Agents.md aktualisiert

docs/agents/AGENTS.md

@@ -115,3 +115,51 @@ durch die GPS-Clusterbildung wegfallen. Nur gültige Koordinaten einbeziehen;
 Stationen ohne Standort bleiben bearbeitbar. Berechnete Stationsanker im GPX
 kennzeichnen und bei Verschieben/Löschen ersetzen, statt veraltete Orte zu behalten.
 Rätsel-Stationen sind für später in `docs/agents/TODO-RAETSEL-STATIONEN.md` vorgemerkt.
+
+## Pipeline und SonarQube nach einem Check-in überwachen
+
+Verbindlicher Arbeitsablauf des Nutzers, vereinbart am 5. Oktober 2026:
+
+- Sobald der Nutzer einen neuen Check-in meldet, den aktuellen Repository-Stand
+  und den zugehörigen Commit ermitteln und den passenden Pipeline-Lauf unter
+  https://git.shettereck.com/IT-Works/Wegwichtel/actions verfolgen.
+- Während der aktiven Chatsitzung bis zum Abschluss prüfen und bei längeren
+  Wartezeiten kurze Statusmeldungen geben. Keine dauerhafte Überwachung außerhalb
+  der Sitzung behaupten; dafür wäre eine gesonderte Automatisierung erforderlich.
+- Bei Coverage- oder Testfehlern die Ausgabe auswerten, die Ursachen korrigieren
+  und die betroffenen Tests und Coverage-Prüfungen lokal ausführen. Keine Tests
+  abschwächen oder Grenzwerte senken, nur um die Pipeline grün zu machen.
+- Bei einem fehlgeschlagenen SonarQube Quality Gate den Bericht abrufen:
+  POST https://sqube.shettereck.com/sqexport/api/export
+  mit Content-Type: application/json und JSON {"projectKey":"Wegwichtel"}.
+  Optional kann filename angegeben werden. Das SonarQube-Token ist serverseitig
+  gesetzt; kein clientseitiges SonarQube-Token ist erforderlich.
+- Der Export-Zugang erfordert Authorization: Bearer <Agententoken>. Das Token
+  wird vor dem Export-Tool von Nginx geprüft. Zugang ist getestet: gültiges Token
+  ergibt 200, ungültiges Token 403, ohne Token erfolgt die Browser-Anmeldung.
+  Geheimnisse nicht in Repository, Dokumentation, Archive oder Testausgaben
+  aufnehmen. In einer neuen Sitzung den Zugang über einen dafür vorgesehenen
+  sicheren Kanal bereitstellen, falls er dort nicht bereits verfügbar ist.
+- Die Revision der SonarQube-Analyse mit dem gemeldeten Commit vergleichen.
+  Ein abgeschlossener Scanner-Lauf bedeutet nicht automatisch, dass der Bericht
+  bereits die neue Analyse enthält. Bei einer älteren Revision erneut abrufen.
+- Findings und die Ursachen des fehlgeschlagenen Gates korrigieren und passende
+  Tests ausführen. Security Hotspots fachlich bewerten; notwendige manuelle
+  Bewertungen klar benennen und nicht als bereits erledigt ausgeben.
+- Korrigierte Versionen als Archiv vollständiger Dateien mit Projektpfaden
+  liefern, damit der Nutzer sie ins Projekt kopieren und per VS Code vergleichen
+  kann. Nur Änderungen gegenüber dem aktuellen Online-Repository aufnehmen.
+  public/images/group-symbols und 3rdparty nur aufnehmen, wenn dort neue oder
+  tatsächlich geänderte Dateien vorliegen. Erforderliche Löschungen separat nennen.
+- Ohne gesonderten Auftrag keine Änderungen ins Online-Repository pushen oder
+  deployen. Nach dem nächsten Check-in den Ablauf für dessen Commit wiederholen.
+- In jeder Übergabezusammenfassung diesen Ablauf, die Actions-URL, den Export-
+  Endpunkt, die Authentifizierung ohne Tokenwert und den Pfad
+  docs/agents/AGENTS.md ausdrücklich nennen. Die weiteren relevanten Dateien
+  unter docs/agents/ ebenfalls mit aktuellen Pfaden aufführen.
+
+Bestätigter Ausgangsstand am 5. Oktober 2026: Commit
+49a9de0355c81b4f109c165762068a66046cf003; Scanner-Lauf 1345 / Nummer 110
+ erfolgreich; Quality Gate OK; alle 121 Findings CLOSED/FIXED; beide Security
+Hotspots REVIEWED/SAFE. Dieser Stand ist eine historische Referenz und ersetzt
+nicht die Prüfung einer neuen Analyse.