2 commits

Author	SHA1	Message	Date
Kevin Adametz	39e13d6d84	security: Host-Whitelist & Legacy-API-Key-Übergabe härten (H5, M11) ... - trustHosts erlaubt nur die konfigurierten Domains (plus localhost/IP für Health-Checks) und verwirft fremde Host-Header, sodass X-Forwarded-Host keine URL-Generierung mehr vergiften kann (H5). - Legacy-API-Keys nur noch per Header (Bearer/X-ApiKey); die alte Query-/Body-Übergabe wird nicht mehr zur Auth akzeptiert, erhält aber weiterhin den 410-Migrationshinweis statt eines opaken 401 (M11). Co-Authored-By: Claude Fable 5 <noreply@anthropic.com>	2026-07-14 13:48:28 +00:00
Kevin Adametz	6a45ebf607	Legacy-API-Paritaet S1+S2: connektar-Flow verhaltensgleich + KI-Schalter ... Eigene Compat-Controller (Api/Legacy) fuer die 5 real genutzten /service-Endpoints (Prod-Log-Beleg): Company-/Kontakt-Create (liefen 410!), PM-Create, Bild-Upload, published-only-GET — verschachtelte Alt-Params, 201+Location+{}, Alt-Fehlerformat, Hit-Zaehlung, Legacy-Land-Mapping. - Anlegen = Einreichen (Alt-Verhalten); Sofort-Publish via neuer Permission api:immediate-publication (WS-7: connektar zuweisen) - Admin-Schalter 'KI-Pruefung Legacy-API' (app_settings-Tabelle, Toggle auf /admin/press-releases): an = review + KI-Routing - Admin-PM-Liste: KI-Spalte (Ampel-Badge) + manueller Pruef-Button ohne Routing fuer ungepruefte PMs - Mails bei API-Einlieferern an Pressekontakt, sonst Firmen-Mail, Fallback Einlieferer (User-Entscheidung 10.07.) - Tests: LegacyServiceParityTest (connektar-Flow end-to-end); Suite 1182 gruen Co-Authored-By: Claude Fable 5 <noreply@anthropic.com>	2026-07-10 14:09:40 +00:00