Dies lädt die vorgefertigte Binärdatei für Ihre Plattform (Linux oder macOS, amd64/arm64) aus dem neuesten Release herunter. Führen Sie dann den interaktiven Einrichtungsassistenten aus:```bash
xalgorix --setup

`--privileged` gibt dem Toolset denselben hostähnlichen Zugriff, den es hat, wenn es nativ als root ausgeführt wird. Die Standard-Sandbox von Docker entzieht Capabilities (wie `NET_ADMIN`) und wendet einen seccomp-Filter an, was Low-Level-Tools beeinträchtigt (iptables/route-Änderungen, ARP-Spoofing/MITM, tun/tap-VPNs, ptrace-basierte Debugger, masscan-Interface-Tuning). Da ein Image sich diese nicht selbst gewähren kann, müssen sie zur Laufzeit gesetzt werden. Der Container ist eine wegwerfbare, netzwerkisolierte Scanning-Sandbox, die als root läuft — privileged ist die beabsichtigte Konfiguration; setze das Dashboard niemals ohne Authentifizierung öffentlich aus. Bevorzugst du Least Privilege? Ersetze `--privileged` durch `--cap-add=NET_ADMIN --cap-add=NET_RAW --cap-add=SYS_PTRACE --security-opt seccomp=unconfined`.

Öffne `http://localhost:9137`. Du **brauchst keinen LLM-Schlüssel zum Starten** — das Dashboard startet ohne einen; lege das Modell + den API-Schlüssel unter **Settings → LLM** fest (wird im `/data`-Volume gespeichert). Wenn du `XALGORIX_USERNAME`/`XALGORIX_PASSWORD` nicht übergibst, wird ein zufälliges Admin-Passwort generiert und beim ersten Start in den Container-Logs ausgegeben.

**Am einfachsten — Docker Compose** (mappt den Port + ein persistentes Volume für dich):```bash
curl -sSLO https://raw.githubusercontent.com/xalgorix/xalgorix/main/docker-compose.yml
docker compose up -d
docker compose logs -f   # shows the generated admin password on first start

> [!TIP]
> Lieber ohne Einrichtung? Eine vollständig verwaltete Version läuft unter [www.xalgorix.com](https://www.xalgorix.com/) — Klick-zum-Scannen, keine Installation oder API-Schlüssel erforderlich.

### 🤖 Pull Requests automatisch überprüfen — kostenlose GitHub App

Möchtest du bei jedem Pull Request eine Sicherheitsüberprüfung ohne Einrichtung? Installiere die **[Xalgorix GitHub App](https://github.com/apps/xalgorix)**. Sie liest das Diff jedes PRs und kommentiert eine Sicherheitsüberprüfung — Injection, fehlerhafte Authentifizierung/IDOR, SSRF, Secrets, unsichere Muster — direkt am Pull Request. Aktualisiert sich bei neuen Commits an Ort und Stelle, und du kannst **`@xalgorix review`** kommentieren, um die Prüfung bei Bedarf erneut auszuführen. Keine Workflow-Datei, kein API-Schlüssel, kein Konto — und es ist kostenlos.

<div align="center">

[**➕ Xalgorix zu GitHub hinzufügen →**](https://github.com/apps/xalgorix/installations/new)

</div>

Für Merge-Gating und vollständige exploit-verifizierte Pentests in CI verwende den [gehosteten Scanner](https://www.xalgorix.com/) oder die GitHub Action.

> [!IMPORTANT]
> Verwende Xalgorix nur auf Systemen, die dir gehören oder für die du ausdrückliche Testgenehmigung hast.

> [!TIP]
> Lieber nicht selbst hosten? Eine vollständig verwaltete Version ist unter [www.xalgorix.com](https://www.xalgorix.com/) verfügbar — Klick-zum-Scannen, keine Installation oder API-Schlüssel erforderlich.

## 📚 Inhalt

| | | |
| --- | --- | --- |
| 📸 [Screenshots](#-screenshots) | 🔩 [Konfiguration](#-configuration) | 🧾 [Umgebungsvariablen](#-environment-variables) |
| 🚀 [Schnellstart](#-quick-start) | 🆙 [Upgrade](#-upgrading-from-previous-versions) | 🔤 [Provider-Präfixe](#-provider-prefixes) |
| 🔎 [Überblick](#-overview) | 🏃 [Ausführung](#-running) | 💻 [CLI-Referenz](#-cli-reference) |
| 💡 [Warum Xalgorix](#-why-xalgorix) | 🧰 [Dienstmodus](#-service-mode) | 📡 [API-Übersicht](#-api-summary) |
| 🎯 [Anwendungsfälle](#-use-cases) | 🔁 [Web-UI-Workflow](#-web-ui-workflow) | 💾 [Datenspeicherung](#-data-storage) |
| ✨ [Funktionen](#-features) | 🔀 [Scan-Modi](#-scan-modes) | 🧪 [Entwicklung](#-development) |
| 📥 [Installation](#-installation) | 📂 [Deinen Code scannen](#-scan-your-code-no-target-needed) | 🚨 [Sicherheitshinweise](#-safety-notes) |
| 🧭 [Methodik](#-methodology) | 📄 [Berichte](#-reports) | 📜 [Lizenz](#-license) |
| 🔧 [Einstellungen](#-settings) | 🔗 [Links](#-links) | 🤝 [Sponsoren](#-sponsors) |

## 🔎 Überblick

Xalgorix ist eine selbst gehostete KI-Penetrationstest-Plattform für autorisierte Sicherheitstests, Schwachstellenbewertung und Bug-Bounty-Workflows. Sie kombiniert einen LLM-gesteuerten autonomen Agenten, Browser-Automatisierung, Terminal-Tooling, eine umfassende 22-Phasen-Testmethodik, Live-WebSocket-Telemetrie, Finding-Management mit CVSS-Bewertung, markengerechte PDF-Berichtsgenerierung und Integrationen für AgentMail, Discord und Telegram.

Anders als reine Cloud-DAST-Scanner läuft Xalgorix vollständig auf deiner Maschine. Du bringst deinen eigenen LLM-Provider mit (OpenAI, Anthropic, DeepSeek, Gemini, Groq, Ollama, MiniMax) und kontrollierst Modell, Reasoning-Aufwand, Rate-Limits und Proxy-Konfiguration. Keine Scan-Daten, API-Schlüssel oder Zielinformationen verlassen deine Infrastruktur.

Die Standarderfahrung ist die Web-UI. Von einem lokalen Dashboard aus kannst du Scans starten, aktive Läufe überwachen, Findings inspizieren, Modell-/Provider-Einstellungen konfigurieren, Umgebungsvariablen verwalten, markengerechte PDF-Berichte generieren und historische Scans löschen oder fortsetzen.

## 💡 Warum Xalgorix

Die meisten Scanner **erkennen**. Xalgorix **beweist**. Ein autonomer Agent arbeitet eine 22-Phasen-Methodik durch, dann testet ein unabhängiger Verifizierer jedes Kandidaten-Finding erneut, bevor es gemeldet wird — so erhältst du exploit-verifizierte Ergebnisse mit Nachweisen, nicht eine Wand von „Vielleichts", die du triagieren musst.

- 🧠 **Ein KI-Agent, keine Template-Engine** — denkt über Auth-Flows, Geschäftslogik, IDOR/BOLA und verkettete Exploits nach, die Signatur-Scanner übersehen.
- ✅ **Exploit-verifizierte Findings** — ein separater Verifizierer reproduziert jedes Finding unabhängig; nicht schlüssige werden zur Überprüfung markiert, niemals als bestätigt dargestellt.
- 🔒 **Selbst gehostet und privat** — läuft auf deiner Maschine mit deinem eigenen LLM-Schlüssel; keine Zieldaten, Schlüssel oder Findings verlassen deine Infrastruktur.
- 🧩 **Bring dein eigenes LLM mit** — OpenAI, Anthropic, DeepSeek, Gemini, Groq, Ollama oder MiniMax — oder jedes OpenAI-kompatible Gateway wie [LiteLLM](#-litellm--openai-compatible-gateways-github-copilot-claude-opus-codex-openrouter-azure-local-models) (GitHub Copilot, Codex, OpenRouter, Azure). Du kontrollierst Modell, Reasoning-Aufwand und Kosten.
- 📄 **Audit-taugliche Berichte** — markengerechte PDFs mit CVSS-Bewertungen, Proof-of-Concept und Behebung.

### 📊 Wie es sich vergleicht

|                                              | **Xalgorix**             | Template-Scanner (z. B. Nuclei) | Crawling-Scanner (z. B. OWASP ZAP) | Kommerzielles DAST        |
| -------------------------------------------- | ------------------------ | ------------------------------- | ---------------------------------- | ---------------------- |
| Ansatz                                       | Autonomer KI-Agent       | Signaturen / Templates          | Spider + aktive Regeln             | Signaturen + Heuristiken |
| Abdeckung von Geschäftslogik / IDOR / Auth-Bypass | ✅                       | Begrenzt                        | Begrenzt                           | Teilweise              |
| Exploit-verifiziert (beweist Auswirkung)     | ✅ unabhängiger Verifizierer | ❌                              | ❌                                 | Teilweise              |
| Falsch-Positiv-Last                           | Niedrig (bewiesen)       | Template-abhängig               | Hoch                               | Mittel                 |
| Selbst gehostet / Daten bleiben lokal        | ✅                       | ✅                              | ✅                                 | Meist Cloud            |
| Bring-your-own LLM                           | ✅                       | —                               | —                                  | ❌                     |
| Markengerechte PDF-Berichte                  | ✅                       | ❌                              | Basis                              | ✅                     |
| Kosten                                       | Open Source + dein LLM   | Kostenlos                       | Kostenlos                          | $$$                    |

> Richtungsweisender Vergleich — Nuclei und ZAP sind hervorragend in dem, was sie tun. Xalgorix fügt die reasoning-lastige Discovery- und Exploit-Verifizierungsschicht obendrauf hinzu.

### ☁️ Selbst gehostet vs. gehostete Cloud

Xalgorix ist kostenlos und Open Source — hoste es für immer selbst, ohne Bedingungen. Die [gehostete Cloud](https://www.xalgorix.com/) betreibt die **gleiche** exploit-verifizierte Engine; sie existiert für Leute, die lieber keine API-Schlüssel, Infrastruktur und unvorhersehbare LLM-Rechnungen verwalten möchten. Beide sind erstklassig — wähle, was passt.

|                                    | **Selbst gehostet** (dieses Repo)        | **[Gehostete Cloud](https://www.xalgorix.com/)**   |
| ---------------------------------- | ---------------------------------------- | ----------------------------------------------- |
| Preis zum Start                    | Kostenlose Engine, Apache-2.0            | Kostenloses Konto · einmalig 1 $ Evaluierung    |
| LLM-API-Schlüssel                  | Bring deinen eigenen mit & verwalte ihn  | Inklusive — nichts zu jonglieren                |
| Kosten pro Scan                    | Rohe LLM-Tokens — variabel, kann steigen | 1 Credit pro Live-Host — vorhersehbar           |
| Einrichtung & Betrieb              | Du installierst, aktualisierst & betreibst die Toolchain | Nichts zu betreiben — Scan in ~60 s             |
| Out-of-Band-Infrastruktur (SSRF/blind RCE) | Richte deinen eigenen OOB-Server ein     | Verwaltetes OOB inklusive                       |
| Zeitplanung                        | Integrierter Scheduler auf deiner Infrastruktur | Verwaltete tägliche / stündliche Zeitpläne      |
| Team · RBAC · geteilte Credits     | Single-Operator-Instanz                  | Organisations-Workspaces im Team-Tarif          |
| Updates                            | `git pull` + Rebuild                     | Immer auf der neuesten Engine                   |
| Datenresidenz / Offline            | ✅ bleibt auf deiner Infrastruktur · Air-Gap OK | Läuft auf unserer Infrastruktur (DPA verfügbar) |

**Selbst hosten, wenn** Daten in deinem Netzwerk bleiben müssen, du volle Kontrolle willst oder du offline/air-gapped arbeiten wirst — genau dafür ist es gedacht. **Nutze die Cloud, wenn** du API-Schlüssel, Infrastruktur und überraschende Token-Rechnungen lieber überspringst und nur für die Live-Hosts zahlst, die du tatsächlich scannst.

<div align="center">

[**☁️ Gehostete Cloud evaluieren — 1 $ Testversion →**](https://www.xalgorix.com/pricing) &nbsp;·&nbsp; [**⚖️ Cloud und Selbst-Hosting vergleichen →**](https://www.xalgorix.com/hosted-vs-self-hosted)

</div>

Wenn Xalgorix dir einen Triage-Zyklus erspart, gib dem Repo bitte einen **[⭐ Stern](https://github.com/xalgorix/xalgorix)** — es hilft anderen wirklich, es zu finden.

## 🎯 Anwendungsfälle

| Anwendungsfall | Wie Xalgorix hilft |
| -------- | ------------------ |
| **Penetrationstests** | Führe eine vollständige 22-Phasen-Methodik gegen autorisierte Ziele aus. Der KI-Agent übernimmt Reconnaissance, Schwachstellenerkennung, Injection-Tests, SSRF, IDOR, Auth-Bypass, Race Conditions und mehr — und verifiziert dann die Findings vor der Meldung. |
| **Bug-Bounty-Jagd** | Richte Xalgorix auf ein Ziel im Geltungsbereich und lass den Agenten die Angriffsfläche enumerieren, auf gängige Schwachstellenklassen testen und verifizierte Findings mit CVSS-Bewertungen und Proof-of-Concept-Nachweisen aufdecken. |
| **Red-Team-Operationen** | Verwende Wildcard- und Multi-Target-Scan-Modi, um die externe Angriffsfläche einer Organisation zu kartieren. Browser-gestütztes DAST bewältigt Auth-Flows, Formulare und Laufzeitverhalten, die statische Scanner übersehen. |
| **Sicherheitsforschung** | Die Phase zur Entdeckung neuartiger Schwachstellen treibt den Agenten über bekanntes Template-Matching hinaus. Bring dein eigenes LLM mit (OpenAI, Anthropic, DeepSeek, Gemini, Ollama, MiniMax), um Reasoning-Tiefe und Kosten zu kontrollieren. |
| **Kontinuierliche Sicherheitstests** | Betreibe es als Systemdienst mit `xalgorix --start`. Scanne nach Zeitplan, streame Findings an Discord oder Telegram und generiere markengerechte PDF-Berichte für Stakeholder. |
| **DAST-Automatisierung** | Browser-gesteuerte Tests für Webanwendungen — Auth-Flows, Formulare, JavaScript-gerenderte Inhalte und Laufzeitverhalten. Integriert sich mit Caido zur Proxy-Verkehrsinspektion. |

## ✨ Funktionen

| Bereich           | Fähigkeiten                                                                                                                |
| -------------- | --------------------------------------------------------------------------------------------------------------------------- |
| 📊 Dashboard      | Lokale Web-UI standardmäßig auf `127.0.0.1:9137`, Scan-Verwaltung, Live-Status, Bulk-Scan-Aktionen und Wiederherstellung historischer Scans. |
| 🔍 Scannen       | Einzelziel-, DAST-, Wildcard- und Multi-Target-Flows mit auswählbaren Methodik-Phasen.                                   |
| 📡 Live-Telemetrie | Tool-Aufrufe, Agent-Nachrichten, Findings, Fehler, HTTP-Aktivität und LLM-Aktivität über WebSockets.                              |
| 🐞 Findings       | Scan-Detailseiten, Schweregrad-Filter, CVSS-Details, Finding-Index und verifizierte Finding-Workflows.                           |
| 📄 Berichterstattung      | Markengerechte PDF-Berichte mit Ziel-/Firmenname, hochgeladenem Logo, Berichtsliste, Öffnen-/Herunterladen-/Löschen-Aktionen.                     |
| 🔔 Integrationen   | AgentMail-Testpostfächer, Verifizierungs-E-Mails, OTP-Flows, E-Mail-Triage-Ereignisse, Discord- und Telegram-Benachrichtigungen.            |
| ⚙️ Konfiguration  | Dashboard-Einstellungen für LLM, AgentMail, Discord, Telegram, Proxy, Laufzeit, Browser, Auth, Rate-Limits und Ressourcen.       |
| 🛡️ Laufzeitsicherheit | Ressourcenbewusste Instanzlimits und Loopback-only-Bindung, sofern externer Zugriff nicht explizit mit Auth konfiguriert ist.         |

## 📥 Installation

Die schnellsten Wege benötigen überhaupt keine Toolchain.

### ⚡ Einzeilige Installation (vorgefertigtes Binary)```bash
curl -sSL https://www.xalgorix.com/install | bash

Der Assistent behält vorhandene Einstellungen bei erneuter Ausführung bei, verbirgt die API-Schlüssel-Eingabe in einem Terminal und startet optional die Web-UI, wenn er fertig ist.

### 🐳 Docker```bash
docker run --rm -p 9137:9137 \
  --privileged \
  -e XALGORIX_LLM=openai/gpt-5.6 \
  -e XALGORIX_API_KEY=your_openai_api_key \
  -v xalgorix-data:/data \
  ghcr.io/xalgord/xalgorix:latest

### 🔨 Aus dem Quellcode erstellen```bash
git clone https://github.com/xalgorix/xalgorix.git
cd xalgorix
make build
sudo install -m 755 build/xalgorix /usr/local/bin/xalgorix

## 🔩 Konfiguration

Xalgorix lädt die Konfiguration in dieser Reihenfolge. Spätere Quellen überschreiben frühere.

| Reihenfolge | Quelle                                                         |
| ----- | -------------------------------------------------------------- |
| 1     | `/etc/xalgorix.env`                                            |
| 2     | `/home/<sudo-user>/.xalgorix.env` beim Start über `sudo` |
| 3     | `~/.xalgorix.env`                                              |
| 4     | Bereits im Prozess vorhandene Umgebungsvariablen           |

Erstellen Sie die lokale Umgebungsdatei:```bash
nano ~/.xalgorix.env

### 🔌 Provider-Beispiele

OpenAI:```bash
XALGORIX_LLM=openai/gpt-5.6
XALGORIX_API_KEY=sk-...

#### 🌉 LiteLLM / OpenAI-kompatible Gateways (GitHub Copilot, Claude Opus, Codex, OpenRouter, Azure, lokale Modelle)

Da `XALGORIX_API_BASE` jeden OpenAI-kompatiblen `/v1/chat/completions`-Endpunkt akzeptiert,
funktioniert Xalgorix ohne Weiteres mit einem [LiteLLM](https://docs.litellm.ai/)-Proxy — es
sind keine Änderungen auf Xalgorix-Seite erforderlich. LiteLLM übernimmt die Authentifizierung
beim Upstream-Anbieter (Copilot-Geräte-Login, Azure-Schlüssel, OpenRouter, Ollama usw.);
Xalgorix spricht einfach OpenAI mit dem Gateway.

LiteLLM ausführen (Beispiel `config.yaml`):```yaml
model_list:
  - model_name: claude-opus-5
    litellm_params:
      model: github_copilot/claude-opus-5   # or openrouter/…, azure/…, ollama/…
general_settings:
  master_key: sk-local-litellm-key

Dasselbe Muster deckt GitHub Copilot Business/CLI, Claude Opus, Codex-artige Modelle,
OpenRouter, Azure OpenAI und lokale Ollama-Modelle ab — alles, was LiteLLM routen kann. Behalte
das Präfix `custom/` (oder `openai/`) und eine Nicht-Anthropic/Gemini-`XALGORIX_API_BASE` bei, damit Xalgorix
die standardmäßige OpenAI-Anfrageform verwendet, die LiteLLM erwartet.

### 🔔 Optionale Integrationen```bash
GEMINI_API_KEY=AIza...
AGENTMAIL_POD=am_us_pod_47
AGENTMAIL_API_KEY=ak_...
XALGORIX_DISCORD_WEBHOOK=https://discord.com/api/webhooks/...
XALGORIX_DISCORD_MIN_SEVERITY=high

> [!TIP]
> Bevorzuge `XALGORIX_PASSWORD_HASH` für Produktions-Deployments.

## 🆙 Upgrade von früheren Versionen

Dieses Release enthält einen Durchgang für Stabilität und Workspace-Isolation mit einer Breaking Change und einigen neuen Einstellungen, die es zu kennen lohnt.

### 💥 Breaking Change: Standard-Workspace verschoben nach `~/.xalgorix/data/`

Scan-Ausgaben, Notizen, Zeitpläne und andere generierte Artefakte liegen jetzt unter `~/.xalgorix/data/` statt unter `$CWD` (dem Verzeichnis, aus dem die Binary gestartet wurde).

Um das vorherige Verhalten beizubehalten, richte `XALGORIX_DATA_DIR` auf dein aktuelles Arbeitsverzeichnis aus:```bash
export XALGORIX_DATA_DIR=$(pwd)

Öffnen:```text
http://127.0.0.1:9137

### 🌐 Externer Zugriff

Binden Sie nur dann an eine andere Schnittstelle, nachdem Sie die Dashboard-Authentifizierung aktiviert haben:```bash
XALGORIX_USERNAME=admin XALGORIX_PASSWORD=change-this xalgorix --web --bind 0.0.0.0

Mit benutzerdefinierten Anweisungen:```bash
xalgorix --target https://app.example.com --instruction "Focus on SQL injection, IDOR, and auth bypass. Avoid destructive tests."

Dienst verwalten:```bash
sudo xalgorix --restart
sudo xalgorix --stop
sudo xalgorix --uninstall

### 🌍 Zugriff auf Remote-Dienste

Stellen Sie den Dienst erst dann für entfernte Browser bereit, nachdem Sie die Dashboard-Authentifizierung aktiviert haben:```bash
sudo tee -a /root/.xalgorix.env >/dev/null <<'EOF'
XALGORIX_BIND=0.0.0.0
XALGORIX_USERNAME=admin
XALGORIX_PASSWORD=change-this
EOF

sudo xalgorix --restart

Der eigene Listener des Dashboards ist **immer** geschützt, auch wenn dies aktiviert ist.

> **⚠️ Shared-/Multi-Tenant-/Hosted-Deployments: lassen Sie dies AUS.** Wenn Sie es aktivieren,
> könnte der Scan eines Benutzers den eigenen Rechner des Betreibers und das interne Netzwerk erreichen.
> Es ist standardmäßig aus, sodass keine Aktion erforderlich ist, um sicher zu bleiben — setzen Sie
> `XALGORIX_ALLOW_LOCAL_TARGETS` nicht (oder pinnen Sie `XALGORIX_ALLOW_LOCAL_TARGETS=false`),
> und stellen Sie die Settings-Seite der Engine nicht für nicht vertrauenswürdige Benutzer bereit.

## 🔁 Web-UI-Workflow

1. Öffnen Sie das Dashboard unter `http://127.0.0.1:9137`.
2. Gehen Sie zu Settings und bestätigen Sie den LLM-Anbieter, den API-Schlüssel, die Rate Limits und optionale Integrationen.
3. Erstellen Sie einen Scan über New Scan.
4. Wählen Sie einen Scan-Modus.
5. Wählen Sie Methodik-Phasen aus, wenn Sie einen fokussierten Durchlauf wünschen.
6. Legen Sie Severity-Filter fest, wenn nur bestimmte Schweregrade live gemeldet werden sollen. Der Filter wirkt sich nur auf den Echtzeit-Dashboard-Feed und Benachrichtigungen aus; der PDF-Bericht und `/api/findings` enthalten immer jede vom Agenten entdeckte Schwachstelle.
7. Fügen Sie den Firmennamen hinzu und laden Sie ein Logo für gebrandete Berichte hoch.
8. Überwachen Sie den Fortschritt über Overview, Scan Detail oder Live Feed.
9. Öffnen Sie Finding-Details, laden Sie Berichte herunter oder verwalten Sie historische Scans über Scans und Reports.

## 🔀 Scan-Modi

| Modus             | Am besten für                                                                        |
| ---------------- | ------------------------------------------------------------------------------- |
| 🎯 Einzelnes Ziel    | Testen einer bekannten URL oder eines Hosts.                                                  |
| 🌐 Wildcard / Multi | Aufzählen verwandter Ziele und Scannen der entdeckten Angriffsfläche.         |
| 🧭 DAST             | Browserunterstütztes Testen für Web-Apps, Auth-Flows, Formulare und Laufzeitverhalten. |

## 📂 Scannen Sie Ihren Code (kein Ziel erforderlich)

Richten Sie Xalgorix auf eine Codebasis — eine Git-URL, einen lokalen Pfad oder eine hochgeladene Zip-Datei — und
es scannt die Quelle direkt. Keine bereitgestellte URL, keine Infrastruktur, die aufgebaut werden muss.```bash
# Source review (SAST): audit the code, no running target required
xalgorix --source ./my-app --code-scan review

# Provision + DAST: build & run the app locally, then pentest the running instance
xalgorix --source https://github.com/org/app.git --code-scan provision

Der Server speichert historische Scan-Datensätze auf der Festplatte, damit die UI nach einem Refresh oder Neustart wiederhergestellt werden kann.

## 🧪 Entwicklung

| Aufgabe                        | Befehl                       |
| --------------------------- | ----------------------------- |
| 📦 Web-UI-Abhängigkeiten installieren | `make webui-install`          |
| 🔨 Alles bauen            | `make build`                  |
| ✅ Tests ausführen                   | `go test ./...`               |
| 🖥️ Web-UI aus dem Quellcode ausführen      | `go run ./cmd/xalgorix --web` |
| ⚡ Frontend-Entwicklungsserver ausführen     | `make webui-dev`              |

## 🚨 Sicherheitshinweise

- Verwende Xalgorix nur gegen autorisierte Ziele.
- Führe keine aktiven Tests gegen Systeme Dritter ohne Genehmigung durch.
- Überprüfe die Scan-Anweisungen vor dem Start.
- Konfiguriere Ratenbegrenzungen und Proxy-Einstellungen entsprechend den Engagement-Regeln.
- Das externe Bereitstellen des Dashboards erfordert Authentifizierung.
- Die automatische Installation ist standardmäßig für Nicht-Root-Benutzer deaktiviert und sollte nur aktiviert werden, wenn du der Umgebung vertraust.

## 📜 Lizenz

Xalgorix wird unter der Apache License 2.0 veröffentlicht. Siehe [LICENSE](https://github.com/xalgord/xalgorix/blob/main/LICENSE).

## 🔗 Links

| Ressource      | Link                                                                             |
| ------------- | -------------------------------------------------------------------------------- |
| ☁️ Gehostet (Cloud) | [www.xalgorix.com](https://www.xalgorix.com/)                                   |
| 📖 Dokumentation | [docs.xalgorix.com](https://docs.xalgorix.com)                                   |
| 🐛 Issues        | [github.com/xalgorix/xalgorix/issues](https://github.com/xalgorix/xalgorix/issues) |
| ☕ Unterstützung       | [buymeacoffee.com/xalgord](https://buymeacoffee.com/xalgord)                     |