monitoring: Betriebsüberwachung Phase 1 — GlitchTip (Server- und Browserfehler), Fehlersignale ohne Exception, /health mit Scheduler-Herzschlag, ntfy-Alarme, fehlgeschlagene Anmeldungen im Verlauf, Umami im Kundenbereich, Versionsnummer

- GlitchTip über die Sentry-SDKs; Datenschutzfilter (nur User-ID, keine
  Request-Bodys, Tokens aus URL/Query/Referer, E-Mails aus Meldungen).
  Browser-SDK erst beim ersten Fehler nachgeladen.
- ReportErrorSignals: tote interne Links (404 mit eigenem Referrer), 403/429
  für Angemeldete, 419 als gedrosselte Warnung.
- /health (Bearer-Token): DB, Cache, Queue-Rückstau, Scheduler-Herzschlag,
  Plattenplatz → 200/503; Scheduler und Plattenplatz auch im Systemstatus.
- OperationalAlert zusätzlich per ntfy (JSON-POST), unabhängig von der Mail.
- Verlauf: login_failed (Grund unbekannt/kein Passwort/falsch),
  login_lockout, two_factor_failed; IP nur als gekürzter HMAC.
- Umami: Kundenbereich mit eigenem Schalter und identify('user-<id>'),
  nie im Admin/bei Impersonation; Query-Filter auch auf den Webseiten
  (signierte Links gingen bisher an Umami).
- queue:prune-failed nach 30 Tagen.
- Versionsnummer: config('app.version') aus APP_VERSION oder Datei RELEASE
  (git describe --tags), in GlitchTip, /health, Systemstatus, artisan about.

Plan: dev/betrieb/monitoring-plan.md (Entscheidungen M1–M9).

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

tests/Feature/Monitoring/ErrorReportingTest.php

@@ -0,0 +1,77 @@
+<?php
+
+use App\Models\User;
+use App\Support\Monitoring\ErrorReportScrubber;
+use Illuminate\Support\Facades\Route;
+use Sentry\Event;
+use Sentry\ExceptionDataBag;
+use Tests\Support\FakeGlitchTip;
+
+/**
+ * GlitchTip-Anbindung (Monitoring-Plan 1.1, M4): gemeldete Exceptions gehen
+ * raus, aber nur mit User-ID, ohne Tokens und ohne E-Mail-Adressen.
+ */
+test('reported exceptions reach glitchtip with the user id only', function () {
+    $glitchTip = FakeGlitchTip::install();
+    $user = User::factory()->create(['email' => 'kunde@example.com']);
+    $this->actingAs($user);
+
+    report(new RuntimeException('Import für kunde@example.com fehlgeschlagen'));
+
+    expect($glitchTip->events)->toHaveCount(1);
+
+    $event = $glitchTip->events[0];
+    expect($event->getUser()?->getId())->toBe($user->id)
+        ->and($event->getUser()?->getEmail())->toBeNull()
+        ->and($event->getExceptions()[0]->getValue())->toBe('Import für [email] fehlgeschlagen');
+});
+
+test('exceptions laravel does not report stay out of glitchtip', function () {
+    $glitchTip = FakeGlitchTip::install();
+
+    $this->get('/diese-seite-gibt-es-nicht')->assertNotFound();
+
+    expect($glitchTip->events)->toBe([]);
+});
+
+test('request data loses tokens, signatures and bodies', function () {
+    $scrubbed = ErrorReportScrubber::scrubRequest([
+        'url' => 'https://pressekonto.test/newsroom/claim/5?signature=abc123&expires=1700000000&src=mail_publish',
+        'query_string' => 'signature=abc123&expires=1700000000&src=mail_publish&utm_source=nl',
+        'data' => ['password' => 'geheim'],
+        'cookies' => ['pressekonto_session' => 'x'],
+        'headers' => ['referer' => ['https://pressekonto.test/reset-password/'.str_repeat('a', 64).'?email=kunde@example.com']],
+    ]);
+
+    expect($scrubbed['url'])->toBe('https://pressekonto.test/newsroom/claim/5?signature=%5BFiltered%5D&expires=%5BFiltered%5D&src=mail_publish')
+        ->and($scrubbed['query_string'])->toBe('signature=%5BFiltered%5D&expires=%5BFiltered%5D&src=mail_publish&utm_source=nl')
+        ->and($scrubbed)->not->toHaveKeys(['data', 'cookies'])
+        ->and($scrubbed['headers']['referer'][0])->toBe('https://pressekonto.test/reset-password/[Filtered]?email=%5BFiltered%5D');
+});
+
+test('route parameters named like secrets are removed from the url', function () {
+    Route::middleware('web')->get('/_test/magic/{token}', function () {
+        $event = Event::createEvent();
+        $event->setRequest(['url' => request()->fullUrl()]);
+
+        return ErrorReportScrubber::beforeSend($event)?->getRequest()['url'];
+    });
+
+    $this->get('/_test/magic/kurz123')
+        ->assertSuccessful()
+        ->assertSee('/_test/magic/[Filtered]', false)
+        ->assertDontSee('kurz123');
+});
+
+test('messages and exception values lose e-mail addresses', function () {
+    $event = Event::createEvent();
+    $event->setMessage('Bounce von info@firma.de', [], 'Bounce von info@firma.de');
+    $event->setExceptions([new ExceptionDataBag(new RuntimeException('Duplicate entry \'a.b@c.org\''))]);
+
+    $scrubbed = ErrorReportScrubber::beforeSend($event);
+
+    expect($scrubbed?->getMessage())->toBe('Bounce von [email]')
+        ->and($scrubbed?->getMessageFormatted())->toBe('Bounce von [email]')
+        ->and($scrubbed?->getExceptions()[0]->getValue())->toBe('Duplicate entry \'[email]\'')
+        ->and($scrubbed?->getUser())->toBeNull();
+});