# Vendoo 1.35.0 – Sicherheitsarchitektur

## Neue Grundlage

- Deny-by-default Policy Engine für neue Kernel-Routen
- explizite Routenverträge
- standardisierte interne Fehler mit Request-ID
- validierte Modulmanifeste und Abhängigkeiten
- Owner-basierter Event-Bus mit sauberem Listener-Abbau
- Feature Flags mit fester Registrierung und sicherem Environment-Override
- sichere Theme-Werte statt frei eingebbarem CSS
- geordneter Kernelstart und Kernelshutdown

## Bestehender Schutz bleibt aktiv

Sitzungen, CSRF, Rollen, Berechtigungen, Rate Limits, Origin-/Hostprüfung, Uploadschutz, Audit und Ressourcenlocks werden nicht ersetzt oder umgangen.

## Offene Produktiv-Gates

Diese Punkte werden bewusst nicht als bereits gelöst ausgegeben:

- vollständige CSP ohne `unsafe-inline`
- zentral validierte Request-/Response-Schemas für alle Bestandsrouten
- verschlüsselter Secret Provider je Plattform
- isolierter Extension-Host
- vollständige Repository-Trennung aller Datenbankzugriffe
- automatisierte Browser-, Accessibility- und Penetrationstests

Bis zu ihrer Umsetzung bleiben die entsprechenden Feature Flags deaktiviert oder die Altpfade unter bestehenden Schutzmechanismen aktiv.
