Zugangs-Sperre: Code wird nach dem Schliessen des Browsers wieder gefragt

Sitzungs-Cookie ohne maxAge/expires statt 90-Tage-Cookie (auch fuer die
zweite Verwaltungs-Schranke); zusaetzlich Notbremse von 12 Stunden im
signierten Token, falls ein Browser sehr lange offen bleibt.
Kundenkonten (customer-auth.js, 30 Tage) bleiben bewusst unveraendert.

server/lib/auth.js

@@ -9,7 +9,15 @@
 
 export const COOKIE_NAME = "vandiy_gate_session";
 export const ROLE_COOKIE_NAME = "vandiy_gate_role";
-export const SESSION_TAGE = 90;
+
+/* Zugang gilt nur für die laufende Browser-Sitzung (Wunsch 05.08.2026: "jedes Mal wenn wir den
+   Browser zu machen, soll der Code wieder gefragt werden"). Umgesetzt über ein reines
+   Sitzungs-Cookie OHNE maxAge/expires in middleware/gate.js — das löscht der Browser beim
+   Schließen selbst. SESSION_STUNDEN ist nur die zusätzliche Notbremse im signierten Token für
+   den Fall, dass ein Browser tage-/wochenlang offen bleibt (dann läuft der Zugang trotzdem ab).
+   Betrifft NUR die Zugangsschranke — Kundenkonten (customer-auth.js, 30 Tage) bleiben unberührt,
+   echte Kund:innen sollen sich nicht bei jedem Besuch neu anmelden müssen. */
+export const SESSION_STUNDEN = 12;
 
 function b64urlEncode(bytes) {
   let bin = "";
@@ -34,7 +42,7 @@ async function hmacKey(secret) {
 }
 
 export async function signSession(role, secret) {
-  const payload = JSON.stringify({ role, exp: Date.now() + SESSION_TAGE * 24 * 60 * 60 * 1000 });
+  const payload = JSON.stringify({ role, exp: Date.now() + SESSION_STUNDEN * 60 * 60 * 1000 });
   const payloadB64 = b64urlEncode(new TextEncoder().encode(payload));
   const key = await hmacKey(secret);
   const sig = await crypto.subtle.sign("HMAC", key, new TextEncoder().encode(payloadB64));