Kevin Adametz 299837d2ba security: Host-Whitelist & Legacy-API-Key-Übergabe härten (H5, M11) ... - trustHosts erlaubt nur die konfigurierten Domains (plus localhost/IP für Health-Checks) und verwirft fremde Host-Header, sodass X-Forwarded-Host keine URL-Generierung mehr vergiften kann (H5). - Legacy-API-Keys nur noch per Header (Bearer/X-ApiKey); die alte Query-/Body-Übergabe wird nicht mehr zur Auth akzeptiert, erhält aber weiterhin den 410-Migrationshinweis statt eines opaken 401 (M11). Co-Authored-By: Claude Fable 5 <noreply@anthropic.com>		2026-07-14 13:48:28 +00:00
..
api-legacy-paritaet.md	S4: legacy:seed-api-testdata — API-Testkunde nach connektar-Muster	2026-07-10 14:22:58 +00:00
boost-platzierung-offen.md	Add-on-Panel zeigt freie Boost-Plaetze je Stufe	2026-07-13 13:12:05 +00:00
deploy-runbook.md	Release-Doku: Stand 09.07. nachgezogen; Runbook FULLTEXT-Fenster + Monitoring	2026-07-09 15:34:40 +00:00
entwicklungsplan-release.md	Doku: Boost-Platzierung entschieden + umgesetzt (Slot-Grenzen, Kategorie-Boost)	2026-07-13 12:28:03 +00:00
qa-checkliste.md	security: Host-Whitelist & Legacy-API-Key-Übergabe härten (H5, M11)	2026-07-14 13:48:28 +00:00
umami.md	Umami-Webanalyse eingebaut, bis zum Go-Live deaktiviert	2026-07-06 08:56:14 +00:00