Webdesign-Bereich: Fundament, oeffentliche Seiten, Zugangsschutz, PayPal

Umsetzung des "Website Masterplan" (16 Seiten) unter /webdesign.

Zugangsschutz mit EIGENER Schranke (server/webdesign-gate.js) statt gate.js:
gate.js laesst seit dem oeffentlichen Start am 21.08.2026 jeden durch, weil
die Pruefung auf SITE_PUBLIC_LAUNCH_AT als allererste Zeile steht. Haette man
/webdesign dahintergehaengt, waere der ausdruecklich nicht-oeffentliche Bereich
inklusive Preisen und spaeteren Kundendaten ab der ersten Sekunde fuer jeden
lesbar gewesen. Eigenes Sitzungs-Cookie, bereich="webdesign" im Token, damit
ein gueltiges Universe-Cookie hier NICHT gilt. 37/37 Tests.

Sieben oeffentliche Seiten in fuenf Sprachen (de, de-CH mit echtem Dialekt, en,
fr, pt). Preise, Zeitrahmen, Paketnamen und die 30-%-Regel stehen an genau
EINER Stelle in wd-core.js -- der Masterplan verlangt "ueberall
widerspruchsfrei", und vier Kopien laufen bei der ersten Preisaenderung
auseinander.

Als App installierbar auf Handy und PC. Der Service Worker speichert bewusst
KEINE HTML-Seite zwischen: nach dem Abmelden wuerden sonst geschuetzte Seiten
weiter ausgeliefert, ohne dass der Server je gefragt wird. 18/18 Tests.

Handy-Abnahme ueber alle Seiten in fuenf Breiten (320-1440) und fuenf Sprachen:
40/40. Der Test fand 35 echte Fehler (Touch-Ziele unter 44px), behoben im
Designsystem statt einzeln pro Seite.

PayPal (Wunsch 22.08.2026 "sofort auf meinem paypal"): Orders API mit
intent=CAPTURE, also sofortiger Einzug statt blosser Reservierung. Gebuehr und
Nettobetrag getrennt gespeichert. Betraege durchgehend als Ganzzahl in Cent.
Gefaelschte Webhooks werden abgewiesen. Fail closed solange Zugangsdaten
fehlen. 28/28 Tests gegen einen nachgebauten PayPal-Server.

Datenbank: 15 Tabellen mit Praefix wd_, fachlich vollstaendig vom Universe
getrennt.

Co-Authored-By: Claude Opus 5 <[email protected]>

server-internal/lib/permissions.js

@@ -52,6 +52,17 @@ export const PERMISSIONS = {
   TEAM_MANAGE: "Team-Mitglieder verwalten (Modis/Scouts/Creator/Manager)",
 };
 
+/* Webdesign-Rechte (22.08.2026) — an den Katalog oben angehängt, damit die
+   bestehende Rechteverwaltung sie ohne Änderung mit anzeigt. */
+Object.assign(PERMISSIONS, {
+  WD_ANFRAGEN_VIEW: "Webdesign: Projektanfragen ansehen",
+  WD_ANFRAGEN_MANAGE: "Webdesign: Anfragen bearbeiten, Status ändern, archivieren",
+  WD_KUNDEN_MANAGE: "Webdesign: Kunden anlegen, freischalten, sperren",
+  WD_PROJEKTE_MANAGE: "Webdesign: Projekte, Termine und Freigaben verwalten",
+  WD_ZAHLUNGEN_VIEW: "Webdesign: Zahlungen und Beträge einsehen",
+  WD_INHALTE_EDIT: "Webdesign: Texte und Preise der Seite bearbeiten",
+});
+
 export const PERMISSION_GROUPS = [
   { label: "Bewerbungsbereiche", keys: ["APPLICATIONS_VIEW_CREATOR", "APPLICATIONS_VIEW_MANAGER_SCOUT", "APPLICATIONS_VIEW_ARCHIVED", "APPLICATIONS_OPEN_FULL"] },
   { label: "Bearbeitung", keys: ["APPLICATIONS_TAKE_OVER", "APPLICATIONS_ASSIGN", "APPLICATIONS_CHANGE_STATUS", "APPLICATIONS_ARCHIVE", "APPLICATIONS_RESTORE", "APPLICATIONS_DELETE"] },
@@ -63,6 +74,11 @@ export const PERMISSION_GROUPS = [
   { label: "Startseite", keys: ["EVENTS_MANAGE"] },
   { label: "Stimmen", keys: ["TESTIMONIALS_MANAGE"] },
   { label: "Team", keys: ["TEAM_MANAGE"] },
+  /* Webdesign-Bereich (22.08.2026). Bewusst EIGENE Rechte statt der
+     bestehenden Bewerbungs-Rechte: eine Person, die Creator-Bewerbungen
+     lesen darf, soll damit nicht automatisch Kundendaten, Preise und
+     Zahlungen einsehen können. Das sind zwei getrennte Geschäfte. */
+  { label: "Webdesign", keys: ["WD_ANFRAGEN_VIEW", "WD_ANFRAGEN_MANAGE", "WD_KUNDEN_MANAGE", "WD_PROJEKTE_MANAGE", "WD_ZAHLUNGEN_VIEW", "WD_INHALTE_EDIT"] },
 ];
 
 export const OWNER_ONLY_ACTIONS = [