Wie vertrauenswürdig ist Zapstore?
Der Wert stammt aus der transparenten Bewertungsmethode des Quelldatensatzes. Er ist eine strukturierte Orientierung, keine Sicherheitsgarantie und kein Ersatz für deine eigene Risikoprüfung.
Vier Bewertungsdimensionen
Positive Signale erhöhen, Vorbehalte reduzieren den WertPositive Signale
25 BelegeDie Installationsprüfung kontrolliert, dass das Release-Event mit dem Nostr-Schlüssel des Entwicklers signiert ist.
Quelle prüfen ↗Zapstore prüft, dass der APK-Hash in den Release-Metadaten zur heruntergeladenen Datei passt.
Quelle prüfen ↗Certificate Linking kann prüfen, dass das APK-Signaturzertifikat zu einem verlinkten Nachweis passt.
Quelle prüfen ↗Die Installation wird blockiert und erklärt, wenn Signatur-, Hash- oder Zertifikatsprüfungen scheitern.
Quelle prüfen ↗Das Relay implementiert Rate Limiting, Strukturvalidierung, kryptografische Validierung und Strafen für fehlverhaltende Clients.
Quelle prüfen ↗Die FAQ sagt, dass Zapstore keine Werbung und kein erzwungenes Tracking hat.
Quelle prüfen ↗Nutzer können Apps ohne Nostr-Konto browsen und installieren.
Quelle prüfen ↗Jungere zsp-Releases brachten HTTP-Härtung, zufällige Client-Keys, Offline-Keystore-Linking und Content-Digest-Upload-Support.
Quelle prüfen ↗Repository-Verifikation lässt neue Publisher einen Nostr-Pubkey über zapstore.yaml nachweisen.
Quelle prüfen ↗Die öffentliche Homepage nennt Gründer, Mitwirkende und Spender hinter dem Projekt.
Quelle prüfen ↗Die FAQ warnt, dass permissionless Publishing weiterhin normale App-Sicherheitsurteile erfordert.
Quelle prüfen ↗Die Homepage veröffentlicht eine kurzfristige Roadmap für App Stacks, Catalogs, Studio und iOS.
Quelle prüfen ↗GitHub listet Zapstore 1.0.6 als jüngstes App-Release vom 11. April 2026.
Quelle prüfen ↗Das Haupt-Repository zeigt 692 Commits und 24 Releases.
Quelle prüfen ↗Die GitHub-Organisation zeigt acht öffentliche Repositories, mit Relay- und Webapp-Updates am 4. Mai 2026.
Quelle prüfen ↗Das README sagt, dass das Projekt mit BrowserStack getestet wird.
Quelle prüfen ↗zsp veröffentlichte Release 0.3.4 am 24. Februar 2026.
Quelle prüfen ↗Release 1.0.0 dokumentierte Zuverlässigkeitsarbeit an Update-UX, Package Manager, Download und Verification.
Quelle prüfen ↗Publishing ist kostenlos und erfordert keine Registrierung.
Quelle prüfen ↗Entwickler können 100% der Lightning-Zahlungen direkt von Nutzern erhalten.
Quelle prüfen ↗Die FAQ sagt, dass Zapstore keinen Plattformanteil nimmt.
Quelle prüfen ↗Nutzer und Entwickler können alternative Relays und Kataloge mit anderen Regeln nutzen.
Quelle prüfen ↗Die AGB sagen, dass App, zsp CLI und Website Open-Source-Software sind, die Nutzer selbst hosten können.
Quelle prüfen ↗Die Enterprise-Seite bietet selbst gehostete und air-gapped Katalog-Deployments an.
Quelle prüfen ↗Die Publishing-Doku unterstützt GitHub, GitLab, Codeberg sowie Gitea- oder Forgejo-Repository-Hosts.
Quelle prüfen ↗Vorbehalte
16 PunkteZentrale Publishing-Tools zeigen keine GitHub SECURITY.md und keine veröffentlichten Security Advisories.
Quelle prüfen ↗Die AGB nennen nur das Zapstore-Team, aber keine juristische Person oder Adresse.
Quelle prüfen ↗Das Standard-Relay kann Pubkeys jederzeit blockieren und hat keinen automatisierten Appeals-Prozess.
Quelle prüfen ↗Die AGB schließen Zusagen zu Uptime, Verfügbarkeit und Datenaufbewahrung für Relay- und CDN-Dienste aus.
Quelle prüfen ↗Das Relay speichert Impression- und Download-Analytics mit MaxMind-Geolocation und CDN-gestützter Auslieferung.
Quelle prüfen ↗Ein Issue von 2024 bestätigte, dass Privacy-Policy-Arbeit aus Zeitgründen verschoben wurde.
Quelle prüfen ↗Die GitHub-Organisation hat keine öffentlichen Mitglieder, was sichtbare Maintainer-Verantwortung begrenzt.
Quelle prüfen ↗Das README bittet bei nicht kleinen Beiträgen weiter um vorherigen Kontakt und verspricht einen klareren Prozess später.
Quelle prüfen ↗Fallback-Zulassung für Publisher kann nach fehlgeschlagener Repository-Prüfung von Vertex-Social-Graph-Reputation abhängen.
Quelle prüfen ↗Zapstore sagt, dass der Katalog permissionless bleibt und Nutzer App-Sicherheit weiter selbst einschätzen müssen.
Quelle prüfen ↗Die Android-App benötigt derzeit Android 10+ auf arm64-Geräten.
Quelle prüfen ↗Der Relay-Betrieb braucht externe BunnyCDN-Konfiguration und einen Nostr-Schlüssel mit Vertex-Credits.
Quelle prüfen ↗Ein Bug von 2026 ließ Nutzer nach Entfernen der Signer-App scheinbar eingeloggt und ließ Signieraktionen crashen.
Quelle prüfen ↗Ein offenes Issue von 2026 fordert automatisierte Update-Tests, nachdem Nutzer falsches Update-Batching sahen.
Quelle prüfen ↗Ein Issue von 2026 zeigte, dass Clear local storage gecachte App-Stack-Daten nach Neustart sichtbar lassen konnte.
Quelle prüfen ↗Organisationspreise sind individuell, mit öffentlichen Budgetspannen, aber ohne veröffentlichte Paketpreise.
Quelle prüfen ↗So funktioniert die Methode
Die Basisklasse beginnt je nach Offenheit und Rechtsraum bei unterschiedlichen Ausgangswerten. Danach werden Sicherheit, Governance, Zuverlässigkeit sowie Vertrag und Portabilität bewertet. Neuere oder strukturelle Vorbehalte wiegen stärker; ältere Ereignisse verlieren stufenweise Gewicht. Abzüge sind grundsätzlich gedeckelt, bestimmte gravierende Ausnahmen können davon ausgenommen sein. Klassenobergrenzen verhindern, dass positive Zusatzpunkte grundlegende Jurisdiktions- oder Transparenzrisiken vollständig verdecken.
Wichtig: Der Score bewertet öffentlich belegte Eigenschaften. Er besagt nicht, dass ein Produkt fehlerfrei, rechtssicher oder für deinen konkreten Einsatzzweck geeignet ist.