Git-Plattformen
Repositories, Merge Requests und Mitglieder kommen von hier. Verbindung per Access Token oder OAuth-App; selbst gehostetes GitLab funktioniert auch.
Architekturprüfung bei jedem Pull Request, auf Ihren eigenen Servern.
AppArch liest die Struktur Ihrer Codebasis - Schichten, Abhängigkeiten, Verträge - und kommentiert den Pull Request, sobald er geöffnet wird. Es läuft in Ihrer CI und in Ihrem Netz. Nichts verlässt es.
- On-Premises installiert
- 9 Sprachen
- GitLab, GitHub, Bitbucket, Azure DevOps
20M+analysierte Codezeilen
260+analysierte Projekte
1000+Regeln
9Sprachen
Unsere Kunden
Zehn Module, ein Blick auf Ihren Code
Jedes Modul beantwortet eine andere Frage zum selben Repository. Schalten Sie ein, was Sie brauchen; Regelkatalog und Abhängigkeitsgraph sind gemeinsam.
Review & Qualität
- ArchPilot PR/MR-Review-Bot Liest bei jedem Merge-/Pull-Request den geänderten Code gegen Ihre Architekturregeln und hinterlässt Inline-Kommentare; auf Wunsch stoppt es die Pipeline bei einem schweren Befund.
- ArchScan Befund- & Qualitätsbericht Scannt die gesamte Codebasis: Schichten, Abhängigkeiten, Komplexität, Duplikate und Code Smells. Liefert pro Projekt einen Score und einen zeilengenauen Befundbericht.
- SmartScan Fehlerszenarien bis zur Datenbank verfolgt Verfolgt jeden Einstiegspunkt bis zur Datenbank und zeigt Fehlerszenarien - halb geschriebene Änderung, nicht gefundener Datensatz, zu langer Wert - mit der Kette dorthin.
Sicherheit & Governance
- ArchSecurity Sicherheitsscan (SAST) Statische Sicherheitsanalyse (SAST) und Prüfung verwundbarer Abhängigkeiten; ordnet die Befunde OWASP-, PCI-DSS-, STIG- und CASA-Kontrollen zu.
- Compliance Score + Audit-Bericht Bewertet Ihre Repositories nach Richtlinienregeln; mit ISO-27001-Zuordnung und manuell abgehakten Kontrollen entsteht ein auditfähiger Bericht.
- Git Health 29 Regeln, wie Repositorys geführt werden Führt 29 Prüfungen zur Verwaltung der Repositories automatisch aus - Branch-Schutz, Merge-Request-Regeln, CI-Sicherheitsschritte.
Einblick & Wissen
- Engineering Analytics MR-Fluss, DORA, KI-Wirkung und Liefermetriken Merge-Request-Fluss, Review-Zeiten, DORA-Metriken und Lieferfluss; zeigt, wo Arbeit wartet.
- Service-Katalog Service-Inventar, Verantwortlichkeiten und Abhängigkeiten Ein Inventar Ihrer Services: Verantwortliche, Stufe, Deployments und die genutzte Infrastruktur an einem Ort.
- ADR Entscheidungsaufzeichnungen Hält Architekturentscheidungen mit Kontext, Entscheidung und Konsequenzen fest und verfolgt Status und Verlauf jeder Entscheidung.
Womit anfangen?
Die meisten Teams beginnen mit ArchPilot: Der erste Kommentar kommt mit dem nächsten Pull Request.
Demo buchenWie ein Befund Ihren Pull Request erreicht
Drei Schritte, kein Agent auf dem Entwicklerrechner, nichts, das nach Hause telefoniert.
- 01
Repository registrieren
Verbinden Sie im Panel eine Git-Anmeldung und wählen Sie das Repository. AppArch stellt dafür ein Projekt-Token aus.
- 02
Fügen Sie einen Job zur Pipeline hinzu
Ein Container-Image je Sprache läuft als CI-Job auf dem ausgecheckten Code. Es holt die Regeln, analysiert vor Ort und sendet nur die Ergebnisse.
- 03
Kommentar lesen, Bericht öffnen
Der Entwickler sieht den Befund im Pull Request; das Team sieht Score, Trend und Befunde im Panel.
Regeln werden im Panel verwaltet, nicht in einer Datei
Jede Regel im Katalog hat Code, Namen, Beschreibung und Dokumentationsseite. Schalten Sie eine Regel für die ganze Installation, einen Workspace oder ein Projekt ab; die engere Einstellung gewinnt.
- Die Schwelle, die eine Pipeline scheitern lässt, ist eine Einstellung, keine Codeänderung.
- Der Scan-Umfang - welche Ordner zählen - wird an derselben Stelle festgelegt.
- Jede Regel hat eine eigene Dokumentationsseite auf docs.apparch.io.
Gebaut für den Betrieb in Ihrem Netz
Es gibt keine gehostete Version. AppArch wird auf einem Host installiert, den Sie kontrollieren, und der gelesene Code verlässt Ihre CI nie.
Installation auf einem Host
Docker Compose mit PostgreSQL und Redis. Ein Einrichtungsassistent legt den ersten Administrator an; Upgrades führen ihre Migrationen selbst aus.
Anmeldung mit Ihrem Verzeichnis
Anmeldung über LDAP und Active Directory, Zwei-Faktor-Authentifizierung, Einladung nach Domain. Kein Social Login.
Signierte Lizenz, bei Bedarf offline
Die Lizenz ist eine signierte Datei, die die Installation lokal prüft. Abgeschottete Standorte beziehen Images aus einer privaten Registry und rufen nie nach außen.
Keine Nutzungsdaten verlassen das Netz
Der einzige ausgehende Aufruf ist die optionale Update-Prüfung, und die lässt sich abschalten. Alles andere bleibt auf Ihrem Host.
Womit es sich verbindet
Git-Plattformen liefern Repositories und Merge Requests; der Rest ergänzt Deployments, Incidents, Tickets und KI drumherum.
CI-Pipelines
Der Analyzer läuft als ein Job in Ihrer eigenen Pipeline: fertige Snippets für vier Anbieter, ein einfaches docker run für den Rest.
Deployment
Welche Version in welcher Umgebung läuft, wird in den Service-Katalog geschrieben.
Observability
Mit Dynatrace, New Relic oder Percona PMM fließen Incident-Daten ein, und die zwei leeren DORA-Metriken, Change Failure Rate und Wiederherstellungszeit, füllen sich aus echten Daten. Percona PMM liefert zusätzlich Datenbank-Abfragezeiten.
Qualität und Tests
SonarQube-Messwerte und -Befunde stehen neben denen von AppArch; JMeter-Testzusammenfassungen landen auf der Performance-Test-Seite des Projekts.
KI
Der Betreiber der Installation verbindet einen Anbieter; Anfragen laufen über dieses Konto, nichts geht über AppArch.
Issue-Tracking
Befunde werden als Vorgänge auf dem Board angelegt, das Ihr Team ohnehin nutzt. Die Projektzuordnung erfolgt pro Workspace.
Anmeldung und Benachrichtigungen
Anmeldung mit dem LDAP- oder Active-Directory-Konto; Benachrichtigungen gehen per E-Mail über Ihren eigenen SMTP-Server. Slack- und Teams-Kanäle sind unterwegs.
Was leistet ein Architektur-Review-Werkzeug?
Eine Codebasis besteht aus Hunderten kleiner Entscheidungen, die einzeln richtig aussehen: welche Schicht welche aufruft, wann ein Servicevertrag gebrochen wurde, mit welcher Änderung eine Sicherheitsprüfung wegfiel. Code-Reviews sehen diese Entscheidungen, ermüden aber mit der Zeit; niemand schreibt dieselbe Warnung in jedem Pull Request von Hand.
Ein Architektur-Review-Werkzeug macht aus diesen Entscheidungen Regeln und wendet sie automatisch auf jede Änderung an. Der Entwickler sieht den Befund im eigenen Pull Request, die Teamleitung verfolgt den Trend im Panel, und das Sicherheitsteam erhält den Compliance-Bericht aus demselben Scan.
Der Unterschied zu einem Linter oder einer Code-Qualitätsplattform
Ein Linter betrachtet eine Datei nach der anderen. AppArch liest den Abhängigkeitsgraphen des gesamten Repositorys und kann deshalb sagen, dass ein Präsentationsprojekt auf die Infrastruktur verweist oder dass zwei Module voneinander abhängen. Befunde externer Scanner erscheinen im selben Panel, mit ihrer Quelle gekennzeichnet.
Worauf man bei der Auswahl achten sollte
- Verlässt der Code Ihr Netzwerk? Ein Werkzeug, das On-Premises läuft, hält den Code in Ihrem eigenen Netzwerk.
- Wem gehören die Regeln? Regeln in einem Panel statt in einer Datei zu verwalten, hält das ganze Team einheitlich.
- Schreibt es in den Pull Request? Berichte bleiben ungelesen; ein Inline-Kommentar wird gelesen.
Einzelheiten finden Sie auf den Seiten ArchPilot, On-Premise & Air-Gap und Regelkatalog.
Häufige Fragen
Was unterscheidet das von einem Linter oder SonarQube?
Ein Linter betrachtet eine Datei. AppArch liest den Abhängigkeitsgraphen des gesamten Repositorys und kann so sagen, dass ein Präsentationsprojekt auf Infrastruktur verweist oder zwei Module voneinander abhängen. SonarQube-Befunde können in ArchSecurity neben AppArchs eigenen gespiegelt werden, nach Quelle gekennzeichnet.
Welche Sprachen werden unterstützt?
.NET, Java, Python, Go, TypeScript und JavaScript (inklusive React, React Native und Node.js), Ruby, Kotlin, Swift und PHP. Jede hat ein eigenes Analyse-Image und einen eigenen Teil des Regelkatalogs.
Verlässt unser Code unser Netz?
Nein. Der Analyzer läuft als Job in Ihrer eigenen CI auf dem ausgecheckten Code und sendet nur Befunde an den AppArch-Server - der ebenfalls Ihrer ist. Kein gehosteter Dienst liegt dazwischen.
Was ist mit Fehlalarmen?
Schalten Sie die Regel für das Projekt, den Workspace oder die ganze Installation ab, oder verengen Sie den Scan-Umfang, damit der Ordner übersprungen wird. Befunde lassen sich im Panel bestätigen, und der Schweregrad einer Regel kann gesenkt werden, sodass sie die Pipeline nicht mehr scheitern lässt.
Wie wird lizenziert?
Pro Installation, mit einer signierten Lizenzdatei, die Benutzer und Projekte festlegt; alle Module sind enthalten. Keine Abrechnung pro Scan, keine gehostete Stufe. Kontaktieren Sie uns, wir dimensionieren es gemeinsam.
Wie lange dauert die Installation?
Ein Host mit Docker: Images ziehen, Compose-Datei starten, Einrichtungsassistent durchlaufen. Das erste Repository registrieren und den CI-Job hinzufügen dauert meist denselben Nachmittag.
Sehen Sie es an Ihrem eigenen Code
Buchen Sie eine dreißigminütige Demo. Wir gehen das Panel an einem echten Repository durch und beantworten die Fragen Ihres Teams.