Zugang: die gewaehlte Kachel ist bindend

Filipe, 01.10.2026: „mach das. es soll fest sein."

VanVan hatte gemeldet: „Man kann sich mit seinem Zugangscode immer
noch über jeden Button der Startseite anmelden, egal welche Rolle man
hat."

ICH HATTE ZUERST ABGERATEN -- und lag falsch, weil ich eine alte Lage
beschrieben habe.

Am 09.09.2026 hatte Filipe entschieden, dass die Modis KEINE eigene
Eingangskachel bekommen: „damit die von der workspace auch nicht mal
sehen dass die modis von mir einen eigenen zugang haben." Wer keine
Kachel hat, muss irgendeine nehmen koennen -- daher der stille Zugang.

SEIT DER HAUSTRENNUNG AM 24.09.2026 STIMMT DAS NICHT MEHR. Auf
`crew.` steht laengst ein eigener Kachelsatz mit ALLEN fuenf Rollen:
DogFather, rechte Hand, linke Hand, Modi, Community (CREW_KACHEL, und
crew-index.html zeigt sie). Das Verbergen leistet seither die ADRESSE
-- wer sie nicht kennt, findet die Wand nicht; wer sie kennt, liest
die Rollennamen ohnehin offen darauf.

Der stille Zugang war damit ein Rest. Er hat niemanden mehr
geschuetzt und nur dafuer gesorgt, dass die Kachelwahl folgenlos
blieb. Nachgesehen habe ich das erst, NACHDEM Filipe widersprochen
hat; die Kachelsaetze standen die ganze Zeit im Quelltext.

WAS SICH NICHT AENDERT: Auf der Agenturwand war der stille Zugang nie
aktiv. Ein Team-Dogi-Code verhaelt sich dort weiterhin wie ein
erfundener -- gleiche Antwort, gleicher Weg, gleiche Dauer. Das ist
jetzt ausdruecklich gemessen.

EINE PRUEFADRESSE IST KEINE WAND. `127.0.0.1` ist weder crew. noch
Agentur. Ohne den stillen Zugang gaelte dort der Agentursatz -- und
kein Modi kaeme mehr herein. Fuenfzig Pruefdateien melden Team-Rollen
ueber diese Adresse an. Auf einer Adresse ohne Wand gibt es deshalb
ALLE Kacheln; welche auf welcher ECHTEN Wand steht, misst
pruef-modi-verborgen mit ausdruecklichem Host-Kopf.

GEPRUEFT -- pruef-modi-verborgen 87/0 (war 85; die fuenf Zeilen „jede
Kachel geht" sind durch sieben ersetzt, die die neue Regel und ihre
Gegenproben messen). Die Anzahl ist Zeile fuer Zeile verglichen.

  Modi-Kachel + Modi-Code      -> herein
  admin/hand/linke/gast        -> abgewiesen
  rechte Hand auf ihrer Kachel -> herein
  Agenturwand + Modi-Code      -> wie ein erfundener

pruef-crew-adresse 169/0 (unveraenderte Anzahl, zwei Zeilen
umgedreht).

SECHZEHN PRUEFDATEIEN MELDETEN SICH UEBER FREMDE KACHELN AN -- ein
Rest derselben Zeit. Systematisch gesucht statt einzeln entdeckt:
Waere ich dem roten Lauf hinterhergelaufen, haette ich beim zwoelften
aufgehoert.

UND DABEI EIN EIGENER FEHLER: Mein erster Durchlauf las die Rolle am
CODENAMEN ab (CODE-MODI- -> modi). Das ging gut, bis „Nane" kam: ein
Modi mit dem Code CODE-NANE-0001. Zwei Pruefungen wurden rot, und
zwar an einer Stelle („die Stimmen stimmen"), die mit Anmeldung
nichts zu tun hat. Ein Codename ist eine Beschriftung, keine
Tatsache -- die Rolle steht in `anlegen()`. Danach abgeleitet blieben
genau zwei Abweichungen uebrig, und beide sind absichtliche
Gegenproben.

Drei Browserpruefungen tippten die Creator-Kachel mit einem
Modi-Code. Die Modi-Kachel gibt es nur auf der Crew-Wand, und ein
Browser auf 127.0.0.1 bekommt die Agenturwand; sie melden sich jetzt
ueber die Schnittstelle an und bekommen den Keks. Gemessen werden
soll dort, was ein Modi SIEHT -- nicht, wie er hereinkommt.

Grün: pruef-modi-verborgen, pruef-crew-adresse, pruef-treff 85/0,
pruef-galerie, pruef-kanaele, pruef-modi-katalog 150/0,
pruef-modi-ideen, pruef-modi-kategorien, pruef-modi-checkliste 75/0,
pruef-modi-livecheck, pruef-kachelraster, pruef-team-ampel 32/0,
pruef-team-stufen 47/0, pruef-wunschliste, pruef-bremse,
pruef-gespraech, pruef-personen-formular 43/0, pruef-start-ansicht,
pruef-community-sicht, pruef-reaktion 421/0, pruef-abzeichen,
pruef-chat, pruef-chat-kanaele 81/0, pruef-entwicklung 79/0,
pruef-bewerbung-aufgaben 154/0, pruef-struktur,
pruef-zwischenspeicher 34/0.

`code_kennung` wird weiter geschrieben, aber nicht mehr gelesen --
sie war der Suchschluessel des stillen Weges. Stehen gelassen: Eine
Spalte zu entfernen ist eine Schemaaenderung mit Sicherung, und sie
kostet nichts.

Co-Authored-By: Claude Opus 5 <[email protected]>

server/pruef-crew-adresse.mjs

@@ -201,11 +201,20 @@ try { zielModi = JSON.parse(modiAufCrew.text); } catch { /* bleibt leer */ }
 ok(zielModi.weiter === "/workspace/start.html", "crew.: er landet auf seiner Startseite");
 ok(modiAufCrew.keks.includes("dfw_sitzung"), "crew.: er bekommt eine Sitzung");
 
-/* Der Code des Modis wird bewusst mit der Kachel 'creator' geschickt --
-   genau so kommt er auch aus der Zugangswand, denn eine Modi-Kachel
-   gibt es nicht. */
-const modiOhneKachel = await anmelden(CREW, "creator", "CODE-MODI-0001");
-ok(modiOhneKachel.status === 200, "crew.: die gewaehlte Kachel ist egal (stiller Zugang)");
+/* ==== DIE KACHEL IST BINDEND (01.10.2026) =========================
+
+   Filipe: „mach das. es soll fest sein."
+
+   Hier stand das Gegenteil, und es war richtig: Bis zum 24.09.2026
+   gab es fuer einen Modi keine eigene Kachel, also musste jede
+   durchgehen (Filipes Entscheidung vom 09.09.).
+
+   Seit der Haustrennung hat `crew.` einen eigenen Kachelsatz mit
+   allen fuenf Rollen. Das Verbergen leistet seither die ADRESSE --
+   der Trick mit der beliebigen Kachel war ein Rest. */
+const modiFremdeKachel = await anmelden(CREW, "creator", "CODE-MODI-0001");
+ok(modiFremdeKachel.status === 401,
+  `crew.: eine fremde Kachel wird abgewiesen (${modiFremdeKachel.status})`);
 
 const managerAufCrew = await anmelden(CREW, "manager", "CODE-MAN-0001");
 ok(managerAufCrew.status === 401, "crew.: ein Manager mit gueltigem Code kommt NICHT herein");
@@ -262,7 +271,12 @@ ok(managerAufWs.status === 200 && managerAufWs.keks.includes("dfw_sitzung"),
   "workspace.: der Manager kommt herein wie immer -- der Workspace ist unberuehrt");
 
 const managerLokal = await anmelden(LOKAL, "manager", "CODE-MAN-0001");
-const modiLokal = await anmelden(LOKAL, "creator", "CODE-MODI-0001");
+/* AUF SEINER EIGENEN KACHEL. Eine Pruefadresse ist keine Wand --
+   dort gibt es seit dem 01.10.2026 ALLE Kacheln, damit die fuenfzig
+   Pruefdateien, die Team-Rollen ueber 127.0.0.1 anmelden, weiter
+   messen koennen. Welche Kachel auf welcher ECHTEN Wand steht, sagt
+   die Zeile weiter oben. */
+const modiLokal = await anmelden(LOKAL, "modi", "CODE-MODI-0001");
 ok(managerLokal.status === 200 && managerLokal.keks.includes("dfw_sitzung"),
   "127.0.0.1: der Manager kommt herein (Pruefadressen unberuehrt)");
 ok(modiLokal.status === 200 && modiLokal.keks.includes("dfw_sitzung"),