Agent-Typen
Swarm QA setzt acht spezialisierte Agenten ein, die jeweils einen klar abgegrenzten Prüfbereich abdecken. Alle Agenten laufen parallel und liefern normierte Findings.
Link Patrol
Prüft die Erreichbarkeit aller Links auf der Zielseite:
- Defekte Links (404, 500, Timeouts)
- Redirect-Ketten mit Kettenlänge und Endziel
- Externe Domains — Erreichbarkeit und Zertifikatsstatus
- Anker-Links — Existenz der Ziel-IDs im DOM
HTTP Guard
Analysiert Sicherheitsheader und Transportkonfiguration:
- Content-Security-Policy (CSP) — vorhanden und korrekt konfiguriert
- HSTS — Strict-Transport-Security mit passender max-age
- X-Frame-Options — Clickjacking-Schutz
- Mixed Content — HTTP-Ressourcen auf HTTPS-Seiten
- Cookie-Konfiguration — Secure, HttpOnly, SameSite-Attribute
Sicherheit
Fehlende Sicherheitsheader werden als Hohe oder Kritische Findings eingestuft, da sie reale Angriffsvektoren darstellen.
A11y Scout
Prüft Barrierefreiheit nach WCAG 2.1 und BFSG-Anforderungen:
- Alt-Texte für Bilder und Medien
- ARIA-Attribute — korrekte Rollen, Labels, Zustände
- Farbkontrast — Mindestkontrast nach WCAG AA (4.5:1)
- Tastaturnavigation — Fokusreihenfolge, Skip-Links, Fokusindikatoren
- Formular-Labels — korrekte Zuordnung von Labels zu Eingabefeldern
Smoke Flow
Basisprüfung der Seitenfunktionalität:
- Seitenladeprüfung — lädt die Seite vollständig und ohne Fehler?
- JavaScript-Konsolenfehler — Fehler und Warnungen erfassen
- Rendering-Fehler — leere Seiten, fehlende Hauptinhalte
Perf Sentinel
Misst Performance-Metriken nach Google Core Web Vitals:
- LCP (Largest Contentful Paint) — Ladezeit des größten Elements
- CLS (Cumulative Layout Shift) — visuelle Stabilität
- TTFB (Time to First Byte) — Serverantwortzeit
- Große Ressourcen — Dateien über definierbarem Schwellenwert
SEO Recon
Prüft Suchmaschinenoptimierung:
- Meta-Tags — title, description, viewport
- Open Graph — og:title, og:description, og:image
- Canonical URLs — korrekte Angabe, Konsistenz
- H1-Struktur — genau eine H1 pro Seite
- robots.txt und Sitemap — Erreichbarkeit und Syntax
Form Fuzzer
Testet Formulare mit unerwarteten Eingaben:
- Leerübermittlung — Verhalten ohne Eingaben
- XSS-Sonden — Script-Tags und Event-Handler in Feldern
- SQL-Injection — typische Injection-Patterns
- Overflow — extrem lange Eingaben, Sonderzeichen
- Edge Cases — Unicode, Emojis, Nullbytes
Scope
Der Form Fuzzer prüft ausschließlich die clientseitige Validierung. Serverseitige Prüfungen erfordern zusätzliche API-Tests.
API Health
Entdeckt und prüft API-Endpunkte:
- Endpoint-Discovery — bekannte Pfade (
/api,/graphql,/.well-known) - Status-Checks — Erreichbarkeit und HTTP-Statuscodes
- Antwortzeit — Latenz-Messung pro Endpunkt
- Content-Type — korrekte Response-Header