# Public release boundary

De ontwikkelrepository bevat in oudere commits interne deployment-URL's en mag
daarom niet met volledige historiek openbaar worden gemaakt. Publiceer in plaats
daarvan een gecontroleerde, parentless bronexport van een gereviewde releasecommit:

```sh
bash scripts/export-public-source.sh /path/to/new-lumaops-public
gitleaks git /path/to/new-lumaops-public --config /path/to/new-lumaops-public/.gitleaks.toml --redact
```

De export neemt de actuele getrackte bron op, verwijdert de private automatische
deploymentworkflow, weigert runtime-secrets, bekende interne markers en onverwacht
grote bestanden, en schrijft een SHA-256-manifest. Het resultaat heeft één rootcommit
zonder ouders en tagt die als `public-release-baseline`, zodat de upstream-guard ook
toekomstige publieke bijdragen kan begrenzen. Controleer daarna de manifest-, test-, build-, lint- en secretscan
voordat de nieuwe publieke remote wordt toegevoegd.

Het vaste securitycontact is `security@itworx.tech`. Voor de eerste release
moeten alleen de publieke project- en support-URL nog naar de definitieve naam
van de nieuwe publieke exportrepository wijzen; de private ontwikkelrepository
blijft daarvan gescheiden.