Benachrichtigung bei neuer Anfrage: Push aufs Handy

BEFUND ZUERST, DENN ER WAR ANDERS ALS ERWARTET

Es gab sehr wohl eine Benachrichtigung -- ueber einen Discord-Webhook,
sauber gebaut, bewusst ohne Kundendaten im Text. Sie begann aber mit:

    const url = process.env.DISCORD_WEBHOOK_WEBDESIGN;
    if (!url) return;

Und diese Variable ist in .env.example nirgends aufgefuehrt. Eine
Variable, die niemand kennt, wird nicht gesetzt; dann kehrte die
Funktion wortlos zurueck. Kein Fehler, keine Protokollzeile. Es gab
eine Benachrichtigung, die nur im Quelltext existierte -- und niemand
konnte das bemerken, weil "funktioniert" und "kaputt" identisch
aussehen, solange nichts passiert.

WAS JETZT DA IST

Push aufs Handy, ohne Fremdpaket. Der interne Dienst liegt unter
/home/dogiintern mit Rechten 700 -- dort ist kein npm erreichbar, jede
Abhaengigkeit haette dauerhafte Handarbeit bedeutet. Node bringt P-256,
HKDF und AES-128-GCM selbst mit.

Die Schluessel erzeugt der Server beim ersten Start selbst und legt den
privaten Teil verschluesselt in der Datenbank ab (derselbe Weg wie die
PayPal-Zugangsdaten). Damit gibt es keinen Einrichtungsschritt, der
vergessen werden kann.

GEPRUEFT

Gegen RFC 8291 statt gegen ein Bauchgefuehl: alle fuenf Zwischenwerte
aus Anhang A stimmen (ECDH-Geheimnis, PRK_key, IKM, CEK, NONCE), und
die fertige Nachricht ist Byte fuer Byte die aus Abschnitt 5 der Norm.
Bei Kryptographie erzeugt ein Ableitungsfehler keinen Absturz, sondern
Bytes, die genauso zufaellig aussehen wie richtige.

Dazu ein Kettentest mit einem echten Empfaenger, der entschluesselt:
Kopfzeilen, Inhalt, keine Kundendaten in der Meldung, 410 loescht das
Geraet, 500 loescht es NICHT (sonst kostet eine einzelne Stoerung die
Anmeldung). 50 Pruefungen, alle gruen.

DREI ENTSCHEIDUNGEN

1. In der Meldung stehen nur Nummer und Paket. Sie erscheint auf einem
   Sperrbildschirm, den auch jemand sieht, der zufaellig danebensteht.

2. Ist der Schluessel unlesbar, wird KEIN neuer erzeugt. Das waere der
   bequeme Weg und der schlimmste: Ein neuer oeffentlicher Schluessel
   macht schlagartig jede Anmeldung wertlos, ohne dass jemand erfaehrt,
   warum nichts mehr ankommt.

3. Die Verwaltung zeigt den Zustand an und hat einen Testknopf. Genau
   das fehlte dem Discord-Weg. Bei verweigerter Erlaubnis erscheint
   kein Knopf, der nichts bewirkt, sondern der Weg ueber die
   Browsereinstellungen.

Das stille "if (!url) return;" ist ersetzt: Jeder Weg wird einzeln
protokolliert -- auch und gerade, wenn er uebersprungen wird.

Co-Authored-By: Claude Opus 5 <[email protected]>

server-internal/index.js

@@ -86,6 +86,12 @@ import {
   anfrageAbsenden, anfragenListe, anfrageDetail,
   anfrageStatus, anfrageArchivieren, anfrageNotiz,
 } from "./routes/webdesign-anfragen.js";
+/* Push-Benachrichtigung (26.08.2026). Ohne Fremdpaket gebaut, weil der
+   Dienst unter /home/dogiintern mit Rechten 700 liegt -- dort ist kein
+   npm erreichbar. Node bringt P-256, HKDF und AES-GCM selbst mit. */
+import {
+  pushStand, pushSchluessel, pushAnmelden, pushAbmelden, pushTest,
+} from "./routes/webdesign-push.js";
 /* Kundenportal (Masterplan S.12). Eigene Anmeldung mit eigener Sitzung --
    Kunden sind KEINE Teammitglieder und duerfen mit deren Rechtesystem
    nichts zu tun haben. Die Mandantentrennung sitzt in den Handlern:
@@ -138,6 +144,7 @@ import { angebotVorschau, angebotSenden, angebotZurueckziehen }
    Sie muessen beim Start EINMAL entschluesselt werden, weil die
    Pruefungen des PayPal-Moduls synchron sind. */
 import { geheimnisseLaden } from "./lib/webdesign-geheimnisse.js";
+import { vapidSicherstellen } from "./lib/webdesign-push.js";
 import { vorlagenSicherstellen } from "./lib/webdesign-vorlagen.js";
 
 initDb();
@@ -157,6 +164,17 @@ geheimnisseLaden()
   .then((n) => { if (n) console.log(`[webdesign] ${n} Einstellungen aus der Datenbank geladen.`); })
   .catch((e) => console.error("[webdesign] Einstellungen nicht ladbar:", e?.message));
 
+/* Push-Schluessel bereitstellen. Beim allerersten Start werden sie
+   erzeugt, danach nur noch gelesen -- ein Wechsel wuerde alle
+   angemeldeten Geraete stillschweigend abhaengen.
+
+   Faellt das aus, laeuft der Dienst weiter: Ohne Benachrichtigung
+   arbeitet die Seite normal, sie meldet sich nur nicht von selbst. Die
+   Verwaltung zeigt den Zustand an, statt ihn zu verschweigen. */
+vapidSicherstellen()
+  .then((r) => { if (r.zustand === "neu") console.log("[push] eingerichtet."); })
+  .catch((e) => console.error("[push] nicht einsatzbereit:", e?.message));
+
 const PORT = Number(process.env.PORT || 4200);
 const app = express();
 app.set("trust proxy", 1);
@@ -305,6 +323,16 @@ app.post("/webdesign/admin/anfragen/:id/status", wrap(anfrageStatus));
 app.post("/webdesign/admin/anfragen/:id/archivieren", wrap(anfrageArchivieren));
 app.post("/webdesign/admin/anfragen/:id/notiz", wrap(anfrageNotiz));
 
+/* Benachrichtigung aufs Handy (26.08.2026).
+   Der Stand-Endpunkt ist der wichtigste davon: Er beantwortet die Frage
+   "wuerde ich es mitbekommen, wenn jetzt eine Anfrage kaeme?". Genau
+   die war bisher nicht zu beantworten. */
+app.get("/webdesign/admin/push/stand", wrap(pushStand));
+app.get("/webdesign/admin/push/schluessel", wrap(pushSchluessel));
+app.post("/webdesign/admin/push/anmelden", wrap(pushAnmelden));
+app.post("/webdesign/admin/push/abmelden", wrap(pushAbmelden));
+app.post("/webdesign/admin/push/test", wrap(pushTest));
+
 /* Annehmen und Ablehnen.
 
    Die Vorschau-Endpunkte lesen nur und veraendern nichts -- deshalb GET.