Aether/TESTING.md

Aether – Test-Checkliste

Manuelle Test-Checkliste für die fertigen Phasen. Abhaken beim Durchtesten.

• ⚠️ = bekannte Lücke, muss nicht getestet werden
• 🔎 = von Claude per curl/API gegen ein Wegwerf-Konto geprüft und grün. Bewusst nicht abgehakt: eine API-Prüfung ersetzt nicht den Test in der Oberfläche bzw. mit einem echten Client. Beim Durchgehen selbst abhaken.

---

Kalender: Selbsttest per Skript

Die Kalender-Schnittstelle hat einen automatischen Selbsttest – schneller und gründlicher als Klicken, und er prüft genau die Stellen, an denen schon einmal etwas schiefging:

python3 scripts/kalender-selbsttest.py

36 Prüfungen: Ganztags-Datum (der 3. muss der 3. bleiben – der Fehler, bei dem ein Termin östlich von UTC einen Tag zurücksprang), mehrtägige Termine, Terminfarbe in beiden Schreibweisen, alle Wiederholungsmuster (wöchentlich an bestimmten Tagen, monatlich/jährlich am festen Tag bzw. am n-ten Wochentag), Bearbeiten einer Reihe, einen einzelnen Termin aus einer Reihe streichen (EXDATE), Umhängen in einen anderen Kalender (samt ctag auf beiden Seiten, sonst gleicht ein CalDAV-Client nur eine davon ab), und dass das Zeitfenster wirklich begrenzt.

Legt Termine an und löscht am Ende alle Termine im ersten Kalender des Kontos; für den Umzugstest entsteht kurzzeitig ein zweiter Kalender „T zweitkalender", der danach wieder verschwindet. Also nur gegen eine Entwicklungsinstanz laufen lassen.

CalDAV: Selbsttest per Skript

Der Test oben prüft die JSON-Schnittstelle – also den Weg der Web-Oberfläche. Dieser hier geht den Weg eines echten Clients (DAVx5, Thunderbird, Apple Kalender). Beide führen auf dieselben Daten, aber über völlig verschiedenen Code: Ein grüner Lauf des einen sagt nichts über den anderen.

python3 scripts/caldav-selbsttest.py

62 Prüfungen: Anmeldung (falsches Passwort und Kontopasswort werden abgewiesen – für CalDAV gelten nur App-Passwörter), Auffinden über .well-known/caldav samt der Umleitung, der Clients mit GET folgen, Kalenderliste mit Anzeigename, Komponenten, getctag und calendar-color, PUT/GET/DELETE eines Termins, If-Match (falsches ETag muss 412 geben), calendar-query mit Zeitfenster und calendar-multiget, beide Richtungen zwischen Web und CalDAV (Ganztagstermin als reines Datum mit exklusivem DTEND, Terminfarbe als CSS3-Name, RRULE, EXDATE), das Umhängen aus Client-Sicht (Datei verschwindet in der Quelle, taucht im Ziel auf, UID bleibt), Kalender vom Client aus verwalten (MKCALENDAR und der erweiterte MKCOL, PROPPATCH zum Umbenennen und Umfärben, DELETE der ganzen Sammlung) und dass ein fremder Benutzerpfad 404 gibt statt eines leeren 207.

Legt sich ein eigenes App-Passwort und zwei eigene Kalender an und räumt beides am Ende weg; vorhandene Kalender werden nur gelesen.

Kalender verwalten: Adresse wählt der Client

Bei MKCALENDAR sucht der Client die Adresse aus (…/calendars/max/arbeit/). Deshalb hat cal_calendars seit Migration 23 eine Spalte path_segment: gesetzt = die gewählte Adresse, leer = es gilt weiterhin die UUID. Alle vor der Migration angelegten Kalender bleiben damit unter genau der Adresse erreichbar, unter der eingerichtete Geräte sie schon kennen – das ist der Punkt, den ein Test hier zuerst prüfen sollte.

go-webdav kann davon nur MKCOL. MKCALENDAR kennt es nicht (405), PROPPATCH beantwortet es mit 501, und ein DELETE auf einen Kalender reicht es an das Löschen eines Termins weiter, was im 404 endet. Alle drei fängt Aether deshalb vorher ab (backend/internal/calendar/collections.go).

Zwei Eigenschaften kommen nicht aus der Bibliothek

go-webdav v0.7.0 beantwortet in PROPFIND einen festen Satz Eigenschaften und bietet keinen Haken, eigene dazuzulegen. getctag (Calendarserver) und calendar-color (Apple) ergänzt Aether deshalb selbst (backend/internal/calendar/propfind.go): Beide werden aus der Anfrage genommen, bevor go-webdav sie zu sehen bekommt, und der Antwort als eigener propstat-Block wieder angehängt. Ohne das Herausnehmen stünde dieselbe Eigenschaft zweimal in der Antwort – einmal mit 404, einmal mit 200.

Weil das eigener Code ist und nicht Bibliothek, prüft das Skript ihn besonders: dass beide mit 200 kommen, die Farbe in Apple-Schreibweise (#RRGGBBAA), dass das ctag sich bei jeder Änderung ändert (ein festgefrorenes ctag ist schlimmer als gar keins – der Client fragt einmal und hält den Kalender danach für unverändert), dass eine Anfrage nach nur diesen Eigenschaften funktioniert (sonst bliebe für go-webdav ein leeres <prop> übrig, das es abweist), und dass ohne Nachfrage auch nichts davon in der Antwort steht.

Dazu eine Ungenauigkeit ohne Folgen: Ein PUT, das einen vorhandenen Termin überschreibt, antwortet mit 201 Created statt 204 No Content. Das kommt aus go-webdav; Clients prüfen auf 2xx.

Freigabelinks: Selbsttest per Skript

Freigabelinks sind der einzige Teil von Aether, den man ohne Anmeldung erreicht. Ein Fehler darin ist kein Anzeigefehler, sondern eine offene Tür.

python3 scripts/sharing-selbsttest.py

24 Prüfungen: anlegen nur angemeldet und nur für eigene Dateien (auch der Admin kommt nicht an fremde), Tokenlänge, öffentlicher Abruf ohne Anmeldung, Herunterladen byte-genau, Passwortschutz (ohne, falsch, richtig), Download-Zähler, Widerrufen (danach ist der Link tot), ein Link auf eine gelöschte Datei liefert nichts, und die Sperre nach wiederholten Fehlversuchen.

Der Test legt einen Zweitnutzer an – ohne ihn lässt sich „fremde Dateien bleiben fremd" gar nicht prüfen – und räumt ihn samt Dateien wieder weg.

Nach einem Lauf ist die eigene IP 15 Minuten gesperrt, für passwortgeschützte Freigabelinks (nicht fürs Anmelden). Das ist der Preis der letzten Prüfung, die genau diese Sperre nachweist. Ein zweiter Lauf innerhalb der Frist bricht früh ab und sagt es. Beim Entwickeln hilft ein docker restart aether-app – die Sperre liegt im Arbeitsspeicher.

Was dieser Test beim ersten Lauf gefunden hat

Drei Dinge, alle behoben – hier notiert, weil sie zeigen, wonach man in diesem Bereich sucht:

• Der Download-Zähler blieb auf 0. Die Zählung lief in einer Goroutine mit dem Kontext der Anfrage – der wird abgebrochen, sobald die Antwort draußen ist, und die Zählung verlor das Rennen fast immer.
• owner_id stand in der öffentlichen Antwort. Das ganze Datenbankobjekt durchzureichen war bequem, gab aber die Kennung des Besitzers an jeden heraus, der den Link hat: Zwei Links desselben Besitzers ließen sich einander zuordnen, ohne dass irgendwer angemeldet ist.
• Passwörter ließen sich unbegrenzt durchprobieren. Der öffentliche Freigabepfad lag außerhalb jeder Ratenbegrenzung; jeder Versuch rechnet Argon2, war also zugleich ein billiger Weg, den Server zu beschäftigen.

Abgleich Platte ↔ Datenbank: Selbsttest per Skript

Der Abgleich (Admin → Audit → Rescan storage) übernimmt Dateien, die von außen dazugekommen sind – aus einer Sicherung zurückgeholt oder per SFTP abgelegt – und entfernt Einträge, deren Datei fort ist. Das zweite ist der Grund für diesen Test: Ein Fehler darin löscht Daten, die niemand vermisst, bis er sie braucht.

python3 scripts/rescan-selbsttest.py [BASIS-URL] [DATENPFAD]

Der Test schreibt selbst Dateien ins Datenverzeichnis – er muss also auf dem Rechner laufen, auf dem die Daten liegen (Vorgabe ~/aether-data).

20 Prüfungen in fünf Gruppen: Prüfen ändert nichts (zweimal geprüft liefert dasselbe, nichts wird sichtbar), Übernehmen (Ordnerkette angelegt, Prüfsumme und Größe stimmen, Dateityp erkannt, Herunterladen liefert die Datei), von außen ersetzt (Größe und Prüfsumme werden berichtigt), Datei ist fort (verwaister Eintrag wird gefunden, bleibt beim Prüfen stehen, verschwindet erst beim Anwenden), nicht anfassen (Papierkorb und frühere Fassungen liegen im selben Baum und dürfen nicht übernommen werden – sonst tauchten gelöschte Dateien wieder auf und jede frühere Fassung würde zu einer eigenen Datei), und nur für Verwalter.

Warum es das überhaupt gibt

Der GC räumt Dateien weg, zu denen es keinen Eintrag gibt. Für Reste gelöschter Dateien ist das richtig – für eine per SFTP abgelegte Datei ist es falsch: Sie ist in Aether unsichtbar und nach 24 Stunden weg. Der Abgleich ist die Gegenrichtung und macht aus solchen Dateien richtige Einträge.

Zwei Fallen, die beim Bauen auffielen und die ein Test hier abdecken muss:

• Der Dateityp muss aus Endung oder Inhalt kommen. Beim Hochladen schickt der Browser ihn mit; eine per SFTP abgelegte Datei bringt niemanden mit, der ihn kennt. Dazu kommt: Das Alpine-Abbild hat keine /etc/mime.types, und Gos eingebaute Liste kennt nicht einmal .txt.
• Prüfsumme nicht überspringen. Sie kostet einen vollständigen Lesevorgang je Datei, aber ein Eintrag ohne sie ist ein Eintrag, dessen Beschädigung beim Herunterladen niemand bemerkt.

Abgebrochener Upload

Am Kreuz der Fortschrittsmeldung lässt sich ein laufender Upload fallen lassen. Die Zusage dahinter ist die eigentliche Frage: Auf dem Server bleibt dabei nichts zurück.

python3 scripts/upload-abbruch-selbsttest.py

Der Test kappt eine echte Verbindung mitten im Leib – auf einem rohen Socket, nicht über eine Bibliothek. Ein sauber gesendeter, aber zu kurzer Leib wäre etwas anderes: Den wiese der Server als Formatfehler ab, und über den Abbruch bewiese das nichts.

13 Prüfungen: neue Datei (kein Eintrag, nichts im Papierkorb), Überschreiben mit Versionierung – der gefährlichste Fall, weil der Server die alte Fassung dabei kurzzeitig zur Seite schiebt: Sie muss danach in Größe, Prüfsumme und Inhalt unversehrt sein –, Verbrauch und ein Rescan, der nachsieht, ob herrenlose Bytes liegengeblieben sind.

Eine Falle für jeden, der die Schnittstelle skriptet

GET /api/v1/auth/me erneuert das CSRF-Token und gibt das neue zurück. Wer den Wert von der Anmeldung festhält, bekommt beim nächsten schreibenden Ruf ein 403 und sucht die Ursache bei den Rechten. Die Weboberfläche zieht den neuen Wert an allen drei Stellen nach (hooks/useAuth.ts); ein Skript muss es auch.

Kalender teilen

python3 scripts/kalender-teilen-selbsttest.py

Eine Rechtefunktion ist so viel wert wie ihre engste Stelle. Aether hat zwei Zugänge zu denselben Kalendern – die Weboberfläche und CalDAV –, und beide prüfen getrennt. Ein Recht, das nur einer von beiden durchsetzt, ist keines; deshalb geht hier jede Prüfung über beide Wege.

41 Prüfungen in sieben Gruppen, und die Reihenfolge ist der Punkt: vorher sieht der Empfänger nichts (ohne diesen Anfang beweist der Rest nichts – ein Kalender, den ohnehin jeder sieht, ist auch nach dem Freigeben sichtbar), dann nur lesend (sehen ja, ändern nein – und beim Eigentümer kommt nachweislich nichts an), schreibend, die Grenzen des Schreibrechts (fremden Kalender umbenennen, löschen oder weiterverschenken geht auch dann nicht), Freigabe über eine Gruppe, sync-collection auf einem fremden Kalender, und der Widerruf.

Der Test legt zwei Konten, eine Gruppe und einen Kalender an und räumt am Ende alles weg.

Eine Falle, die der Test selbst hatte

Die Terminliste hat einen Standardzeitraum (ein Monat zurück bis ein Jahr voraus). Mit einem festen Testdatum lieferte sie irgendwann eine leere Liste – und die Prüfung „beim Eigentümer ist nichts angekommen" bestand dann leer. Eine Prüfung, die ohne Daten besteht, prüft nichts. Jetzt liegen die Testtermine relativ zum heutigen Tag, der Zeitraum wird ausdrücklich mitgegeben, und eine Zeile davor stellt sicher, dass überhaupt etwas in der Liste steht.

Go-Tests mit Datenbank

Einige Go-Tests brauchen ein echtes Postgres – die Warteschlange der Texterkennung etwa lässt sich ohne nicht prüfen. Sie überspringen sich selbst, wenn TEST_DSN fehlt, damit go test ./... überall grün bleibt.

Der Preis dieser Freundlichkeit: Sie laufen dann nie. Und ein Test, der nie läuft, ist Dekoration – genau wie vitest es war, bevor es auffiel. Deshalb:

./scripts/db-tests.sh                      # alle
./scripts/db-tests.sh ./internal/documents/

Das Skript baut eine Wegwerf-Datenbank, spielt alle Migrationen ein, lässt die Tests laufen und räumt sie wieder weg. Die Entwicklungsdatenbank bleibt unberührt.

Texterkennung: die drei stillen Zustände

internal/documents ist das Paket, dessen Versagen am teuersten ist, weil es still ist: Die Volltextsuche findet dann einfach nichts, und das sieht genauso aus wie „steht nicht drin". Geprüft werden deshalb nicht die Abfragen, sondern die drei Zustände, in denen die Schlange hängenbleiben kann, ohne dass es auffällt:

1. Ein Auftrag, der nie aufgibt. Ein kaputtes oder passwortgeschütztes PDF besetzte sonst für immer den Arbeiter, und die übrigen Dateien kämen nie dran – während nach außen „die Erkennung läuft".
2. Ein Auftrag, der nach einem harten Abbruch auf running stehen bleibt. Nähme Claim nur pending, wäre diese Datei für immer verloren, und die Zahl der offenen Aufträge sähe dabei gesund aus.
3. Ein Text nach alter Regel, der nie erneuert wird. Auffindbar, aber im Betrachter nicht auf der richtigen Seite – und nichts zeigt, dass diese Dateien anders sind.

Dazu: gelöschte Dateien werden nicht mehr genommen, ein erneuter Upload gibt eine neue Chance, und Complete schreibt Text und Auftragsende zusammen.

Etiketten und Absender: bleibt Fremdes fremd?

./scripts/db-tests.sh ./internal/tags/

Die Rechteprüfung steckt hier nicht in einer if-Zeile, sondern in WHERE-Klauseln. Ein Tippfehler darin fällt beim Lesen nicht auf: Die Abfrage läuft, sie liefert nur zu viel.

Fünf Tests auf dieselbe Frage – Liste, Umbenennen, Löschen, Anhängen an die eigene Datei, und vor allem das Auflisten der Dateien unter einem Etikett. Der letzte Weg gibt Dateinamen, Ordner und Größen heraus.

Dazu die Gruppen: Ein Mitglied sieht das Gruppen-Etikett, ein Nichtmitglied nicht, und wer die Gruppe verlässt, verliert den Zugriff im selben Moment.

Eine Absicherung, die wie eine Förmlichkeit aussieht: Ein Gruppen-Etikett darf nicht an eine persönliche Datei. Der Grund steht nicht im Code, wo die Prüfung sitzt, sondern zwei Dateien weiter: FilesWithTag prüft, ob der Anfragende das Etikett sehen darf – nicht, ob er die Datei sehen darf. Harmlos ist das nur, weil ein Etikett stets denselben Prinzipal hat wie die Dateien darunter. Fiele die Prüfung weg, hinge an einem Gruppen-Etikett eine private Datei, und jedes Gruppenmitglied bekäme ihren Namen zu sehen.

Was der Mutationsversuch gezeigt hat

Die Tests wurden gegen absichtlich kaputten Code gegengeprüft – sonst weiß man nicht, ob sie überhaupt etwas fangen.

• 'running' aus Claim entfernt → zwei Tests wurden rot. Gut.
• maxAttempts von 3 auf 9999 gesetzt → alle blieben grün. Sie schleifen über die Konstante, prüfen die Zahl also nicht, sondern setzen sie voraus. Auffällig war nur die Laufzeit: 27 statt 0,2 Sekunden.

Genau so verschwindet eine Entscheidung unbemerkt aus einer Anwendung. Dagegen steht jetzt ein Test, der die Zahl selbst festhält und sagt, wo die Begründung hingehört, falls sie sich ändert.

Bei den Etiketten dasselbe Vorgehen, mit klarerem Ausgang: Eigentümerprüfung aus FilesWithTag entfernt → „Bert sieht 1 fremde Dateien: Gehaltsabrechnung.pdf". Prüfung in SetFieldsForFile ausgehebelt → zwei Tests rot. Beide Absicherungen sind also wirklich abgedeckt und nicht bloß mitgelaufen.

Notfall: Migration hängt fest ("Dirty database version")

Betrifft jede künftige Migration, nicht nur eine bestimmte. Nachgestellt und bestätigt (siehe kalender-plan.md, Abschnitt „Migrationen"): Scheitert eine Migration, bleibt schema_migrations.dirty auf true stehen, und jeder weitere Start von Aether bricht ab – die ganze Cloud, nicht nur der neue Teil.

Kein Datenverlust dabei: Die Migration lief in einer Transaktion und wurde zurückgerollt, bevor der Fehler kam. dirty=true ist nur eine Sperre, keine Aussage über beschädigte Daten.

Beheben:

docker exec aether-db psql -U aether -d aether \
  -c "UPDATE schema_migrations SET dirty=false;"

Danach Aether neu starten. Lief die Migrationsdatei nur teilweise (z. B. zwei CREATE TABLE in einer Datei, das erste gelang), vorher prüfen, was bereits existiert, bevor man einen erneuten Lauf zulässt – sonst scheitert der zweite Versuch am selben Fehler wie der erste.

---

Phase 3 – Admin, Gruppen, Theming, Profil

Admin-Panel: Zugriff & Sicherheit

• Admin-Link erscheint nur für Admin-User in der Sidebar
• Normaler User sieht den Admin-Link nicht
• Normaler User, der /api/v1/admin/users direkt aufruft, bekommt 403 (serverseitiger Check)
• Nach Logout ist kein Admin-Endpunkt erreichbar (401)

Admin: Benutzerverwaltung

• Benutzerliste zeigt alle User mit verwendetem Speicher + Quota + Rolle
• Neuen User anlegen (Username, Anzeigename, Passwort, Quota, Admin-Flag)
• Anlegen mit existierendem Username → Fehler „bereits vergeben" (409)
• User bearbeiten (Anzeigename, Quota, Admin-Flag ändern)
• Selbst-Schutz: eigenen Admin-Status kann man nicht entfernen (Fehlermeldung)
• Selbst-Schutz:* eigenes Konto kann man nicht löschen
• Passwort-Reset generiert neues Passwort und zeigt es einmalig an
• Neuer User kann sich mit dem zurückgesetzten Passwort einloggen
• User löschen entfernt den User (und seine Dateien) 🔎

Admin: Gruppen

• Gruppen-Tab lädt ohne schwarzen Bildschirm (war der Bug – jetzt gefixt)
• Gruppe anlegen (Name + Beschreibung)
• Gruppe aufklappen zeigt Mitglieder
• Mitglied über Dropdown hinzufügen → Zähler steigt
• Mitglied entfernen → Zähler sinkt
• Gruppe mit doppeltem Namen → Fehler (409)
• Gruppe löschen (auch mit Mitgliedern – Cascade)
• ⚠️ Gruppen haben noch keine Funktion (keine Gruppenordner) – Phase 4.5/C, offen

Admin: Theming

• Cloud-Name ändern → erscheint nach Reload überall (Login-Seite, Sidebar)
• Primärfarbe ändern → Buttons/Akzente übernehmen die Farbe sofort
• Akzentfarbe ändern → Vorschau aktualisiert live
• Nach Reload sind die Farben persistent
• ⚠️ Logo-Upload noch nicht vorhanden – Phase 4.5/D, offen

Profil-Seite (jeder User)

• Avatar/Name unten in der Sidebar öffnet die Profil-Seite
• Speicheranzeige (Balken) stimmt mit tatsächlicher Nutzung
• Anzeigename ändern → wird gespeichert (✓-Bestätigung) 🔎
• Passwort ändern: falsches aktuelles Passwort → Fehler
• Passwort ändern: neue Passwörter stimmen nicht überein → Fehler
• Passwort ändern: < 8 Zeichen → Fehler
• Passwort erfolgreich ändern → Logout → Login mit neuem Passwort klappt
• Persönliche Farben ändern → werden angewendet
• Logout-Button im Profil-Bereich funktioniert (ohne Profil zu öffnen)

---

Phase 4 – WebDAV & OIDC

WebDAV – Verbindung

Verbinden mit https://<deine-domain>/dav/ oder lokal direkt mit http://127.0.0.1:8090/dav/. Achtung Port: die App lauscht im Container auf 8080, Compose bildet das auf dem Host aber auf 8090 ab (127.0.0.1:8090->8080). Vom Host aus gilt immer 8090 – und nur vom Host, die Bindung ist auf localhost.

Anmeldung mit dem Benutzernamen und einem App-Passwort (Profil → App passwords). Das Kontopasswort wird hier abgelehnt – es ist zugleich der Admin-Zugang und hat auf Geräten nichts verloren.

Clients: KDE/Dolphin, macOS Finder, Windows Explorer, cadaver, rclone, Cyberduck.

Hintergrund zu Dolphin/KIO: KIO schickt Zugangsdaten nie vorab, sondern immer erst auf den 401 hin – und beginnt dabei sofort mit dem Rumpf, ohne Expect: 100-continue abzuwarten. Große Uploads scheiterten deshalb mit „unerwarteter Fehler 0", während kleine Dateien durchliefen. Behoben am 22.08.2026: Der Server liest den Rumpf einer unauthentifizierten Anfrage weg, bevor er die Anmeldeaufforderung schickt, damit die Verbindung stehen bleibt und KIO die 401 überhaupt zu sehen bekommt.

Alle Punkte hier wurden am 19.08.2026 per curl gegen ein Wegwerf-Konto geprüft und waren grün (🔎). Was das nicht abdeckt: ein echter Client (Finder, Explorer, Cyberduck, rclone) verlangt andere PROPFIND-Properties und nutzt Locking – deshalb stehen die Haken offen.

• Login mit Username + App-Passwort → Verbindung steht 🔎
• Login mit falschem Passwort → abgelehnt (401) 🔎
• Login mit dem Kontopasswort → abgelehnt (401), auch wenn es stimmt 🔎
• Ordnerstruktur entspricht der in der Web-App (gleiche Ordner sichtbar) 🔎

WebDAV – Lesen

• Ordner auflisten (PROPFIND) zeigt Dateien + Unterordner 🔎
• Datei herunterladen → Inhalt korrekt 🔎
• Datei, die in der Web-App hochgeladen wurde, ist via WebDAV sichtbar 🔎

WebDAV – Schreiben

• Datei hochladen (PUT) → erscheint danach in der Web-App 🔎
• Neuen Ordner anlegen (MKCOL) → erscheint in der Web-App 🔎
• Datei umbenennen (MOVE im selben Ordner) 🔎
• Datei in anderen Ordner verschieben (MOVE) 🔎
• Ordner umbenennen 🔎
• Datei löschen (DELETE) → landet im Papierkorb der Web-App (nicht hart gelöscht!) 🔎
• Bestehende Datei überschreiben → bei aktivierter Versionierung landet die alte Fassung in der Historie; bei deaktivierter wird ersetzt (so gewollt, Versionierung ist pro Datei opt-in) 🔎
• Checksumme/Integrität: hochgeladene Datei wieder runterladen → identisch 🔎
• Große Datei (100 MB+) per Dolphin hochladen – war der Fehler „unerwarteter Fehler 0" 🔎
• Quota wird bei WebDAV-Upload geprüft → 507 Insufficient Storage 🔎
• Abgebrochener Upload (Kontingent voll oder Verbindung weg) hinterlässt nichts – keine abgeschnittene Datei, kein verwaistes Blob 🔎
• Rate-Limit/Lockout am WebDAV-Login (10 Fehlversuche / 15 min → 429) 🔎
• App-Passwort ist der einzige WebDAV-Zugang, gilt nicht fürs Web-Login, und ist nach dem Widerruf sofort tot 🔎

App-Passwörter (Profil → App passwords)

• App-Passwort anlegen → Klartext erscheint einmalig, „Copy" kopiert es
• Damit einen WebDAV-Client verbinden (Username = normaler Benutzername)
• Liste zeigt „Last used" nach der ersten Nutzung
• Widerrufen → Client kommt sofort nicht mehr rein
• Kontopasswort im WebDAV-Client → abgelehnt; der Anmeldedialog nennt den Grund im Realm-Text 🔎
• Kontopasswort funktioniert weiterhin fürs Web-Login 🔎
• App-Passwort funktioniert nicht fürs Web-Login 🔎

Audit-Log (Admin → Activity)

• Tab zeigt Einträge, neueste zuerst 🔎
• Fehlgeschlagene Anmeldung erscheint rot als „Sign-in failed" 🔎
• Anmeldung, Passwortwechsel, User-/Gruppen-Änderungen, Freigaben und Löschungen tauchen auf 🔎
• Filter-Dropdown schränkt auf eine Aktion ein
• Blättern funktioniert (ab 50 Einträgen)
• Gelöschtes Konto: Eintrag bleibt lesbar, Name mit „(deleted account)"
• Passwort-Reset steht im Protokoll – ohne das Passwort selbst
• Normaler User bekommt auf /api/v1/admin/audit ein 403

Speicher-Bereinigung (Admin → Activity → „Run now")

• „Run now" meldet „Nothing to clean up", solange alles in Ordnung ist 🔎
• Verwaiste Datei älter als 24 h wird entfernt, Ergebnis wird angezeigt 🔎
• Frisch angelegte verwaiste Datei bleibt liegen (Schonfrist) 🔎
• Echte Dateien bleiben nach dem Lauf unangetastet 🔎
• Der Lauf erscheint anschließend selbst im Audit-Log

---

Phase 4.5/B – Interne Freigaben

Freigeben (Rechtsklick → „Share with people…")

• Ordner an eine Person freigeben, Recht „Can view"
• Empfänger sieht ihn unter Shared with me, mit „View only"
• Empfänger kann hineinsehen und herunterladen
• Empfänger kann nicht umbenennen, löschen, hochladen (Meldung statt Fehler)
• Recht auf „Can edit" ändern → wird ersetzt, kein zweiter Eintrag
• Empfänger kann jetzt umbenennen und hochladen
• Einzelne Datei freigeben → Empfänger sieht nur sie, nicht den Ordner drumherum
• An eine Gruppe freigeben → alle Mitglieder sehen es, mit Hinweis „via "
• Mitglied aus der Gruppe entfernen → Zugriff sofort weg
• „Remove" im Dialog → Zugriff sofort weg

Grenzen (das Wichtige)

• Empfänger kann die Freigabe nicht weitergeben (nur der Eigentümer teilt)
• Dateien bleiben beim Eigentümer: Speicherbalken des Eigentümers wächst, wenn der Empfänger etwas hochlädt – nicht der des Empfängers
• Unterordner, den ein Empfänger anlegt, gehört dem Eigentümer
• Empfänger kann eine geteilte Datei nicht in seinen eigenen Ordner verschieben
• Ohne Freigabe liefert ein direkter Aufruf mit bekannter ID 404 (nicht 403 – sonst verriete die Antwort, dass die ID existiert)
• Freigaben tauchen im Audit-Log als share.grant / share.revoke auf

Über WebDAV erscheinen Freigaben unter /dav/Shared/<Eigentümer>/<Freigabe>/ – siehe eigener Abschnitt weiter unten.

---

---

Phase 4.5/C – Gruppenordner

Anlegen (Admin → Groups)

• Gruppe wählen, Namen eingeben, „Create" → Ordner erscheint in der Liste
• Zweiter Ordner für dieselbe Gruppe → Fehler „already has a folder" (409) 🔎
• Übersicht zeigt Gruppe, Mitgliederzahl und belegten Platz

Beim Nutzer

• Kein Mitglied: Ordner ist nicht sichtbar 🔎
• Mitglied hinzufügen → Ordner erscheint in dessen Wurzel, beschriftet als „Group folder" 🔎
• Zwei Mitglieder arbeiten darin: hochladen, herunterladen, umbenennen, Unterordner anlegen 🔎
• Mitglied entfernen → Ordner verschwindet sofort 🔎

Der Ordner selbst ist geschützt

• Rechtsklick auf den Gruppenordner: kein Löschen, Umbenennen, Verschieben, Teilen – nur Öffnen und Favorit
• Er lässt sich nicht per Drag & Drop verschieben
• Direkter API-Aufruf (DELETE /folders/{id}) → 403 🔎
• Innerhalb des Ordners ist alles normal löschbar 🔎

Speicher und Papierkorb

• Dateien liegen unter groups/<id>/home/…, nicht bei einem Nutzer 🔎
• Kontingent zählt gegen die Gruppe, bei keinem Mitglied 🔎
• Gruppenkontingent überschritten → 413 🔎
• Gelöschte Gruppendatei erscheint im Papierkorb jedes Mitglieds und lässt sich wiederherstellen 🔎
• Admin löscht den Gruppenordner → Daten und Verzeichnis restlos weg 🔎

Geteiltes und Gruppenordner über WebDAV

Der Aufbau bildet die Weboberfläche nach: Gruppenordner liegen in der Wurzel neben den eigenen, Personen-Freigaben gebündelt unter Shared/.

• Gruppenordner erscheint in der WebDAV-Wurzel, gleiche Liste wie in der Weboberfläche 🔎
• Hineinnavigieren, hochladen, Unterordner anlegen 🔎
• Namensgleichheit: eigener Ordner Projekt + Gruppenordner Projekt → eigener behält den Namen, Gruppenordner heißt Projekt (<Gruppe>), beide erreichbar, Schreibvorgänge landen jeweils richtig 🔎
• Nach Austritt aus der Gruppe verschwindet er aus der Wurzel 🔎
• Shared erscheint nur, wenn eine Person etwas geteilt hat 🔎
• /Shared/ listet die Personen, /Shared/<Person>/ deren Freigaben 🔎
• Datei im geteilten Ordner lesen und schreiben (bei „Can edit") 🔎
• Einzeln geteilte Datei erscheint als Datei, nicht als Ordner 🔎
• Nur-Lesen: Schreiben und Löschen → 403 (nicht 404/405) 🔎
• In /Shared/ selbst lässt sich nichts anlegen oder löschen (403) 🔎
• Verschieben über Eigentumsgrenzen → 403 🔎
• Nicht Vorhandenes bleibt 404 – verrät nichts 🔎
• Entzug der Freigabe / Austritt aus der Gruppe → sofort 404 🔎
• Bens Upload landet im Bereich des Eigentümers und zählt gegen dessen Kontingent 🔎
• Prüfsumme über den geliehenen Pfad: Upload → WebDAV-GET → Web-Download, alles identisch 🔎
• Mit einem echten Client (Dolphin) durchgehen

OIDC (nur falls konfiguriert)

OIDC ist optional. Test nur, wenn OIDC_ISSUER etc. in .env gesetzt sind. Wichtig: OIDC_REDIRECT_URL muss auf <PUBLIC_URL>/api/v1/auth/oidc/callback zeigen und exakt so beim IdP registriert sein.

• Ohne OIDC-Config: kein SSO-Button auf der Login-Seite (Standardfall)
• Mit OIDC-Config: SSO-Button erscheint
• Klick auf SSO → Weiterleitung zum IdP
• Nach erfolgreichem IdP-Login → zurück in Aether, eingeloggt
• Beim ersten OIDC-Login wird automatisch ein User angelegt (aus preferred_username)
• Zweiter OIDC-Login desselben Accounts → gleicher User (kein Duplikat)
• Username-Kollision → automatischer Suffix (name2, name3, …)
• Manipulierter/abgebrochener Callback → Redirect mit Fehler, kein Login
• CSRF/State: Login mit falschem state-Cookie → abgelehnt

---

Phase 4.5/D – Logo & App-Symbol

Admin → Theming: Logo

• Logo hochladen → erscheint sofort in der Vorschau, Seitenleiste und auf der Anmeldeseite (ohne Speichern-Klick) 🔎
• Logo austauschen → neues Bild sofort sichtbar, altes ist von der Platte verschwunden 🔎
• „Remove" → Standard-Wolke ist zurück 🔎
• SVG, Textdatei, getarnte EXE → abgelehnt (415) 🔎
• Datei über 2 MB → 413 mit klarer Meldung 🔎
• Normaler Nutzer kann weder hochladen noch löschen (403) 🔎
• Logo ist ohne Anmeldung abrufbar (die Anmeldeseite braucht es) 🔎

Admin → Theming: App-Symbol

Ein Upload für beides – Tab-Symbol und installierte App. Der Server rechnet 64, 192, 512 und die maskable-Fassung daraus.

• Quadratisches PNG (am besten 512×512) hochladen → Symbol im Tab wechselt ohne Neuladen 🔎
• Anderer, schon offener Tab zieht beim nächsten Laden nach
• Austauschen → neues Symbol sofort da, altes Verzeichnis von der Platte verschwunden 🔎
• „Remove" → Standard-Symbol ist zurück, Verzeichnis gelöscht 🔎
• Vorlage kleiner als 192×192 → 422 mit klarer Meldung 🔎
• Vorlage mit 256×256 → es entsteht kein 512er, das Manifest nennt ihn auch nicht (nie hochskalieren) 🔎
• Nicht quadratisches Bild → wird gerahmt, nicht beschnitten 🔎
• SVG und ICO → abgelehnt (415); Datei über 2 MB → 413 🔎
• Ohne Anmeldung abrufbar (der Browser fragt das Tab-Symbol vor dem Anmelden ab) 🔎
• Speicher-Bereinigung („Run now") löscht den Symbol-Satz nicht 🔎

Manifest (/manifest.webmanifest)

• Direkt aufrufen → nennt Cloud-Namen und Primärfarbe aus dem Admin-Bereich, nicht die fest eingebauten Werte 🔎
• Ohne eigenes Symbol fällt es auf die mitgelieferten Bilder zurück 🔎
• Auf dem Handy „Zum Startbildschirm hinzufügen" → Name und Symbol stimmen
• Bereits installierte App: Symbol wechselt erst nach ein, zwei Tagen – Chrome fragt das Manifest von selbst nach, aber nicht sofort. Sicher sofort nur nach Deinstallieren und neu Installieren.

---

Vor und Zurück im Verlauf

• In mehrere Ordner nacheinander wechseln → Zurück (Browser-Taste, Seitentaste der Maus oder Wischgeste) geht die Reihenfolge rückwärts, Vor wieder nach vorn
• In der Werkzeugleiste stehen keine eigenen Vor/Zurück-Pfeile mehr – das macht allein der Browser
• Über die Seitenleiste die Ansicht wechseln (Papierkorb, Freigaben, Admin, Profil) → Zurück führt zur vorigen Ansicht
• Aus einer anderen Ansicht zurück zu „Files" → der zuletzt geöffnete Ordner ist wieder da, nicht die Wurzel
• Über die Brotkrumen nach oben springen → zählt als eigener Schritt, Zurück führt wieder nach unten
• Auf einen Favoriten in der Seitenleiste klicken → eigener Schritt im Verlauf
• Zweimal denselben Ordner öffnen, in dem man schon steht → erzeugt keinen zweiten Schritt (Zurück springt nicht ins Leere)
• Seite neu laden (F5) → man landet wieder im selben Ordner
• Adresse zeigt die Ansicht (/admin, /trash); direkt eingegeben lädt sie auch. Der Ordner steht nicht in der Adresse – ein Link auf einen tiefen Ordner ist also nicht teilbar (bewusst, siehe Projektplan)

---

Suche

Feld in der Werkzeugleiste, rechts neben den Brotkrumen. Sucht in Namen von Dateien und Ordnern – und seit dem 23.08.2026 zusätzlich im Inhalt von PDFs und Bildern (siehe „Volltext über den Inhalt" weiter unten).

• Ab zwei Zeichen erscheinen Treffer, ein Zeichen tut nichts
• Unter jedem Treffer steht der Ordner, in dem er liegt
• Ordner-Treffer anklicken → Ordner wird geöffnet
• Datei-Treffer anklicken → springt nur in den Ordner. Es öffnet sich keine Vorschau 🔎
• Die gesuchte Datei ist dort kurz umrandet und wird in den sichtbaren Bereich geholt; die Markierung verschwindet nach knapp drei Sekunden von selbst 🔎
• Geöffnet wird weiterhin per Doppelklick auf die Datei
• Das gilt in Kachel- und Listenansicht
• Pfeiltasten wählen aus, Enter öffnet, Esc schließt
• Schnell tippen → keine veralteten Treffer (jede Anfrage bricht die vorige ab)
• Papierkorb bleibt außen vor: gelöschte Datei erscheint nicht 🔎

Volltext über den Inhalt (OCR)

Der Punkt, für den ein Rechnungsarchiv überhaupt gebaut wird: Ein Beleg namens scan_0042.pdf muss über das zu finden sein, was drin steht.

Wichtig zum Verständnis beim Prüfen: Die Erkennung läuft im Hintergrund. Direkt nach dem Hochladen findet die Suche den Inhalt noch nicht – bei einem PDF mit Textebene nach etwa einer Sekunde, bei einem Scan nach rund einer Minute je Seite. Der Stand steht in GET /api/v1/admin/ocr (noch ohne Oberfläche) und im Log (docker compose logs app | grep component=ocr).

• PDF mit Textebene hochladen → nach ein paar Sekunden findet ein Wort aus dem Text die Datei; im Log steht source=layer 🔎
• Eingescannte oder abfotografierte Rechnung hochladen → nach etwa einer Minute je Seite findet ein Wort daraus die Datei; im Log source=ocr 🔎
• Unter dem Treffer steht die Fundstelle mit hervorgehobenem Suchwort, und der Name allein hätte nicht gepasst 🔎
• Die Fundstelle läuft über zwei Zeilen und bricht am Ende der zweiten mit „…" ab – nicht mitten in der ersten 🔎
• Links daneben eine dünne Linie in derselben Farbe wie das hervorgehobene Wort; sie trennt das Zitat vom Ordnernamen darüber 🔎
• Ein Dokument mit <script> im Text zeigt das als sichtbaren Text, führt es nicht aus (die Marken kommen als [[hl]], nicht als HTML)
• Ordner- und Dateinamen beginnen in der Trefferliste auf derselben linken Kante (gemessen: alle bei x=616) 🔎
• Datei, deren Name passt, steht vor den Inhaltstreffern 🔎
• Eine Datei, bei der Name und Inhalt passen, erscheint einmal, nicht zweimal 🔎
• Das Original ist unverändert: Größe und Prüfsumme nach der Erkennung identisch, keine neue Version in der Historie, WebDAV lädt die Datei nicht erneut 🔎
• Bestandsdateien von vor dem Einbau sind ebenfalls durchsuchbar (werden beim ersten Start nachgetragen) 🔎
• Gelöschte Datei erscheint auch bei Inhaltstreffern nicht
• Ein anderer Nutzer findet nichts über den Inhalt fremder Dokumente – der Umfang ist derselbe wie bei der Namenssuche
• Word-/Excel-Datei liefert keinen Inhaltstreffer (bewusst nicht gebaut), wird aber weiterhin über den Namen gefunden
• Erstes Dokument nach einem frischen Container-Start gelingt beim ersten Versuch (kein „Tesseract failed to report available languages" im Log) 🔎
• OCR_ENABLED=false in der .env → Cloud läuft normal, nur ohne Inhaltstreffer; /api/v1/admin/ocr meldet enabled:false

Platte (OCR ist das Einzige, was von allein Platz verbraucht):

• Während der Erkennung eines großen Scans bleibt /data/tmp fast leer – docker compose exec app du -sh /data/tmp sollte im Kilobyte-Bereich liegen, nicht im Megabyte-Bereich 🔎
• Nach der Erkennung liegen dort keine ocr-*-Dateien mehr 🔎
• docker kill mitten in einer Erkennung → beim nächsten Start meldet das Log „Zwischendateien eines früheren Laufs entfernt"
• Bei weniger als 2 GiB freiem Platz pausiert die Erkennung mit einer Warnung im Log, statt weiterzuarbeiten; die Cloud bleibt bedienbar

Suche und Berechtigungen (das Wichtige)

Am 23.08.2026 mit zwei Wegwerf-Konten durchgespielt – die Punkte sind grün, aber ein zweites Augenpaar auf der Oberfläche schadet nicht.

• Fremde Dateien tauchen nie auf, auch nicht mit passendem Namen 🔎
• Nach einer Freigabe erscheinen die Dateien des anderen – auch die in Unterordnern der Freigabe (Vererbung nach unten) 🔎
• Nach Entzug der Freigabe sind sie sofort wieder weg 🔎
• Gruppenordner erscheinen bei Mitgliedern, bei anderen nicht 🔎
• Nach Austritt aus der Gruppe sofort weg 🔎
• Suchwort mit % oder _ sucht diese Zeichen wörtlich, nicht als Platzhalter (%e findet nicht alles mit „e") 🔎

Vorschau

Doppelklick auf eine Datei zeigt sie, statt sie herunterzuladen. Der Download-Knopf und das Kontextmenü laden weiter herunter.

• Bild, PDF, Textdatei, Video, Tondatei → werden angezeigt
• PDF öffnet den eingebauten Betrachter mit Seitenleiste, Zoom und Drucken 🔎
• Speicherbalken zeigt direkt nach der Anmeldung den echten Wert, nicht 0 B 🔎
• ZIP, EXE und anderes → Doppelklick lädt weiter herunter
• Pfeile links/rechts blättern durch die anzeigbaren Dateien des Ordners, Pfeiltasten ebenso
• Esc schließt, Klick auf den dunklen Rand ebenso
• „Download" in der Vorschau lädt die Datei
• Textdatei über 2 MB → Hinweis statt Anzeige
• Video/Ton: in der Abspielleiste vor- und zurückspringen, auch an eine Stelle, die noch nicht geladen war 🔎
• Bild behält sein Seitenverhältnis, egal wie das Fenster steht
• Textansicht ist ein Blatt in der Mitte, nicht die ganze Fläche

Textdatei bearbeiten

• „Edit" → Textfeld, „Save" schreibt zurück, Liste zeigt neue Größe
• Bei eingeschalteter Versionierung landet die alte Fassung in der Historie
• „Cancel" verwirft, Schließen mit ungesicherten Änderungen fragt nach
• Pfeiltasten schreiben im Textfeld, statt zu blättern
• Nur-Lese-Freigabe → „Save" meldet fehlenden Schreibzugriff
• Sicherheit: eine hochgeladene HTML-Datei wird auch mit ?inline=1 als Download ausgeliefert, nicht angezeigt 🔎
• Fremde Datei über ?inline=1 → 404 wie beim normalen Download 🔎

Kachel-Cover nach Dateityp

• Ton, Video, Archiv, Tabelle, Präsentation, Code, PDF und Dokument haben je eigenes Symbol und eigene Farbe
• Word (blau), Excel (grün), PowerPoint (orangerot) sind auf einen Blick auseinanderzuhalten – auch die OpenDocument-Entsprechungen (.odt, .ods, .odp) 🔎
• PDF und Word-Dokument haben verschiedene Symbole, nicht nur verschiedene Farben
• .md und .txt zählen als Text (grau), nicht als Office-Dokument
• Unten links steht die Endung als Aufkleber (MP3, TAR.GZ, CSV)
• Ton und Video tragen zusätzlich ein Abspielzeichen
• .tar.gz wird als Archiv erkannt, obwohl die Endung zweiteilig ist 🔎
• Bilder zeigen weiterhin ihr Vorschaubild – mit Aufkleber darüber, damit PNG, JPG, GIF und SVG unterscheidbar bleiben
• Ordner: zweilagige Form mit Reiter und heller Oberkante, nicht mehr flachgedrückt; Gruppenordner in der Primärfarbe mit GROUP-Aufkleber
• Auch in „Verschieben nach…", „Shared with me" und im Admin-Bereich dieselbe Form – dort waren die Ordner vorher schwarz 🔎
• Ziel beim Ziehen hebt sich weiterhin ab
• Listenansicht und Suchtreffer zeigen denselben Ordner wie die Kacheln

Dateitypen (MIME)

• Neu hochgeladene .mp3 erscheint als audio/mpeg, nicht als application/octet-stream 🔎
• Bestandsdatei mit falschem Typ lässt sich trotzdem abspielen – der Typ wird beim Ausliefern aus dem Namen neu bestimmt 🔎

Kopfleiste in allen Ansichten

Alle sechs Ansichten teilen sich dieselbe Leiste (components/PageHeader.tsx), feste Höhe 57 px.

• Zwischen Home, Papierkorb, „Shared with me", Freigabe-Links, Admin und Profil umschalten → die Leiste springt nicht, der Inhalt darunter beginnt überall auf derselben Kante
• Symbol (18 px) und Titel (15 px, Stärke 600) sitzen überall gleich – auch „Home" in den Brotkrumen. Beim Umschalten springt nichts 🔎 (nachgemessen: Symbol x=240, Titel x=268 in allen sechs Ansichten)
• Alle Kopfsymbole haben runde Strichenden
• Bedienelemente stehen überall rechts
• Schmales Fenster: die Leiste bleibt einzeilig, nichts bricht um

Einstellungen und Admin-Zugang (23.08.2026)

• „Admin" steht nicht mehr in der Seitenleiste – der Weg dorthin führt über das Nutzermenü oben rechts 🔎
• Die Seitenleiste zeigt nur noch Orte: Home, Trash, Shared with me, Shared links, Favoriten 🔎
• Die Einstellungen heißen „Settings" (nicht mehr „Profile") und sind in Reiter unterteilt wie der Admin-Bereich: Account → Access → Appearance → Storage 🔎
• Die Reiterleiste sieht in Einstellungen und Admin-Bereich gleich aus – beide benutzen components/Tabs.tsx. Gemessen: Höhe 39, Schrift 14 px, aktiver Reiter fett und unterstrichen 🔎
• Der Speicherbalken steht am Ende, nicht mehr ganz oben 🔎
• Bei „App passwords" steht der Hinweis dabei, dass das Kontopasswort an /dav/ bewusst abgelehnt wird
• Ein Nutzer ohne Adminrechte sieht „Admin panel" im Menü nicht und kommt über /admin auch nicht hinein

Stand der Texterkennung im Admin-Bereich (23.08.2026)

Admin panel → Activity, oberhalb von „Storage cleanup".

• „Full-text indexing" zeigt die Zahl der gelesenen Dokumente 🔎
• Während die Warteschlange abgearbeitet wird: gelber Punkt, Drehrädchen und „… to go"; die Zahl aktualisiert sich von selbst alle fünf Sekunden
• Steht die Warteschlange still, hört das Nachfragen auf (im Netzwerk-Reiter der Entwicklerwerkzeuge zu sehen) – sonst liefe alle fünf Sekunden eine Anfrage ins Leere
• Grüner Punkt, wenn alles gelesen ist
• Bei OCR_ENABLED=false: gedämpfter Punkt und ein Hinweis, was fehlt
• Nicht lesbare Dateien werden mitgezählt („n could not be read")

Eigener Stand für jeden Nutzer

Settings → Storage → „Document search". Der Admin-Bereich zeigt den ganzen Server; hier sieht jeder Nutzer seine eigenen Dateien.

• Als normaler Nutzer (ohne Adminrechte) ist die Karte sichtbar und zeigt eine Zahl 🔎
• Die Zahl umfasst nur die eigenen Dateien – ein zweites Konto mit eigenen PDFs sieht seine eigene Zahl, nicht die des Servers 🔎
• GET /api/v1/ocr ohne Anmeldung → 401 🔎
• Während der Erkennung: gelber Punkt und „… still to go", danach grün
• Kein Adminrecht nötig, um die eigene Zahl zu sehen

Etiketten und Belegdatum (23.08.2026)

Rechtsklick auf eine Datei → „Tags…".

• Neues Etikett im Dialog anlegen; es erscheint sofort gewählt 🔎
• Derselbe Name in anderer Schreibweise wird abgelehnt („STEUER-2026" neben „steuer-2026") 🔎
• Leerer Name wird abgelehnt 🔎
• Etiketten erscheinen als Aufkleber an der Kachel und in der Listenansicht 🔎
• Seitenleiste zeigt sie unter den Favoriten mit Farbpunkt und Zählstand 🔎
• Klick darauf zeigt alles mit diesem Etikett – über Ordnergrenzen hinweg 🔎
• Die Adresse /tags/<id> ist verlinkbar und übersteht ein Neuladen 🔎
• Zurück-Taste des Browsers führt vom Etikett zurück
• Gelöschte Dateien zählen nicht mit und erscheinen nicht

Belegdatum

• Datum setzen, Dialog erneut öffnen → das Datum steht drin (nicht leer) 🔎
• Die Etikettenansicht sortiert nach Belegdatum, neueste zuerst; Dateien ohne Datum stehen am Ende 🔎
• Datum wieder leeren funktioniert

Was nicht schiefgehen darf

• Ungültiges Datum → Fehlermeldung, und die Etiketten bleiben unverändert (nicht halb gespeichert) 🔎
• Eine Datei in einem Gruppenordner kann nur Gruppen-Etiketten tragen; der Dialog zeigt dort auch nur diese 🔎
• Ein zweites Konto sieht die eigenen Etiketten nicht
• Wer eine Datei nur lesen darf, kann sie nicht etikettieren
• Etikett löschen entfernt nur die Ordnung, keine Dateien 🔎

Sammel-Download als ZIP (23.08.2026)

Drei Wege dorthin - Auswahl, Ordner, Etikett.

Auswahl

• Strg-Klick (oder Klick aufs Kaestchen) waehlt eine Datei aus; das Kaestchen erscheint beim Ueberfahren 🔎
• Ist etwas ausgewaehlt, genuegt ein einfacher Klick fuer die naechste
• Umschalt-Klick waehlt den Bereich in der angezeigten Reihenfolge
• Die Kopfleiste zeigt "n selected" mit "Download as ZIP" und "Clear" 🔎
• Ordnerwechsel verwirft die Auswahl (sonst laedt man ungesehen mit) 🔎
• Escape hebt die Auswahl auf 🔎
• Ist die Vorschau offen, schliesst das erste Escape nur die Vorschau – die Auswahl bleibt; erst das zweite hebt sie auf 🔎
• Waehrend man in ein Feld tippt, verwirft Escape die Eingabe und nicht die Auswahl
• Ein einfacher Klick waehlt nichts aus, auch nicht wenn schon etwas markiert ist – dafuer gibt es Kaestchen, Strg und Umschalt 🔎
• Ein Doppelklick oeffnet die Vorschau und aendert die Auswahl nicht 🔎
• Funktioniert in Kachel- und Listenansicht

Ordner und Etikett

• Rechtsklick auf einen Ordner -> "Download as ZIP" laedt den ganzen Inhalt 🔎
• Unterordner behalten ihre Struktur im Archiv 🔎
• Etikettenansicht -> "Download all as ZIP" laedt alles mit diesem Etikett
• Das Archiv heisst nach Ordner bzw. Etikett 🔎

Was nicht schiefgehen darf

• Ohne Anmeldung -> 401, ohne CSRF-Token -> 403 🔎
• Eine erfundene Datei-Kennung landet nicht im Archiv 🔎
• Fremde Dateien sind nicht enthalten, auch nicht bei geratener Kennung
• Zwei gleichnamige Dateien werden zu "name" und "name (2)" - nicht stillschweigend zu einer 🔎
• paket.tar.gz doppelt -> "paket (2).tar.gz", nicht "paket.tar (2).gz" 🔎
• Umlaute im Dateinamen kommen im entpackten Archiv richtig an
• Ein grosser Ordner startet sofort (gestreamt) statt erst zu sammeln 🔎
• Ueber 2000 Dateien -> klare Meldung statt endlosem Warten
• Bereits gepackte Formate (.zip, .deb, .jpg, .pdf) werden nur gelagert, nicht erneut komprimiert 🔎

Bedienung am Finger (24.08.2026)

Auf dem Handy öffnete gar nichts. Ordner und Dateien hingen an onDoubleClick – und den doppelten Klick gibt es auf einem Touchscreen praktisch nicht: Man trifft nicht zweimal denselben Pixel, der Browser meldet zwei einzelne Berührungen. Der Doppelklick ist eine Mausgeste.

Unterschieden wird jetzt nach pointer: coarse, also nach dem Zeigegerät, nicht nach der Fensterbreite: Ein schmales Fenster am Schreibtisch bleibt eine Maus, ein Tablet im Querformat bleibt ein Finger.

• Handy: ein Tipp öffnet Ordner 🔎 und Dateien 🔎 (Kachel und Liste)
• Läuft eine Auswahl, schaltet der Tipp die Auswahl um statt zu öffnen – ohne Strg/Umschalt wäre Mehrfachauswahl am Telefon sonst unbedienbar
• Langes Drücken öffnet das Kontextmenü (bitte am Gerät prüfen – die Kacheln sind auch ziehbar, und der Browser könnte stattdessen eine Ziehbewegung beginnen)
• Desktop unverändert: Doppelklick öffnet, einfacher Klick bleibt frei, Strg/Umschalt wählt aus 🔎

Falle, die zweimal zuschlug: In JSX gewinnt die zuletzt notierte Eigenschaft. Ein per Spread eingesetztes onClick wurde vom danach notierten onClick stillschweigend überschrieben – der Tipp auf ein PDF tat nichts, während der auf einen Ordner ging. Dateien schreiben ihren Handler deshalb aus, statt ihn zusammenzusetzen. Dieselbe Sorte Fehler wie Inline-Stil gegen Klasse: Es wird gesetzt und sofort überschrieben.

---

Zoom „ganze Breite" bei gemischten Formaten (24.08.2026)

Gerechnet wird gegen die häufigste Seitenbreite, nicht mehr gegen die breiteste.

• Zehnseitiges Dokument mit einer Querformat-Seite: die hochkanten Seiten füllen die Breite 🔎 (gemessen 384 von 412 px; vorher 46 % statt 65 %, weil eine einzige Seite das ganze Dokument bestimmte)
• Die Querformat-Seite ragt über den Rand und lässt sich seitlich schieben – das ist bei ihr ohnehin gewollt
• Reines Hochformat: unverändert

---

„invalid credentials" beim ersten Admin-Login (24.08.2026)

Symptom: frischer Start, admin account ready im Log, Volume mehrfach gelöscht – und die Anmeldung mit den richtigen Daten gibt 401.

Ursache ist die .env, nicht der Code: Ein $ wird von Docker Compose als Variable gelesen und schneidet den Wert ab. Gemessen mit ADMIN_PASSWORD=Sicher$Passwort2026:

angekommen ist:        Sicher        (6 statt 19 Zeichen)
Compose meldet dazu:   The "Passwort2026" variable is not set.

Die Meldung erscheint auf stderr beim up, nicht im Container-Log – wer die Logs im Nachhinein ansieht, sieht sie nie. Die Datenbank funktioniert dabei, weil Postgres und Anwendung denselben abgeschnittenen Wert bekommen.

Escapen:

in der .env	kommt an
abc$def	abc
abc$$def	abc$def ✓
'abc$def'	abc$def ✓
abc\$def	abc\

• ADMIN_PASSWORD mit $$ → password_length stimmt, Anmeldung 200 🔎 (gemessen: 19 Zeichen, Login 200)
• Ohne Escape → Warnung im Log „ADMIN_PASSWORD ist auffaellig kurz" 🔎
• Nachsehen, was wirklich ankam: docker compose exec app printenv ADMIN_PASSWORD

Der Start nennt seit dem 24.08.2026 die Länge des Passworts (nicht den Wert) und warnt unter 12 Zeichen. Ohne diese Zahl war der Fehler von außen nicht zu sehen.

---

Office-Container entsteht nicht (24.08.2026)

Kein Fehler, keine Meldung – der Container existiert einfach nicht. Ursache war profiles: ["office"] in den README-Schnipseln: Ein Dienst in einem Profil startet nur mit --profile office.

In Portainer, Dockge oder Komodo gibt es diesen Schalter nicht. Dort war der Dienst über die Bedienung gar nicht erreichbar, und nichts wies darauf hin. Eine Voreinstellung, bei der das Einfügen des Schnipsels nichts bewirkt, ist die falsche – die Schnipsel haben deshalb kein Profil mehr.

• Schnipsel aus dem README anhängen, docker compose up -d → der Office-Container entsteht 🔎 (geprüft für alle drei: app office postgres)
• Abschalten mit docker compose stop office
• Wer ein Profil will, hängt profiles: ["office"] selbst an – dann entweder --profile office oder COMPOSE_PROFILES=office in der .env; Letzteres wirkt auch ohne Kommandozeile 🔎

---

Kommentar hinter leerem Wert in der .env (24.08.2026)

Beim Testen selbst gebaut und sofort wieder eingefangen. In einer .env gilt:

A=production   # kommentar    →  production          ✓
C=production#kommentar        →  production#kommentar
F=             # kommentar    →  "# kommentar"       ✗

Hinter einem gefüllten Wert ist ein Kommentar harmlos. Hinter einem leeren wird er zum Wert. OIDC_ISSUER= # z. B. https://… startete damit den OIDC-Aufbau mit dem Kommentartext als Adresse – und weil ein Fehlschlag dort den Start abbricht, kam die Cloud nicht hoch.

In der (inzwischen zusammengeführten) .env.example steckten vier weitere solche Zeilen, darunter OFFICE_PROVIDER= # collabora | onlyoffice: Office wäre mit Unsinn als Anbieter eingeschaltet worden. Alle vier umgestellt, der Kommentar steht jetzt darüber.

• grep -nE '^[A-Z_]+=[[:space:]]*#' .env.example liefert nichts 🔎
• Frische Instanz allein aus den Beispieldateien startet 🔎

---

Beschriftung des SSO-Knopfes (24.08.2026)

OIDC_BUTTON_LABEL, Vorgabe „Sign in with SSO / OIDC".

• Gesetzt → der Knopf auf der Anmeldeseite trägt den Text
• Nicht gesetzt → die Vorgabe
• OIDC aus → /public/config liefert einen leeren Wert 🔎 (die Einstellung geht niemanden etwas an, solange es keinen Knopf gibt)

---

Versionen: was beim Ausschalten passiert (24.08.2026)

Der Schalter „Keep versions" setzt nur ein Flag. Vorhandene Fassungen bleiben liegen – mitsamt ihrem Platz im Kontingent. Gemessen an einer Datei mit drei Fassungen:

Schritt	Fassungen	Blobs
dreimal überschrieben	3	4
Versionierung ausgeschaltet	3	4
in den Papierkorb	3	4
Papierkorb geleert	–	0

• Ausschalten löscht nichts 🔎
• Der Papierkorb genügt nicht – dort bleibt alles 🔎
• Leeren des Papierkorbs entfernt Fassungen und Blobs sofort 🔎 (nicht erst beim nächsten GC)

---

Anzahl aufgehobener Fassungen (24.08.2026)

MAX_VERSIONS_KEPT, Vorgabe 5. Vorher eine Konstante – und zwar zwei: eine im Backend, eine im Verlaufs-Dialog, verbunden nur durch den Kommentar „muss zusammenpassen". Ein Satz ist keine Zusicherung. Der Dialog holt die Zahl jetzt aus /api/v1/public/config.

• MAX_VERSIONS_KEPT=3 → /public/config meldet 3 🔎
• Datei mit „Keep versions" siebenmal überschreiben → genau 3 Fassungen im Verlauf, und zwar die neuesten 🔎 (gemessen: v6, v5, v4 bei aktueller v7)
• Der Dialog nennt dieselbe Zahl wie der Server
• MAX_VERSIONS_KEPT=0 wird verworfen, die Vorgabe greift – OFFSET 0 löschte sonst jede Fassung
• Unbrauchbarer Wert (abc) → Vorgabe, kein Startabbruch
• Ohne „Keep versions" an der Datei entsteht weiterhin kein Verlauf

---

Erreichbarkeit von außen (24.08.2026)

ERR_CONNECTION_REFUSED beim Zugriff über die IP ist meist kein Fehler, sondern die Vorgabe: Der Port ist auf 127.0.0.1 gebunden, davor gehört der Reverse Proxy. Der Kernel lehnt ab, bevor irgendetwas die Anwendung erreicht – daher „refused" und kein Zeitüberlauf.

Prüfen:

docker ps --format '{{.Names}}\t{{.Ports}}'
# 127.0.0.1:8090->8080/tcp   = nur dieser Rechner
# 0.0.0.0:8090->8080/tcp     = das ganze Netz

• Ohne APP_BIND bindet der Port auf 127.0.0.1 🔎
• APP_BIND=0.0.0.0 bindet auf alle Adressen 🔎
• Mit 0.0.0.0 von einem zweiten Gerät im Netz erreichbar
• Hinter dem Reverse Proxy wieder auf 127.0.0.1 zurückstellen – sonst steht die Anmeldung unverschlüsselt im Netz

---

Frische Umgebung nur aus den Beispieldateien (24.08.2026)

Der einzige Test, der zählt: docker-compose.example.yml + .env.example kopieren, Passwörter eintragen, starten. Nichts sonst.

Beim ersten Durchlauf brachte er sofort einen Fehler ans Licht, den keine Codeprüfung findet:

migrations up to date
FTL blob storage init failed  error="mkdir /app/data: permission denied"

STORAGE_PATH hat die Voreinstellung ./data – richtig für ein Binary, das man von Hand startet, falsch im Container, wo daraus /app/data wird statt des Mounts unter /data. Die schlanke .env.example führte den Schlüssel nicht, weil er „eine brauchbare Vorgabe" hat. Hatte er nicht.

Jetzt setzt das Abbild STORAGE_PATH und TMP_PATH selbst. Es kennt seine Verzeichnisstruktur besser als jede Beispieldatei; eine .env darf weiterhin überschreiben.

• Frische Umgebung nur aus den beiden Beispieldateien → migrations up to date, admin account ready, listening 🔎
• /health 200, Anmeldung 200, data/tmp liegt auf dem Wirt 🔎
• Dabei ein Passwort mit % und @ verwendet 🔎

---

Datenbank-Passwort mit Sonderzeichen (24.08.2026)

Die Verbindungszeichenkette wurde mit fmt.Sprintf zusammengeklebt. Beim ersten Aufbau einer frischen Umgebung fiel das sofort auf:

FTL migrations failed
error="parse \"postgres://aether:8UoNj%CoWJ7ze@qy@localhost:5432/aether\":
       invalid URL escape \"%Co\""

@ und : beenden den Anmeldeteil einer URL, % leitet eine Maskierung ein. Die key=value-Form hätte dasselbe Problem mit einem Leerzeichen gehabt, nur stiller: Der Rest dahinter wäre als eigener Schlüssel gelesen worden. Jetzt baut net/url die Adresse, und die Umrechnung von Hand in pkg/db ist ersatzlos weg.

• DB_PASSWORD mit %, @, :, / und Leerzeichen → Server startet, Migrationen laufen, Anmeldung geht 🔎 (gemessen mit 8UoNj%CoWJ7ze@qy in einer eigenen Umgebung: migrations up to date, /health 200, Login 200)
• go test ./pkg/config/... deckt die Fälle ab, ohne dass eine Datenbank laufen muss 🔎
• IPv6 als DB_HOST (::1) wird geklammert, der Port bleibt erhalten 🔎

Keine Regel „welche Zeichen erlaubt sind". Wer die erst nachschlagen muss, wählt am Ende ein schwächeres Passwort.

Dazu: DB_HOST fehlte im schlanken Beispiel

Die .env.example im Wurzelverzeichnis führte DB_NAME, DB_USER und DB_PASSWORD, aber nicht DB_HOST. Die Voreinstellung ist localhost – und aus dem Container heraus ist das er selbst. Im Log stand deshalb @localhost:5432, obwohl Postgres als postgres im Compose-Netz lief.

• Frische Umgebung nur aus docker-compose.example.yml + .env.example startet ohne Nacharbeit
• APP_ENV, DB_HOST und DB_PORT stehen darin

---

Handy: eine Kopfzeile statt zwei (24.08.2026)

Die eigene Leiste über der Kopfzeile („☰ Aether") ist weg. Sie enthielt nur das Menü-Symbol und den Namen der Cloud – und der stand ohnehin in der Seitenleiste, die sie öffnete. Gemessen kostete sie 57 der 915 Pixel.

• Handy: eine Kopfzeile – ☰, Ort („Home"/Ordner), rechts das Konto 🔎 (gemessen 120 px statt 205 px)
• Das Konto steht in der Titelzeile, nicht in der Reihe mit „+ Folder" und „Upload" 🔎
• ☰ öffnet die Seitenleiste 🔎
• Desktop unverändert: Kopfzeile 56 px, kein ☰, Konto ganz rechts hinter der Trennlinie 🔎

Sichere Bereiche – der Abstand wirkte nirgends

.aether-safe-top und Geschwister waren Klassen; alle drei Stellen setzen ihren Abstand aber als Inline-Stil, und der schlägt jede Klasse. Der Abstand wurde berechnet und sofort überschrieben. Jetzt Variablen (--safe-top, --safe-bottom, --safe-left).

Nur in der installierten App zu sehen (im Browser ist der Wert 0):

• Kopfzeile klebt nicht an der Statusleiste / Uhr
• Speicherbalken der Seitenleiste liegt nicht hinter dem Wischbalken
• Querformat mit Aussparung: Seitenleiste beginnt neben der Kamera

---

Handy und PWA (23.08.2026)

Die Kopfleiste war auf schmalen Schirmen kaputt: eine Zeile ohne Umbruch, die ihren Inhalt gequetscht statt umgebrochen hat. Gemessen bei 390 px: Brotkrume auf einen Strich zusammengeschoben, Suchfeld über der Sortierauswahl, Ansichts-Umschalter verschwunden, Nutzerbereich abgeschnitten.

• Auf dem Handy sind alle Bedienelemente sichtbar und erreichbar: Brotkrume, Suche, Sortierung, Umschalter, „+ Folder", Upload, Nutzer 🔎
• Nichts läuft seitlich aus dem Bild (kein waagerechtes Scrollen) 🔎
• Auf dem Desktop bleibt die Leiste einzeilig, 56 px wie vorher 🔎
• Die Trefferliste der Suche passt auf den Schirm, ohne über den Rand zu gehen
• Etikettendialog und „Edit tag" sind auf dem Handy vollständig bedienbar
• Als PWA installiert dasselbe prüfen – dort fehlt die Adressleiste, die Leiste sitzt also weiter oben
• Drehen ins Querformat und zurück

Installierte App

• Der Inhalt reicht bis an die Ränder, steht aber nicht hinter Uhr oder Wischbalken 🔎
• Der Speicherbalken unten links ist erreichbar, nicht hinter dem Wischbalken 🔎
• Die Statusleiste hat die eingestellte Primärfarbe (nicht mehr das voreingestellte Indigo) 🔎
• Das Symbol auf dem Startbildschirm ist das hochgeladene 🔎
• Die Seite lässt sich am Anschlag nicht gummiartig überziehen
• Offline: Die App startet und zeigt die Anmeldeseite – mehr geht nicht, weil jede Datei vom Server kommt. Kein Fehlerbildschirm 🔎

Etiketten anpassen (23.08.2026)

• Beim Anlegen erscheint eine Farbwahl, sobald man tippt 🔎
• Zwei nacheinander angelegte Etiketten bekommen verschiedene Farben
• Rechtsklick auf ein Etikett in der Seitenleiste öffnet ein kleines Menü mit „Edit…" und „Delete" – nicht sofort einen Dialog 🔎
• „Edit…" öffnet Umbenennen und Farbwahl (ohne Löschknopf daneben) 🔎
• „Delete" fragt zurück und nennt die Zahl der betroffenen Dateien 🔎
• Umbenennen wirkt sofort – auch an den Aufklebern der Kacheln, ohne Neuladen 🔎
• Farbe ändern wirkt sofort an Punkt und Aufklebern
• Die Rückfrage sagt ausdrücklich, dass die Dateien bleiben 🔎
• Nach dem Löschen verschwinden die Aufkleber an den Kacheln sofort 🔎
• Der Zählstand in der Seitenleiste geht direkt hoch, wenn man etikettiert 🔎

OIDC scharf schalten (23.08.2026)

Der Durchgang vor dem Produktivgang. Reihenfolge zählt hier: Zuerst OIDC_LINK_BY_USERNAME=true setzen, dann zum ersten Mal über PocketID anmelden. Andersherum entsteht ein zweites Konto, und die Dateien liegen danach auf zwei Konten verteilt.

• .env: OIDC_ISSUER, OIDC_CLIENT_ID, OIDC_CLIENT_SECRET, OIDC_REDIRECT_URL gesetzt; Redirect-URL zeigt auf https://<domain>/api/v1/auth/oidc/callback und ist bei PocketID identisch hinterlegt
• OIDC_LINK_BY_USERNAME=true vor dem ersten Login
• Der Benutzername bei PocketID (preferred_username) ist derselbe wie in Aether – sonst greift die Verknüpfung nicht
• Anmeldeseite zeigt den SSO-Knopf 🔎
• Erster OIDC-Login landet auf dem bestehenden Konto: gleiche Dateien, Adminrechte noch da 🔎
• Danach steht in Settings → Account der Hinweis statt des Passwortformulars 🔎
• Zweiter Login findet dasselbe Konto (kein name2 in der Nutzerliste) 🔎
• WebDAV funktioniert weiter – App-Passwörter sind von OIDC unberührt
• Das Kontopasswort funktioniert für den Web-Login nicht mehr (Konto hat keines mehr)

Passwort bei OIDC-Konten (23.08.2026)

Wer sich über PocketID anmeldet, hat in Aether kein Passwort (password steht auf ''). Das Formular konnte also nur fehlschlagen – und zwar mit „current password incorrect", was nach einem Tippfehler aussieht statt nach dem wahren Grund.

• Als OIDC-Konto zeigt Settings → Account statt des Formulars den Hinweis „You sign in through your identity provider…" 🔎
• Als Konto mit Passwort ist das Formular unverändert da 🔎
• POST /auth/change-password als OIDC-Konto → 400 mit klarer Meldung, nicht 401 „current password incorrect" 🔎
• Ein OIDC-Konto kann sich nicht über das Passwortfeld anmelden ('' ist kein gültiger Argon2-Hash – galt schon vorher, bitte trotzdem einmal probieren)

Nutzerbereich oben rechts (23.08.2026)

Der Block saß bis dahin unten links in der Seitenleiste – mit dem Abmelden- Symbol direkt neben dem Knopf, der zu den Einstellungen führt. Abmelden ist die einzige Handlung, die man nicht zurücknehmen kann, und war die am leichtesten erreichbare.

• Oben rechts steht Avatar + Anzeigename, in jeder Ansicht an derselben Stelle 🔎
• Nur der Anzeigename, nicht zusätzlich die Kennung darunter 🔎
• Klick öffnet das Menü: Name, Kennung (nur wenn sie sich unterscheidet), „Administrator", dann Settings / Admin panel / Sign out
• „Sign out" steht zuletzt, rot und durch eine Trennlinie abgesetzt
• Klick daneben schließt, Esc schließt
• Unten links steht nur noch der Speicherbalken – kein Nutzer, kein Abmelden 🔎
• „Admin panel" erscheint nur bei Administratoren
• Die Kopfleiste bleibt in allen Ansichten gleich hoch (der Nutzerbereich wächst sie nicht auf)

Dateien auf dem Wirt / SFTP (23.08.2026)

Die Daten liegen seit dem 23.08.2026 in einem gewöhnlichen Verzeichnis (DATA_PATH), nicht mehr in einem Docker-Volume.

• ls -la $DATA_PATH/users/<name>/home/ zeigt echte Ordner und Namen, und die Dateien gehören dir – kein sudo nötig 🔎
• Eine hochgeladene Datei taucht dort sofort mit ihrem Namen auf 🔎
• Gelöschte Datei liegt unter .trash/, wiederhergestellte wieder in home/
• Per SFTP von einem anderen Rechner: get -r …/home holt alles
• Upload, Vorschau, WebDAV und OCR funktionieren wie vorher (der Container läuft jetzt unter deiner Kennung) 🔎
• Beim Umzug: Prüfsummen von Volume und Zielverzeichnis stimmen überein, bevor umgeschaltet wird 🔎

Office – Collabora / OnlyOffice / Euro-Office (24.08.2026)

Aether ist WOPI-Host; der Office-Server holt die Datei selbst ab und schreibt sie zurück. Gemessen wurde mit Collabora und – seit dem 16.09.2026 – mit Euro-Office, beide auf dieser Anlage. OnlyOffice lief hier nur bis zur Ermittlung; Euro-Office ist sein Fork und spricht dieselbe Schnittstelle.

Öffnen

• Rechtsklick auf .odt/.docx/.ods → „Edit in Office…" erscheint 🔎
• Doppelklick öffnet den Editor statt der Vorschau 🔎
• Der Inhalt ist da – nicht nur die Werkzeugleiste 🔎
• Ohne Office-Server: Der Menüpunkt erscheint gar nicht erst 🔎
• Bei einem PDF erscheint er ebenfalls nicht (eigener Betrachter)

Speichern

• Text tippen, Strg+S → Fassung und Größe der Datei ändern sich 🔎 (gemessen: v1 → v3, 81 → 94 Zeichen im Dokument)
• Der getippte Text steht wirklich in der heruntergeladenen Datei 🔎
• Bei eingeschalteter Versionierung entsteht ein Eintrag im Verlauf
• Kontingent voll → Office meldet einen Fehler, die alte Fassung bleibt
• Schließen und neu öffnen zeigt den gespeicherten Stand

Rechte

• Datei mit Leserecht geliehen → „read only" in der Kopfzeile, kein Speichern
• Freigabe während der Bearbeitung zurückziehen → das nächste Speichern scheitert (die Rechte werden bei jedem WOPI-Aufruf neu aufgelöst)
• Token einer Datei an einer anderen Datei-ID → 404
• Abgelaufenes Token → 401
• /wopi/files/<id> ohne Token → 401 🔎

Aufbau

• Schnipsel aus dem README anhängen, docker compose up -d → der Container entsteht (die Schnipsel haben kein Profil, siehe unten) 🔎
• OFFICE_PROVIDER leer → kein Menüpunkt, auch wenn der Container läuft
• Falscher Port in OFFICE_URL (9980 statt 80 bei Euro-Office) → die Ermittlung findet nichts, der Menüpunkt bleibt weg
• OFFICE_ALLOWED_HOSTS greift: eine fremde Adresse in OFFICE_URL wird abgelehnt statt angefragt
• Sicherheitsrichtlinie nennt den Office-Ursprung unter frame-src 🔎
• Ohne Office-Server bleibt die Richtlinie so eng wie zuvor

---

Office am Telefon: mobileEdit statt PDF-Umweg (16.09.2026)

Ein Office-Dokument öffnete am Telefon als gewandeltes PDF, mit einem „Edit"-Knopf hinein. Begründet war das mit OnlyOffices Oberfläche, die auf 400 Pixeln nichts vom Dokument übrig lässt.

Die Begründung war falsch – wir hatten die falsche Oberfläche bestellt. Die Ermittlungsliste bietet zu jeder Endung mehrere Aktionen an, und für .docx stehen dort acht. Nachgesehen im laufenden Euro-Office:

edit         …/hosting/wopi/word/edit
mobileEdit   …/hosting/wopi/word/edit?mobile=1

EditURL kannte nur edit und view. Die Handy-Fassung lag die ganze Zeit in der Tabelle und wurde nie abgerufen.

• Am Telefon öffnet ein .docx in der Handy-Oberfläche 🔎
• Am Schreibtisch unverändert die Schreibtisch-Fassung 🔎
• Schmales Fenster am Schreibtisch → weiterhin Schreibtisch-Fassung (entschieden wird am Zeigegerät, nicht an der Breite)
• Collabora kennt die Aktionen nicht → fällt auf edit zurück
• Nur-Lese-Freigabe am Telefon → mobileView

Vorher geprüft, ob es überhaupt etwas ändert. Beide Aktionen zeigen auf denselben Pfad; erst der Vergleich der Adressen zeigte das ?mobile=1. Ohne diesen Blick wäre der Umbau eine Umbenennung gewesen.

Die PDF-Ansicht ist entfallen

Mit dem Anlass fiel die Notlösung: internal/office/preview.go (229 Zeilen), convert.go (271) samt Test, files.preview_version (Migration 000026), die Sonderabfrage im GC, die Route und dreizehn Fundstellen im Frontend.

convert.go hatte keinen anderen Aufrufer – die gesamte Umwandlung nach PDF existierte allein für diese Ansicht. Wer ein PDF braucht, exportiert es im Editor.

• Alle 234 Prüfungen der sieben Selbsttest-Suiten weiterhin grün
• previews/ ist nach einem GC-Lauf leer (24 h Schonfrist beachten)
• Admin → abgeleitete Daten zeigt danach 0 für previews

Der Zurück-Fehler dahinter

Auf „Edit" in der PDF-Ansicht schloss sich die Datei, statt den Editor zu öffnen. Ursache war kein Office, sondern der Verlauf: Beim Wechsel räumt React erst die alte Ansicht ab, dann baut es die neue auf. Der Aufräumer von useBackClose ruft history.back() – das wirkt aber verzögert und verbrauchte deshalb den Eintrag, den der Editor gerade angelegt hatte.

Behoben mit einem Zähler für selbst ausgelöste Schritte: So viele popstate werden verschluckt. Die Geste des Nutzers erkennt man daran, dass keiner offen ist.

• Aus der Vorschau in den Editor wechseln → der Editor bleibt offen 🔎
• Zurück-Geste im Editor → schließt den Editor, nicht die App
• Zwei Ebenen (Vorschau unter Editor) → jede Geste schließt genau eine
• Ungespeicherte Änderungen: „Abbrechen" lässt die Ansicht offen

.txt ging gar nicht auf

txt stand in officeExtensions. Eine 12-Byte-Notiz lief damit in den Office-Zweig statt in den eingebauten Text-Editor – und am Telefon in die PDF-Umwandlung, die daran scheiterte. md, log und rst standen nie drin; das war die Asymmetrie, über die man stolperte.

• .txt antippen → eingebauter Text-Editor, Bearbeiten und Speichern 🔎
• .md unverändert
• .csv weiterhin im Tabellenprogramm (bleibt bewusst Office)
• „Edit in Office…" erscheint für .txt nicht mehr im Kontextmenü

---

Meldungen mit Rückgängig (18.09.2026)

Vorher bestätigte nichts irgendetwas, und Fehler verschwanden still: Die Handler fingen sie mit catch { /* bleibt stehen */ } ab. Wer eine Datei löschen wollte und nicht durfte, sah genau dasselbe wie jemand, bei dem es klappte – nichts.

• Datei löschen → Meldung mit „Undo", Datei ist zurück 🔎
• Mehrere löschen → eine Meldung, „Undo" holt alle zurück
• Umbenennen → „Undo" stellt den alten Namen her
• Verschieben → „Undo" bringt die Datei an den alten Ort
• Ordner löschen → kein „Undo", stattdessen der Hinweis auf den Papierkorb (der Ordner selbst ist wirklich weg)
• Ohne Schreibrecht löschen → rote Meldung mit dem Satz des Servers
• Netz trennen, dann löschen → „No connection to the server."
• Meldung verschwindet nach 4 s, mit Knopf erst nach 10
• Fünfte Meldung verdrängt die erste (höchstens vier stehen)
• Betriebssystem auf „Bewegung reduzieren" → keine Einblendung

Wo es weiterhin still bleibt – und warum

Nicht jeder verschluckte Fehler ist einer. Diese bleiben absichtlich stumm, damit niemand sie später "nachrüstet":

Stelle	Grund
SearchBox	Bricht bei jedem Tastendruck die vorige Suche ab. Eine Meldung je Anschlag wäre nur im Weg.
FileInfoDialog (Prüfsumme kopieren)	Ohne HTTPS gibt es keine Zwischenablage – der Wert steht vollständig da und lässt sich markieren.
useAppSettings	Erreichbarkeit des Servers ist nicht Sache des Themings; die Vorgaben bleiben stehen.
TagDialog (Absender-Vorschläge)	Ohne Vorschläge kann man trotzdem tippen.
ProfilePage (OCR-Stand)	Hintergrundabfrage im Sekundentakt.
useAuth	Kein Konto = abgemeldet, das ist die Antwort und kein Fehler.

Wo ein Dialog seinen Fehler bei sich anzeigt (ShareWithDialog, ThemingTab beim Hochladen, TagDialog, CalendarPage, OfficeEditor, FilePreview), bleibt es dabei: Dort gehört die Meldung hin, nicht an den unteren Bildschirmrand.

Zwei Fehler, die schlimmer waren als Schweigen

ProfilePage meldete "gespeichert", wenn das Speichern fehlgeschlagen war. updateProfile(...).catch(() => {}), danach ungeprüft das Häkchen. Das ist die übelste Sorte: Sie behauptet das Gegenteil dessen, was geschehen ist.

TagEditDialog riet die Ursache. Jeder Fehler meldete "That name is already taken" – auch ein Netzausfall, auch ein 500er. Jetzt steht dort der Satz des Servers. Im TagDialog war genau das schon einmal aufgefallen und behoben worden; hier stand es noch.

• Netz trennen, Profilnamen speichern -> rote Meldung, kein Häkchen
• Netz trennen, Etikett umbenennen -> "No connection to the server.", nicht "That name is already taken"
• Papierkorb: Wiederherstellen und Leeren melden sich
• Freigabe-Link kopieren ohne HTTPS -> Hinweis auf HTTPS statt gar nichts
• Freigabe-Link löschen -> Meldung, kein Rückgängig (ein neuer Link bekäme ein neues Token; der alte bliebe tot)

Der Zurück-Fehler und was der Test nicht kann (16.–18.09.2026)

Auf „Edit" in der PDF-Ansicht schloss sich die Datei, statt den Editor zu öffnen. Beim Wechsel räumt React erst die alte Ansicht ab; deren Aufräumer rief history.back(), das verzögert eintraf und den Eintrag verbrauchte, den der Editor gerade angelegt hatte.

Die erste Behebung war selbst fehlerhaft und ist erst durch die neuen jsdom-Tests aufgefallen: Sie zählte selbst ausgelöste Sprünge mit. Das setzt voraus, dass jedes back() auch ein popstate nach sich zieht – und das gilt nicht. Folgt im selben Durchlauf ein pushState, verwirft der Browser den Sprung. Der Zähler blieb dann für immer stehen, und die nächste echte Zurück-Geste wurde verschluckt: Statt die Ansicht zu schließen, hätte man die Anwendung verlassen.

Jetzt wird erst im nächsten Durchlauf entschieden und geprüft, ob der eigene Eintrag überhaupt noch obenauf liegt. Nur dann kommt es zum Sprung – und dann folgt das popstate garantiert.

• Vier jsdom-Tests in useBackClose.test.tsx, unter Mutation nachgewiesen: Der Schalter bleibt stehen → der Übergangstest wird rot.

Was diese Tests nicht leisten. Den ursprünglichen Fehler bilden sie nicht ab. jsdom verwirft einen noch nicht ausgeführten Sprung, sobald pushState folgt – das verhängnisvolle popstate entsteht dort also nie. Nachgeprüft, indem die alte, kaputte Fassung wieder eingesetzt wurde: alle Tests blieben grün. Chrome auf dem Telefon verhält sich anders, und dort war der Fehler zu sehen.

Wer diesen Fall absichern will, braucht einen echten Browser (Playwright). Bis dahin ist der Beleg ein Mensch mit einem Telefon.

Seit dem 18.09.2026 ist jsdom in den devDependencies. Die Vitest-Umgebung bleibt node (schnell); wer ein DOM braucht, schreibt // @vitest-environment jsdom an den Anfang seiner Datei.

---

Ein Wächter für die Sprache (24.09.2026)

Sechs Tage nach der Übersetzung fielen beim Nachsehen fünf Reste auf: label="Ganztägig", aria-label="Kalendermenü", label="Bearbeiten" und zweimal "Löschen". Alle in doppelt gequoteten JSX-Attributen – die Ersetzungsliste hatte nur die einfach gequoteten, und das damalige Prüfskript hielt Einzelwörter ohne Leerzeichen für Bezeichner.

Deshalb steht die Prüfung jetzt als Test (src/sprache.test.ts) statt als Skript, das man einmal laufen lässt. Sie läuft bei jedem npm test mit.

Der erste Wächter taugte nichts, und das kam nur durch die Mutation heraus: Er prüfte allein auf Umlaute und liess "Papierkorb ist leer" anstandslos durch. Wer einen Wächter baut, muss ihn einmal angreifen.

Jetzt: Umlaute plus eine Liste häufiger deutscher Wörter mit Wortgrenzen (sonst schlägt "ist" in "list" an). Kommentare werden vorher entfernt – und zwar richtig, mit einem kleinen Durchlauf statt zeilenweise: Blockkommentare haben Fortsetzungszeilen ohne führenden Stern, die beim ersten Versuch fünf Fehlalarme erzeugt haben.

Nachgewiesen an vier Mutationen, alle werden rot:

eingeschleuster Text	erkannt an
Papierkorb ist leer	"ist", "leer"
Loeschen fehlgeschlagen	"Loeschen", "fehlgeschlagen"
Ganztägig	Umlaut
Bitte warten	"bitte"

Ein Netz, kein Beweis. Ein deutscher Satz ohne Umlaut und ohne eines der gelisteten Wörter käme durch – "Datum bereits vergeben" etwa. Der Test fängt, was erfahrungsgemäß passiert: ein vergessenes Attribut beim Übersetzen. Wer die Liste ergänzt, weil einmal etwas durchgerutscht ist, tut genau das Richtige.

• Gebautes Bündel enthält keine deutschen Oberflächentexte mehr – gegengeprüft, dass die englischen drin sind (sonst prüfte der Grep nur sich selbst)

Wochentage und Monate aus Intl (20.09.2026)

Sechs handgeschriebene Arrays in drei Dateien, und Intl kam im ganzen Projekt nicht vor – obwohl jeder Browser es seit Jahren mitbringt.

Die Doppelpflege war nicht nur lästig, sie war eine Falle: DayDialog begann seine Woche am Sonntag, die anderen am Montag, jeweils passend zu ihrer Indizierung. Beide waren für sich richtig. Wer aber eines der Arrays in eine neue Ansicht kopiert hätte, hätte sich einen Off-by-one gebaut, der nur an sieben Tagen im Jahr auffällt.

Jetzt eine Ordnung (Montag zuerst, wie weekdayIndex) plus eine ausdrücklich benannte zweite Liste weekdayLongNamesSun für alles, was direkt mit getDay() indiziert.

Verhaltensgleich belegt: Die erzeugten Namen stimmen zeichengenau mit den gelöschten Arrays überein – vor dem Austausch verglichen, nicht danach gehofft.

Die Sprache ist fest auf en gesetzt, nicht die des Browsers. Intl.DateTimeFormat(undefined, …) nähme die Einstellung des Rechners und setzte auf einem deutschen System „Montag" neben ein englisches „Repeat" – genau der Mischmasch, der am 18.09. ausgeräumt wurde. Kommt eine Sprachwahl, ist uiLocale in dates.ts die eine Stelle, an der sie andockt.

• Fünf Tests in dates.test.ts, unter Mutation nachgewiesen: Nimmt man dem Sonntag seinen Platz vorn, wird der Test rot.
• Monatsansicht: Kopfzeile Mon–Sun, Termine am richtigen Tag 🔎
• Wochenansicht: Datumszeile stimmt mit dem Wochentag überein
• Tagesdialog: Überschrift nennt den richtigen Wochentag (der Fall mit der Sonntags-Liste) 🔎
• Serientermin „An diesen Tagen": Beschriftung passt zum gesetzten Tag – anlegen, in DAVx5 prüfen, ob derselbe Wochentag ankommt
• Listenansicht: Datum als „September 18, 2026"

Platzhalter und Leerzustände (18.09.2026)

Beim Laden stand ein Kreisel in der Mitte, danach klappte das Layout um. Jetzt steht dort ein Platzhalter in der Form des Kommenden – Kacheln in der Kachelansicht, Zeilen in der Liste –, und nichts springt mehr, wenn die Daten ankommen. Die Maße sind aus FileViews.tsx abgeschrieben, nicht geschätzt; weichen sie ab, springt es wieder.

• Ordner öffnen → Platzhalter in der Form der gewählten Ansicht 🔎
• Beim Umschalten zwischen Kachel und Liste wechselt auch der Platzhalter
• Datenankunft ohne Sprung: Die Kacheln stehen dort, wo die Platzhalter standen
• Papierkorb, „Für mich freigegeben", Etiketten, Kalender: ebenfalls Platzhalter statt „Loading…"
• Betriebssystem auf „Bewegung reduzieren" → kein Pulsieren, nur gedämpfte Flächen

Leerzustände sagen jetzt, warum nichts da ist, und bieten den Knopf an, der an dieser Stelle weiterhilft:

• Leerer Ordner → „This folder is empty" mit Knopf „Upload files"
• Wurzel ohne Inhalt → „Nothing here yet"
• Leerer Papierkorb → kein Knopf (ein leerer Papierkorb ist ein guter Zustand, kein Mangel)
• Nichts freigegeben → „Nothing shared with you yet"
• Etikett ohne Dateien → Hinweis auf „Organise…"

Keine „Geister" beim Wechseln

Der Platzhalter kommt erst nach 220 ms (useSkeleton). Ist die Liste vorher da, wird er nie sichtbar; beim Ordnerwechsel bleibt solange die vorherige Liste stehen, weil load() sie nicht löscht.

Die Frist gilt auch beim ersten Laden einer Seite. Zuerst war das anders – gedacht war: beim ersten Mal gibt es ja nichts, was stehenbleiben könnte. Beim Wechsel zwischen den Menüpunkten entsteht die Seite aber jedes Mal neu, und damit war jeder Tab-Wechsel ein „erstes Laden". Genau dort blitzte es.

• Schnell durch Ordner klicken -> kein Aufblitzen grauer Kästen 🔎
• Zwischen Dateien, Papierkorb, Freigaben, Etiketten, Kalender wechseln -> ebenfalls keines 🔎
• Langsame Verbindung (Drosselung im Browser) -> nach kurzer Leere kommt der Platzhalter
• Im Wartefenster blitzt kein Leerzustand auf. Das ist die unangenehmere Sorte Geist: Der Platzhalter sieht nur nach Daten aus, ein Satz wie „Nothing shared with you yet" behauptet etwas.

Der Kreisel stand sechsmal im Quelltext

@keyframes spin lag als Inline-<style> in sechs Komponenten – und zwei Nutzer (AuditTab, SearchBox) hatten gar keine eigene Kopie. Dass es trotzdem lief, war Zufall: @keyframes gilt fürs ganze Dokument, es genügte also, dass irgendeine der sechs gerade im Bild war. Kaputt wäre es an dem Tag gewesen, an dem jemand die letzte Kopie entfernt. Steht jetzt einmal in index.css.

• Kreisel dreht sich noch: Suchfeld tippen, Admin → Audit laden, Versionen-Dialog öffnen 🔎

Der Sprachmix ist weg (18.09.2026)

Die Kalenderseite war durchgehend deutsch, die übrige Oberfläche englisch. Jetzt spricht alles Englisch – 80 Stellen in sechs Dateien. Shell, TagChip und UserMenu standen nur wegen ihrer Kommentare auf der Verdachtsliste; deren Oberfläche war längst englisch.

Kommentare bleiben deutsch. Das Ersetzen hat Kommentarzeilen deshalb übersprungen.

• Monatsansicht: Wochentage Mon–Sun, Monatsnamen englisch 🔎
• Umschalter Month / Week / List, Knopf „Today"
• Termin anlegen: Title, Calendar, All day, Start/End, Repeat, Color, Location, Description
• Wiederholung: Does not repeat / Daily / Weekly / Monthly / Yearly, Ends: Never / After / On a date
• Serientermin löschen: „Only this event" / „Entire series" / „Cancel"
• Kalendermenü: Edit / Share… / Export (.ics) / Import (.ics) / Delete
• Leerer Zeitraum → „No events"

Der Standardkalender heißt „Personal"

Automatisch angelegt wurde er als „Persönlich". Migration 000027 zieht die bestehenden nach – bewusst eng gefasst: nur Zeilen mit Name und Farbe des Automaten (#4285f4). Wer sich selbst einen Kalender „Persönlich" angelegt hat, behält seinen Namen; das ist seine Beschriftung, nicht unsere.

• Nach der Migration meldet die API 'Personal' – geprüft, nicht nur „Migration gelaufen".

---

Absender / Korrespondent (23.08.2026)

Das zweite Ordnungsmerkmal neben den Etiketten. Unterschied: genau einer je Dokument. Gesetzt im selben Dialog (Rechtsklick → „Organise…").

Setzen

• Namen tippen und speichern → Absender erscheint an der Kachel, in der Seitenleiste unter FROM, Zähler auf 1 🔎
• Zweites Dokument, Vorschlagsliste zeigt den vorhandenen Namen 🔎
• Gleicher Name in anderer Schreibweise („stadtwerke münchen") landet beim vorhandenen Absender und legt keinen Zwilling an 🔎
• Feld leeren und speichern → Absender weg, Etiketten und Belegdatum bleiben stehen 🔎
• Nur Leseberechtigung an einer geliehenen Datei → kein Speichern möglich

Liste und Ansicht

• Klick auf einen Absender in der Seitenleiste → „alles von X", absteigend nach Belegdatum sortiert 🔎
• Adresse /from/<id> überlebt das Neuladen (Lesezeichen) 🔎
• „Download all as ZIP" in dieser Ansicht
• Zurück-Taste des Browsers führt aus der Absenderansicht heraus

Umbenennen und Löschen

• Rechtsklick → „Rename…" → alle bisherigen Dokumente behalten ihn 🔎
• Umbenennen auf einen schon vergebenen Namen → klare Meldung 🔎
• Rechtsklick → „Delete" fragt nach und sagt dabei, dass die Dokumente bleiben 🔎
• Nach dem Löschen: Dokumente da, Belegdatum da, nur die Zuordnung weg 🔎

Fremdzugriff

• Erratene Absender-ID an einer eigenen Datei → 400 🔎
• Fremden Absender umbenennen oder löschen → 404 (nicht 403) 🔎

Gruppenordner

• Ein Absender in einem Gruppenordner gehört der Gruppe, nicht dem Anlegenden – alle Mitglieder sehen ihn
• Die Vorschlagsliste zeigt in einem Gruppenordner nur Gruppen-Absender

---

PDF-Betrachter (23.08.2026)

Eigener Betrachter statt des eingebauten im <iframe>. Gründe: Chrome auf Android zeigte im <iframe> gar kein PDF an, und einem fremden Betrachter lässt sich kein Suchwort vorgeben.

Werkzeugleiste

• Suchfeld sitzt mittig in der Leiste (gemessen: 0 Pixel Abweichung) 🔎
• Beim ersten Treffer rutscht das Feld nicht zur Seite – der Platz für die Sprungknöpfe steht immer bereit 🔎
• Am Telefon zwei Zeilen: Steuerung oben, Suche darunter, beide Sprungpfeile sichtbar 🔎
• Zoomprozent stimmt beim Öffnen (nicht 10 %) – dreimal hintereinander geprüft, war vorher vom Zufall abhängig 🔎

Grundlegend

• PDF per Doppelklick öffnen → Seiten erscheinen, Seitenzahl stimmt 🔎
• Blättern über die Pfeile der Werkzeugleiste 🔎
• Zoom −/+ und der Umschalter „ganze Seite ↔ 100 %" 🔎
• Nach dem Zoomen bleibt man auf derselben Seite – nicht am Anfang eines fremden Blattes 🔎 (war ein Fehler: sprang zurück zur Fundstelle)
• Text im PDF lässt sich markieren und kopieren 🔎
• Drucken über den Browser (Strg+P) – der Betrachter bringt keinen eigenen Druckknopf mit

Suche im Dokument

• Aus der Volltextsuche geöffnet → Suchwort steht im Feld, der Betrachter steht auf der Seite mit dem Treffer, das Wort ist orange 🔎
• Weitere Treffer blass markiert, der aktuelle kräftiger und mit Kante 🔎
• Das markierte Wort bleibt lesbar – der Streifen liegt darüber, nicht darauf 🔎
• Der Streifen sitzt auf der Zeile: nicht schief, oben nicht angeschnitten 🔎 (kein Treffer ragt aus der Seite heraus)
• Markiert wird das ganze Wort, nicht der Schnipsel: „la" färbt Display, last, labex – nicht zwei Buchstaben mittendrin 🔎 (gemessen: unser Kasten und die Auswahl des Browsers liegen auf demselben Pixel, 357,08 / 10,38 – der Versatz der Ersatzschrift ist nicht wegzurechnen, wohl aber zu umgehen)
• Sehr lange „Wörter" (Adresse, Prüfsumme) werden nicht ganz eingefärbt – dort bleibt es beim Fundstück
• Suchfeld leeren → alle Markierungen verschwinden 🔎 (war ein Fehler: die Färbung blieb zu einem Wort stehen, das im Feld längst nicht mehr stand)
• Während Treffer markiert sind, lässt sich Text weiter mit der Maus auswählen – die Markierungsebene fängt keine Klicks ab
• „Nächster Treffer" / „Voriger Treffer" springt der Reihe nach 🔎
• Beim Tippen ruckt nichts. Der Rand über der ersten Seite bleibt stehen, das Blatt klebt nicht am Fensterrand 🔎 (gemessen: scrollTop bleibt 0, Rand bleibt 16 px, kein einziges Roll-Ereignis)
• Ist der Treffer schon zu sehen, wird gar nicht gerollt; erst ein Treffer außerhalb holt die Anzeige nach 🔎 (gemessen: 6 × Enter → Treffer 7 von 54, genau ein Roll-Ereignis)
• Enter im Suchfeld = nächster Treffer, Umschalt+Enter = voriger
• Scan (nur Bild, per OCR erkannt): Suche findet die Seite, springt hin, markiert aber nichts – Anzeige „1 / 5 · page" 🔎
• Ein Treffer nur im Dateinamen (nicht im Inhalt) füllt das Suchfeld nicht vor – sonst meldete der Betrachter „No hits" ohne Grund
• Fremde Datei: GET /api/v1/files/<id>/text → 404

Test-PDF für die Suche

~/Dokumente/aether-suchtest.pdf – zehn Seiten, jede eine eigene Falle. Suchwort ist überall aether; ein Durchlauf deckt alle Fälle ab.

Seite	Fall	Erwartung
1	Schriftgrößen 48 bis 4 pt	Kasten sitzt bei jeder Größe auf dem Wort
2	Times / Helvetica / Courier, fett, kursiv	dito – hier fällt der Versatz der Ersatzschrift am ehesten auf
3	Wortgrenzen: Bindestrich, Klammern, Umlaute, Ziffern, Unterstriche	ganzes Wort gefärbt; die 68-stellige Prüfsumme nicht
4	Zwei Spalten, 8 pt, enge Zeilen	kein Überlappen zwischen den Zeilen
5	Wort am Zeilenende getrennt (Ae- / ther)	wird nicht gefunden – bekannte Grenze
6	gedreht: 90°, 45°, 180°	Kasten dreht mit
7	Tabelle	Treffer in Zellen
8	66 Treffer auf einer Seite	Zähler stimmt, Weiterspringen läuft durch
9	Querformat	Zoom stellt sich um
10	Scan (nur Bild, leicht schief)	erst nach OCR, dann seitengenau: „· page", ohne Färbung

Gemessen beim Bauen: 390 Treffer über 10 Seiten, keine Fehler in der Konsole.

Randfälle

• 60-seitiges PDF: höchstens 6 Seiten gleichzeitig gezeichnet, Suche über alle 60 findet die richtige Seite 🔎
• Passwortgeschütztes PDF → „This PDF is password protected." 🔎
• Kaputte Datei mit Endung .pdf → „Could not open this PDF." 🔎
• Andere Vorschauen unverändert (Bild, Text, Ton, Video) 🔎

Am Telefon

• PDF wird angezeigt (mit dem <iframe> kam dort nur ein Download-Hinweis) 🔎
• Kein waagerechter Überlauf, Seite füllt die Breite 🔎
• Die Pfeile zum Blättern zwischen Dateien sind bei einem PDF ausgeblendet – sie lägen mitten auf dem Text 🔎
• Zwei Finger zum Zoomen (das macht der Browser selbst)

Tastatur

• Escape im Suchfeld des Betrachters leert das Feld, schließt nicht die Vorschau
• Pfeiltasten blättern nicht zur nächsten Datei, während man im Suchfeld schreibt 🔎

Erkannter Text mit Seitenmarken

• Nach dem Aktualisieren stehen Bestandsdateien auf extract_version = 1 und tragen Seitenmarken 🔎
• Dateien im Papierkorb werden nicht neu erkannt 🔎

---

Eigenschaften einer Datei (24.08.2026)

Rechtsklick → Properties…. Das, was Dateimanager unter Windows und Linux anbieten. Anlass: Bei einem Bild stand nirgends, wie groß es in Pixeln ist.

• Bild → Zeile „Dimensions" mit Breite × Höhe und Megapixeln 🔎 (gemessen: 2000 × 1851 px, 3.7 MP)
• Nicht-Bild (Archiv, PDF, Office) → keine Zeile „Dimensions" 🔎
• Größe steht zweimal: gerundet und auf das Byte genau 🔎
• Belegdatum, Absender und Etiketten erscheinen nur, wenn gesetzt 🔎
• „Version 2 (history kept)" bzw. „(history off)" passt zum Schalter „Keep versions" im selben Menü 🔎
• Klick auf die Prüfsumme kopiert sie („copied" erscheint kurz)
• Ohne HTTPS (kein sicherer Kontext) bleibt der Wert stehen statt zu kopieren – keine Fehlermeldung
• Die Maße kommen aus dem Browser, nicht vom Server: Ein Bildformat, das der Browser nicht kennt, lässt die Zeile bei „measuring…" – kein Fehler

---

Kachelansicht: Absender statt Größe (24.08.2026)

• Kachel mit Absender: links Symbol + Name, rechts das Etikett, keine Dateigröße 🔎
• Kachel ohne Absender: links die Größe wie bisher 🔎
• Alle Kacheln einer Reihe sind gleich hoch, auch mit langem Absendernamen (er wird abgeschnitten, nicht umgebrochen) 🔎
• Die Größe steht weiterhin in der Listenansicht und unter „Properties…"

---

Wurzelort heißt „Home"

• Brotkrume ganz links zeigt ein Haus-Symbol und „Home", nicht „My Files"
• Seitenleiste ebenso
• Suchtreffer in der Wurzel stehen als „in Home"

Sortierung

• Auswahlfeld in der Werkzeugleiste: Name, Größe, Datum – je auf- und absteigend
• Ordner stehen immer vor Dateien und folgen nur der Namensrichtung
• Sortierung und Ansicht (Kacheln/Liste) überleben das Neuladen

---

Downloads & Adressen (PWA-Fallen)

• Rechtsklick → „Download" lädt die Datei – ohne dass ein leerer Tab aufgeht
• Download aus dem Versionsverlauf funktioniert
• Download aus „Shared with me" funktioniert
• /admin oder /profile direkt in der Adresszeile eingeben → Anwendung lädt, kein 404 🔎
• Freigabelink /s/<token> in einem frischen Browser öffnen (privates Fenster, kein Service Worker) → Seite lädt 🔎
• Nach dem Update einmal hart neu laden (Strg+Shift+R), damit der alte Service Worker ersetzt wird

---

Profilbild vom Identitätsanbieter (24.08.2026)

Gemessen an der laufenden Instanz auf 127.0.0.1:8090:

Fall	Erwartet	Gemessen
Bild hinterlegt, /me	avatar_ver > 0	1787571663
GET /users/<id>/avatar?v=…	200, image/png, 256×256	✅, private, max-age=604800, immutable
ohne Anmeldung	401	✅
Konto ohne Bild	404	✅
erfundene Konto-ID	404, nicht 403	✅
Blob fehlt, Zeile steht	Buchstabenkreis, kein Loch	✅ (Screenshot)
GC-Lauf	Bild bleibt, 0 Waisen	✅ (122 gescannt)
verwaiste Datei unter avatars/	wird gefunden, Schonfrist greift	✅ (123 gescannt, 1 jung)

Geprüft mit Go-Tests, nicht am laufenden Anbieter:

• Zuschnitt: 800×200, 200×800, 512×512 und 16×16 ergeben alle 256×256; bei einem breiten Bild bleibt die Mitte stehen (linke Kante rot, rechte blau).
• JPEG wird angenommen, Unsinn ("", <svg/>, Text) abgelehnt.
• SSRF: 169.254.169.254, localhost:8080, postgres:5432, id.example.com.angreifer.net, id.example.com:9200, file://, gopher:// werden alle abgewiesen; eine Weiterleitung auf einen fremden Rechner wird nicht befolgt.
• Ein Anbieter, der erst 401 sagt, bekommt genau einen zweiten Versuch mit Token – nicht mehr.
• Eine 8-MB-Antwort wird bei 4 MB abgeschnitten.

Noch offen (braucht deinen echten PocketID):

• Meldet PocketID picture im ID-Token oder erst über UserInfo?
• Kommt das Bild ohne Token heraus, oder greift der zweite Versuch?
• Bild in PocketID austauschen → steht nach dem nächsten Anmelden hier
• Bild in PocketID entfernen → das alte bleibt hier stehen (so gebaut: gelöscht wird nur beim Austausch, nicht auf Verdacht)

Kopfleiste auf dem Handy (24.08.2026)

Gemessen bei 412×915, angemeldet:

	vorher	nachher
padding-top	0px	14px
padding-bottom	0px	10px
Oberkante Titel	8px	22px

Ursache war nicht der gewählte Wert, sondern dass die Regel nie griff: Der Inline-Stil (padding: '0 14px', paddingTop: 'var(--safe-top)') schlug die Klassenregel der schmalen Ansicht. Alle Abstände stehen jetzt im CSS-Block.

• Auf dem Handy gegenprüfen, installiert und im Browser-Tab – nur installiert ist --safe-top ungleich 0.

Mitgeliefertes App-Symbol (24.08.2026)

Die drei PNG lagen als Graustufen vor: Der indigo Verlauf war zu Schwarz eingeebnet, die Unterkante der Wolke lief schief aus. Neu gezeichnet (drei Kreise plus Rechteck dazwischen, keine Freihandkurve) und in RGBA gerendert.

• Nach docker compose pull erscheint das neue Symbol im Tab
• Auf dem Startbildschirm frühestens nach Neu-Installieren (Chrome hält eine eigene Kopie)

Anleitung „Connect as a drive" (24.08.2026)

Neuer Info-Knopf unter Einstellungen → Access, neben den App-Passwörtern. Die Adressen entstehen aus window.location, nicht aus PUBLIC_URL – was im Browser trägt, trägt auch im Dateimanager.

Geprüft auf 1280×900 und 412×915:

• Alle drei Reiter (Windows, Linux · Konsole, Linux · Dateimanager) öffnen.

• Über HTTP erscheint der rote Hinweis und der Dateimanager-Reiter bietet dav:// an; über HTTPS davs:// und kein Hinweis.

• Die Kopierknöpfe stehen an WebDAV-Adresse, Benutzername, Cloud-Adresse und an jedem Befehlsblock.

• Auf der produktiven Instanz gegenprüfen, dass dort https://…/dav/ steht und der HTTPS-Hinweis nicht erscheint

• Einen der Befehle wirklich ausführen (davfs2-Einhängen)

• Windows-Weg auf einem echten Windows durchspielen – die 50-MB-Grenze und der Registry-Pfad stammen aus der Dokumentation, nicht aus einem Versuch

Kachelraster auf schmalen Geräten (24.08.2026)

Ein Galaxy Z Flip 7 (360px aufgeklappt) zeigte eine Spalte statt zwei: Bei 160px Mindestbreite und 20px Innenrand brauchen zwei Spalten 332px, da waren aber nur 320px. Schmal jetzt 132px Mindestbreite, 10px Abstand und 12px Innenrand.

Breite	Spalten	Kachel	Innenrand	Querlauf
316 (Deckelschirm)	2	141px	12px	nein
360 (Flip 7)	2	163px	12px	nein
412 (übliches Handy)	2	189px	12px	nein
768	3	161px	20px	nein
1280	6	160px	20px	nein

Raster und Innenrand stehen jetzt als Klassen in index.css; inline gesetzt hätte keine Media-Query sie erreicht.

• Auf dem Flip 7 selbst gegenprüfen, auf beiden Schirmen

Bild ziehen lud es erneut hoch (24.08.2026)

Zieht man das angezeigte Bild in der Vorschau ein Stück zur Seite, legt Chrome es als echte Datei in den Ziehvorgang. dataTransfer.types enthält dann Files – nicht zu unterscheiden von einer Datei aus dem Dateimanager. Die Ablagefläche lud das Bild daraufhin ein zweites Mal hoch.

Nachgestellt und gemessen:

Fall	vorher	nachher
Vorschaubild ziehen und ablegen	draggable=true, 1 Upload	draggable=false, 0 Uploads
Datei von außen ablegen	1 Upload, Overlay sichtbar	unverändert 1 Upload, Overlay sichtbar

Zwei Riegel, weil einer allein zu leicht wieder aufgeht:

1. draggable={false} an allen Bildern, die kein eigenes Ziehen brauchen – Kachel-Vorschauen, Vorschaufenster, Suchtreffer, Papierkorb, Etiketten, Logo, Profilbild. Die Kachel bleibt ziehbar und verschiebt die Datei.
2. hooks/useInternalDrag.ts: Was in dieser Seite losgezogen ist, wird nie als Upload behandelt. dragstart feuert nur bei eigener Quelle; von außen gibt es keins.

• Auf dem Handy gegenprüfen: Ein Bild lässt sich mit dem Finger nicht mehr aus der Vorschau ziehen (dort war das Wischen ohnehin gemeint)

Sammel-Löschen und Ziehen auf den Papierkorb (24.08.2026)

Zwei Wege zum selben Ziel: der Knopf in der Auswahlleiste (mit Rückfrage) und das Ziehen auf den Papierkorb in der Seitenleiste (ohne).

Gemessen an einem Testordner mit fünf Dateien:

Handlung	Erwartet	Gemessen
drei markieren, eine davon auf den Papierkorb ziehen	alle drei	aether-file-ids trägt 3 IDs, 3 DELETE, Kacheln 5 → 2
über dem Papierkorb schweben	rot umrandet	rgb(239,68,68) + Rahmen; danach wieder grau
zwei markieren, „Move to trash"	Rückfrage, dann weg	Dialog „Move 2 files…", 2 DELETE, Kacheln 0, Leiste weg

Der Sammel-Aufruf läuft mit vier gleichzeitigen Anfragen. Fehlgeschlagene Dateien bleiben markiert, statt die Auswahl zu verlieren.

• Am Finger gegenprüfen: Ziehen auf den Papierkorb setzt eine Maus voraus, auf dem Handy bleibt der Knopf der Weg
• Mit vielen Dateien (50+) auf der produktiven Instanz gegenprüfen

PDF: Strg + Mausrad, Zoom nach rechts (24.08.2026)

Prüfung	Gemessen
Zoomgruppe breit	rechts außen, 1138–1262 px bei 1280 px Fenster
Suchfeld bleibt mittig	Mitte 640, Fenstermitte 640
Strg + Rad hoch	100 % → 125 %
Strg + Rad runter (2×)	→ 75 %
Rad ohne Strg	unverändert 75 %, blättert nur
preventDefault gerufen	ja – sonst zoomte der Browser die ganze Seite
Punkt unter dem Zeiger	bleibt: Seite 2 vor und nach zwei Zoomstufen, Bildlauf 1400 → 2250
Schmal (412 px)	Zoom in der ersten Zeile neben der Seitenzahl, zweizeilig wie vorher

Beim Rad wird der Punkt unter dem Zeiger festgehalten, nicht die Seite: Man zeigt auf eine Stelle und will, dass sie dort bleibt. Die Knöpfe halten weiterhin die Seite – dort gibt es keinen Zeiger, auf den man sich beziehen könnte.

• Am Trackpad gegenprüfen (Zwei-Finger-Zoom meldet sich als Strg + Rad)

Hochkant-Fotos lagen im Vorschaubild quer (24.08.2026)

Kameras speichern die Bildpunkte fast immer quer und legen die Drehung als EXIF-Notiz daneben. Browser befolgen sie von selbst – Go nicht. Gemessen an einem Testbild mit 400×200 Bildpunkten und Drehung 6:

	vorher	nachher
große Ansicht (Browser)	200×400 hochkant ✅	unverändert
Vorschaubild (Server)	256×128 quer ❌	128×256 hochkant ✅

Alle acht Fälle, beide Byte-Reihenfolgen (II und MM):

• Drehung 1 und 3 bleiben quer, 6 und 8 werden hochkant – Seitenverhältnis allein genügt aber nicht als Beweis, deshalb ein gelber Balken als Marke: bei 6 landet er oben, bei 8 unten. Beide Bilder angesehen.
• Leere Datei, Text statt JPEG, abgeschnittener EXIF-Block, Drehung 0 und 99 ergeben alle 1 („nicht drehen") statt eines Fehlers.
• Bei Drehung 1 entsteht keine Kopie des Bildes.

Bestehende Vorschaubilder ändern sich davon nicht – sie liegen fertig im Speicher und werden nicht neu erzeugt. Ein Foto, das heute quer liegt, liegt auch morgen quer, bis es erneut hochgeladen wird.

Ein Knopf zum Neuerzeugen war kurz da und wurde wieder entfernt (130 Zeilen für einen einmaligen Bedarf).

• Auf der produktiven Instanz mit echten Handy-Fotos gegenprüfen – neu hochgeladene, nicht die bestehenden

Vorschaubilder: Zwischenspeicher, Sofortanzeige, Flackern (25.08.2026)

Gleicher Dateiname = gleiche Datei. Gemessen: dreimal dieselbe Datei hochgeladen ergibt dreimal dieselbe ID mit den Fassungen 1, 2, 3. Die Adresse des Vorschaubildes war damit unverändert, und es liegt einen Tag im Browser (max-age=86400) – die Kachel zeigte bis zu 24 Stunden lang das alte Bild. Die Adresse trägt jetzt ?v=<Fassung>.

Vorschaubild ohne Neuladen. Der Server erzeugt es im Hintergrund, die Antwort auf den Upload ist längst da. Die Kachel fragt jetzt bis zu fünfmal nach (0,4 s bis 5 s Abstand), aber nur bei Bildern, die jünger als zwei Minuten sind – sonst fragte jede dauerhaft fehlgeschlagene Datei bei jedem Öffnen des Ordners erneut.

Gemessen: Bild über das Datei-Feld hochgeladen, Vorschaubild 608 ms später sichtbar, performance zählt genau eine Navigation – also kein Neuladen.

Flackern am Kachelrand. Beim Überfahren wurde die Kachel um einen Pixel angehoben. Steht der Zeiger genau auf der Unterkante, rutscht sie unter ihm weg → mouseleave → sie fällt zurück → mouseenter, im Kreis. Das Anheben ist raus, der Rahmen in der Primärfarbe zeigt dasselbe an, ohne die Kachel zu bewegen. Nachher gemessen: Zeiger 1,5 s auf der Unterkante gehalten, 0 Ereignisse, transform: none.

• Das Flackern selbst konnte ich nicht nachstellen: Ein programmgesteuerter Zeiger prüft die Überfahrung nicht bei jedem Bild neu, eine echte Maus schon. Bitte mit der Maus gegenprüfen.

Wischen holt die Seitenleiste (25.08.2026)

Vom linken Rand nach rechts öffnet, nach links schließt – nur an Geräten mit grobem Zeiger (pointer: coarse), mit der Maus passiert nichts.

Gemessen bei 412×900 mit Touch:

Geste	Erwartet	Gemessen
vom Rand (x=10) 150 px nach rechts	öffnet	✅
offen, 130 px nach links	schließt	✅
aus der Mitte (x=200) nach rechts	nichts	✅
vom Rand, nur 30 px	nichts	✅
vom Rand, 60 px rechts bei 100 px runter	nichts	✅
vom Rand, 150 px in 1,2 s	nichts	✅
in der Vollbild-Vorschau vom Rand	nichts	✅

Die Grenzen: 44 px Randstreifen, mindestens 60 px Weg, doppelt so weit waagerecht wie senkrecht, höchstens 800 ms.

• Auf Android gegenprüfen. Die Zurück-Geste des Systems belegt die äußersten ~20 px; was dort beginnt, erreicht die Seite nie. Deshalb 44 px statt 20 – ob das in der Praxis reicht, kann nur ein echtes Gerät sagen.
• Im Querformat gegenprüfen (Aussparung links)

Automatisiert geprüft (22.08.2026)

Diese Punkte hat Claude per API/curl gegen Wegwerf-Konten durchgespielt; sie brauchen keinen manuellen Durchgang mehr, stehen hier aber als Beleg:

• Prüfsummen über 8 Größen (0 B, 1 B, 511/512/513 B, 64 KB, 1 MB+1, 20 MB): WebDAV rein → WebDAV raus → REST raus, jedes Mal identisch. Gespeicherte Prüfsumme = tatsächliche Prüfsumme auf der Platte, 0 Abweichungen.
• Pfad-Ausbruch: 5 WebDAV-Varianten (../, URL-kodiert, absolut) und 5 REST-Dateinamen – nichts landet außerhalb des Nutzerbereichs.
• Kontingent: 413 über REST, 507 über WebDAV, keine Datei-Torsos, kein Rest im Staging-Verzeichnis.
• Soft-Delete: gelöschte Datei liegt im Papierkorb, Download 404, nach Wiederherstellung Inhalt unverändert.
• Sperre: 10 Fehlversuche → 429 mit Retry-After: 900; ein Erfolg setzt den Zähler zurück.
• Passwort-Trennung: Kontopasswort → WebDAV 401, App-Passwort → Web-Login 401, App-Passwort eines fremden Kontos → 401.
• Isolation: fremdes Konto bekommt auf 9 Endpunkte plus WebDAV durchgängig 404, shared-with-me leer.
• Audit-Log: jede sicherheitsrelevante Aktion erzeugt einen Eintrag; zurückgesetztes Passwort, App-Passwort, Freigabe-Token und Share-Passwort stehen nicht darin; Einträge überleben das Löschen des Kontos (actor_id wird NULL, Name bleibt); Filter, Blättern und die Obergrenze von 500 greifen; Nicht-Admin 403, ohne Anmeldung 401.
• Blob-Bereinigung: DB-Referenzen und Platte stimmen exakt überein (123 zu 123); ein künstlich gealtertes Waisen-Blob wird entfernt, das eingetragene Logo nicht.

Regressionstest (sollte weiter funktionieren)

• Normaler Datei-Upload (Web) mit Fortschrittsanzeige
• Papierkorb: löschen → wiederherstellen
• Share-Link erstellen (mit Passwort + Ablauf) und öffentlich öffnen
• Favoriten in Sidebar: hinzufügen, umsortieren, navigieren
• Ordner per Drag&Drop in anderen Ordner verschieben
• „Verschieben nach…"-Dialog
• Ordner-Upload per Drag & Drop (ganzer Ordner inkl. Unterordner wird angelegt)