Ein einziges überzähliges Komma in manifest.webmanifest, und Browser behandeln Ihre App, als hätte sie gar kein Manifest: kein Name, keine Icons, kein Installationshinweis. Eine Workbox-Route, die /api/account mit StaleWhileRevalidate ausliefert, behält die Kontodaten eines Kunden auf einem gemeinsam genutzten Computer, nachdem er sich abgemeldet hat, weil die Cache API Cache-Control: private ignoriert. Ein event.respondWith(), das nach einem await steht, löst einen Fehler aus, und die Anfrage geht ans Netzwerk, als gäbe es den Worker nicht. Dieser Skill findet diese und die weiteren unten aufgeführten PWA-Fehler, bevor Sie veröffentlichen, und erklärt Ihnen, wie Sie jeden davon beheben.

Ihr Agent führt einen Scanner auf Ihren Web-App-Manifesten (manifest.json, *.webmanifest, app/manifest.ts von Next.js, das Manifest in vite-plugin-pwa-Konfigurationen), Service Workern (handgeschrieben, Workbox, Serwist), Workbox-runtimeCaching-Konfigurationen (workbox-config.js, vite-plugin-pwa, next-pwa, webpack), Angular ngsw-config.json und Aufrufen zur Service-Worker-Registrierung aus. Er parst Manifeste wie Browser als striktes JSON, liest JavaScript und TypeScript unter Ausklammerung von Kommentaren und Strings, vergleicht ganze URL-Pfadsegmente (so ist /api/session privat, /api/sessions, ein Konferenzprogramm, aber nicht), versteht Workbox-Matcher, die URLs ausschließen (if ... return false, eine NavigationRoute-denylist), und kennt die Standardwerte von vite-plugin-pwa und next-pwa. Der Service-Worker-Code der Vorlagen von Workbox, Create React App, vite-plugin-pwa und Serwist besteht ohne Befunde. Er führt Ihre App nie aus, baut sie nicht und stellt sie nicht bereit. Das Ergebnis lautet BLOCK, REVIEW oder NOT FLAGGED, jeweils mit Datei, Zeile, Begründung und einem sichereren Vorgehen, und jede Regel verlinkt die zugrunde liegende Dokumentation von W3C, MDN, web.dev oder Chrome. Geheimnisse werden nie ausgegeben.

Was geprüft wird

BLOCK (vor der Auslieferung beheben)

• W01: ein Manifest, das kein gültiges JSON ist (überzähliges Komma, Kommentar, einfache Anführungszeichen), kein Objekt ist oder als UTF-16 gespeichert wurde
• W02: start_url außerhalb des Scopes (einschließlich "/app" mit Scope "/app/") oder start_url bzw. scope auf localhost
• W03: Routen, die Sitzungs-, Token- oder Abmelde-URLs oder Konto-, Profil-, Warenkorb- oder Checkout-Daten im Online-Betrieb aus einer gespeicherten Kopie beantworten
• W04: importScripts() über http:// oder innerhalb eines fetch-, message- oder anderen Event-Handlers aufgerufen
• W05: event.respondWith() oder das erste event.waitUntil() nach einem await oder in einem then()-Callback aufgerufen
• W06: dieselbe URL zweimal in einer cache.addAll()-Liste, auch in der Schreibweise ./index.html und index.html (die Installation schlägt fehl)

REVIEW (vor dem Release prüfen)

• W11: Manifeste, für die Chromium keine Installation anbietet (kein Name, kein Icon mit 144px oder mehr, ein nicht installierbarer Anzeigemodus, prefer_related_applications)
• W12: kein maskierbares Icon oder Icons mit purpose "any maskable"
• W13: Manifeste ohne id
• W14: Seiten oder .html-Dateien, die cache-first ausgeliefert werden
• W15: versionierte Caches, die nie gelöscht werden
• W16: bedingungsloses skipWaiting() in einem Worker, der die App vorab zwischenspeichert, einschließlich der Standardeinstellung von next-pwa
• W17: API-Antworten, die mit CacheFirst, CacheOnly oder StaleWhileRevalidate ausgeliefert werden (sowie Angular-dataGroups mit der Standardstrategie performance), und Sitzungs- oder Token-URLs, die für die Offline-Nutzung gespeichert werden
• W18: fetch-Handler, die jede Antwort mit cache.put() speichern
• W19: Service-Worker-Registrierungen, deren Scope die Seiten der App verfehlt oder einen Service-Worker-Allowed-Header benötigt

Was enthalten ist

• Der Scanner (Python 3.9+, nur Standardbibliothek)
• Ein Regelleitfaden mit Begründung, sichererem Vorgehen und Link zur offiziellen Quelle für jede Regel
• Ein riskantes und ein sicheres Beispielprojekt (eine statische Website mit handgeschriebenem Service Worker und ein Vite-Shop mit vite-plugin-pwa) sowie der echte Bericht, den der Scanner für das riskante Projekt erzeugt

Grenzen

Der Scanner liest den Text der Dateien und verfolgt nur wenige Fakten dateiübergreifend (von Seiten verlinkte Manifeste, ein Service-Worker-Allowed-Header in Serverkonfigurationen, autoUpdate von vite-plugin-pwa). In einer anderen Datei definierte Matcher, minifizierte oder generierte Service Worker, Icon-Dateien, HTTPS und die HTTP-Header, die Ihr Server sendet, werden nicht geprüft, und das Zwischenspeichern privater URLs in handgeschriebenen fetch-Handlern wird nur als Cache-first- oder Alles-speichern-Befund gemeldet. Der autoUpdate-Modus von vite-plugin-pwa und die Vorlage von Serwist, die bewusst sofortige Updates wählen, werden von W16 nicht gemeldet. NOT FLAGGED ist keine Garantie.

Inhalt

Eine ZIP-Datei mit 20 Dateien: SKILL.md, der Scanner in scripts/ (7 Python-Dateien), references/rules.md (jede Regel mit Begründung und sichererem Vorgehen) und examples/ (10 Beispieldateien plus report.md, die echte Scanner-Ausgabe für das riskante Beispiel).

So verwenden Sie ihn: Dies ist ein Agent-Skill: ein Ordner mit einer SKILL.md-Datei und Python-Skripten, die ein KI-Coding-Agent wie Claude Code, Cursor oder Codex CLI ausführen kann. Entpacken Sie ihn in den Skills-Ordner Ihres Agenten (für Claude Code: ~/.claude/skills/) und bitten Sie Ihren Agenten dann, Ihr Projekt zu prüfen. Die Skripte laufen auch eigenständig mit Python 3.9 oder neuer, ohne dass etwas installiert werden muss. Sie lesen ausschließlich Ihre Dateien: kein Netzwerkzugriff, und nichts wird irgendwohin gesendet.