Interne Bestellverwaltung mit Status-Übersicht + Auswertung (/verwaltung/)

Neue Seite, dauerhaft nur für qciga/vanvan sichtbar (functions/_middleware.js
schützt /verwaltung/* jetzt IMMER — unabhängig vom SITE_PUBLIC-Schalter, mit
dem der Rest der Seite später öffentlich geschaltet wird):

- Status-Kacheln: Offen / In Bearbeitung / Versendet / Abgeschlossen (klickbar
  als Filter) + Gesamtumsatz-Kachel
- Filterbare Bestellliste (nutzt dieselben Status-Badges/-Farben wie die
  Kunden-Kontoseite)
- Auswertung "Meistverkaufte Produkte je Kategorie" (Balken nach verkaufter
  Menge, aus den echten Produktdaten berechnet)
- Auswertung "Bestellungen nach Land" (DE/AT/CH/LU, Balken + Prozent)

Wie an anderer Stelle im Projekt: es gibt noch keine echte, geräteüber-
greifende Bestell-Datenbank (Phase 1) — die Seite zeigt realistische
Beispieldaten in exakt der Struktur, die echte Bestellungen später haben
werden (Cloudflare Worker + D1), klar als solche gekennzeichnet.

Co-Authored-By: Claude Sonnet 5 <[email protected]>

functions/_middleware.js

@@ -25,6 +25,9 @@
      Adminbereich hat sein eigenes, echtes Login (GitHub-OAuth über den
      cms-auth-Worker) und funktioniert für VanVan bereits einwandfrei; eine
      zusätzliche Schranke davor würde nur doppelt verwirren.
+   - /verwaltung/* (interne Bestellübersicht) bleibt IMMER geschützt — auch
+     wenn der Rest der Seite später per SITE_PUBLIC=true freigeschaltet wird
+     (siehe unten). Diese Seite ist nie für Kund:innen gedacht.
 
    Die Signatur (HMAC-SHA256 über Web Crypto, in jeder Workers/Pages-Runtime
    eingebaut) verhindert, dass jemand sich einfach selbst ein
@@ -139,9 +142,20 @@ export async function onRequest(context) {
     return next();
   }
 
-  // Fail-open-Absicherung: fehlen die Zugangs-Secrets (z.B. noch nicht gesetzt), lieber die
-  // Schranke NICHT scharf schalten, als sich selbst aus der eigenen Seite auszusperren.
-  if (!env.SITE_ACCESS_SECRET || (!env.SITE_ACCESS_CODE_QCIGA && !env.SITE_ACCESS_CODE_VANVAN)) {
+  // Fail-open-Absicherung: fehlen die Zugangs-Secrets komplett (z.B. noch nicht gesetzt), lieber
+  // GAR KEINE Schranke scharf schalten, als sich selbst aus der eigenen Seite auszusperren.
+  const codesKonfiguriert = !!(env.SITE_ACCESS_SECRET && (env.SITE_ACCESS_CODE_QCIGA || env.SITE_ACCESS_CODE_VANVAN));
+  if (!codesKonfiguriert) {
+    return next();
+  }
+
+  // /verwaltung/* (Bestellübersicht — nur für qciga/vanvan) bleibt IMMER geschützt, unabhängig
+  // vom SITE_PUBLIC-Schalter unten. Sobald der Shop live geht, setzt man einfach das Secret
+  // SITE_PUBLIC=true (wrangler pages secret put) — dann öffnet sich der Rest der Seite für alle,
+  // aber /verwaltung/ bleibt weiterhin komplett hinter dem Zugangscode.
+  const immerGeschuetzterPfad = url.pathname.startsWith("/verwaltung");
+  const sitePublic = env.SITE_PUBLIC === "true";
+  if (sitePublic && !immerGeschuetzterPfad) {
     return next();
   }