Zugangs-Sperre: Code wird nach dem Schliessen des Browsers wieder gefragt

Sitzungs-Cookie ohne maxAge/expires statt 90-Tage-Cookie (auch fuer die
zweite Verwaltungs-Schranke); zusaetzlich Notbremse von 12 Stunden im
signierten Token, falls ein Browser sehr lange offen bleibt.
Kundenkonten (customer-auth.js, 30 Tage) bleiben bewusst unveraendert.

server/lib/auth.js

@@ -9,7 +9,15 @@
 
 export const COOKIE_NAME = "vandiy_gate_session";
 export const ROLE_COOKIE_NAME = "vandiy_gate_role";
-export const SESSION_TAGE = 90;
+
+/* Zugang gilt nur für die laufende Browser-Sitzung (Wunsch 05.08.2026: "jedes Mal wenn wir den
+   Browser zu machen, soll der Code wieder gefragt werden"). Umgesetzt über ein reines
+   Sitzungs-Cookie OHNE maxAge/expires in middleware/gate.js — das löscht der Browser beim
+   Schließen selbst. SESSION_STUNDEN ist nur die zusätzliche Notbremse im signierten Token für
+   den Fall, dass ein Browser tage-/wochenlang offen bleibt (dann läuft der Zugang trotzdem ab).
+   Betrifft NUR die Zugangsschranke — Kundenkonten (customer-auth.js, 30 Tage) bleiben unberührt,
+   echte Kund:innen sollen sich nicht bei jedem Besuch neu anmelden müssen. */
+export const SESSION_STUNDEN = 12;
 
 function b64urlEncode(bytes) {
   let bin = "";
@@ -34,7 +42,7 @@ async function hmacKey(secret) {
 }
 
 export async function signSession(role, secret) {
-  const payload = JSON.stringify({ role, exp: Date.now() + SESSION_TAGE * 24 * 60 * 60 * 1000 });
+  const payload = JSON.stringify({ role, exp: Date.now() + SESSION_STUNDEN * 60 * 60 * 1000 });
   const payloadB64 = b64urlEncode(new TextEncoder().encode(payload));
   const key = await hmacKey(secret);
   const sig = await crypto.subtle.sign("HMAC", key, new TextEncoder().encode(payloadB64));

server/middleware/gate.js

@@ -12,10 +12,9 @@
    - API-Routen bekommen bei fehlender Sitzung 401-JSON statt HTML-Redirect.
    ===================================================================== */
 
-import { COOKIE_NAME, ROLE_COOKIE_NAME, SESSION_TAGE, signSession, verifySession } from "../lib/auth.js";
+import { COOKIE_NAME, ROLE_COOKIE_NAME, signSession, verifySession } from "../lib/auth.js";
 import {
   VERWALTUNG_COOKIE_NAME,
-  VERWALTUNG_SESSION_STUNDEN,
   signVerwaltungSession,
   verifyVerwaltungSession,
 } from "../lib/verwaltung-auth.js";
@@ -44,9 +43,9 @@ export async function gateAuthHandler(req, res) {
   }
 
   const session = await signSession(role, process.env.SITE_ACCESS_SECRET);
-  const maxAge = SESSION_TAGE * 24 * 60 * 60 * 1000;
-  res.cookie(COOKIE_NAME, session, { path: "/", maxAge, httpOnly: true, secure: true, sameSite: "lax" });
-  res.cookie(ROLE_COOKIE_NAME, role, { path: "/", maxAge, secure: true, sameSite: "lax" });
+  // Bewusst OHNE maxAge/expires → reines Sitzungs-Cookie, verfällt beim Schließen des Browsers.
+  res.cookie(COOKIE_NAME, session, { path: "/", httpOnly: true, secure: true, sameSite: "lax" });
+  res.cookie(ROLE_COOKIE_NAME, role, { path: "/", secure: true, sameSite: "lax" });
   return res.json({ ok: true, next });
 }
 
@@ -62,8 +61,8 @@ export async function verwaltungAuthHandler(req, res) {
   }
 
   const session = await signVerwaltungSession(process.env.VERWALTUNG_SESSION_SECRET);
-  const maxAge = VERWALTUNG_SESSION_STUNDEN * 60 * 60 * 1000;
-  res.cookie(VERWALTUNG_COOKIE_NAME, session, { path: "/", maxAge, httpOnly: true, secure: true, sameSite: "lax" });
+  // Ebenfalls reines Sitzungs-Cookie (siehe gateAuthHandler oben).
+  res.cookie(VERWALTUNG_COOKIE_NAME, session, { path: "/", httpOnly: true, secure: true, sameSite: "lax" });
   return res.json({ ok: true, next });
 }