Benachrichtigung bei neuer Anfrage: Push aufs Handy

BEFUND ZUERST, DENN ER WAR ANDERS ALS ERWARTET

Es gab sehr wohl eine Benachrichtigung -- ueber einen Discord-Webhook,
sauber gebaut, bewusst ohne Kundendaten im Text. Sie begann aber mit:

    const url = process.env.DISCORD_WEBHOOK_WEBDESIGN;
    if (!url) return;

Und diese Variable ist in .env.example nirgends aufgefuehrt. Eine
Variable, die niemand kennt, wird nicht gesetzt; dann kehrte die
Funktion wortlos zurueck. Kein Fehler, keine Protokollzeile. Es gab
eine Benachrichtigung, die nur im Quelltext existierte -- und niemand
konnte das bemerken, weil "funktioniert" und "kaputt" identisch
aussehen, solange nichts passiert.

WAS JETZT DA IST

Push aufs Handy, ohne Fremdpaket. Der interne Dienst liegt unter
/home/dogiintern mit Rechten 700 -- dort ist kein npm erreichbar, jede
Abhaengigkeit haette dauerhafte Handarbeit bedeutet. Node bringt P-256,
HKDF und AES-128-GCM selbst mit.

Die Schluessel erzeugt der Server beim ersten Start selbst und legt den
privaten Teil verschluesselt in der Datenbank ab (derselbe Weg wie die
PayPal-Zugangsdaten). Damit gibt es keinen Einrichtungsschritt, der
vergessen werden kann.

GEPRUEFT

Gegen RFC 8291 statt gegen ein Bauchgefuehl: alle fuenf Zwischenwerte
aus Anhang A stimmen (ECDH-Geheimnis, PRK_key, IKM, CEK, NONCE), und
die fertige Nachricht ist Byte fuer Byte die aus Abschnitt 5 der Norm.
Bei Kryptographie erzeugt ein Ableitungsfehler keinen Absturz, sondern
Bytes, die genauso zufaellig aussehen wie richtige.

Dazu ein Kettentest mit einem echten Empfaenger, der entschluesselt:
Kopfzeilen, Inhalt, keine Kundendaten in der Meldung, 410 loescht das
Geraet, 500 loescht es NICHT (sonst kostet eine einzelne Stoerung die
Anmeldung). 50 Pruefungen, alle gruen.

DREI ENTSCHEIDUNGEN

1. In der Meldung stehen nur Nummer und Paket. Sie erscheint auf einem
   Sperrbildschirm, den auch jemand sieht, der zufaellig danebensteht.

2. Ist der Schluessel unlesbar, wird KEIN neuer erzeugt. Das waere der
   bequeme Weg und der schlimmste: Ein neuer oeffentlicher Schluessel
   macht schlagartig jede Anmeldung wertlos, ohne dass jemand erfaehrt,
   warum nichts mehr ankommt.

3. Die Verwaltung zeigt den Zustand an und hat einen Testknopf. Genau
   das fehlte dem Discord-Weg. Bei verweigerter Erlaubnis erscheint
   kein Knopf, der nichts bewirkt, sondern der Weg ueber die
   Browsereinstellungen.

Das stille "if (!url) return;" ist ersetzt: Jeder Weg wird einzeln
protokolliert -- auch und gerade, wenn er uebersprungen wird.

Co-Authored-By: Claude Opus 5 <[email protected]>

webdesign/sw.js

@@ -34,7 +34,7 @@
    Start alle alten Zwischenspeicher weg. Muss bei jeder Änderung an den
    Dateien unten hochgezählt werden, sonst hängen Nutzer auf einem alten
    Stand fest. */
-const CACHE_NAME = "dogfather-webdesign-v51";
+const CACHE_NAME = "dogfather-webdesign-v52";
 
 /* Bausteine, die die Oberfläche zum Anzeigen braucht. Bewusst KEINE
    HTML-Datei in dieser Liste. */
@@ -189,3 +189,75 @@ self.addEventListener("fetch", (ereignis) => {
   /* Alles Übrige: kein respondWith -> der Browser macht es ganz normal
      selbst. Das ist die sicherste Voreinstellung. */
 });
+
+/* =====================================================================
+   PUSH-MELDUNGEN (26.08.2026)
+
+   Ab hier geht es nicht mehr um Zwischenspeicher, sondern um
+   Benachrichtigungen. Beides liegt im selben Service Worker, weil der
+   Browser nur einen je Geltungsbereich zulaesst.
+
+   WARUM IMMER ETWAS ANGEZEIGT WIRD
+
+   Browser verlangen: Wer die Erlaubnis fuer Benachrichtigungen hat und
+   eine Push-Nachricht empfaengt, MUSS etwas sichtbar machen. Wer still
+   empfaengt, verliert die Erlaubnis wieder -- zu Recht, denn sonst
+   waere Push ein bequemer Weg, ein Geraet unbemerkt anzufunken.
+
+   Deshalb gibt es unten auch fuer den Fall einer unlesbaren Nachricht
+   eine Ersatzmeldung, statt einfach nichts zu tun.
+   ===================================================================== */
+
+self.addEventListener("push", (ereignis) => {
+  let daten = {};
+  try {
+    daten = ereignis.data ? ereignis.data.json() : {};
+  } catch (e) {
+    /* Kam etwas an, das kein JSON ist, wird trotzdem gemeldet -- siehe
+       oben. Lieber eine unspezifische Meldung als eine verlorene
+       Erlaubnis. */
+    daten = { titel: "Neue Meldung", text: "In der Verwaltung nachsehen." };
+  }
+
+  const titel = daten.titel || "Dogfather Webdesign";
+  const optionen = {
+    body: daten.text || "",
+    icon: "/assets/img/wd-app-192.png",
+    badge: "/assets/img/wd-app-192.png",
+    /* Gleiche Kennung = neue Meldung ERSETZT die alte. Kommen fuenf
+       Anfragen hintereinander, soll nicht fuenfmal dasselbe untereinander
+       stehen. */
+    tag: daten.art || "allgemein",
+    renotify: false,
+    /* Bewusst NICHT requireInteraction: Eine Meldung, die stehen bleibt,
+       bis man sie wegklickt, ist auf dem Sperrbildschirm eine Zumutung. */
+    data: { url: daten.url || "/webdesign/verwaltung.html" },
+    /* Sanft. Die Seite soll augenschonend sein, und das gilt auch fuer
+       das, was sie nachts auf einem Sperrbildschirm veranstaltet. */
+    silent: false,
+    vibrate: [80, 40, 80],
+  };
+
+  ereignis.waitUntil(self.registration.showNotification(titel, optionen));
+});
+
+self.addEventListener("notificationclick", (ereignis) => {
+  ereignis.notification.close();
+  const ziel = (ereignis.notification.data && ereignis.notification.data.url)
+    || "/webdesign/verwaltung.html";
+
+  /* Ist die Verwaltung schon offen, wird dieses Fenster nach vorn geholt
+     statt ein zweites zu oeffnen. Sonst sammeln sich mit jeder Meldung
+     weitere Fenster derselben Seite an. */
+  ereignis.waitUntil(
+    self.clients.matchAll({ type: "window", includeUncontrolled: true }).then((fenster) => {
+      for (const f of fenster) {
+        if (f.url.includes("/webdesign/") && "focus" in f) {
+          if ("navigate" in f && !f.url.endsWith(ziel)) f.navigate(ziel).catch(() => {});
+          return f.focus();
+        }
+      }
+      return self.clients.openWindow(ziel);
+    })
+  );
+});