Verwaltung: nur noch EINMAL den Code eingeben

Rueckmeldung 22.08.2026: "ich hab auf der verwaltungs seite 2 mal dass ich
den zugangscode eingeben muss und vanvan auch, ich will es nur einmal
eingeben muessen." Berechtigt.

Die Zugangswand hat serverseitig laengst geprueft, WER da ist -- Dogfather
oder VanVan, laut Masterplan S.4 beide gleichberechtigte
Volladministratoren. Ein zweites Passwort danach bringt keinen
zusaetzlichen Schutz, es kostet nur jedes Mal Zeit.

Warum es nicht einfach "Cookie mitschicken" ist: Die Verwaltungsdaten
liegen hinter postfach.dogfather-universe.com, einem ANDEREN Rechnernamen.
Das Sitzungs-Cookie gilt dort nicht -- so sind Cookies gebaut, und das ist
gut so.

Loesung: Die Zugangswand stellt unter /webdesign/api-ausweis einen
kurzlebigen, signierten Ausweis aus, den die interne API anerkennt.
  - 15 Minuten gueltig, die Seite holt bei Bedarf still einen neuen
  - traegt bereich="wd-admin", damit ein Sitzungs-Token der Zugangswand
    hier NICHT durchgeht und umgekehrt
  - nur mit gueltiger Zugangssitzung zu bekommen
  - gilt AUSSCHLIESSLICH fuer die /webdesign-Endpunkte. Postfach,
    Bewerbungen, Supporter und Teamverwaltung bleiben unberuehrt

Fehlt WEBDESIGN_API_SECRET auf einer der beiden Seiten, gilt kein Ausweis
und die Verwaltung fragt wie bisher nach dem Team-Code. Ein fehlender
Konfigurationswert darf niemals eine Tuer oeffnen -- nur eine schliessen.
Genau das prueft der letzte Testfall.

Bei einem 401 wird EINMAL still ein neuer Ausweis geholt und die Anfrage
wiederholt, statt jemanden mitten im Arbeiten rauszuwerfen.

10/10 Tests, darunter: gefaelschte Signatur, fremdes Geheimnis,
abgelaufen, falscher Bereich, erfundene Rolle.

Co-Authored-By: Claude Opus 5 <[email protected]>

server-internal/routes/webdesign-anfragen.js

@@ -16,6 +16,7 @@ import { db } from "../db.js";
 import { json } from "../lib/http.js";
 import { requireSession } from "../lib/auth.js";
 import { hasPermission } from "../lib/permissions.js";
+import { ausweisPruefen } from "../lib/webdesign-ausweis.js";
 import {
   jetzt, neueId, naechsteNummer, text, istEmail, emailNormal,
   ipHash, besucherIp, spracheOderDe, verlauf,
@@ -27,6 +28,23 @@ import {
    restlichen internen Bereich.
    --------------------------------------------------------------------- */
 async function darf(req, recht) {
+  /* Zwei Wege fuehren hinein.
+
+     1. Der Ausweis der Zugangswand. Wer dort mit dem persoenlichen Code
+        durchgekommen ist, ist Dogfather oder VanVan -- laut Masterplan S.4
+        beide gleichberechtigte Volladministratoren. Ein zweites Passwort
+        danach bringt keinen zusaetzlichen Schutz und kostet nur Zeit
+        (Rueckmeldung 22.08.2026: "ich will es nur einmal eingeben muessen").
+
+     2. Eine normale Team-Anmeldung mit dem passenden Einzelrecht -- fuer
+        den Fall, dass spaeter jemand aus dem Team nur Anfragen ansehen,
+        aber keine Kundendaten bearbeiten koennen soll.
+
+     Der Ausweis gilt AUSSCHLIESSLICH hier. Postfach, Bewerbungen,
+     Supporter und Teamverwaltung bleiben davon unberuehrt. */
+  const ausweis = ausweisPruefen(req);
+  if (ausweis) return { erlaubt: true, sitzung: { actor: ausweis.rolle, isOwner: true } };
+
   const sitzung = await requireSession(req);
   if (!sitzung) return { erlaubt: false, grund: 401, sitzung: null };
   if (sitzung.isOwner) return { erlaubt: true, sitzung };