monitoring: Betriebsüberwachung Phase 1 — GlitchTip (Server- und Browserfehler), Fehlersignale ohne Exception, /health mit Scheduler-Herzschlag, ntfy-Alarme, fehlgeschlagene Anmeldungen im Verlauf, Umami im Kundenbereich, Versionsnummer

- GlitchTip über die Sentry-SDKs; Datenschutzfilter (nur User-ID, keine
  Request-Bodys, Tokens aus URL/Query/Referer, E-Mails aus Meldungen).
  Browser-SDK erst beim ersten Fehler nachgeladen.
- ReportErrorSignals: tote interne Links (404 mit eigenem Referrer), 403/429
  für Angemeldete, 419 als gedrosselte Warnung.
- /health (Bearer-Token): DB, Cache, Queue-Rückstau, Scheduler-Herzschlag,
  Plattenplatz → 200/503; Scheduler und Plattenplatz auch im Systemstatus.
- OperationalAlert zusätzlich per ntfy (JSON-POST), unabhängig von der Mail.
- Verlauf: login_failed (Grund unbekannt/kein Passwort/falsch),
  login_lockout, two_factor_failed; IP nur als gekürzter HMAC.
- Umami: Kundenbereich mit eigenem Schalter und identify('user-<id>'),
  nie im Admin/bei Impersonation; Query-Filter auch auf den Webseiten
  (signierte Links gingen bisher an Umami).
- queue:prune-failed nach 30 Tagen.
- Versionsnummer: config('app.version') aus APP_VERSION oder Datei RELEASE
  (git describe --tags), in GlitchTip, /health, Systemstatus, artisan about.

Plan: dev/betrieb/monitoring-plan.md (Entscheidungen M1–M9).

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

tests/Feature/Monitoring/ErrorSignalsTest.php

@@ -0,0 +1,71 @@
+<?php
+
+use App\Models\User;
+use App\Support\Monitoring\ErrorSignal;
+use Illuminate\Support\Facades\Route;
+use Tests\Support\FakeGlitchTip;
+
+/**
+ * Fehler ohne Exception (Monitoring-Plan 1.3): tote interne Links,
+ * 403/429 für Angemeldete und 419 werden als GlitchTip-Warnung gemeldet.
+ */
+beforeEach(function () {
+    $this->withoutDefer();
+    $this->glitchTip = FakeGlitchTip::install();
+
+    Route::middleware('web')->get('/_test/forbidden', fn () => abort(403))->name('test.forbidden');
+    Route::middleware('web')->get('/_test/expired', fn () => abort(419))->name('test.expired');
+    Route::middleware('web')->get('/_test/throttled', fn () => abort(429))->name('test.throttled');
+});
+
+test('a 404 reached from one of our own pages is reported as a dead internal link', function () {
+    $this->get('/gibt-es-nicht', ['referer' => url('/de/presse')])->assertNotFound();
+
+    expect($this->glitchTip->messages())->toBe(['Toter interner Link: /gibt-es-nicht']);
+
+    $event = $this->glitchTip->events[0];
+    expect($event->getTags())->toMatchArray(['signal' => ErrorSignal::DeadInternalLink])
+        ->and($event->getFingerprint())->toBe(['error-signal', ErrorSignal::DeadInternalLink, '/gibt-es-nicht'])
+        ->and($event->getContexts()['signal']['referer'])->toBe('/de/presse');
+});
+
+test('a 404 without referer or from another site is not reported', function () {
+    $this->get('/gibt-es-nicht')->assertNotFound();
+    $this->get('/gibt-es-nicht', ['referer' => 'https://google.com/search'])->assertNotFound();
+
+    expect($this->glitchTip->events)->toBe([]);
+});
+
+test('403 and 429 are reported only for signed-in users', function () {
+    $this->get('/_test/forbidden')->assertForbidden();
+    $this->get('/_test/throttled')->assertTooManyRequests();
+
+    expect($this->glitchTip->events)->toBe([]);
+
+    $this->actingAs(User::factory()->create());
+    $this->get('/_test/forbidden')->assertForbidden();
+    $this->get('/_test/throttled')->assertTooManyRequests();
+
+    expect($this->glitchTip->messages())->toBe([
+        'Zugriff verweigert (angemeldet): test.forbidden',
+        'Drosselung trifft angemeldeten Nutzer: test.throttled',
+    ]);
+});
+
+test('an expired page is always reported, for livewire with the page as location', function () {
+    $this->get('/_test/expired')->assertStatus(419);
+    $this->get('/_test/expired', ['X-Livewire' => '1', 'referer' => url('/me/pressemitteilungen/neu')])->assertStatus(419);
+
+    expect($this->glitchTip->messages())->toBe([
+        'Seite abgelaufen (419): test.expired',
+        'Seite abgelaufen (419): livewire /me/pressemitteilungen/neu',
+    ]);
+});
+
+test('each signal group is capped at five reports per window', function () {
+    foreach (range(1, 7) as $attempt) {
+        $this->get('/_test/expired');
+    }
+
+    expect($this->glitchTip->events)->toHaveCount(5);
+});