOP-Remote und autorisiertes Merge-Apply bleiben offen. Lokale Paketprüfungen und fünf Prozessprüfgruppen bestanden; der gemeinsame aktuelle Freeze-Lauf ist noch ausstehend.