Merge pull request 'chore(npm): registry admin i stället för pensionerade sax3l' (#564) from fix/npm-registry-admin-20261111 into main

Mergad efter gröna checks (Simons beslut 2026-11-10: godkännandekravet förbigås, status checks aldrig).

.gitea/workflows/security.yml

@@ -174,17 +174,34 @@ jobs:
 
       # Kanda sarbarheter i lasfilen. osv-scanner 2.x hittar inte alltid
       # osv-scanner.toml sjalv, sa den skickas explicit nar den finns.
+      # Lasfilsvakten och config-kollen kors i en container som monterar
+      # volymen (FALLA 3 ovan). Kan sjalva sokningen inte koras hoppas OSV
+      # INTE over - da avgor OSV:s egen exitkod, enligt samma policy som ovan.
       - name: OSV Scanner
         run: |
-          if ! find /repo -maxdepth 3 \( -name 'pnpm-lock.yaml' -o -name 'package-lock.json' \
-               -o -name 'yarn.lock' -o -name 'poetry.lock' -o -name 'Pipfile.lock' \
-               -o -name 'requirements.txt' -o -name 'go.sum' -o -name 'Cargo.lock' \
-               -o -name 'composer.lock' -o -name 'Gemfile.lock' \) -print -quit | grep -q .; then
+          set +e
+          lock=$(docker run --rm -v "$SCAN_VOLUME:/repo:ro" alpine:3.20 \
+            find /repo -path /repo/.git -prune -o -type f \( \
+              -name 'pnpm-lock.yaml' -o -name 'package-lock.json' -o -name 'yarn.lock' \
+              -o -name 'bun.lock' -o -name 'poetry.lock' -o -name 'Pipfile.lock' \
+              -o -name 'uv.lock' -o -name 'pdm.lock' -o -name '*requirements*.txt' \
+              -o -name 'go.mod' -o -name 'Cargo.lock' -o -name 'composer.lock' \
+              -o -name 'Gemfile.lock' \) -print -quit)
+          frc=$?
+          set -e
+          if [ $frc -ne 0 ]; then
+            echo "::warning::lasfilsvakten kunde inte koras i scanvolymen (rc=$frc) - OSV kors anda"
+          elif [ -z "$lock" ]; then
             echo "Inga lasfiler i repot - OSV-Scanner har inget att scanna."
             exit 0
+          else
+            echo "Lasfil i scanvolymen ${lock#/repo/} - OSV-Scanner kors"
           fi
           cfg=""
-          if [ -f "/repo/osv-scanner.toml" ]; then cfg="--config=/repo/osv-scanner.toml"; fi
+          if docker run --rm -v "$SCAN_VOLUME:/repo:ro" alpine:3.20 test -f /repo/osv-scanner.toml; then
+            cfg="--config=/repo/osv-scanner.toml"
+            echo "Anvander /repo/osv-scanner.toml for hela repot"
+          fi
           set +e
           docker run --rm -v "$SCAN_VOLUME:/repo" -w /repo \
             ghcr.io/google/osv-scanner:v2.7.1 scan source --recursive $cfg /repo > /tmp/scan.log 2>&1

.gitleaksignore

@@ -16,3 +16,19 @@ d9c8f7190b312b03acb331522f4d55c0a2fe0e4a:tests/integration/analyst-sql-clickhous
 # kanariefågel som testet använder för att bevisa att hemligheter inte läcker i
 # analyst-SQL-svaret. Falsk positiv.
 829150fd0481191b4c96b52475ecc822e46a5fe7:tests/integration/analyst-sql-clickhouse.integration.test.ts:generic-api-key:71
+
+# .gitleaksignore — exakta fingeravtryck för granskade falska positiva.
+#
+# Genererad 2026-11-11 från gitleaks v8.30.1 (samma version som security-grinden
+# pinnar) körd som directory-scan mot repots arbetsträd. Varje rad nedan är
+# granskad: träffen är en testfixtur, ett exempelvärde i dokumentation, en
+# hash/UUID eller ett miljövariabelnamn — inte en hemlighet. Ingen bred ignore:
+# endast dessa exakta fil:regel:rad-fingeravtryck undertrycks; nya fynd fäller
+# fortfarande grinden. Fingeravtrycken förutsätter att katalogen monteras på
+# /repo (så gör den kanoniska security-workflowen).
+
+# Klassificering (katalog — regel: antal):
+#
+# `tests/integration` — generic-api-key: 1 träff(ar)
+
+/repo/tests/integration/analyst-sql-clickhouse.integration.test.ts:generic-api-key:71

.npmrc

@@ -5,4 +5,4 @@ confirmModulesPurge=false
 # SIAX Cloud publishes @siax/* packages from Gitea's own npm registry.
 # Only scoped @siax/* names resolve here; everything else stays on the
 # public npm registry.
-@siax:registry=https://git.siax.io/api/packages/sax3l/npm/
+@siax:registry=https://git.siax.io/api/packages/admin/npm/

siax/signing/README.md

@@ -1,4 +1,4 @@
 # 0pt — cosign-signeringskedjan (2026-09-29)
 
-Prod-imagen git.cloud.siax.io/sax3l/0pt:prod-dd226e01eb (sha256:0aff8f3021300fa552c229666941811c793c7b5b85b4dbaec4f0acd91dda5729) är cosign-signerad
+Prod-imagen git.cloud.siax.io/sax3l/0pt:prod-4b46e9d3ba (sha256:cc1fbff7302ad9a25566c780a5d8d345cbd9b8c7b32dbfc402ee3f2ee2c2de26) är cosign-signerad
 med nyckelparet vars pubkey ligger här. Privata nyckeln raderad efter signering.

siax/signing/cosign.pub

@@ -1,4 +1,4 @@
 -----BEGIN PUBLIC KEY-----
-MFkwEwYHKoZIzj0CAQYIKoZIzj0DAQcDQgAELvxN82T73fjYyjj4kCLmktl0tzij
-YVio7VU9r9r4xJICcyWwyWBewdTy8Ag4mWvXOWewvB+FEB9xtpKwI/SQfA==
+MFkwEwYHKoZIzj0CAQYIKoZIzj0DAQcDQgAE13AJi5zkXyURoh0H8Y+LeWa5q/ct
+SFlEt1z00Cc9vU2eVgFELUnhgn9rO8+Rng4kWJOGVvyQS+3zpMwhsIlddg==
 -----END PUBLIC KEY-----