diff --git a/server/.env.example b/server/.env.example
new file mode 100644
index 0000000..67c619c
--- /dev/null
+++ b/server/.env.example
@@ -0,0 +1,34 @@
+# Vorlage — echte Werte kommen in eine eigene ".env"-Datei (wird nie eingecheckt/committed,
+# siehe .gitignore), niemals hier direkt eintragen.
+
+# Wo die SQLite-Datenbankdatei liegt (außerhalb des Programmcodes, siehe db.js)
+DB_PATH=/var/lib/vandiy-shop/vandiy-shop.db
+
+# Port, auf dem der Node-Server lokal lauscht (Caddy leitet von außen dorthin weiter)
+PORT=4000
+
+# Zugangscode-Schranke (ganze Seite) — selbst gewählte, zufällige Werte
+SITE_ACCESS_SECRET=
+SITE_ACCESS_CODE_QCIGA=
+SITE_ACCESS_CODE_VANVAN=
+
+# Zweite Schranke für /verwaltung/ (eigenes Signier-Geheimnis, geprüfter Code ist derselbe wie oben)
+VERWALTUNG_SESSION_SECRET=
+
+# Kundenkonto-Sitzungen (Google-/PayPal-Login)
+CUSTOMER_SESSION_SECRET=
+
+# Sobald der Shop für echte Kund:innen live gehen soll: auf "true" setzen
+SITE_PUBLIC=false
+
+# PayPal (Zahlung + "Log in with PayPal") — aus dem PayPal-Entwickler-Dashboard
+PAYPAL_ENV=sandbox
+PAYPAL_CLIENT_ID=
+PAYPAL_CLIENT_SECRET=
+
+# Google-Login — aus der Google Cloud Console
+GOOGLE_CLIENT_ID=
+GOOGLE_CLIENT_SECRET=
+
+# E-Mail-Versand (Bestellbenachrichtigungen) — aus resend.com
+RESEND_API_KEY=
diff --git a/server/db.js b/server/db.js
new file mode 100644
index 0000000..8b6ba15
--- /dev/null
+++ b/server/db.js
@@ -0,0 +1,44 @@
+/* =====================================================================
+ db.js — SQLite-Datenbank (better-sqlite3), Ersatz für Cloudflare D1.
+
+ D1 ist selbst schon SQLite unter der Haube — deshalb funktioniert das bestehende Schema
+ (../d1/schema.sql) unverändert. WICHTIG: ../d1/schema.sql ist bereits der KONSOLIDIERTE
+ Endzustand (enthält gutschein_code, paypal_order_id, customers-Tabelle direkt) — die
+ migration-*.sql-Dateien daneben waren einmalige ALTER-TABLE-Schritte für die SCHON LAUFENDE
+ alte D1-Datenbank und dürfen auf einer frischen Datenbank NICHT nochmal ausgeführt werden
+ (migration-0002 würde z.B. mit "duplicate column name" fehlschlagen, weil schema.sql die
+ Spalte schon enthält). Deshalb hier bewusst NUR schema.sql. Echte, bestehende Bestelldaten aus
+ der alten D1-Datenbank werden separat importiert (siehe import-d1-daten.js), nicht über die
+ Migrationsdateien.
+
+ Der Datenbank-Ordner liegt außerhalb des Programmcodes (siehe DB_PATH), damit ein Update des
+ Servers (z.B. "git pull") niemals die echten Bestelldaten anfassen kann.
+ ===================================================================== */
+
+import Database from "better-sqlite3";
+import { readFileSync, existsSync, mkdirSync } from "node:fs";
+import { dirname, join } from "node:path";
+import { fileURLToPath } from "node:url";
+
+const __dirname = dirname(fileURLToPath(import.meta.url));
+
+// Überschreibbar über die Umgebungsvariable DB_PATH (siehe .env) — Standard: eigener,
+// vom Programmcode getrennter Datenordner.
+const DB_PATH = process.env.DB_PATH || "/var/lib/vandiy-shop/vandiy-shop.db";
+const D1_ORDNER = join(__dirname, "..", "d1");
+
+mkdirSync(dirname(DB_PATH), { recursive: true });
+
+export const db = new Database(DB_PATH);
+db.pragma("journal_mode = WAL"); // bessere Nebenläufigkeit bei gleichzeitigen Lese-/Schreibzugriffen
+db.pragma("foreign_keys = ON");
+
+function fuehreSqlDateiAus(pfad) {
+ if (!existsSync(pfad)) return;
+ const sql = readFileSync(pfad, "utf-8");
+ db.exec(sql);
+}
+
+export function initDb() {
+ fuehreSqlDateiAus(join(D1_ORDNER, "schema.sql"));
+}
diff --git a/server/index.js b/server/index.js
new file mode 100644
index 0000000..d85f508
--- /dev/null
+++ b/server/index.js
@@ -0,0 +1,68 @@
+/* =====================================================================
+ index.js — Haupteinstiegspunkt. Baut den kompletten Express-Server auf: liefert die fertig
+ gebaute Astro-Seite (../dist/) aus UND die API-Routen, genau wie Cloudflare Pages beides in
+ einem Deployment vereint hat. Die Zugangscode-Schranke (middleware/gate.js) läuft vor JEDER
+ Anfrage, exakt wie functions/_middleware.js das vorher bei Cloudflare tat.
+
+ Umgebungsvariablen kommen aus einer .env-Datei — gestartet wird dieser Server mit
+ "node --env-file=.env index.js" (Node 22 kann .env-Dateien nativ laden, kein zusätzliches
+ Paket nötig).
+ ===================================================================== */
+
+import express from "express";
+import cookieParser from "cookie-parser";
+import { dirname, join } from "node:path";
+import { fileURLToPath } from "node:url";
+import { existsSync } from "node:fs";
+
+import { initDb } from "./db.js";
+import { gateMiddleware } from "./middleware/gate.js";
+import { ordersRouter } from "./routes/orders.js";
+import { bestsellerRouter } from "./routes/bestseller.js";
+import { paypalRouter } from "./routes/paypal.js";
+import { authRouter } from "./routes/auth.js";
+import { accountRouter } from "./routes/account.js";
+import { verwaltungRouter } from "./routes/verwaltung.js";
+
+const __dirname = dirname(fileURLToPath(import.meta.url));
+const DIST_DIR = join(__dirname, "..", "dist");
+const PORT = Number(process.env.PORT || 4000);
+
+initDb();
+
+const app = express();
+
+// Läuft hinter Caddy (Reverse Proxy) — nötig, damit req.protocol/req.get("host") und
+// "secure"-Cookies korrekt funktionieren, statt anzunehmen, die Verbindung sei unverschlüsselt.
+app.set("trust proxy", 1);
+
+app.use(cookieParser());
+app.use(express.json({ limit: "2mb" }));
+
+// Zugangscode-Schranke vor allem anderen — exakt wie functions/_middleware.js bei Cloudflare.
+app.use(gateMiddleware);
+
+app.use(ordersRouter);
+app.use(bestsellerRouter);
+app.use(paypalRouter);
+app.use(authRouter);
+app.use(accountRouter);
+app.use(verwaltungRouter);
+
+// Statische Auslieferung der fertig gebauten Astro-Seite (nach "npm run build" in ../).
+if (existsSync(DIST_DIR)) {
+ app.use(express.static(DIST_DIR, { extensions: ["html"] }));
+} else {
+ console.warn(`⚠️ ${DIST_DIR} existiert nicht — "npm run build" im Astro-Projekt (../) noch nicht ausgeführt.`);
+}
+
+// 404 für alles, was weder Datei noch bekannte Route ist.
+app.use((req, res) => {
+ res.status(404).sendFile(join(DIST_DIR, "404.html"), (err) => {
+ if (err) res.status(404).send("Nicht gefunden.");
+ });
+});
+
+app.listen(PORT, "127.0.0.1", () => {
+ console.log(`Van's DIY & Bastelbedarf – Server läuft auf http://127.0.0.1:${PORT}`);
+});
diff --git a/server/lib/auth.js b/server/lib/auth.js
new file mode 100644
index 0000000..ee78c4e
--- /dev/null
+++ b/server/lib/auth.js
@@ -0,0 +1,76 @@
+/* =====================================================================
+ lib/auth.js — gemeinsame Session-Logik für die Zugangscode-Schranke (qciga/VanVan).
+
+ 1:1 portiert aus functions/_shared/auth.js — Node 22 hat crypto.subtle, btoa/atob global
+ verfügbar (Web-Crypto-Standard), deshalb konnte die Logik praktisch unverändert übernommen
+ werden. Einziger Unterschied: getCookie() liest jetzt aus Express' geparsten req.cookies statt
+ selbst den Cookie-Header zu zerlegen (cookie-parser übernimmt das).
+ ===================================================================== */
+
+export const COOKIE_NAME = "vandiy_gate_session";
+export const ROLE_COOKIE_NAME = "vandiy_gate_role";
+export const SESSION_TAGE = 90;
+
+function b64urlEncode(bytes) {
+ let bin = "";
+ bytes.forEach((b) => (bin += String.fromCharCode(b)));
+ return btoa(bin).replace(/\+/g, "-").replace(/\//g, "_").replace(/=+$/, "");
+}
+function b64urlDecodeToBytes(str) {
+ str = str.replace(/-/g, "+").replace(/_/g, "/");
+ while (str.length % 4) str += "=";
+ const bin = atob(str);
+ return Uint8Array.from(bin, (c) => c.charCodeAt(0));
+}
+
+async function hmacKey(secret) {
+ return crypto.subtle.importKey(
+ "raw",
+ new TextEncoder().encode(secret),
+ { name: "HMAC", hash: "SHA-256" },
+ false,
+ ["sign", "verify"]
+ );
+}
+
+export async function signSession(role, secret) {
+ const payload = JSON.stringify({ role, exp: Date.now() + SESSION_TAGE * 24 * 60 * 60 * 1000 });
+ const payloadB64 = b64urlEncode(new TextEncoder().encode(payload));
+ const key = await hmacKey(secret);
+ const sig = await crypto.subtle.sign("HMAC", key, new TextEncoder().encode(payloadB64));
+ const sigB64 = b64urlEncode(new Uint8Array(sig));
+ return `${payloadB64}.${sigB64}`;
+}
+
+export async function verifySession(token, secret) {
+ if (!token || !token.includes(".")) return null;
+ const [payloadB64, sigB64] = token.split(".");
+ try {
+ const key = await hmacKey(secret);
+ const valid = await crypto.subtle.verify(
+ "HMAC",
+ key,
+ b64urlDecodeToBytes(sigB64),
+ new TextEncoder().encode(payloadB64)
+ );
+ if (!valid) return null;
+ const payload = JSON.parse(new TextDecoder().decode(b64urlDecodeToBytes(payloadB64)));
+ if (!payload.exp || payload.exp < Date.now()) return null;
+ return payload; // { role, exp }
+ } catch {
+ return null;
+ }
+}
+
+/** Liefert die Rolle ("qciga"/"vanvan") bei gültiger Sitzung, sonst null. */
+export async function getGateRole(req) {
+ if (!process.env.SITE_ACCESS_SECRET) return null;
+ const token = req.cookies?.[COOKIE_NAME];
+ const payload = token ? await verifySession(token, process.env.SITE_ACCESS_SECRET) : null;
+ return payload?.role ?? null;
+}
+
+/** Standard-401-Antwort für API-Routen ohne gültige Sitzung. */
+export function unauthorizedJson(res) {
+ return res.status(401).json({ ok: false, error: "Nicht angemeldet." });
+}
diff --git a/server/lib/bestellung-erstellen.js b/server/lib/bestellung-erstellen.js
new file mode 100644
index 0000000..5fe65c9
--- /dev/null
+++ b/server/lib/bestellung-erstellen.js
@@ -0,0 +1,180 @@
+/* =====================================================================
+ lib/bestellung-erstellen.js — die eigentliche "Bestellung anlegen"-Logik. 1:1 portiert aus
+ functions/_shared/bestellung-erstellen.js, D1-Aufrufe (async, .bind().run()) auf better-
+ sqlite3 (synchron) umgestellt. Gleiche Validierung, gleiche "nur einmal pro Person"-Logik,
+ gleicher E-Mail-Versand.
+ ===================================================================== */
+
+import { readFileSync } from "node:fs";
+import { dirname, join } from "node:path";
+import { fileURLToPath } from "node:url";
+import { db } from "../db.js";
+import { sendeEmail, escapeHtmlFuerEmail } from "./email.js";
+
+const __dirname = dirname(fileURLToPath(import.meta.url));
+const gutscheineRaw = JSON.parse(
+ readFileSync(join(__dirname, "..", "..", "src", "content", "gutscheine.json"), "utf-8")
+);
+
+const ERLAUBTE_LAENDER = ["de", "at", "ch", "lu"];
+const gutscheine = gutscheineRaw?.codes || [];
+const BENACHRICHTIGUNGS_EMAIL = "vansdiyundbastelbedarf@gmail.com";
+const LAND_NAME = { de: "Deutschland", at: "Österreich", ch: "Schweiz", lu: "Luxemburg" };
+
+function formatPreis(n) {
+ return `${Number(n).toFixed(2).replace(".", ",")} €`;
+}
+
+function bestellBenachrichtigungHtml({ bestellnummer, name, email, land, artikel, summe, status }) {
+ const artikelZeilen = artikel
+ .map((a) => `${a.menge}× ${escapeHtmlFuerEmail(a.name)} — ${formatPreis(a.preis * a.menge)}`)
+ .join("");
+ const statusZeile =
+ status === "zahlungOffen"
+ ? `⏳ Zahlung noch ausstehend — Überweisung, bitte Zahlungseingang abwarten, bevor die Ware verschickt wird.
`
+ : `✅ Zahlung bestätigt (PayPal)
`;
+ return `
+
+
🩵 Neue Bestellung ${escapeHtmlFuerEmail(bestellnummer)}
+ ${statusZeile}
+
Von: ${escapeHtmlFuerEmail(name)} (${escapeHtmlFuerEmail(email)})
+ Land: ${escapeHtmlFuerEmail(LAND_NAME[land] || land)}
+
Artikel:
+
+
Summe: ${formatPreis(summe)}
+
→ Zur Bestellverwaltung
+