docs: refresh privacy and security repo hygiene

Author: Lukas Geiger

.gitignore

@@ -3,9 +3,13 @@ __pycache__/
 *.py[cod]
 *.pyo
 *.egg-info/
+.pytest_cache/
+.mypy_cache/
+.ruff_cache/
+.coverage
+htmlcov/
 dist/
 build/
-*.spec
 
 # Virtual Environments
 venv/
@@ -23,7 +27,13 @@ Thumbs.db
 
 # Application
 *.db
+*.db-*
+*.sqlite
+*.sqlite3
 *.log
+*.exe
+*.msi
+*.msix
 logs/
 releases/
 .env
@@ -32,13 +42,21 @@ credentials.json
 client_secret*.json
 token.json
 *.pem
+*.ppk
 *.key
+*.p12
+*.pfx
+known_hosts
 keyring/
+*.bak
 
 # Internal
 AUFGABEN.txt
 TEST.txt
 TESTS.txt
 TESTERGEBNISSE.txt
+BUGREPORT.md
+DIAGNOSE_REPORT.md
+SKILL.md
 tmpclaude-*
 .claude/

CHANGELOG.md

@@ -21,12 +21,17 @@ Format basiert auf [Keep a Changelog](https://keepachangelog.com/de/1.1.0/).
 - Theme-Wechsel setzt Palette und QSS gemeinsam; Light-Mode bleibt nicht mehr auf Dark-Basis hängen
 - Python-LSP-Erkennung startet `pylsp` jetzt auch über `python -m pylsp`,
   wenn das Script nicht auf `PATH` liegt, das Modul aber installiert ist.
+- Die Anzeige verfügbarer LSP-Server nutzt jetzt dieselbe Fallback-Prüfung wie
+  der Serverstart; installierte `pylsp`-Module werden daher auch ohne `pylsp.exe`
+  auf `PATH` korrekt erkannt.
 - LSP-Subprocess-Pipes werden beim Stoppen geschlossen; der Runtime-Test läuft
   dadurch ohne ResourceWarnings.
 
 ### Geändert
 - Deutschsprachige Doku sowie Python-Kommentare, Docstrings und naheliegende UI-Texte
   verwenden jetzt echte Umlaute statt `ae/oe/ue`
+- README und Security Policy präzisieren die lokale Privacy-Abgrenzung; `.gitignore`
+  schützt zusätzliche Credential-, SSH- und SQLite-Artefakte.
 
 ## [0.1.0] - 2026-04-08
 

README.md

@@ -46,6 +46,8 @@ Alternativ per Doppelklick auf `start.bat`.
 Der Python-LSP wird bevorzugt über `pylsp` auf `PATH` gestartet. Falls das
 Script nach der Installation nicht auf `PATH` liegt, nutzt CodeBox den aktuellen
 Python-Interpreter als Fallback: `python -m pylsp`.
+Die Verfügbarkeitsprüfung in der Oberfläche nutzt dieselbe Fallback-Logik, sodass
+installierte `pylsp`-Module auch ohne separates `pylsp.exe` korrekt erkannt werden.
 
 ## Lokaler Windows-Build
 
@@ -90,11 +92,16 @@ Noch offen für die nächste größere Ausbaustufe:
 ## Datenschutz / Privacy
 
 CodeBox arbeitet lokal auf Dateien, die der Nutzer öffnet. Es werden keine
-Zugangsdaten benötigt und keine externen Dienste kontaktiert, außer Sie starten
-selbst einen installierten Language Server oder externe Build-/Run-Tools.
+Zugangsdaten für den Editor-Grundbetrieb benötigt und keine externen Dienste
+kontaktiert, außer Sie starten selbst einen installierten Language Server,
+externe Build-/Run-Tools oder optionale Remote-Editing-Funktionen.
+
+Optionale Remote-Verbindungen können zur Laufzeit SSH-Passwörter oder
+Schlüsselpfade verwenden. Solche Daten gehören nicht ins Repository und sollten
+nur in lokalen, ignorierten Konfigurationsdateien oder im System-Keyring liegen.
 
 Lokale Arbeitsdateien wie `AUFGABEN.txt`, Test-Locks, `.env`-Dateien,
-Credentials, Logs, Datenbanken und Build-Artefakte sind über `.gitignore`
+Credentials, SSH-Schlüssel, Logs, Datenbanken und Build-Artefakte sind über `.gitignore`
 ausgeschlossen.
 
 ## Lizenz / License

SECURITY.md

@@ -1,5 +1,10 @@
 # Security Policy
 
+## Supported Versions
+
+CodeBox is currently maintained on the `main` branch before a stable 1.0
+release. Please test reports against the latest `main` commit when possible.
+
 ## Reporting a Vulnerability
 
 If you find a security vulnerability, please report it responsibly:
@@ -14,14 +19,22 @@ If you find a security vulnerability, please report it responsibly:
 2. Fill out the form (title, description, severity, affected versions)
 3. Submit privately (not visible to public until disclosed)
 
-We will respond as soon as possible.
+We will respond as soon as possible for a solo-maintained open-source project.
 
 ## Scope
 
-<!-- Adjust scope for your project -->
-- File system access
-- Database access
-- External API connections
+Security reports are in scope when they affect CodeBox itself, especially:
+
+- Local file access through the editor, project tree, or save/open workflows
+- Terminal, Git, build, and run-tool invocation from inside the application
+- Language Server Protocol process handling
+- Optional SSH/SFTP remote-editing code paths
+- Handling of local configuration files, credentials, logs, and build artifacts
+
+Generated build outputs, personal local configuration, private test locks, and
+secrets accidentally created by a user are not intended to be committed. The
+repository `.gitignore` excludes common credential, SSH-key, database, log, and
+build-artifact patterns.
 
 ## Response