Exposure-Scan

Probt eine kuratierte Liste sensibler Pfade (.env, .git, Config-Backups) am Ziel-Origin und meldet, welche davon öffentlich erreichbar sind. Ein Fund zählt nur bei belastbarer Signatur — SPA-Antworten (Catch-all-200) werden nie gewertet. Als Monitor eingerichtet, seedet der erste Lauf eine Baseline und Folge-Läufe alarmieren bei neu exponierten Pfaden.