Swarm QA (Beta)

Swarm QA ist ein Multi-Agenten-Scansystem, das spezialisierte KI-Agenten einsetzt, um Ihre Webanwendung parallel auf Sicherheits-, Barrierefreiheits- und Zuverlässigkeitsprobleme zu prüfen.

Funktionsweise

Anstatt eines einzelnen KI-Agenten startet Swarm QA ein koordiniertes Team von Agenten, jeder mit einem spezifischen Missionsprofil. Alle Agenten arbeiten gleichzeitig gegen Ihre Ziel-URL und melden Ergebnisse an ein zentrales Dashboard zurück.

Agententypen

Link Patrol

Durchsucht die Anwendung und prüft jeden Link auf:

• Tote Links (404, 500 Fehler).
• Redirect-Ketten.
• Externe Links zu nicht erreichbaren Domains.

HTTP Guard

Untersucht HTTP-Antworten auf Sicherheit und Korrektheit:

• Fehlende Sicherheits-Header (CSP, HSTS, X-Frame-Options).
• Mixed-Content-Warnungen (HTTP-Ressourcen auf HTTPS-Seiten).
• Cookie-Konfigurationsprobleme (SameSite, Secure, HttpOnly).

A11y Scout

Führt automatisierte Barrierefreiheitsprüfungen nach WCAG- und BFSG-Standards durch:

• Fehlende Alt-Texte, ARIA-Labels und Landmark-Regionen.
• Farbkontrastverletzungen.
• Tastaturnavigationsprobleme.

Smoke Flow

Führt schnelle funktionale Prüfungen durch:

• Seitenladeverifizierung über alle entdeckten Routen.
• Konsolenfehler-Erkennung.
• Kritische Rendering-Fehler (leere Seiten, JavaScript-Exceptions).

Perf Sentinel

Misst Core Web Vitals und Ressourcen-Performance:

• LCP (Largest Contentful Paint) — markiert Seiten über 2,5s.
• CLS (Cumulative Layout Shift) — erkennt visuelle Instabilität über 0,1.
• TTFB (Time to First Byte) — identifiziert langsame Server-Antworten.
• Erkennung großer Ressourcen — Bilder > 500KB, JS/CSS-Bundles > 300KB.
• Tracking der gesamten Ladezeit mit Schwellenwerten.

SEO Recon

Prüft Suchmaschinenoptimierung über alle entdeckten Seiten:

• Meta-Tags — Titel (30-60 Zeichen), Beschreibung (120-160 Zeichen).
• Open Graph — og:title, og:description, og:image für Social Sharing.
• Canonical URLs — verhindert Duplicate Content.
• H1-Struktur — genau eine H1 pro Seite.
• robots.txt & sitemap.xml — Existenzprüfungen.
• Strukturierte Daten — JSON-LD-Erkennung.
• Doppelte Titel — markiert identische Titel auf verschiedenen Seiten.
• Bild-Alt-Texte — zählt Bilder ohne Alt-Attribut.

Form Fuzzer

Testet Formularvalidierung und Sicherheit mit automatisiertem Fuzzing:

• Leer-Submit — versucht Formulare mit leeren Pflichtfeldern abzusenden.
• XSS-Proben — prüft ob Script-Payloads im DOM reflektiert werden.
• SQL-Injection — testet gängige SQL-Injection-Muster.
• Überlauf — sendet 5000+ Zeichen an unlimitierte Felder.
• Grenzfälle — negative Zahlen, Unicode, Sonderzeichen.
• Fehler-Feedback — prüft ob sichtbare Fehlermeldungen erscheinen.
• Barrierefreie Fehler — verifiziert ARIA-Attribute bei Fehlermeldungen.

API Health

Entdeckt und testet API-Endpunkte automatisch:

• Endpunkt-Erkennung — fängt XHR/Fetch-Anfragen beim Seitenaufbau ab, um API-Endpunkte zu finden.
• Bekannte Pfade — prüft /health, /api/status, /api/health, /graphql.
• Statusprüfung — markiert Nicht-2xx-Antworten (5xx = hoher Schweregrad, 4xx = mittel).
• Antwortzeit — meldet Endpunkte langsamer als 2000ms.
• Nicht erreichbare Endpunkte — erkennt Verbindungsfehler und Timeouts.

Vorlagen

Vorlage	Agenten	Zeit	Seiten	Tiefe	Einsatz
Schnellscan	Link Patrol, Smoke Flow	60s	5	1	CI-Pipelines, schnelle Checks
Standardscan	6 Agenten (ohne Form Fuzzer)	180s	20	2	Sprint-QA, reguläre Checks
Tiefenaudit	Alle 8 Agenten	420s	50	3	Release-Kandidaten, gründliche Audits

Im Expert-Modus können alle Parameter (Agenten, Zeit, Seiten, Screenshots, KI-Tokens, Crawl-Tiefe) manuell konfiguriert werden.

Ergebnisse & Kritikalität

Jeder Agent produziert strukturierte Ergebnisse mit Klassifizierung:

• Schweregrad: Kritisch, Hoch, Mittel, Niedrig, Info.
• Aktionskategorie: Sofort beheben, Prüfen, Beobachten, Ignorieren/erwartet.
• Herkunft: Eigene App (First-party) vs. externe Ressourcen (Third-party).
• Fundort: URL und Element, an dem das Problem gefunden wurde.
• Nachweis: Screenshot, HTTP-Response oder Konsolenausgabe.

Ergebnisse werden automatisch nach Priorität sortiert: First-party Fix-now-Probleme erscheinen zuerst.

KI-Anreicherung

Wenn ein KI-Provider verbunden ist, reichert Swarm QA jedes Finding an mit:

• Ursachenhypothese — Technische Erklärung, warum das Problem auftritt.
• Business-Impact — Wie das Problem Benutzer betrifft.
• Empfohlene Aktion — Umsetzbare Korrekturempfehlung.

Tabs

Die Swarm-QA-Seite ist in vier Tabs organisiert:

Live

Die Echtzeit-Scan-Oberfläche. Ziel-URL konfigurieren, Vorlage wählen oder Expert-Modus nutzen und Findings in Echtzeit verfolgen.

Historie

Chronologische Liste aller vergangenen Scan-Läufe mit:

• Score-Badges (0-100) mit Farbcodierung.
• Trend-Pfeile für Score-Verbesserung oder -Verschlechterung.
• Finding-Anzahl und Fix-now-Zähler.
• Ausklappbare Detailansicht mit vollständiger Finding-Tabelle pro Lauf.
• Durchschnitts-Score über alle Läufe.

Findings

Aggregierte Findings über alle letzten Läufe, dedupliziert und gruppiert:

• Wiederkehr-Indikator zeigt, in wie vielen Läufen ein Finding auftrat.
• Filterung nach Schweregrad und Herkunft.
• "Mit KI analysieren"-Button sendet alle Findings an die KI für eine Gesamtanalyse.

Zeitplan

Konfiguration automatisierter Hintergrund-Scans:

• Intervall: Alle 30 Min., 1h, 4h, 12h oder 24h.
• Vorlage: Welche Scan-Vorlage für geplante Läufe verwendet wird.
• Ziel-URL: Die zu scannende URL.
• Aktivieren/Deaktivieren — Zeitplan bleibt über App-Neustarts erhalten.
• Ergebnisse erscheinen im Historie-Tab.

Hinweis: Für 24/7-Monitoring ohne laufende App nutzen Sie den CLI-Runner via TeamCity oder Cron.

Webhook-Benachrichtigungen

Lassen Sie sich benachrichtigen, wenn geplante Scans Probleme finden. Konfigurieren Sie Webhooks im Zeitplan-Tab:

• Plattformen: Slack, Microsoft Teams, Discord oder generisches JSON.
• Score-Schwellenwert: Benachrichtigung wenn der Score unter einen konfigurierbaren Wert fällt (Standard: 70).
• Fix-now-Alarme: Immer benachrichtigen wenn kritische Fix-now-Findings erkannt werden.
• Test-Button: Sendet eine Testbenachrichtigung mit Beispieldaten zur Verifizierung der Webhook-URL.

Webhook-Payloads enthalten Score, Finding-Anzahl, Top-Issues und Assessment — nativ formatiert für jede Plattform (Slack Blocks, Teams Adaptive Cards, Discord Embeds).

Lauf-Vergleich

Vergleichen Sie zwei Läufe nebeneinander, um Regressionen und Verbesserungen zu identifizieren:

• Wählen Sie zwei Läufe im Historie-Tab und klicken Sie Läufe vergleichen.
• Delta-Übersicht: Score-Änderung, neue Issues, behobene Issues, unveränderte Findings.
• Fingerprint-basierter Diff: Findings werden nach Titel + Typ + Schweregrad abgeglichen.
• Klappbare Sektionen: Neue, behobene und unveränderte Findings gruppiert und nach Schweregrad sortiert.

Visuelle Regression

Erkennt visuelle Änderungen zwischen Läufen mit Pixel-genauem Screenshot-Vergleich:

• Vergleicht automatisch Screenshots des aktuellen Laufs mit dem letzten vorherigen Lauf für dieselbe Ziel-URL.
• Nutzt pixelmatch für präzisen Pixel-Vergleich mit konfigurierbarer Schwelle (Standard 0,1%).
• Nebeneinander-Ansicht: Baseline, aktuell und Diff in drei Spalten.
• Nur-Diff-Ansicht: Fokussierte Ansicht nur der geänderten Pixel.
• Behandelt verschiedene Viewport-Größen durch Zuschnitt auf die kleineren Dimensionen.
• Visuelle Diffs werden in {runDir}/visual-diffs/ für spätere Prüfung zwischengespeichert.

PDF-Export

Erstellen Sie professionelle PDF-Berichte zum Teilen und Archivieren:

• Einzellauf-Berichte: Exportieren Sie jeden Lauf aus dem Historie-Tab als detailliertes PDF mit Score-Badge, Zusammenfassungskarten und vollständiger Finding-Tabelle.
• Aggregierte Berichte: Exportieren Sie eine Multi-Lauf-Übersicht aus dem Findings-Tab, optional mit KI-Analyse.
• Berichte werden mit Electrons nativem printToPDF generiert — keine externen Abhängigkeiten.
• A4-optimiertes Layout mit professionellem Styling, farbcodierten Schweregrad-Badges und Score-Visualisierung.

Authentifizierung

Swarm QA unterstützt das Scannen geschützter Seiten mit konfigurierbarer Authentifizierung:

• Login-URL, Benutzername-/Passwort-Selektoren und Submit-Button-Selektor.
• Zugangsdaten werden sicher pro Projekt gespeichert.

CLI-Runner

Ein headless Kommandozeilen-Scanner ist in xyva-runtime für CI/CD-Integration verfügbar:

# Standardscan
npm run swarm:run -- --target https://ihre-app.com

# Schnellscan für CI
npm run swarm:quick -- --target https://ihre-app.com

# Tiefenaudit mit JSON-Ausgabe
npm run swarm:deep -- --target https://ihre-app.com --json

# Ergebnisse auf Festplatte speichern
npm run swarm:run -- --target https://ihre-app.com --out ./results

Erweiterte Deployment-Optionen

Swarm QA ist Teil des bezahlten Kernprodukts. Geplante Scans, Webhooks und Ops-Portal-Workflows bleiben als Private-Deployment-Optionen auf Anfrage verfuegbar. Das opsPortal-Feature-Flag steuert die Sichtbarkeit fuer diese Setups.

Einschränkungen (Beta)

• Agenten teilen keinen Session-State.
• Geplante Läufe erfordern, dass die App geöffnet ist — nutzen Sie den CLI-Runner für Always-on-Monitoring.
• Der CLI-Runner verwendet leichtgewichtige HTTP-Checks statt vollständiger Playwright-Browser-Automatisierung.