Postman & Bruno
Keine gepflegte Collection behaupten; OpenAPI v1 bleibt die importierbare Vertragsquelle.
Importgrenze
Teams können das reale OpenAPI-v1-Dokument lokal in ein Werkzeug importieren. Ein solcher lokaler Import ist keine von QO7 Digital gepflegte oder signierte Collection.
Secret-Hygiene
Tokens gehören ausschließlich in den lokalen Secret-/Environment-Speicher des Werkzeugs. Sie dürfen nicht in Collection-Dateien, Beispiele, Exporte oder Versionskontrolle gelangen.
Freigabekriterien
Eine spätere offizielle Collection muss deterministisch aus OpenAPI erzeugt, secret-frei, versionsgebunden, negativ getestet und mit klarer Rollback-/Deprecation-Regel veröffentlicht werden.