Abhängigkeiten & Updates

Technische Dokumentation. Ableger bindet keine Paketmanager-Abhängigkeiten zur Laufzeit ein (keine npm install, kein Bundler). Jede Drittsoftware ist entweder ein einzelnes, direkt vom Hersteller bezogenes Binary, oder eine Handvoll statischer Dateien, die einmalig gezogen und ins jeweilige Repo gelegt werden. Das hält die Installation einfach, bedeutet aber: Updates passieren nicht automatisch, sondern müssen hier bewusst nachgezogen werden.

Software	Aktuell verifizierte Version	Wo verankert	Update-Rezept
Hugo	0.164.0 (reguläre, nicht Extended-Variante)	Fest im Installationsbefehl in Getting Started, Schritt 4 – keine zentrale Versionsdatei	Neue Version bei den Hugo-Releases prüfen, Download-URL in Schritt 4 anpassen, auf dem Server neu ziehen (`~/bin/hugo` ersetzen), danach `hugo version` und einen lokalen Testbuild (`hugo server`) gegen Breaking Changes prüfen (Hugos eigenes CHANGELOG konsultieren)
Pagefind	1.5.2 (musl-Variante, statisch gelinkt)	Fest im Installationsbefehl in Getting Started, Schritt 5	Neue Version bei den Pagefind-Releases prüfen, Download-URL anpassen, `~/bin/pagefind` ersetzen, danach `/suche/` manuell testen (Suchindex wird bei jedem Deploy ohnehin neu gebaut, kein Datenmigrationsschritt nötig)
Decap CMS	3.15.1 (exakt gepinnt, nicht `^3.0.0`)	`<script>`-Tag in `admin/index.html`	Bewusst exakt gepinnt statt einer floatenden Version: Ein automatisches Nebenversions-Update könnte das CMS-Formular ändern, ohne dass das getestet wurde, bevor es live geht. Neue Version bei unpkg.com/decap-cms oder dem Decap-CMS-Repo prüfen, Versionsnummer im Script-Tag anpassen, danach den kompletten Editier-/Speicher-Workflow (Methode und Variante anlegen/bearbeiten) manuell durchklicken
oauth2-proxy	7.15.3	Fest im Installationsbefehl in Schnittstellen, Teil 2	Nur relevant, falls der private Modus genutzt wird. Neue Version bei den oauth2-proxy-Releases prüfen, `~/bin/oauth2-proxy` ersetzen, `supervisorctl restart oauth2-proxy-read oauth2-proxy-write`, danach Login-Flow für beide Instanzen (Website und `/admin/`) neu testen
Pandoc (als WASM-Binary)	pandoc-wasm 1.1.0 → Pandoc 3.10, `@bjorn3/browser_wasi_shim` 0.4.2	`methoden-set/vendor/`	Eigenes Update-Rezept mit einem manuellen Patch-Schritt, siehe Methoden-Set, „Pandoc als WASM-Binary“

Grundsatz für neue Abhängigkeiten

Drittsoftware wird direkt von der offiziellen Quelle bezogen (GitHub-Release, offizielles npm-Paket) statt aus einem anderen, verwandten Projekt vendort – auch wenn eine bereits gelöste, funktionierende Kopie anderswo verfügbar wäre. Das hält die Herkunft jeder Datei nachvollziehbar und macht spätere Updates gegen dieselbe Quelle wiederholbar.