Aug 2026
Architektur-Audit von Chatwoot
14 spezialisierte Agenten und 3 unabhängige Prüfagenten testeten einen Open-Source-Helpdesk vor einem geplanten Fork
- CRM & Daten
- Technische Recherche
- Dauer
- 1 Monat
- Unternehmen
- Epsilon Solutions
- Rolle
- Konzeption und Durchführung der Forschungsmethode
Überblick
Ein messbasiertes Audit von Chatwoot 4.16.2, dem Open-Source-Helpdesk, vor einem geplanten Fork zu Epsilons eigener Omnichannel-Chatplattform. Vierzehn spezialisierte Agenten testeten 14 Hypothesen zu Architektur und Sicherheit, und 3 unabhängige Prüfagenten bewerteten jeden Befund neu.
Tools
- Docker
- PostgreSQL
- Claude Code
Belege vor einem Fork
Epsilon plante, Chatwoot zu einer eigenen Omnichannel-Plattform nach dem Vorbild von Respond.io zu forken. Vor dieser Festlegung brauchte es Belege statt Meinungen: wie sich eine Codebasis mit rund 250.000 Zeilen Frontend- und 67.000 Zeilen Backend-Code in kleinem, mittlerem und großem Maßstab verhält und wie sicher sie ist.
Eine Schicht pro Agent
Chatwoot lief lokal auf Docker Compose mit einer befüllten Datenbank. Jeder Claude-Code-Agent übernahm eine Schicht nach einem Briefing, das wie ein Vertrag funktionierte: Frontend-State, Typsicherheit, Event-Dispatch, Model-Callbacks, die Enterprise-Schicht, ActionCable-Realtime, Postgres-Last, Sidekiq-Queues, Container-Start und das i18n-Bundle, dazu Autorisierung, Mandantentrennung, Abhängigkeiten, die Angriffsfläche für Injection und die praktische Ausnutzbarkeit.
Blind geprüft
Drei Prüfagenten, die die Ausgangshypothesen nie gesehen hatten, bewerteten jeden Befund aus drei Blickwinkeln neu: Korrektheit, Skalierung und Alternativen. Eine Synthese ordnete die Risiken dann getrennt für jede Größenordnung und benannte die Grenzen der Methode selbst.
Ergebnis
Das Audit ergab 42 Befunde: 31 bestätigt, 8 herabgestuft und 3 strittig, und die Agenten selbst widerlegten 4 der 14 Ausgangshypothesen. Die größten Risiken im großen Maßstab waren die globale Anfragebegrenzung pro IP hinter einem Proxy, der ActionCable-Worker-Pool bei Wellen von Neuverbindungen und ein 13,14 MB großes Übersetzungsbundle des Dashboards.