---
type: issue
id: "0101"
status: open
created: 2026-08-06
milestone: M4
priority: low
projekt: threadnet-call
gitlab_iid: "4"
related: []
---
# Kaputtes Paket 0.19.2-threadnet.6 in der Registry — Herkunft ungeklärt

> Adoptiert aus [threadnet-call#4](https://git.lab/axion1337.chat/threadnet-call/-/issues/4) (2026-08-18, ADR-0019). Kommentare und Verlauf bleiben dort; kanonisch ist ab jetzt diese Datei.

`0.19.2-threadnet.6` liegt mit **12.553 Bytes statt 12,8 MB** in der Gitea-npm-Registry: `package.json`, `README.md` und die beiden Lizenzdateien — **kein `dist/`**. Wer die Version installiert, bekommt ein leeres Paket.

Zusätzlich zeigt `dist-tags.latest` auf genau diese kaputte Version.

## Woher der Upload kam, ist offen

Beide `publish_npm`-Läufe vom 2026-08-06 sind **fehlgeschlagen**:

| Job | Pipeline | Fehler |
|---|---|---|
| 697 | 195 | `You must specify a tag using --tag when publishing a prerelease version` — Abbruch **vor** dem Upload |
| 699 | 196 | `409 Conflict — package version already exists` — die Version war da also schon |

In beiden Pipelines lief `build_embedded` erfolgreich, das Artefakt war da (Job 699 meldete selbst „package size: 12.8 MB"). Zwischen 16:12:27 und 16:13:45 hat niemand sonst publiziert, den ich in der GitLab-API sehe. Die Gitea-Packages-API antwortet mit meinem Token nicht, sonst stünde dort `created_at` und der Uploader.

**Ich habe keine belastbare Erklärung** — deshalb steht hier keine.

## Was bereits getan ist

- Veröffentlicht wurde stattdessen `0.19.2-threadnet.7` (geprüft: 12,8 MB, 151 Dateien unter `dist/`, Produktname enthalten).
- `publish_npm` bricht jetzt ab, wenn `embedded/web/dist` weniger als 50 Dateien hat (`8a38224`). Damit kann diese Fehlerklasse keine Versionsnummer mehr verbrennen.
- `--tag threadnet` gesetzt, weil npm Prereleases ohne dist-tag ablehnt (`760c6af`).

## Offen

1. **`.6` aus der Registry löschen** und prüfen, ob `dist-tags.latest` danach sinnvoll steht — braucht sorb (Gitea-Rechte).
2. Falls die Ursache doch noch auffindbar ist: Gitea-Log zum Zeitpunkt 16:12–16:14 UTC ansehen.

Nicht dringend: `.5` (bis heute produktiv) und `.7` sind beide intakt, die kaputte `.6` wird von niemandem referenziert.