Kevin Adametz 39e13d6d84 security: Host-Whitelist & Legacy-API-Key-Übergabe härten (H5, M11) ... - trustHosts erlaubt nur die konfigurierten Domains (plus localhost/IP für Health-Checks) und verwirft fremde Host-Header, sodass X-Forwarded-Host keine URL-Generierung mehr vergiften kann (H5). - Legacy-API-Keys nur noch per Header (Bearer/X-ApiKey); die alte Query-/Body-Übergabe wird nicht mehr zur Auth akzeptiert, erhält aber weiterhin den 410-Migrationshinweis statt eines opaken 401 (M11). Co-Authored-By: Claude Fable 5 <noreply@anthropic.com>		2026-07-14 13:48:28 +00:00
..
_old	12-05-2026 Frontend dev	2026-05-12 18:32:33 +02:00
agentur-attribution	Agentur-Attribution: Plan abgehakt, Abnahme-Status 08.07. dokumentiert	2026-07-08 09:51:56 +00:00
frontend	Frontend: Editorial-Relaunch der öffentlichen Strecke + Ausgaben-Routing	2026-06-16 16:39:28 +00:00
legacy_logging	12-05-2026 Frontend dev	2026-05-12 18:32:33 +02:00
legacy_performance	12-05-2026 Frontend dev	2026-05-12 18:32:33 +02:00
migration 2026	Doku (R6.6): veraltete migration-2026-Dokus mit Verweis-Banner versehen	2026-07-03 13:34:56 +00:00
optimize	Plan: Phase 5 vollstaendig abgeschlossen (5.2/5.3/5.5 auf erledigt)	2026-07-02 10:44:15 +00:00
release	security: Host-Whitelist & Legacy-API-Key-Übergabe härten (H5, M11)	2026-07-14 13:48:28 +00:00