Linear-Integration

Warum das zählt

Wer eine Schwachstellenmeldung sichtet, behebt sie so gut wie nie selbst. Die Sichtung passiert in Kit, die Behebung auf einem Entwicklungs-Board. Ohne Verknüpfung zwischen beiden kopiert jemand die Meldung von Hand nach Linear – und ab diesem Moment laufen die beiden Systeme auseinander. Der Vorgang steht auf „In Review“, die Meldung auf „Validiert“, niemand kann beantworten, ob das Problem tatsächlich behoben ist, und der Forscher wartet.

Eine Linear-Verbindung schließt diese Lücke. Ein Klick auf einer Meldung erstellt den Vorgang, und die Verknüpfung zwischen beiden ist ein echter Datensatz, den Kit pflegt – keine URL, die jemand in einen Kommentar geklebt hat.

Sie löst außerdem das unauffälligere Problem: Beim Kopieren von Hand landet meist alles im Ziel-Workspace, Reproduktionsschritte und die E-Mail-Adresse des Forschers inklusive – obwohl niemand geprüft hat, wer diesen Workspace tatsächlich lesen darf. Die Integration von Kit überträgt stattdessen bewusst nur eine Kurzfassung.

Was Sie brauchen

• Kit-Konto mit aktiviertem VDP-Add-on
• Ein Linear-Workspace
• Ein Workspace-Administrator in Linear, der den Verbindungsschritt ausführt – siehe unten
• Modul-Administratorrechte in Kit – eine Tracker-Verbindung ist eine Entscheidung auf Organisationsebene

Einrichtung

1. Linear-Workspace verbinden

1. Öffnen Sie VDP > Einstellungen > Issue-Tracker
2. Wählen Sie in der Anbieterauswahl Linear
3. Klicken Sie auf Linear verbinden
4. Melden Sie sich bei Linear an und bestätigen Sie den angeforderten Zugriff

Kit fordert Lesezugriff sowie die Berechtigung an, Vorgänge und Kommentare zu erstellen – sonst nichts. Ein Linear-Token gilt für genau einen Workspace, eine Verbindung bedeutet also einen Workspace.

Die Zugriffsberechtigung hängt an der Person, die sie erteilt hat. Kit hält fest, wer das war – denn verlässt diese Person die Organisation, funktioniert die Verbindung nicht mehr, und Sie müssen wissen, wessen Zugriff zu erneuern ist.

2. Team wählen

1. Klicken Sie auf der Einstellungsseite auf Team wählen
2. Wählen Sie das Team, bei dem die Arbeit an Schwachstellen landen soll

Linear legt Vorgänge in einem Team an, nicht in einem Projekt – Linears eigene Projekte sind eine optionale Gruppierung über Teamgrenzen hinweg, dort gibt es also nichts auszuwählen. Auch einen Schritt für den Vorgangstyp gibt es nicht: Linear kennt keine Vorgangstypen.

Kit ordnet die Schweregrade der Meldungen den vier Linear-Prioritäten zu:

Kit-Schweregrad	Linear-Priorität
Super-kritisch	Urgent
Kritisch	Urgent
Hoch	High
Mittel	Medium
Niedrig	Low
Informativ	Low

Anders als in Jira gelten diese Prioritätsnamen im gesamten Workspace, eine Zuordnung je Team müssen Sie also nicht prüfen. Hat ein Schweregrad keine Zuordnung, übermittelt Kit gar keine Priorität, und der Standard des Teams greift – Kit sendet niemals Linears „No priority“, denn das würde diesen Standard überschreiben, statt ihm den Vortritt zu lassen. Der Schweregrad steht in jedem Fall in der Beschreibung des Vorgangs.

Wollen Sie die Zuordnung selbst festlegen, hinterlegen Sie an der Verbindung eine eigene priority_map – eine Oberfläche dafür gibt es noch nicht.

3. Verbindung bestätigen

Klicken Sie auf Verbindung testen. Kit sendet eine authentifizierte Anfrage an Linear und zeigt das Ergebnis an.

Eine Meldung übertragen

Öffnen Sie eine beliebige Meldung. In der rechten Spalte finden Sie die Karte Issue-Tracker.

1. Klicken Sie auf Vorgang erstellen
2. Lesen Sie die Übersicht, was übermittelt wird und was in Kit bleibt
3. Klicken Sie auf Vorgang erstellen

Während der Vorgang angelegt wird, zeigt die Karte einen Ladeindikator, danach die Kennung des Vorgangs, dessen Status und einen Link, der Linear in einem neuen Tab öffnet.

Das darf jedes Teammitglied, das die Meldung sehen kann – es gehört zur alltäglichen Sichtung und verlangt nicht mehr Rechte als das Anhängen eines Links. Nur das Einrichten der Verbindung bleibt Administratoren vorbehalten.

Was Kit verlässt

Diesen Abschnitt sollten Sie genau lesen. Standardmäßig ist ein übertragener Vorgang eine Kurzfassung: genug, damit ein Entwickler die Arbeit einplanen kann, und nicht mehr.

An Linear übermittelt	Bleibt in Kit
Titel der Meldung und Kit-Referenz	Die Beschreibung der Schwachstelle
Schweregrad und CVSS-Score	Reproduktionsschritte
Schwachstellentyp	Der betroffene Endpunkt
Betroffener Produktbereich	Proof-of-Concept-Dateien und Screenshots
Frist zur Behebung	Name, E-Mail-Adresse und Auszahlungsdaten des Forschers
Ein Link zurück zur Meldung in Kit	Interne Notizen und der Nachrichtenverlauf

Dahinter steckt keine Vorsicht um der Vorsicht willen. Von Kit aus lässt sich nicht absehen, wer in Linear tatsächlich mitliest: Sichtbarkeit im gesamten Workspace, Integrationen mit Leserechten, Exporte und Backups, die den Vorgang überdauern. Genau die Felder, die Kit zurückhält, verschlüsselt es auch im Ruhezustand – sie zu übertragen hieße, Ihre bestgeschützten Daten in Ihr am wenigsten kontrolliertes System zu verschieben.

Für die Identität des Forschers und die Höhe der Prämie gibt es überhaupt keinen Schalter. Dass die Option fehlt, ist die Garantie.

Vollständige Details dennoch übermitteln

Manche Teams wollen die Beschreibung trotzdem im Vorgang haben. Dafür sind zwei voneinander unabhängige Freigaben nötig:

1. Eine Administratorin oder ein Administrator aktiviert unter VDP > Einstellungen > Issue-Tracker die Option Vollständige Schwachstellendetails erlauben
2. Die Person, die die Meldung überträgt, setzt das Häkchen für genau diesen Vorgang

Beides ist standardmäßig aus. Ist die Einstellung auf Programmebene deaktiviert, werden die Kontrollkästchen gar nicht erst angezeigt – und auch eine selbst gebaute Anfrage kommt nicht daran vorbei, weil Kit die Programmeinstellung beim Zusammenstellen der Daten erneut prüft.

Vorgangsbeschreibungen in Linear sind Markdown. Wird Text aus der Meldung mitgeschickt, landet er in einem Codeblock. Linear gibt ihn dann genau so wieder, wie der Forscher ihn geschrieben hat, statt ihn als Markup zu interpretieren.

Kommentare bei Statusänderungen

Ist Bei Statusänderungen kommentieren aktiv, schreibt Kit einen kurzen Kommentar in Linear, wenn eine Meldung validiert, behoben, nachgeprüft oder abgelehnt wird oder sich ihr Schweregrad ändert. Der Kommentar besteht aus einem Satz und einem Link zurück nach Kit.

Diese Grenze ist bewusst enger gezogen als beim Vorgangstext: Die Kommentare entstehen automatisch, ohne dass jemand den Text prüft – eine Freigabe für vollständige Details gibt es auf diesem Weg deshalb gar nicht. Keine Beschreibung, keine Reproduktionsschritte, keine Identität des Forschers, keine Prämienbeträge.

Kit bittet Linear außerdem, die App nicht für die kommentierten Vorgänge zu abonnieren – das Kommentieren zieht Kit also nicht in den Benachrichtigungsverkehr Ihres Workspace hinein.

Status der Behebung

Die Karte zeigt die Statusbezeichnung des Vorgangs genau so, wie Ihr Workspace sie formuliert („In Review“, „Ready for QA“), denn das ist, was die Entwicklerinnen und Entwickler sehen. Intern ordnet Kit sie einem von fünf Zuständen zu und stützt sich dabei auf Linears Workflow-Statustypen statt auf die Statusnamen – Namen sind je Team frei wählbar, die Typen stehen fest:

Linear-Statustyp	Behebungsstatus in Kit
Triage, Backlog, Unstarted	Nicht begonnen
Started	In Bearbeitung
Completed	Behoben
Canceled, Duplicate	Wird nicht behoben

Ein Duplikat zählt als Wird nicht behoben, nicht als Behoben – der Vorgang wurde geschlossen, ohne dass etwas behoben wurde, und ihn als erledigt zu werten, würde Ihre Behebungsquote schönen.

Der Status wird bei Bedarf gelesen, wenn jemand die Meldung öffnet, und kurz zwischengespeichert, damit das Anzeigen einer Meldung keine Kaskade von API-Aufrufen auslöst. Webhooks gibt es noch nicht: Kit fragt den Status ab, Linear schickt keine Updates von sich aus.

Kit schließt eine Meldung niemals ab, nur weil in Linear „Done“ steht. „Done“ heißt auf einem Entwicklungs-Board regelmäßig „gemergt, aber nicht ausgeliefert“. Und der Abschluss einer Meldung hat Folgen, die man der Person, die eine Karte verschiebt, nicht unterstellen kann: Der Forscher wird benachrichtigt, der Prämienprozess startet, und die Fristen zur Veröffentlichung verschieben sich. Kit zeigt den fertigen Vorgang an und überlässt die Entscheidung einem Menschen.

Verknüpfung aufheben und erneut versuchen

• Verknüpfung aufheben entfernt die Verbindung nur in Kit. Der Vorgang bleibt in Linear, wo längst Kommentare aus dem Entwicklungsteam und ein Branch mit dem Fix daranhängen können – dort ist nicht Kit das führende System.
• Erneut versuchen wiederholt eine fehlgeschlagene Übertragung. Ein zweiter Klick schadet nicht: Kit erzeugt die ID des Vorgangs selbst und sendet bei jedem Versuch dieselbe. Lief eine Anfrage also in eine Zeitüberschreitung, nachdem Linear den Vorgang bereits erstellt hatte, übernimmt Kit den vorhandenen Vorgang, statt einen zweiten anzulegen.
• Trennen entfernt die bei Kit gespeicherte Zugriffsberechtigung samt der zugehörigen Verknüpfungen. Alle bereits erstellten Vorgänge bleiben in Linear.

Fehlerbehebung

Symptom	Ursache	Lösung
„Kit kann nur von einem Workspace-Administrator in Linear verbunden werden“	Der Verbindungsschritt wurde von einem normalen Mitglied ausgeführt	Bitten Sie einen Workspace-Administrator, ihn zu übernehmen
„Der Zugriff auf Linear wurde widerrufen“	Die Berechtigung wurde in Linear widerrufen oder die autorisierende Person wurde deaktiviert	Verbinden Sie Linear auf der Einstellungsseite erneut; auch eine andere Administratorin oder ein anderer Administrator kann die Freigabe erteilen
„In der Antwort von Linear fehlte der Workspace“	Die Autorisierung wurde abgeschlossen, ohne Zugriff auf einen Workspace zu gewähren	Verbinden Sie erneut und melden Sie sich dabei im richtigen Workspace an
„In diesem Linear-Workspace wurden keine Teams gefunden“	Das verbundene Konto gehört keinem sichtbaren Team an	Prüfen Sie die Team-Mitgliedschaften dieses Kontos und versuchen Sie es dann erneut
Es erscheint keine Schaltfläche Vorgang erstellen	Es ist kein Tracker verbunden oder das VDP-Add-on ist nicht aktiv	Verbinden Sie einen unter VDP > Einstellungen > Issue-Tracker

Auf einen Blick

• VDP-Add-on im Konto aktiv
• Eine bestehende Jira-Verbindung vorher getrennt – ein Tracker pro Programm
• Ein Workspace-Administrator in Linear für den Verbindungsschritt verfügbar
• Workspace verbunden, und Sie wissen, wer die Freigabe erteilt hat
• Ziel-Team gewählt
• Verbindungstest erfolgreich
• Bewusst entschieden, ob vollständige Schwachstellendetails übermittelt werden dürfen