Version 2.7.4: Unterschriften in der Sicherung, unterschrieben ist abgeschlossen

Auf einem frisch aufgesetzten Server brach das Upgrade mitten drin ab:

    /tmp/tmp.XXXX:8:24: syntax error: unknown setting: 'requiretty'
    visudo: invalid sudoers file
     !! sudoers-Datei ist fehlerhaft

"Defaults:<user> !requiretty" stand in beiden sudoers-Dateien. Auf Debian und
Ubuntu ist requiretty nie gesetzt -- die Zeile war von Anfang an wirkungslos --
und ab sudo 1.9.16 kennt visudo die Einstellung nicht mehr und lehnt die ganze
Datei ab. Sie ist entfernt; ein Hygienetest haelt fest, dass sie nicht
zurueckkommt, und prueft gleich mit, dass in diesen Dateien genau eine Regel
steht und die auf den Helfer zeigt.

Schlimmer als der Fehler war die Folge: der alte Dienst war zu diesem Zeitpunkt
gestoppt und deaktiviert, das Verzeichnis teils ersetzt, der neue Dienst nicht
vorhanden. upgbrade.sh faengt den Fehlschlag jetzt ab und dreht den Lauf
zurueck -- und mit "--rollback" auch spaeter noch, aus einer vorhandenen
Sicherung.

Dafuer muss die Sicherung mehr enthalten als das Verzeichnis. Bei einem Upgrade
in dasselbe Verzeichnis schreibt install.sh auch systemd-Unit, nginx-Site,
logrotate und Banner neu und ersetzt das venv; ohne Kopie davon liesse sich der
alte Stand nicht herstellen. Ein Manifest haelt Quelle und Art des Umzugs fest,
damit ein spaeterer Rueckweg nicht raten muss.

Beim Nachstellen des Fehlschlags fiel ein zweiter Fund auf, gefaehrlicher als
der erste: die Liste der "alten Units" war fest verdrahtet -- fuer --app tesm
immer tesm.service. Nach einem rename.sh heisst so aber die *laufende*
Installation. Wer die archivierte 1.x in eine eigene Instanz hochzieht und
--keep-old-running vergisst, haette damit den Produktionsdienst gestoppt und
deaktiviert. Die Units werden jetzt daran erkannt, dass sie in genau das
Quellverzeichnis zeigen; Timer und Hilfsdienste kommen ueber den Namen der so
gefundenen Unit mit.

Am System geprueft, nicht behauptet: Fehlschlag nachgestellt (1.2.8 mit eigener
Unit, eigener Site und erkennbarem venv), Rueckweg lief -- VERSION 1.2.8, das
alte venv und die alte Unit wieder da, die neue Struktur weg, die laufende
Produktion unberuehrt. Danach derselbe Lauf mit heiler sudoers-Datei bis zum
Ende (4 Clients, 2 Zugangsdaten, DHCP), und zuletzt "--rollback" als eigener
Aufruf auf dieselbe Installation.

Version 2.0.10.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

README.md

@@ -4,6 +4,13 @@ Ausgabe und Verwaltung der Lizenzen für TESM: Kunde -> Ticket -> Lizenz,
 Aktivierung online und offline, Kundenportal, Selbstbedienung, Versand über
 MS Graph und eine Hierarchie aus Unter-Lizenzservern.
 
+> **Diese Ausgabe ist für Sub-Lizenzserver.** Ein Sub-Lizenzserver bekommt
+> seine eigene Lizenz von der Wurzelinstanz und stellt danach selbst
+> Kundenlizenzen aus. Was er nicht kann: sich selbst die Rolle `master` geben --
+> der Code dafür liegt nicht in diesem Paket, sondern nur in der Master-Ausgabe
+> (privates Repository `tesm-license-master`). Das ist keine Einstellung, die
+> sich umlegen lässt, sondern ein fehlendes Verzeichnis.
+
 **Dieses Repository enthält genau das, was zum Installieren und Betreiben des
 Lizenzservers gebraucht wird** -- nichts darüber hinaus:
 
@@ -21,6 +28,7 @@ Die verwaltete Anwendung liegt hier **nicht** mit drin.
 | Wo sonst noch | |
 |---|---|
 | [alientim/tesm](https://gitea.int.eertmoed.net/alientim/tesm) | TESM selbst |
+| [alientim/tesm-license-master](https://gitea.int.eertmoed.net/alientim/tesm-license-master) | Master-Ausgabe (privat): die Wurzelinstanz |
 | [alientim/TESM-DEV](https://gitea.int.eertmoed.net/alientim/TESM-DEV) | Entwicklung: beide Anwendungen, Tests, Architekturdoku |
 
 ## Zweige
@@ -34,16 +42,24 @@ Die verwaltete Anwendung liegt hier **nicht** mit drin.
 
 ## Installation
 
+Eine einzelne Datei genügt -- sie lädt das Release selbst:
+
 ```bash
-sudo bash deploy/install.sh --app tesm-license --https --domain lizenz.firma.de
-sudo -u tesm-license tesm-license-admin init-key
-sudo -u tesm-license tesm-license-admin bootstrap
+curl -fsSLO https://gitea.int.eertmoed.net/alientim/tesm-license/raw/branch/main/install.sh
+sudo bash install.sh --app tesm-license --https --domain lizenz.firma.de
 sudo -u tesm-license tesm-license-admin create-admin
 ```
 
-**`init-key` erzeugt den Signaturschlüssel dieses Servers. Sichern Sie ihn
-sofort.** Ohne ihn lässt sich keine ausgestellte Lizenz mehr erneuern, und
-Kunden müssten einen Ausstellerwechsel bestätigen.
+Aus einem entpackten Paket ist es derselbe Aufruf ohne `curl`.
+
+Den **Signaturschlüssel** legt der Installer selbst an -- mit ihm signiert
+dieser Server seine Kundenlizenzen. **Sichern Sie ihn sofort**
+(`data/master_signing_key.json`): ohne ihn ist keine ausgestellte Lizenz mehr
+prüfbar, und Kunden müssten einen Ausstellerwechsel bestätigen. Eine
+Aktualisierung fasst ihn nie an.
+
+Die **eigene Lizenz** dieses Servers kommt von der Wurzelinstanz: dort eine
+Lizenz für diesen Server anfordern und unter "Eigene Lizenz" einspielen.
 
 Zielzustand: **Port 443 mit TLS, Port 80 leitet dorthin um** -- ausser dem
 ACME-Pfad, der erreichbar bleiben muss, sonst kann Let's Encrypt nie erneuern.
@@ -57,7 +73,7 @@ für nginx-Site, logrotate, Zertifikate und Sitzungscookie.
 ### Aktualisieren
 
 ```bash
-sudo bash deploy/update.sh --app tesm-license
+sudo bash /srv/tesm-license/deploy/update.sh tesm-license
 ```
 
 Vor jedem Update entsteht ein vollständiges Backup, danach läuft ein
@@ -70,7 +86,6 @@ Health-Check mit automatischem Rollback.
 ```bash
 sudo -u tesm-license tesm-license-admin status
 sudo -u tesm-license tesm-license-admin init-key       # Signaturschlüssel
-sudo -u tesm-license tesm-license-admin bootstrap      # Grunddaten
 sudo -u tesm-license tesm-license-admin create-admin
 sudo -u tesm-license tesm-license-admin migrate-legacy # Altbestand übernehmen
 ```
@@ -135,3 +150,19 @@ Entwicklungsrepository, ebenso die Tests.
 * **CSRF-Schutz überhaupt.** Der Vorgänger hatte keinen.
 * **Rechte werden serverseitig geprüft**, nicht nur im Template ausgeblendet.
 * **Verschachtelte Datenbankverbindungen sind ein Fehler**, kein Deadlock.
+
+---
+
+## Von einer Installation der Fassung 1.x
+
+Eine einzelne Datei genügt -- sie lädt das Release selbst:
+
+```bash
+curl -fsSLO https://gitea.int.eertmoed.net/alientim/tesm-license/raw/branch/main/deploy/upgrade.sh
+sudo bash upgrade.sh --app tesm-license
+```
+
+Sichert die alte Installation, schaltet sie ab, installiert diese Fassung und
+übernimmt die Daten. Einzelheiten und was **nicht** mitkommt:
+[docs/BETRIEB.md](docs/BETRIEB.md).
+

apps/tesm-license/pyproject.toml

@@ -4,7 +4,7 @@ build-backend = "setuptools.build_meta"
 
 [project]
 name = "tesm-license"
-version = "2.0.2"
+version = "2.7.4"
 description = "TESM-Lizenzserver -- Kunden, Tickets, Lizenzen, Aktivierung"
 requires-python = ">=3.11"
 dependencies = [

apps/tesm-license/src/tesm_license/__init__.py

@@ -8,6 +8,7 @@ musste (und ``licensing.py`` byte-identisch gehalten werden *musste*).
 
 from __future__ import annotations
 
+import importlib.util
 import logging
 from pathlib import Path
 from typing import Any
@@ -23,17 +24,46 @@ from .permissions import PERMISSIONS, ROLE_PRESETS
 from .schema import LICENSE_MIGRATIONS
 from .settings_spec import LICENSE_SERVER_SETTINGS
 
-__version__ = "2.0.2"
+#: Version aus den Metadaten des installierten Pakets -- die einzige Quelle
+#: ist ``pyproject.toml``. Vorher stand hier eine feste Zahl, und die
+#: Fusszeile zeigte vier Releases lang 2.0.2.
+#:
+#: Im Quellbaum ohne ``pip install`` gibt es keine Metadaten; dann steht dort
+#: "unbekannt" statt einer erfundenen Nummer. In einem editierbaren Install
+#: zeigt sie den Stand des letzten ``pip install -e`` -- also die Version, die
+#: tatsaechlich installiert ist.
+try:  # pragma: no cover - haengt an der Installationsart
+    from importlib.metadata import PackageNotFoundError, version as _paketversion
+
+    __version__ = _paketversion("tesm-license")
+except (ImportError, PackageNotFoundError):  # pragma: no cover
+    __version__ = "unbekannt"
 
 APP_KEY = "tesm-license"
 APP_NAME = "TESM-Lizenzserver"
 APP_SHORT = "TL"
 APP_EDITION = "Lizenzverwaltung"
+
+#: Zeile unter der Wortmarke auf den Anmeldeseiten, in derselben Schrift wie
+#: bei TESM. Ein Wort statt einer Liste: der Lizenzserver tut genau eine Sache.
+AUTH_TAGLINE = "LIZENZIEREN"
 ENV_PREFIX = "TESM_LICENSE_"
 
 logger = logging.getLogger(__name__)
 
 
+def is_master_edition() -> bool:
+    """Ist das hier die Master-Ausgabe?
+
+    Entscheidet die **Anwesenheit** des Teilpakets ``tesm_license.master``, nicht
+    eine Einstellung: eine Einstellung koennte der lokale Administrator eines
+    Sub-Lizenzservers umstellen, eine fehlende Datei nicht. Das Release fuer
+    Sub-Lizenzserver bringt das Teilpaket nicht mit -- dort gibt es also
+    ueberhaupt keinen Code, der die Rolle ``master`` erzeugen koennte.
+    """
+    return importlib.util.find_spec("tesm_license.master") is not None
+
+
 def master_key_path(config: Any) -> Path:
     return Path(config.data_dir) / "master_signing_key.json"
 
@@ -56,6 +86,7 @@ def create_app(**overrides: Any) -> Flask:
         import_name="tesm_license",
         app_short=APP_SHORT,
         app_edition=APP_EDITION,
+        auth_tagline=AUTH_TAGLINE,
         app_version=__version__,
         enable_license=True,
     )
@@ -173,7 +204,7 @@ def _status_pills(user: Any) -> list[dict[str, str]]:
 def _startup_tasks(app: Flask) -> None:
     extension = core(app)
     if not extension.config.web_process:
-        logger.info("Startaufgaben uebersprungen -- kein Webprozess.")
+        logger.info("Startaufgaben übersprungen – kein Webprozess.")
         return
 
     from .services import activation

apps/tesm-license/src/tesm_license/blueprints/api.py

@@ -59,7 +59,7 @@ def _handle(action: str):
         )
 
     if request.content_length and request.content_length > MAX_BODY_BYTES:
-        return jsonify({"error": "too_large", "message": "Anfrage zu gross."}), 413
+        return jsonify({"error": "too_large", "message": "Anfrage zu groß."}), 413
 
     payload = request.get_json(silent=True)
     if not isinstance(payload, dict):

apps/tesm-license/src/tesm_license/blueprints/backup.py

@@ -13,7 +13,7 @@ from tesm_core.extension import core, db, transaction
 from ..services import transfer
 from .common import log_event
 
-bp = Blueprint("backup", __name__, url_prefix="/sicherung")
+bp = Blueprint("backup", __name__, url_prefix="/administration/backup")
 
 MAX_IMPORT_BYTES = 64 * 1024 * 1024
 PREVIEW_SESSION_KEY = "_import_token"
@@ -57,18 +57,18 @@ def overview():
 
 @bp.post("/export")
 @permission_required("backup.export")
-@reauth_required
+# Die frische Bestaetigung verlangt das Recht selbst (SENSITIVE_ACTIONS).
 def export():
     conn = db()
     allowed = {category.key for category in _allowed_categories()}
     chosen = [key for key in request.form.getlist("categories") if key in allowed]
     if not chosen:
-        flash("Es wurde keine Kategorie ausgewaehlt.", "warning")
+        flash("Es wurde keine Kategorie ausgewählt.", "warning")
         return redirect(url_for("backup.overview"))
 
     passphrase = request.form.get("passphrase") or ""
     if passphrase != (request.form.get("passphrase_repeat") or ""):
-        flash("Die beiden Passphrasen stimmen nicht ueberein.", "danger")
+        flash("Die beiden Passphrasen stimmen nicht überein.", "danger")
         return redirect(url_for("backup.overview"))
 
     try:
@@ -94,18 +94,18 @@ def export():
     )
 
 
-@bp.post("/import/vorschau")
+@bp.post("/import/preview")
 @permission_required("backup.execute")
 @reauth_required
 def import_preview():
     conn = db()
     upload = request.files.get("backup_file")
     if upload is None or not upload.filename:
-        flash("Keine Datei ausgewaehlt.", "danger")
+        flash("Keine Datei ausgewählt.", "danger")
         return redirect(url_for("backup.overview"))
     raw = upload.stream.read(MAX_IMPORT_BYTES + 1)
     if len(raw) > MAX_IMPORT_BYTES:
-        flash("Die Datei ist zu gross.", "danger")
+        flash("Die Datei ist zu groß.", "danger")
         return redirect(url_for("backup.overview"))
 
     try:
@@ -124,14 +124,14 @@ def import_preview():
         scope="sicherung",
     )
     flash(
-        f"Datei geoeffnet. Sie haben {transfer.PREVIEW_TTL_MINUTES} Minuten Zeit, die "
-        "Uebernahme zu bestaetigen.",
+        f"Datei geöffnet. Sie haben {transfer.PREVIEW_TTL_MINUTES} Minuten Zeit, die "
+        "Übernahme zu bestätigen.",
         "success",
     )
     return redirect(url_for("backup.overview"))
 
 
-@bp.post("/import/uebernehmen")
+@bp.post("/import/apply")
 @permission_required("backup.execute")
 @reauth_required
 def import_apply():
@@ -139,13 +139,13 @@ def import_apply():
     conn = db()
     token = session.get(PREVIEW_SESSION_KEY, "")
     if not token:
-        flash("Es liegt keine geoeffnete Sicherung vor.", "danger")
+        flash("Es liegt keine geöffnete Sicherung vor.", "danger")
         return redirect(url_for("backup.overview"))
 
     allowed = {category.key for category in _allowed_categories()}
     chosen = [key for key in request.form.getlist("categories") if key in allowed]
     if not chosen:
-        flash("Es wurde keine Kategorie ausgewaehlt.", "warning")
+        flash("Es wurde keine Kategorie ausgewählt.", "warning")
         return redirect(url_for("backup.overview"))
 
     try:
@@ -172,7 +172,7 @@ def import_apply():
             action="backup.imported",
             detail="; ".join(
                 f"{key}: {counts['created']} neu, {counts['updated']} aktualisiert, "
-                f"{counts['skipped']} uebersprungen"
+                f"{counts['skipped']} übersprungen"
                 for key, counts in report.items()
             ),
             ip=client_ip(),
@@ -182,15 +182,15 @@ def import_apply():
     lines = [
         f"{transfer.CATEGORY_BY_KEY[key].label}: {counts['created']} neu, "
         f"{counts['updated']} aktualisiert"
-        + (f", {counts['skipped']} uebersprungen" if counts["skipped"] else "")
+        + (f", {counts['skipped']} übersprungen" if counts["skipped"] else "")
         for key, counts in report.items()
         if key in transfer.CATEGORY_BY_KEY
     ]
-    flash("Uebernahme abgeschlossen. " + " | ".join(lines), "success")
+    flash("Übernahme abgeschlossen. " + " – ".join(lines), "success")
     return redirect(url_for("backup.overview"))
 
 
-@bp.post("/import/verwerfen")
+@bp.post("/import/discard")
 @permission_required("backup.execute")
 def import_discard():
     token = session.pop(PREVIEW_SESSION_KEY, "")

apps/tesm-license/src/tesm_license/blueprints/customers.py

@@ -9,7 +9,7 @@ from tesm_core.extension import db, transaction
 from ..services import issuance, reporting
 from .common import customer_facing_url, log_event
 
-bp = Blueprint("customers", __name__, url_prefix="/kunden")
+bp = Blueprint("customers", __name__, url_prefix="/customers")
 
 FIELDS = (
     "name",
@@ -61,7 +61,7 @@ def detail(customer_id: int):
     )
 
 
-@bp.post("/neu")
+@bp.post("/new")
 @permission_required("customers.create")
 def create():
     try:
@@ -96,14 +96,14 @@ def update(customer_id: int):
                 severity="notice",
                 scope="kunde",
             )
-        flash("Aenderungen gespeichert." if changes else "Keine Aenderungen.",
+        flash("Änderungen gespeichert." if changes else "Keine Änderungen.",
               "success" if changes else "info")
     except issuance.IssuanceError as exc:
         flash(str(exc), "danger")
     return redirect(url_for("customers.detail", customer_id=customer_id))
 
 
-@bp.post("/<int:customer_id>/loeschen")
+@bp.post("/<int:customer_id>/delete")
 @permission_required("customers.delete")
 def delete(customer_id: int):
     conn = db()
@@ -119,7 +119,7 @@ def delete(customer_id: int):
             severity="warning",
             scope="kunde",
         )
-        flash("Kunde geloescht.", "success")
+        flash("Kunde gelöscht.", "success")
         return redirect(url_for("customers.overview"))
     except issuance.IssuanceError as exc:
         flash(str(exc), "danger")

apps/tesm-license/src/tesm_license/blueprints/dashboard.py

@@ -16,7 +16,7 @@ from ..services import issuance, reporting
 bp = Blueprint("dashboard", __name__)
 
 
-@bp.get("/uebersicht")
+@bp.get("/overview")
 @login_required
 def index():
     conn = db()

apps/tesm-license/src/tesm_license/blueprints/licenses.py

@@ -38,7 +38,7 @@ from .common import (
     vendor_info,
 )
 
-bp = Blueprint("licenses", __name__, url_prefix="/lizenzen")
+bp = Blueprint("licenses", __name__, url_prefix="/licenses")
 
 
 @bp.get("/")
@@ -49,7 +49,7 @@ def overview():
         {**row, **issuance.display_state(row)}
         for row in issuance.list_licenses(
             conn,
-            customer_id=request.args.get("kunde", type=int),
+            customer_id=request.args.get("customer", type=int),
             ticket_id=request.args.get("ticket"),
             status=request.args.get("status"),
         )
@@ -99,7 +99,7 @@ def detail(license_id: str):
 # --------------------------------------------------------------------------- #
 
 
-@bp.post("/aus-ticket/<ticket_id>")
+@bp.post("/from-ticket/<ticket_id>")
 @permission_required("licenses.create")
 def issue(ticket_id: str):
     conn = db()
@@ -124,7 +124,7 @@ def issue(ticket_id: str):
 
     if result.already_existed:
         flash(
-            "Zu diesem Ticket war bereits eine Lizenz offen -- sie wird angezeigt statt eine "
+            "Zu diesem Ticket war bereits eine Lizenz offen – sie wird angezeigt statt eine "
             "zweite auszustellen.",
             "info",
         )
@@ -140,9 +140,9 @@ def issue(ticket_id: str):
     return redirect(url_for("licenses.detail", license_id=result.license_id))
 
 
-@bp.get("/<license_id>/datei")
+@bp.get("/<license_id>/file")
 @permission_required("licenses.export")
-@reauth_required
+# Die frische Bestaetigung verlangt das Recht selbst (SENSITIVE_ACTIONS).
 def download(license_id: str):
     """Laedt das vollstaendige Auslieferungs-Bundle herunter.
 
@@ -166,7 +166,7 @@ def download(license_id: str):
             channel="download",
             recipient=current_user.username,
             actor=current_user.username,
-            detail="Vollstaendiges Bundle" if "client_key" in bundle else "Nur Lizenzdokument",
+            detail="Vollständiges Bundle" if "client_key" in bundle else "Nur Lizenzdokument",
         )
     log_event("license.downloaded", target=license_id[:12], severity="notice")
     return Response(
@@ -181,7 +181,7 @@ def download(license_id: str):
     )
 
 
-@bp.post("/<license_id>/neu-signieren")
+@bp.post("/<license_id>/resign")
 @permission_required("licenses.edit")
 @reauth_required
 def resign(license_id: str):
@@ -202,7 +202,7 @@ def resign(license_id: str):
         try:
             days = int(request.form["extend_days"])
         except ValueError:
-            flash("Die Verlaengerung muss eine Zahl sein.", "danger")
+            flash("Die Verlängerung muss eine Zahl sein.", "danger")
             return redirect(url_for("licenses.detail", license_id=license_id))
         if days > 0:
             document = json.loads(str(row["license_document"]))
@@ -212,7 +212,7 @@ def resign(license_id: str):
             changes["expires_at"] = lic.iso(base + timedelta(days=days))
 
     if not changes:
-        flash("Es wurde keine Aenderung angegeben.", "info")
+        flash("Es wurde keine Änderung angegeben.", "info")
         return redirect(url_for("licenses.detail", license_id=license_id))
 
     key = signing_key()
@@ -233,14 +233,14 @@ def resign(license_id: str):
     )
     reporting.report_soon(core())
     flash(
-        f"Neue Revision {updated['seq']} signiert. Der Client erhaelt sie beim naechsten "
+        f"Neue Revision {updated['seq']} signiert. Der Client erhält sie beim nächsten "
         "Heartbeat.",
         "success",
     )
     return redirect(url_for("licenses.detail", license_id=license_id))
 
 
-@bp.post("/<license_id>/widerrufen")
+@bp.post("/<license_id>/revoke")
 @permission_required("licenses.edit")
 def revoke(license_id: str):
     conn = db()
@@ -258,14 +258,14 @@ def revoke(license_id: str):
     )
     reporting.report_soon(core())
     flash(
-        "Lizenz widerrufen. Das Ticket bleibt offen -- eine neue Lizenz kann sofort "
+        "Lizenz widerrufen. Das Ticket bleibt offen – eine neue Lizenz kann sofort "
         "ausgestellt werden.",
         "success",
     )
     return redirect(url_for("licenses.detail", license_id=license_id))
 
 
-@bp.post("/<license_id>/loeschen")
+@bp.post("/<license_id>/delete")
 @permission_required("licenses.delete")
 def delete(license_id: str):
     conn = db()
@@ -277,7 +277,7 @@ def delete(license_id: str):
         return redirect(url_for("licenses.detail", license_id=license_id))
     log_event("license.deleted", target=license_id[:12], severity="warning")
     reporting.report_soon(core())
-    flash("Lizenz geloescht.", "success")
+    flash("Lizenz gelöscht.", "success")
     return redirect(url_for("licenses.overview"))
 
 
@@ -286,7 +286,7 @@ def delete(license_id: str):
 # --------------------------------------------------------------------------- #
 
 
-@bp.post("/<license_id>/versenden")
+@bp.post("/<license_id>/send")
 @permission_required("licenses.export")
 def send_mail(license_id: str):
     conn = db()
@@ -295,7 +295,7 @@ def send_mail(license_id: str):
         abort(404)
     recipient = (request.form.get("recipient") or str(row["contact_email"] or "")).strip()
     if not recipient:
-        flash("Es ist keine Empfaengeradresse hinterlegt.", "danger")
+        flash("Es ist keine Empfängeradresse hinterlegt.", "danger")
         return redirect(url_for("licenses.detail", license_id=license_id))
 
     try:
@@ -315,7 +315,7 @@ def send_mail(license_id: str):
         "",
         f"Lizenz-ID: {license_id}",
         f"Typ: {type_labels().get(str(row['type']), str(row['type']))}",
-        f"Gueltig bis: {row['expires_at']}"
+        f"Gültig bis: {row['expires_at']}"
         + (" (unbefristet)" if row["lifetime"] else ""),
     ]
     if is_customer and row["ticket_id"]:
@@ -329,7 +329,7 @@ def send_mail(license_id: str):
             "Ihre Stammdaten pflegen:",
             customer_facing_url("portal.request_link"),
         ]
-    lines += ["", "Freundliche Gruesse", vendor.get("name") or "Ihr Lizenzgeber"]
+    lines += ["", "Freundliche Grüße", vendor.get("name") or "Ihr Lizenzgeber"]
     if vendor.get("phone"):
         lines.append(f"Telefon: {vendor['phone']}")
     if vendor.get("email"):
@@ -403,7 +403,7 @@ def manual_code():
         if outcome.ok:
             response_code = lic.encode_code(outcome.response)
             ok = True
-            message = "Antwortcode erzeugt. Bitte an den Kunden zuruecksenden."
+            message = "Antwortcode erzeugt. Bitte an den Kunden zurücksenden."
             log_event(
                 f"license.offline_{payload.get('action')}",
                 target=str(payload.get("license_id") or "")[:12],
@@ -428,7 +428,7 @@ def manual_code():
 # --------------------------------------------------------------------------- #
 
 
-@bp.get("/sub-lizenzserver")
+@bp.get("/sub-servers")
 @permission_required("reports.view")
 def reports():
     conn = db()
@@ -440,7 +440,7 @@ def reports():
     )
 
 
-@bp.get("/sub-lizenzserver/<license_id>")
+@bp.get("/sub-servers/<license_id>")
 @permission_required("reports.view")
 def report_detail(license_id: str):
     conn = db()

apps/tesm-license/src/tesm_license/blueprints/own_license.py

@@ -32,10 +32,11 @@ from tesm_core.licensing_client import LICENSED_FEATURES, LicenseError
 
 import tesm_licensing as lic
 
+from .. import is_master_edition
 from ..services import master_key
 from .common import can_issue_license_server_licenses, log_event, signing_key
 
-bp = Blueprint("own_license", __name__, url_prefix="/eigene-lizenz")
+bp = Blueprint("own_license", __name__, url_prefix="/own-license")
 
 MAX_UPLOAD_BYTES = 256 * 1024
 
@@ -62,11 +63,12 @@ def overview():
         ),
         signing_key_health=master_key.health(extension.registry["master_key_path"]),
         may_issue_license_server=can_issue_license_server_licenses(),
+        master_edition=is_master_edition(),
         grace_days=lic.GRACE_PERIOD_DAYS,
     )
 
 
-@bp.post("/einspielen")
+@bp.post("/install")
 @permission_required("settings_license.edit")
 def upload():
     extension = core()
@@ -77,11 +79,11 @@ def upload():
 
     upload_file = request.files.get("license_file")
     if upload_file is None or not upload_file.filename:
-        flash("Keine Datei ausgewaehlt.", "danger")
+        flash("Keine Datei ausgewählt.", "danger")
         return redirect(url_for("own_license.overview"))
     raw = upload_file.stream.read(MAX_UPLOAD_BYTES + 1)
     if len(raw) > MAX_UPLOAD_BYTES:
-        flash("Die Datei ist zu gross fuer eine Lizenzdatei.", "danger")
+        flash("Die Datei ist zu groß für eine Lizenzdatei.", "danger")
         return redirect(url_for("own_license.overview"))
 
     try:
@@ -127,13 +129,13 @@ def _handshake(action: str):
     return redirect(url_for("own_license.overview"))
 
 
-@bp.post("/aktivieren")
+@bp.post("/activate")
 @permission_required("settings_license.edit")
 def activate():
     return _handshake("activate")
 
 
-@bp.post("/deaktivieren")
+@bp.post("/deactivate")
 @permission_required("settings_license.edit")
 @reauth_required
 def deactivate():
@@ -146,7 +148,7 @@ def heartbeat():
     return _handshake("heartbeat")
 
 
-@bp.post("/offline-antwort")
+@bp.post("/offline-response")
 @permission_required("settings_license.edit")
 def offline_response():
     manager = core().license
@@ -164,7 +166,7 @@ def offline_response():
     return redirect(url_for("own_license.overview"))
 
 
-@bp.get("/signaturschluessel")
+@bp.get("/signing-key")
 @permission_required("settings_license.view")
 def signing_key_info():
     """Zeigt den oeffentlichen Signaturschluessel -- zum Pinnen beim Kunden.

apps/tesm-license/src/tesm_license/blueprints/portal.py

@@ -45,7 +45,7 @@ RATE_WINDOW_MINUTES = 15
 
 GENERIC_ANSWER = (
     "Falls diese E-Mail-Adresse bei uns hinterlegt ist, wurde soeben eine Nachricht mit "
-    "einem {minutes} Minuten gueltigen Zugangslink verschickt."
+    "einem {minutes} Minuten gültigen Zugangslink verschickt."
 )
 
 EDITABLE_FIELDS = (
@@ -150,13 +150,13 @@ def request_link():
                             f"Guten Tag{(' ' + str(customer['contact_person'])) if customer['contact_person'] else ''},",
                             "",
                             "mit dem folgenden Link erreichen Sie Ihre Daten im Kundenportal.",
-                            f"Der Link ist {minutes} Minuten gueltig und laesst sich nur einmal verwenden:",
+                            f"Der Link ist {minutes} Minuten gültig und lässt sich nur einmal verwenden:",
                             "",
                             access_url,
                             "",
                             "Wenn Sie diesen Zugang nicht angefragt haben, ignorieren Sie die Nachricht.",
                             "",
-                            "Freundliche Gruesse",
+                            "Freundliche Grüße",
                             vendor.get("name") or "Ihr Lizenzgeber",
                         ]
                     ),
@@ -185,7 +185,7 @@ def access(token: str):
     expires = _parse(row["expires_at"]) if row is not None else None
     valid = row is not None and row["used_at"] is None and expires is not None and _now() < expires
     if not valid:
-        flash("Dieser Link ist ungueltig oder abgelaufen.", "danger")
+        flash("Dieser Link ist ungültig oder abgelaufen.", "danger")
         return redirect(url_for("portal.request_link"))
 
     minutes = int(extension.settings.get(conn, "portal_session_minutes") or 60)
@@ -247,7 +247,7 @@ def me():
                         ip=client_ip(),
                         severity="notice",
                     )
-            flash("Ihre Angaben wurden gespeichert." if changes else "Keine Aenderungen.", "success")
+            flash("Ihre Angaben wurden gespeichert." if changes else "Keine Änderungen.", "success")
         except issuance.IssuanceError as exc:
             flash(str(exc), "danger")
         return redirect(url_for("portal.me"))

apps/tesm-license/src/tesm_license/blueprints/selfservice.py

@@ -31,6 +31,8 @@ from .common import (
     vendor_info,
 )
 
+# Die Adresse steht in verschickten Mails und in Tickets -- sie bleibt
+# deutsch, waehrend der Rest der Anwendung auf englische Pfade wechselt.
 bp = Blueprint("selfservice", __name__, url_prefix="/lizenz")
 
 RATE_BUCKET = "selfservice"
@@ -60,7 +62,7 @@ def _rate_guard() -> None:
     with transaction():
         ratelimit.record(conn, RATE_BUCKET, client_ip() or "unbekannt")
     if verdict.blocked:
-        abort(429, description="Zu viele Anfragen. Bitte spaeter erneut versuchen.")
+        abort(429, description="Zu viele Anfragen. Bitte später erneut versuchen.")
 
 
 def _needs_offline(conn, ticket_id: str):  # type: ignore[no-untyped-def]
@@ -139,8 +141,8 @@ def issue(ticket_id: str):
         return redirect(url_for("selfservice.overview", ticket_id=ticket_id))
     if issuance.ticket_has_open_license(conn, ticket_id):
         flash(
-            "Es existiert bereits eine gueltige Lizenz. Geben Sie diese zuerst frei, wenn Sie "
-            "auf ein anderes System wechseln moechten.",
+            "Es existiert bereits eine gültige Lizenz. Geben Sie diese zuerst frei, wenn Sie "
+            "auf ein anderes System wechseln möchten.",
             "warning",
         )
         return redirect(url_for("selfservice.overview", ticket_id=ticket_id))
@@ -236,12 +238,12 @@ def offline(ticket_id: str):
             _log(
                 "selfservice.offline_rejected",
                 ticket,
-                "Code gehoert nicht zu diesem Vorgang",
+                "Code gehört nicht zu diesem Vorgang",
                 severity="warning",
             )
             flash(
-                "Dieser Code gehoert nicht zu Ihrem Vorgang. Bitte pruefen Sie, ob Sie ihn "
-                "vollstaendig kopiert haben.",
+                "Dieser Code gehört nicht zu Ihrem Vorgang. Bitte prüfen Sie, ob Sie ihn "
+                "vollständig kopiert haben.",
                 "danger",
             )
             return redirect(url_for("selfservice.offline", ticket_id=ticket_id))
@@ -297,7 +299,7 @@ def revoke(ticket_id: str, license_id: str):
     _log("license.revoked_self_service", ticket, license_id[:12], severity="warning")
     reporting.report_soon(core())
     flash(
-        "Die Lizenz wurde freigegeben. Sie koennen jetzt eine neue Lizenz fuer Ihr neues System "
+        "Die Lizenz wurde freigegeben. Sie können jetzt eine neue Lizenz für Ihr neues System "
         "ausstellen.",
         "success",
     )

apps/tesm-license/src/tesm_license/blueprints/settings.py

@@ -17,7 +17,7 @@ from tesm_core.extension import core, db, transaction
 from ..services import mail
 from .common import log_event, master_endpoint, vendor_info
 
-bp = Blueprint("settings", __name__, url_prefix="/einstellungen")
+bp = Blueprint("settings", __name__, url_prefix="/administration")
 
 MAX_LOGO_BYTES = 200 * 1024
 LOGO_MIME = {
@@ -54,6 +54,8 @@ def system():
                 "trash_retention_days",
                 "log_rotate_interval",
                 "log_rotate_keep",
+                "session_idle_minutes",
+                "session_absolute_hours",
             ],
         ),
         specs={spec.key: spec for spec in extension.settings.specs()},
@@ -68,6 +70,7 @@ def system():
         timezones=_timezone_choices(),
         nav_items=extension.nav.items,
         nav_order=extension.settings.get(conn, "nav_order") or extension.nav.default_order(),
+        nav_child_order=extension.settings.get(conn, "nav_child_order") or {},
         sysops_available=bool(sysops and sysops.available),
     )
 
@@ -97,6 +100,8 @@ def system_save():
         "trash_retention_days",
         "log_rotate_interval",
         "log_rotate_keep",
+        "session_idle_minutes",
+        "session_absolute_hours",
     ):
         spec = extension.settings.spec(key)
         if spec.kind == "bool":
@@ -116,7 +121,7 @@ def system_save():
                 ip=client_ip(),
                 severity="notice",
             )
-    flash("Einstellungen gespeichert." if changed else "Keine Aenderungen.",
+    flash("Einstellungen gespeichert." if changed else "Keine Änderungen.",
           "success" if changed else "info")
     return redirect(url_for("settings.system"))
 
@@ -128,10 +133,10 @@ def set_hostname():
     sysops = extension.sysops
     hostname = (request.form.get("hostname") or "").strip()
     if not hostname or len(hostname) > 63 or not hostname.replace("-", "").isalnum():
-        flash("Der Hostname ist ungueltig.", "danger")
+        flash("Der Hostname ist ungültig.", "danger")
         return redirect(url_for("settings.system"))
     if sysops is None or not sysops.available:
-        flash("Systemaktionen sind in dieser Umgebung nicht verfuegbar.", "warning")
+        flash("Systemaktionen sind in dieser Umgebung nicht verfügbar.", "warning")
         return redirect(url_for("settings.system"))
     result = sysops.set_hostname(hostname)
     if result.ok:
@@ -142,7 +147,7 @@ def set_hostname():
     return redirect(url_for("settings.system"))
 
 
-@bp.post("/system/zeitzone")
+@bp.post("/system/timezone")
 @permission_required("settings_system.execute")
 def set_timezone():
     import time
@@ -153,7 +158,7 @@ def set_timezone():
         flash("Unbekannte Zeitzone.", "danger")
         return redirect(url_for("settings.system"))
     if sysops is None or not sysops.available:
-        flash("Systemaktionen sind in dieser Umgebung nicht verfuegbar.", "warning")
+        flash("Systemaktionen sind in dieser Umgebung nicht verfügbar.", "warning")
         return redirect(url_for("settings.system"))
     result = sysops.set_timezone(timezone)
     if result.ok:
@@ -173,7 +178,7 @@ def set_timezone():
 # --------------------------------------------------------------------------- #
 
 
-@bp.get("/anbieter")
+@bp.get("/vendor")
 @permission_required("settings_vendor.view")
 def vendor():
     extension = core()
@@ -195,7 +200,7 @@ def vendor():
     )
 
 
-@bp.post("/anbieter")
+@bp.post("/vendor")
 @permission_required("settings_vendor.edit")
 def vendor_save():
     extension = core()
@@ -222,7 +227,7 @@ def vendor_save():
         if suffix not in LOGO_MIME:
             logo_problem = "Erlaubt sind PNG, JPG und SVG."
         elif len(data) > MAX_LOGO_BYTES:
-            logo_problem = f"Das Logo ist zu gross (maximal {MAX_LOGO_BYTES // 1024} KB)."
+            logo_problem = f"Das Logo ist zu groß (maximal {MAX_LOGO_BYTES // 1024} KB)."
         elif not any(head.startswith(magic) for magic in LOGO_MAGIC):
             logo_problem = "Die Datei ist kein Bild."
         else:
@@ -240,12 +245,12 @@ def vendor_save():
     log_event(
         "settings.vendor_saved", detail=", ".join(changed), severity="notice", scope="anbieter"
     )
-    flash("Anbieterdaten gespeichert." if changed else "Keine Aenderungen.",
+    flash("Anbieterdaten gespeichert." if changed else "Keine Änderungen.",
           "success" if changed else "info")
     return redirect(url_for("settings.vendor"))
 
 
-@bp.post("/anbieter/logo-entfernen")
+@bp.post("/vendor/remove-logo")
 @permission_required("settings_vendor.edit")
 def vendor_logo_remove():
     with transaction() as conn:
@@ -292,7 +297,7 @@ def mail_save():
             mail.store_secret(conn, request.form.get("client_secret"))
             changed.append("client_secret")
     log_event("settings.mail_saved", detail=", ".join(changed), severity="notice", scope="mail")
-    flash("E-Mail-Einstellungen gespeichert." if changed else "Keine Aenderungen.",
+    flash("E-Mail-Einstellungen gespeichert." if changed else "Keine Änderungen.",
           "success" if changed else "info")
     return redirect(url_for("settings.mail_settings"))
 

apps/tesm-license/src/tesm_license/blueprints/tickets.py

@@ -45,7 +45,7 @@ def overview():
     )
 
 
-@bp.get("/neu")
+@bp.get("/new")
 @permission_required("tickets.create")
 def new():
     conn = db()
@@ -60,11 +60,11 @@ def new():
         type_labels=type_labels(),
         default_valid_days=int(extension.settings.get(conn, "default_valid_days") or 365),
         may_create_license_server=can_issue_license_server_licenses(),
-        preselected_customer=request.args.get("kunde", type=int),
+        preselected_customer=request.args.get("customer", type=int),
     )
 
 
-@bp.post("/neu")
+@bp.post("/new")
 @permission_required("tickets.create")
 def create():
     conn = db()
@@ -106,9 +106,9 @@ def _endpoint_missing() -> str:
     if master_endpoint():
         return ""
     return (
-        "Es ist kein oeffentlicher Endpunkt hinterlegt (Einstellungen -> Anbieter). "
-        "Solange er fehlt, koennen keine Lizenzen ausgestellt werden: der Endpunkt wird "
-        "in die Lizenz signiert und laesst sich spaeter nicht nachtragen."
+        "Es ist kein öffentlicher Endpunkt hinterlegt (Einstellungen -> Anbieter). "
+        "Solange er fehlt, können keine Lizenzen ausgestellt werden: der Endpunkt wird "
+        "in die Lizenz signiert und lässt sich später nicht nachtragen."
     )
 
 
@@ -176,9 +176,9 @@ def update(ticket_id: str):
             )
             reporting.report_soon(core())
         flash(
-            "Gespeichert. Die Aenderung wirkt auf die naechste Ausstellung."
+            "Gespeichert. Die Änderung wirkt auf die nächste Ausstellung."
             if changes
-            else "Keine Aenderungen.",
+            else "Keine Änderungen.",
             "success" if changes else "info",
         )
     except (issuance.IssuanceError, ValueError) as exc:
@@ -186,7 +186,7 @@ def update(ticket_id: str):
     return redirect(url_for("tickets.detail", ticket_id=ticket_id))
 
 
-@bp.post("/<ticket_id>/sperre")
+@bp.post("/<ticket_id>/lock")
 @permission_required("tickets.edit")
 def toggle_block(ticket_id: str):
     conn = db()
@@ -205,7 +205,7 @@ def toggle_block(ticket_id: str):
     )
     reporting.report_soon(core())
     flash(
-        "Ticket gesperrt -- es lassen sich keine neuen Lizenzen mehr ausstellen."
+        "Ticket gesperrt – es lassen sich keine neuen Lizenzen mehr ausstellen."
         if new_status == "blocked"
         else "Ticket entsperrt.",
         "success",
@@ -213,7 +213,7 @@ def toggle_block(ticket_id: str):
     return redirect(url_for("tickets.detail", ticket_id=ticket_id))
 
 
-@bp.post("/<ticket_id>/loeschen")
+@bp.post("/<ticket_id>/delete")
 @permission_required("tickets.delete")
 def delete(ticket_id: str):
     conn = db()
@@ -231,7 +231,7 @@ def delete(ticket_id: str):
             scope="ticket",
         )
         reporting.report_soon(core())
-        flash("Ticket und seine Lizenzhistorie geloescht.", "success")
+        flash("Ticket und seine Lizenzhistorie gelöscht.", "success")
         return redirect(url_for("tickets.overview"))
     except issuance.IssuanceError as exc:
         flash(str(exc), "danger")

apps/tesm-license/src/tesm_license/cli.py

@@ -1,13 +1,14 @@
 """Kommandozeilenwerkzeuge des Lizenzservers.
 
-Enthaelt insbesondere ``bootstrap`` -- die eigene Lizenz der Wurzelinstanz.
+``init-key`` erzeugt den Signaturschluessel dieser Installation -- den braucht
+**jeder** Lizenzserver, um Kundenlizenzen zu signieren, auch ein
+Sub-Lizenzserver.
 
-Warum das ein lokales Skript ist und keine Funktion in der Oberflaeche: die
-Master-Lizenz ist die einzige Lizenz, fuer die es **keine hoehere Instanz gibt**,
-die sie bestaetigen koennte. Ein Aktivierungs-Handshake gegen sich selbst waere
-Theater. Das Skript signiert die Datei mit dem eigenen Schluessel und setzt den
-Aktivierungszustand direkt -- und nur so kann eine Lizenzdatei je die Rolle
-``master`` tragen. Die Ticket-Oberflaeche bietet diese Rolle an keiner Stelle an.
+``bootstrap`` stellt die eigene Lizenz der Wurzelinstanz aus und ist damit der
+einzige Weg, auf dem eine Lizenzdatei die Rolle ``master`` bekommt (ueber
+Tickets ist sie auf jedem Server abgewiesen). Die Arbeit dazu liegt im
+Teilpaket ``tesm_license.master``, das nur die Master-Ausgabe mitbringt; fehlt
+es, sagt der Befehl das und tut nichts. Siehe dort fuer die Begruendung.
 """
 
 from __future__ import annotations
@@ -20,7 +21,6 @@ from pathlib import Path
 from typing import Any
 
 import tesm_licensing as lic
-import tesm_licensing_server as licsrv
 from tesm_core import audit
 from tesm_core.cli_web import add_web_setup, run_web_setup
 from tesm_core.db import Database
@@ -28,7 +28,7 @@ from tesm_core.extension import core
 from tesm_core.rbac import service as rbac
 from tesm_core.security import passwords
 
-from . import create_app, master_key_path
+from . import create_app, is_master_edition, master_key_path
 from .services import legacy_import, master_key
 
 
@@ -42,95 +42,51 @@ def cmd_init_key(args: argparse.Namespace) -> int:
     path = master_key_path(extension.config)
     if path.exists() and not args.force:
         key = master_key.load(path)
-        print(f"Signaturschluessel existiert bereits: {key.key_id} ({path})")
-        print("Ein Austausch macht ALLE bereits ausgestellten Lizenzen unpruefbar.")
+        print(f"Signaturschlüssel existiert bereits: {key.key_id} ({path})")
+        print("Ein Austausch macht ALLE bereits ausgestellten Lizenzen unprüfbar.")
         return 0
     if path.exists() and args.force:
         print(
-            "ABBRUCH: --force auf einen bestehenden Signaturschluessel wird nicht unterstuetzt.\n"
-            "Ein neuer Schluessel entwertet jede ausgestellte Lizenz. Bitte die Datei bewusst\n"
+            "ABBRUCH: --force auf einen bestehenden Signaturschlüssel wird nicht unterstützt.\n"
+            "Ein neuer Schlüssel entwertet jede ausgestellte Lizenz. Bitte die Datei bewusst\n"
             "von Hand beiseite legen, wenn das wirklich gewollt ist.",
             file=sys.stderr,
         )
         return 2
     key = master_key.ensure(path)
-    print(f"Signaturschluessel erzeugt: {key.key_id}")
+    print(f"Signaturschlüssel erzeugt: {key.key_id}")
     print(f"Datei: {path}")
-    print("Bitte SOFORT sichern -- ohne sie ist keine ausgestellte Lizenz mehr pruefbar.")
-    print(f"Oeffentlicher Schluessel (zum Pinnen beim Kunden):\n{key.public_key}")
+    print("Bitte SOFORT sichern – ohne sie ist keine ausgestellte Lizenz mehr prüfbar.")
+    print(f"Öffentlicher Schlüssel (zum Pinnen beim Kunden):\n{key.public_key}")
     return 0
 
 
 def cmd_bootstrap(args: argparse.Namespace) -> int:
-    """Stellt die eigene Lizenz dieser Wurzelinstanz aus."""
+    """Stellt die eigene Lizenz dieser Wurzelinstanz aus -- nur in der Master-Ausgabe."""
+    if not is_master_edition():
+        for zeile in (
+            "Diese Ausgabe ist für Sub-Lizenzserver und kann keine Master-Lizenz erzeugen.",
+            "",
+            "Ein Sub-Lizenzserver bekommt seine Lizenz vom Master-Lizenzserver und spielt",
+            "sie unter 'Eigene Lizenz' ein. Danach stellt er selbst Kundenlizenzen aus --",
+            "mit seinem eigenen Signaturschlüssel, der beim Installieren entstanden ist.",
+            "",
+            "Die Master-Ausgabe liegt im Repository tesm-license-master.",
+        ):
+            print(zeile, file=sys.stderr)
+        return 2
+
+    from .master import bootstrap as eigene_lizenz_ausstellen
+
     app, extension = _app_and_core()
-    key = master_key.ensure(master_key_path(extension.config))
-
-    with app.app_context(), extension.database.session() as conn:
-        vendor = {
-            "name": str(extension.settings.get(conn, "vendor_name") or "Eigenbetrieb"),
-            "email": str(extension.settings.get(conn, "vendor_email") or ""),
-            "phone": str(extension.settings.get(conn, "vendor_phone") or ""),
-            "address": str(extension.settings.get(conn, "vendor_address") or ""),
-            "logo_base64": "",
-        }
-        bundle, _ = licsrv.issue_license(
-            customer={"name": args.name, "contact_email": vendor["email"]},
-            license_type="enterprise",
-            modules=[],
-            valid_days=int(args.days),
-            master_private_key_b64=key.private_key,
-            master_public_key_b64=key.public_key,
-            # Bewusst leer: es gibt keinen uebergeordneten Endpunkt. Damit
-            # laeuft der Handshake fuer diese Lizenz nie ins Netz.
-            master_endpoint="",
-            vendor=vendor,
-            role="master",
-        )
-        document, client_key = lic.split_bundle(bundle)
-
-        config = extension.config
-        config.license_path.parent.mkdir(parents=True, exist_ok=True)
-        config.license_path.write_text(
-            json.dumps(document, indent=2, sort_keys=True, ensure_ascii=False) + "\n",
-            encoding="utf-8",
-        )
-        try:
-            config.license_path.chmod(0o640)
-        except OSError:
-            pass
-        from tesm_core.keystore import write_private_file
-
-        write_private_file(
-            config.license_key_path,
-            json.dumps({"license_id": document["license_id"], "client_key": client_key}) + "\n",
-        )
-
-        with extension.database.transaction(conn):
-            conn.execute(
-                "INSERT INTO trusted_issuer_keys (key_id, public_key, label, source, added_at, "
-                "added_by) VALUES (?,?,?,'bootstrap',datetime('now'),'cli') "
-                "ON CONFLICT(key_id) DO NOTHING",
-                (key.key_id, key.public_key, "Eigener Signaturschluessel"),
-            )
-            # Es gibt keine hoehere Instanz, die diese Lizenz aktivieren koennte.
-            extension.settings.set(conn, "license_activation_status", "active", actor="cli")
-            extension.settings.set(conn, "license_pending_request", "", actor="cli")
-            audit.log(
-                conn,
-                actor="cli",
-                action="own_license.bootstrapped",
-                target=document["license_id"],
-                detail=f"Rolle master, {args.days} Tage, Schluessel {key.key_id}",
-                severity="warning",
-            )
-        state = extension.license.reload(conn) if extension.license else None
-
+    document, state = eigene_lizenz_ausstellen(
+        app, extension, days=int(args.days), name=args.name
+    )
     print(f"Master-Lizenz ausgestellt: {document['license_id']}")
-    print(f"Gueltig bis: {document['expires_at']}")
-    print(f"Datei: {config.license_path}")
+    print(f"Gültig bis: {document['expires_at']}")
+    print(f"Datei: {extension.config.license_path}")
     if state is not None:
-        print(f"Zustand: gueltig={state.valid}, aktiviert={state.activated}, Rolle={state.role}")
+        print(f"Zustand: gültig={state.valid}, aktiviert={state.activated}, Rolle={state.role}")
     return 0
 
 
@@ -142,7 +98,7 @@ def cmd_create_admin(args: argparse.Namespace) -> int:
         return 2
     password = args.password or getpass.getpass("Passwort: ")
     if not args.password and password != getpass.getpass("Passwort wiederholen: "):
-        print("Die Passwoerter stimmen nicht ueberein.", file=sys.stderr)
+        print("Die Passwörter stimmen nicht überein.", file=sys.stderr)
         return 2
     problems = extension.password_policy.check(password, username=username)
     if problems and not args.force:
@@ -224,7 +180,7 @@ def cmd_status(args: argparse.Namespace) -> int:
         + ("unversehrt" if chain["ok"] else f"GEBROCHEN bei {chain['broken_at']}")
     )
     print(
-        "Signaturschluessel: "
+        "Signaturschlüssel: "
         + (str(key_health.get("key_id")) if key_health.get("present") else "FEHLT")
     )
     for problem in key_health.get("problems", []):
@@ -297,17 +253,17 @@ def cmd_migrate_legacy(args: argparse.Namespace) -> int:
         except legacy_import.LegacyImportError as exc:
             if args.adopt_key:
                 raise
-            print(f"Hinweis: alter Signaturschluessel nicht lesbar ({exc}).")
+            print(f"Hinweis: alter Signaturschlüssel nicht lesbar ({exc}).")
 
         if key_path.is_file():
             existing = master_key.load(key_path)
             report.key_id = existing.key_id
             if legacy_public and existing.public_key == legacy_public:
-                print(f"Signaturschluessel stimmt bereits ueberein ({existing.key_id}).")
+                print(f"Signaturschlüssel stimmt bereits überein ({existing.key_id}).")
             elif not legacy_public:
                 issuer_changes = True
                 print(
-                    f"Es wird mit dem vorhandenen Signaturschluessel {existing.key_id} "
+                    f"Es wird mit dem vorhandenen Signaturschlüssel {existing.key_id} "
                     "gearbeitet."
                 )
             else:
@@ -315,7 +271,7 @@ def cmd_migrate_legacy(args: argparse.Namespace) -> int:
                 # ausgestellte Lizenz waere danach unpruefbar.
                 issuer_changes = True
                 print(
-                    f"Diese Installation hat einen eigenen Signaturschluessel "
+                    f"Diese Installation hat einen eigenen Signaturschlüssel "
                     f"({existing.key_id}); der alte war {lic.key_id(legacy_public)}. "
                     "Es wird mit dem vorhandenen weitergearbeitet."
                 )
@@ -323,12 +279,12 @@ def cmd_migrate_legacy(args: argparse.Namespace) -> int:
             legacy_private, legacy_public = legacy_import.read_legacy_key(root)
             report.key_id = legacy_import.adopt_key(legacy_private, legacy_public, key_path)
             report.key_adopted = True
-            print(f"Signaturschluessel uebernommen: {report.key_id}")
+            print(f"Signaturschlüssel übernommen: {report.key_id}")
         else:
             print(
-                "Diese Installation hat noch keinen Signaturschluessel. Mit --adopt-key "
-                "wird der alte uebernommen -- dann bleibt die Anbieteridentitaet erhalten "
-                "und Kunden muessen keinen Ausstellerwechsel bestaetigen.",
+                "Diese Installation hat noch keinen Signaturschlüssel. Mit --adopt-key "
+                "wird der alte übernommen – dann bleibt die Anbieteridentität erhalten "
+                "und Kunden müssen keinen Ausstellerwechsel bestätigen.",
                 file=sys.stderr,
             )
             return 2
@@ -336,6 +292,28 @@ def cmd_migrate_legacy(args: argparse.Namespace) -> int:
         key = master_key.load(key_path)
 
         with app.app_context(), extension.database.session() as conn:
+            # Anbieterdaten und Endpunkt zuerst: bei einem Upgrade ist die neue
+            # Installation frisch, dort steht also nichts, und die Pruefung
+            # weiter unten haette jedes Upgrade abgebrochen. Beides gehoert zur
+            # Anbieteridentitaet -- genau die soll ein Upgrade nicht wechseln.
+            # Uebernommen wird nur, was hier leer ist.
+            if not args.dry_run:
+                with extension.database.transaction(conn):
+                    uebernommen = legacy_import.adopt_vendor_settings(
+                        legacy,
+                        lambda key: extension.settings.get(conn, key),
+                        lambda key, wert: extension.settings.set(
+                            conn, key, wert, actor="migration"
+                        ),
+                    )
+                # Nicht "key" als Laufvariable: darueber steht der geladene
+                # Signaturschluessel mit demselben Namen, und ihn zu
+                # ueberschreiben lief in ein AttributeError mitten in der
+                # Uebernahme.
+                for einstellung, wert in uebernommen.items():
+                    gekuerzt = wert if len(wert) <= 60 else wert[:57] + "..."
+                    print(f"Übernommen: {einstellung} = {gekuerzt}")
+
             vendor = {
                 "name": str(extension.settings.get(conn, "vendor_name") or "Eigenbetrieb"),
                 "email": str(extension.settings.get(conn, "vendor_email") or ""),
@@ -346,8 +324,9 @@ def cmd_migrate_legacy(args: argparse.Namespace) -> int:
             endpoint = str(extension.settings.get(conn, "master_endpoint") or "")
             if not endpoint and not args.dry_run:
                 print(
-                    "Es ist kein Endpunkt hinterlegt (Einstellungen -> Anbieter). Ohne ihn "
-                    "koennen uebernommene Lizenzen sich spaeter nicht aktivieren.",
+                    "Es ist kein Endpunkt hinterlegt, und die alte Installation nennt "
+                    "auch keinen. Bitte unter Einstellungen -> Anbieter eintragen: ohne "
+                    "ihn können übernommene Lizenzen sich später nicht aktivieren.",
                     file=sys.stderr,
                 )
                 return 2
@@ -368,10 +347,10 @@ def cmd_migrate_legacy(args: argparse.Namespace) -> int:
                 result.key_id = report.key_id
                 if issuer_changes:
                     result.warnings.append(
-                        "Die Lizenzen sind mit einem anderen Schluessel signiert als "
-                        "frueher. Kunden, die den alten Aussteller gepinnt haben, muessen "
-                        "beim Einspielen einmal 'Wechsel des Ausstellers ausdruecklich "
-                        "zulassen' bestaetigen."
+                        "Die Lizenzen sind mit einem anderen Schlüssel signiert als "
+                        "früher. Kunden, die den alten Aussteller gepinnt haben, müssen "
+                        "beim Einspielen einmal 'Wechsel des Ausstellers ausdrücklich "
+                        "zulassen' bestätigen."
                     )
                 if args.dry_run:
                     # Nichts festschreiben -- der Lauf war nur zur Ansicht.
@@ -406,18 +385,23 @@ def build_parser() -> argparse.ArgumentParser:
     )
     sub = parser.add_subparsers(dest="command", required=True)
 
-    init_key = sub.add_parser("init-key", help="Signaturschluessel erzeugen (einmalig)")
+    init_key = sub.add_parser("init-key", help="Signaturschlüssel erzeugen (einmalig)")
     init_key.add_argument("--force", action="store_true")
     init_key.set_defaults(func=cmd_init_key)
 
     bootstrap = sub.add_parser(
-        "bootstrap", help="Eigene Master-Lizenz dieser Wurzelinstanz ausstellen"
+        "bootstrap",
+        help=(
+            "Eigene Master-Lizenz dieser Wurzelinstanz ausstellen"
+            if is_master_edition()
+            else "nicht in dieser Ausgabe (nur Master-Lizenzserver)"
+        ),
     )
     bootstrap.add_argument("--days", type=int, default=3650)
     bootstrap.add_argument("--name", default="Lizenzserver (Eigenbetrieb)")
     bootstrap.set_defaults(func=cmd_bootstrap)
 
-    admin = sub.add_parser("create-admin", help="Administratorkonto anlegen oder zuruecksetzen")
+    admin = sub.add_parser("create-admin", help="Administratorkonto anlegen oder zurücksetzen")
     admin.add_argument("--username")
     admin.add_argument("--password")
     admin.add_argument("--force", action="store_true")
@@ -427,16 +411,16 @@ def build_parser() -> argparse.ArgumentParser:
     status.add_argument("--json", action="store_true")
     status.set_defaults(func=cmd_status)
 
-    house = sub.add_parser("housekeeping", help="Laufzeitdaten aufraeumen")
+    house = sub.add_parser("housekeeping", help="Laufzeitdaten aufräumen")
     house.set_defaults(func=cmd_housekeeping)
 
     migrate = sub.add_parser(
         "migrate-legacy",
-        help="Lizenzserver der Vorgaengerfassung uebernehmen",
+        help="Lizenzserver der Vorgängerfassung übernehmen",
         description=(
-            "Uebernimmt Signaturschluessel, Kunden, Tickets und Lizenzen aus einer alten "
+            "Übernimmt Signaturschlüssel, Kunden, Tickets und Lizenzen aus einer alten "
             "Installation. Die alte Installation wird nur gelesen. Jede Lizenz wird im "
-            "neuen Format neu signiert -- die Kunden brauchen danach eine neue "
+            "neuen Format neu signiert – die Kunden brauchen danach eine neue "
             "Lizenzdatei, weil die alte Signatur nicht mehr gilt."
         ),
     )
@@ -446,13 +430,13 @@ def build_parser() -> argparse.ArgumentParser:
     migrate.add_argument(
         "--adopt-key",
         action="store_true",
-        help="Den alten Signaturschluessel uebernehmen. Nur moeglich, solange diese "
-        "Installation noch keinen eigenen hat -- ein vorhandener wird nie ueberschrieben.",
+        help="Den alten Signaturschlüssel übernehmen. Nur möglich, solange diese "
+        "Installation noch keinen eigenen hat – ein vorhandener wird nie überschrieben.",
     )
     migrate.add_argument(
         "--dry-run",
         action="store_true",
-        help="Nur anzeigen, was passieren wuerde -- nichts schreiben",
+        help="Nur anzeigen, was passieren würde – nichts schreiben",
     )
     migrate.set_defaults(func=cmd_migrate_legacy)
 

apps/tesm-license/src/tesm_license/navigation.py

@@ -28,7 +28,7 @@ def _is_master(_user: Any) -> bool:
 
 NAVIGATION = NavTree(
     [
-        NavItem(key="index", label="Uebersicht", icon="grid", endpoint="dashboard.index"),
+        NavItem(key="index", label="Übersicht", icon="grid", endpoint="dashboard.index"),
         NavItem(
             key="customers",
             label="Kunden",

apps/tesm-license/src/tesm_license/permissions.py

@@ -30,18 +30,18 @@ CUSTOMERS = Resource(
     label="Kunden",
     actions=(A.VIEW, A.CREATE, A.EDIT, A.DELETE),
     hint="Stammdaten der Kundeninstanzen",
-    action_hints={A.DELETE: "Nur moeglich, solange kein Ticket am Kunden haengt."},
+    action_hints={A.DELETE: "Nur möglich, solange kein Ticket am Kunden hängt."},
 )
 
 TICKETS = Resource(
     key="tickets",
     label="Tickets",
     actions=(A.VIEW, A.CREATE, A.EDIT, A.DELETE),
-    hint="Dauerhafte Anspruechte auf eine Lizenz",
+    hint="Dauerhafte Ansprüche auf eine Lizenz",
     action_hints={
-        A.EDIT: "Parameter aendern und Ticket sperren/entsperren. Wirkt erst auf die "
-        "naechste Ausstellung -- bereits ausgestellte Lizenzen bleiben unveraendert.",
-        A.DELETE: "Nur moeglich, wenn keine offene Lizenz mehr existiert.",
+        A.EDIT: "Parameter ändern und Ticket sperren/entsperren. Wirkt erst auf die "
+        "nächste Ausstellung – bereits ausgestellte Lizenzen bleiben unverändert.",
+        A.DELETE: "Nur möglich, wenn keine offene Lizenz mehr existiert.",
     },
 )
 
@@ -62,7 +62,7 @@ PORTAL = Resource(
     key="portal",
     label="Kundenportal",
     actions=(A.VIEW, A.EXECUTE),
-    hint="Zugangslinks fuer Kunden",
+    hint="Zugangslinks für Kunden",
     action_hints={A.EXECUTE: "Zugangslink erzeugen und versenden."},
 )
 
@@ -79,7 +79,7 @@ MAIL = Resource(
     actions=(A.VIEW, A.EDIT, A.EXECUTE, A.SECRETS),
     hint="Microsoft Graph (App-only)",
     action_hints={
-        A.EXECUTE: "Verbindungstest ausfuehren.",
+        A.EXECUTE: "Verbindungstest ausführen.",
         A.SECRETS: "Client-Secret setzen.",
     },
 )
@@ -88,7 +88,7 @@ VENDOR = Resource(
     key="settings_vendor",
     label="Anbieterdaten",
     actions=(A.VIEW, A.EDIT),
-    hint="Name, Kontakt, Logo und oeffentlicher Endpunkt -- reisen in jeder Lizenz mit",
+    hint="Name, Kontakt, Logo und öffentlicher Endpunkt – reisen in jeder Lizenz mit",
 )
 
 LICENSING_AREA = Area(
@@ -144,7 +144,7 @@ ROLE_PRESETS: tuple[RolePreset, ...] = (
     RolePreset(
         key="auditor",
         name="Revision",
-        description="Nur lesen -- inklusive Aenderungsprotokoll und Diagnose.",
+        description="Nur lesen – inklusive Änderungsprotokoll und Diagnose.",
         grants=(
             ("customers", (A.VIEW,)),
             ("tickets", (A.VIEW,)),
@@ -161,7 +161,7 @@ ROLE_PRESETS: tuple[RolePreset, ...] = (
     RolePreset(
         key="administration",
         name="Administration",
-        description="Benutzer, Gruppen und Einstellungen -- ohne Admin-Kennzeichen.",
+        description="Benutzer, Gruppen und Einstellungen – ohne Admin-Kennzeichen.",
         grants=(
             ("users", "*"),
             ("groups", "*"),

apps/tesm-license/src/tesm_license/services/activation.py

@@ -132,7 +132,7 @@ def _verify(
             seen_nonce=seen,
         )
     except lic.SignatureInvalid:
-        return None, _error(400, "invalid_signature", "Signatur der Anfrage ist ungueltig.")
+        return None, _error(400, "invalid_signature", "Signatur der Anfrage ist ungültig.")
     except lic.ReplayDetected as exc:
         return None, _error(409, "replay", str(exc))
     except lic.ProtocolViolation as exc:
@@ -150,7 +150,7 @@ def process_activate(
 ) -> Outcome:
     row, error = _verify(conn, request, expected_action="activate")
     if error is not None or row is None:
-        return error or _error(400, "bad_request", "Ungueltige Anfrage.")
+        return error or _error(400, "bad_request", "Ungültige Anfrage.")
 
     fingerprint = str(request["fingerprint"])
     hostname = str(request.get("hostname") or "")
@@ -202,7 +202,7 @@ def process_activate(
         target=str(row["license_id"]),
         detail=(
             f"Fingerprint {fingerprint[:16]}..., Host {hostname or 'unbekannt'}"
-            + (f", verdraengt {len(superseded)} Lizenz(en)" if superseded else "")
+            + (f", verdrängt {len(superseded)} Lizenz(en)" if superseded else "")
         ),
         severity="notice",
     )
@@ -211,7 +211,7 @@ def process_activate(
         request,
         master_private_key=master_private_key,
         status="ok",
-        detail="Aktivierung bestaetigt.",
+        detail="Aktivierung bestätigt.",
     )
 
 
@@ -220,7 +220,7 @@ def process_deactivate(
 ) -> Outcome:
     row, error = _verify(conn, request, expected_action="deactivate")
     if error is not None or row is None:
-        return error or _error(400, "bad_request", "Ungueltige Anfrage.")
+        return error or _error(400, "bad_request", "Ungültige Anfrage.")
 
     fingerprint = str(request["fingerprint"])
     if str(row["status"]) != "active" or str(row["fingerprint"] or "") != fingerprint:
@@ -249,7 +249,7 @@ def process_deactivate(
         request,
         master_private_key=master_private_key,
         status="ok",
-        detail="Deaktivierung bestaetigt. Die Lizenz kann auf einer anderen Maschine aktiviert werden.",
+        detail="Deaktivierung bestätigt. Die Lizenz kann auf einer anderen Maschine aktiviert werden.",
     )
 
 
@@ -258,7 +258,7 @@ def process_heartbeat(
 ) -> Outcome:
     row, error = _verify(conn, request, expected_action="heartbeat")
     if error is not None or row is None:
-        return error or _error(400, "bad_request", "Ungueltige Anfrage.")
+        return error or _error(400, "bad_request", "Ungültige Anfrage.")
 
     fingerprint = str(request["fingerprint"])
     hostname = str(request.get("hostname") or "")
@@ -306,7 +306,7 @@ def process_heartbeat(
             )
         else:
             logger.warning(
-                "Bericht von Lizenz %s verworfen -- Rolle ist %s, nicht license_server",
+                "Bericht von Lizenz %s verworfen | Rolle ist %s, nicht license_server",
                 row["license_id"],
                 row["role"],
             )
@@ -322,7 +322,7 @@ def process_heartbeat(
         request,
         master_private_key=master_private_key,
         status="ok",
-        detail="Verbindung bestaetigt.",
+        detail="Verbindung bestätigt.",
         license_update=update,
     )
 

apps/tesm-license/src/tesm_license/services/issuance.py

@@ -48,7 +48,7 @@ def validate_email(value: str, *, required: bool) -> str:
         # sollen weiter bearbeitbar bleiben, statt ausgesperrt zu werden.
         return ""
     if not EMAIL_RE.match(text):
-        raise IssuanceError(f"{text!r} ist keine gueltige E-Mail-Adresse.")
+        raise IssuanceError(f"{text!r} ist keine gültige E-Mail-Adresse.")
     return text
 
 
@@ -137,7 +137,7 @@ def delete_customer(conn: sqlite3.Connection, customer_id: int) -> None:
     )
     if int(tickets or 0):
         raise IssuanceError(
-            f"An diesem Kunden haengen noch {tickets} Ticket(s). Bitte zuerst entfernen."
+            f"An diesem Kunden hängen noch {tickets} Ticket(s). Bitte zuerst entfernen."
         )
     conn.execute("DELETE FROM license_customers WHERE id=?", (customer_id,))
 
@@ -224,7 +224,7 @@ def create_ticket(
         raise IssuanceError("Unbekannter Lizenztyp.")
     if role not in lic.LICENSE_ROLES or role == "master":
         # "master" entsteht ausschliesslich lokal per Bootstrap-Skript.
-        raise IssuanceError("Unzulaessige Rolle.")
+        raise IssuanceError("Unzulässige Rolle.")
 
     # Trial + unbefristet ist ein sinnloser Zustand: eine permanente Lizenz ohne
     # Module. Diese Regel wird an drei Stellen geprueft (hier, beim Bearbeiten
@@ -290,7 +290,7 @@ def update_ticket(
     if license_type != str(ticket["type"]):
         changes.append(f"Typ: {ticket['type']} -> {license_type}")
     if new_modules != str(ticket["modules"]):
-        changes.append("Module geaendert")
+        changes.append("Module geändert")
     if int(valid_days) != int(ticket["valid_days"]):
         changes.append(f"Laufzeit: {ticket['valid_days']} -> {valid_days} Tage")
     if bool(lifetime) != bool(ticket["lifetime"]):
@@ -428,7 +428,7 @@ def issue_from_ticket(
     role = str(ticket["role"])
     if as_trial and role != "customer":
         raise IssuanceError(
-            "Eine Testlizenz gibt es nur fuer Kundeninstanzen, nicht fuer Lizenzserver."
+            "Eine Testlizenz gibt es nur für Kundeninstanzen, nicht für Lizenzserver."
         )
 
     if as_trial:
@@ -452,9 +452,9 @@ def issue_from_ticket(
     # hier, an der einzigen Stelle, durch die jede Ausstellung laeuft.
     if not str(master_endpoint or "").strip():
         raise IssuanceError(
-            "Es ist kein oeffentlicher Endpunkt hinterlegt (Einstellungen -> Anbieter). "
-            "Ohne ihn koennte sich diese Lizenz nie online aktivieren -- der Endpunkt "
-            "wird in die Lizenz signiert und laesst sich spaeter nicht nachtragen."
+            "Es ist kein öffentlicher Endpunkt hinterlegt (Einstellungen -> Anbieter). "
+            "Ohne ihn könnte sich diese Lizenz nie online aktivieren – der Endpunkt "
+            "wird in die Lizenz signiert und lässt sich später nicht nachtragen."
         )
 
     customer = get_customer(conn, int(ticket["customer_id"]))
@@ -550,7 +550,7 @@ def delivery_bundle(conn: sqlite3.Connection, license_id: str, *, keystore: Any)
             bundle["client_key"] = keystore.decrypt(encrypted, aad=client_key_aad(license_id))
         except Exception as exc:  # noqa: BLE001
             raise IssuanceError(
-                "Der Client-Schluessel dieser Lizenz konnte nicht entschluesselt werden. "
+                "Der Client-Schlüssel dieser Lizenz konnte nicht entschlüsselt werden. "
                 "Bitte eine neue Lizenz ausstellen."
             ) from exc
     return bundle
@@ -580,7 +580,7 @@ def delete_license(conn: sqlite3.Connection, license_id: str) -> None:
         raise IssuanceError("Diese Lizenz existiert nicht.")
     if str(row["status"]) not in {"revoked", "issued"}:
         raise IssuanceError(
-            "Eine aktive Lizenz kann nicht geloescht werden. Bitte zuerst widerrufen."
+            "Eine aktive Lizenz kann nicht gelöscht werden. Bitte zuerst widerrufen."
         )
     conn.execute("DELETE FROM licenses WHERE license_id=?", (license_id,))
 

apps/tesm-license/src/tesm_license/services/legacy_import.py

@@ -25,6 +25,8 @@ angefasst, nicht angehalten und nicht veraendert.
 
 from __future__ import annotations
 
+import base64
+import binascii
 import json
 import sqlite3
 from dataclasses import dataclass, field
@@ -59,7 +61,7 @@ class Report:
 
     def as_text(self) -> str:
         lines = [
-            f"Signaturschluessel uebernommen: {'ja' if self.key_adopted else 'nein'}"
+            f"Signaturschlüssel übernommen: {'ja' if self.key_adopted else 'nein'}"
             + (f" ({self.key_id})" if self.key_id else ""),
             f"Kunden      : {self.customers}",
             f"Tickets     : {self.tickets}",
@@ -67,7 +69,7 @@ class Report:
         ]
         if self.reissued:
             lines.append("")
-            lines.append("Neu signiert -- diese Kunden brauchen eine neue Lizenzdatei:")
+            lines.append("Neu signiert – diese Kunden brauchen eine neue Lizenzdatei:")
             lines.extend(f"  * {entry}" for entry in self.reissued)
         if self.skipped:
             lines.append("")
@@ -93,7 +95,7 @@ def open_legacy(root: Path) -> sqlite3.Connection:
     """Oeffnet die alte Datenbank **nur lesend**."""
     path = Path(root) / "sqlite.db"
     if not path.is_file():
-        raise LegacyImportError(f"Unter {path} liegt keine Datenbank der Vorgaengerfassung.")
+        raise LegacyImportError(f"Unter {path} liegt keine Datenbank der Vorgängerfassung.")
     try:
         conn = sqlite3.connect(f"file:{path}?mode=ro", uri=True)
     except sqlite3.Error as exc:
@@ -105,30 +107,74 @@ def open_legacy(root: Path) -> sqlite3.Connection:
     if missing:
         conn.close()
         raise LegacyImportError(
-            f"Das sieht nicht nach einem Lizenzserver aus -- es fehlen: {', '.join(sorted(missing))}"
+            f"Das sieht nicht nach einem Lizenzserver aus – es fehlen: {', '.join(sorted(missing))}"
         )
     return conn
 
 
+def _standard_b64(wert: str, feld: str) -> str:
+    """Nimmt Standard- **und** URL-Alphabet an, gibt Standard-Base64 zurueck.
+
+    Der Vorgaenger kodierte seine Schluessel mit ``urlsafe_b64encode``: dort
+    stehen ``-`` und ``_`` an den Stellen von ``+`` und ``/``. Das neue
+    Protokoll prueft Base64 streng -- richtig so, aber beim Lesen einer alten
+    Datei fuehrte es dazu, dass die Uebernahme mit einem Traceback ueber
+    "kein gueltiges Base64" abbrach, bei jedem echten Altbestand.
+    """
+    roh = wert.strip()
+    if not roh:
+        raise LegacyImportError(f"Im alten Signaturschlüssel fehlt {feld!r}.")
+    # Fehlende Polsterung ergaenzen -- der Vorgaenger schrieb sie mit, andere
+    # Werkzeuge lassen sie weg.
+    gepolstert = roh + "=" * (-len(roh) % 4)
+    # Erst das Standard-, dann das URL-Alphabet -- beide mit Pruefung. Ohne
+    # ``validate`` verschluckt der Decoder unbekannte Zeichen einfach, und aus
+    # "###" wuerde eine leere Ausgabe statt einer Fehlermeldung.
+    versuche = (gepolstert, gepolstert.replace("-", "+").replace("_", "/"))
+    for kandidat in versuche:
+        try:
+            rohbytes = base64.b64decode(kandidat, validate=True)
+        except (ValueError, binascii.Error):
+            continue
+        if len(rohbytes) != 32:
+            raise LegacyImportError(
+                f"{feld} im alten Signaturschlüssel ist {len(rohbytes)} Byte lang, "
+                "erwartet werden 32 (Ed25519)."
+            )
+        return base64.b64encode(rohbytes).decode("ascii")
+    raise LegacyImportError(f"{feld} im alten Signaturschlüssel ist kein Base64.")
+
+
 def read_legacy_key(root: Path) -> tuple[str, str]:
     """Liest den alten Signaturschluessel. Rueckgabe: ``(privat, oeffentlich)``."""
     path = Path(root) / "master_signing_key.json"
     if not path.is_file():
-        raise LegacyImportError(f"Der alte Signaturschluessel {path} fehlt.")
+        raise LegacyImportError(f"Der alte Signaturschlüssel {path} fehlt.")
     try:
         data = json.loads(path.read_text(encoding="utf-8"))
     except (OSError, ValueError) as exc:
-        raise LegacyImportError(f"Der alte Signaturschluessel ist unlesbar: {exc}") from exc
+        raise LegacyImportError(f"Der alte Signaturschlüssel ist unlesbar: {exc}") from exc
 
-    # Die Vorgaengerfassung nannte die Felder "private"/"public".
+    # Die Vorgaengerfassung nannte die Felder "private"/"public" und kodierte
+    # sie URL-sicher.
     private = str(data.get("private") or data.get("private_key") or "")
     public = str(data.get("public") or data.get("public_key") or "")
     if not private or not public:
-        raise LegacyImportError("Der alte Signaturschluessel ist unvollstaendig.")
-    if licsrv.public_from_private(private) != public:
+        raise LegacyImportError("Der alte Signaturschlüssel ist unvollständig.")
+    private = _standard_b64(private, "private")
+    public = _standard_b64(public, "public")
+    # Alles, was aus der Protokollschicht kommt, wird hier zu einer Meldung im
+    # Klartext. Ein Traceback ueber Base64 mitten in einer Uebernahme sagt dem
+    # Betreiber nichts -- und die Uebernahme bricht ohne --adopt-key gar nicht
+    # ab, sie merkt sich nur den alten Aussteller nicht.
+    try:
+        passt = licsrv.public_from_private(private) == public
+    except (ValueError, TypeError) as exc:
+        raise LegacyImportError(f"Der alte Signaturschlüssel ist unbrauchbar: {exc}") from exc
+    if not passt:
         raise LegacyImportError(
-            "Im alten Signaturschluessel passen privater und oeffentlicher Teil nicht "
-            "zueinander. Die Datei ist beschaedigt."
+            "Im alten Signaturschlüssel passen privater und öffentlicher Teil nicht "
+            "zueinander. Die Datei ist beschädigt."
         )
     return private, public
 
@@ -144,16 +190,16 @@ def adopt_key(private: str, public: str, target: Path) -> str:
 
     if Path(target).is_file():
         raise LegacyImportError(
-            f"Unter {target} liegt bereits ein Signaturschluessel. Er wird nicht "
-            "ueberschrieben -- das wuerde jede damit ausgestellte Lizenz unbrauchbar "
-            "machen. Fuer eine Uebernahme bitte eine frische Installation verwenden."
+            f"Unter {target} liegt bereits ein Signaturschlüssel. Er wird nicht "
+            "überschrieben – das würde jede damit ausgestellte Lizenz unbrauchbar "
+            "machen. Für eine Übernahme bitte eine frische Installation verwenden."
         )
     payload = {
         "private_key": private,
         "public_key": public,
         "key_id": lic.key_id(public),
         "created_at": _now(),
-        "origin": "Uebernommen aus der Vorgaengerfassung.",
+        "origin": "Übernommen aus der Vorgängerfassung.",
     }
     write_private_file(Path(target), json.dumps(payload, indent=2, sort_keys=True) + "\n")
     return lic.key_id(public)
@@ -187,6 +233,55 @@ def _modules(raw: Any) -> list[str]:
     return sorted(set(str(value) for value in values) & set(lic.ALL_MODULES))
 
 
+
+#: Einstellungen, die zur Anbieteridentitaet gehoeren und in beiden Fassungen
+#: gleich heissen. ``master_endpoint`` ist darunter das entscheidende: ohne ihn
+#: findet eine uebernommene Lizenz ihren Server spaeter nicht wieder.
+VENDOR_SETTINGS = (
+    "master_endpoint",
+    "vendor_name",
+    "vendor_email",
+    "vendor_phone",
+    "vendor_address",
+    "vendor_logo_base64",
+)
+
+
+def read_vendor_settings(legacy: sqlite3.Connection) -> dict[str, str]:
+    """Liest die Anbietereinstellungen der alten Installation."""
+    try:
+        rows = legacy.execute(
+            "SELECT key, value FROM settings WHERE key IN ({})".format(
+                ",".join("?" for _ in VENDOR_SETTINGS)
+            ),
+            VENDOR_SETTINGS,
+        ).fetchall()
+    except sqlite3.Error:  # pragma: no cover - alte Fassung ohne settings
+        return {}
+    return {str(row["key"]): str(row["value"] or "") for row in rows if str(row["value"] or "")}
+
+
+def adopt_vendor_settings(
+    legacy: sqlite3.Connection,
+    read: Any,
+    write: Any,
+) -> dict[str, str]:
+    """Fuellt leere Anbietereinstellungen aus der alten Installation.
+
+    ``read(key)`` und ``write(key, wert)`` kommen von aussen, damit diese
+    Funktion nichts ueber den Einstellungsspeicher wissen muss. Rueckgabe: was
+    tatsaechlich uebernommen wurde -- der Aufrufer soll es benennen koennen.
+    """
+    alt = read_vendor_settings(legacy)
+    uebernommen: dict[str, str] = {}
+    for key, wert in alt.items():
+        if str(read(key) or "").strip():
+            continue  # was hier schon steht, gilt
+        write(key, wert)
+        uebernommen[key] = wert
+    return uebernommen
+
+
 def import_all(
     legacy: sqlite3.Connection,
     conn: sqlite3.Connection,
@@ -214,7 +309,7 @@ def import_all(
         )
         if existing is not None:
             customer_map[int(row["id"])] = int(existing["id"])
-            report.warnings.append(f"Kunde {name!r} war schon vorhanden -- nicht doppelt angelegt.")
+            report.warnings.append(f"Kunde {name!r} war schon vorhanden – nicht doppelt angelegt.")
             continue
         new_id = issuance.create_customer(
             conn,
@@ -236,7 +331,7 @@ def import_all(
     for row in legacy.execute("SELECT * FROM license_tickets ORDER BY created_at"):
         customer_id = customer_map.get(int(row["customer_id"] or 0))
         if customer_id is None:
-            report.skipped.append(f"Ticket {str(row['id'])[:12]} -- Kunde nicht uebernommen")
+            report.skipped.append(f"Ticket {str(row['id'])[:12]} -- Kunde nicht übernommen")
             continue
         if Database.one(conn, "SELECT id FROM license_tickets WHERE id=?", (row["id"],)):
             continue
@@ -253,7 +348,7 @@ def import_all(
                 int(row["lifetime"] or 0),
                 str(row["status"] or "open"),
                 str(row["role"] or "customer"),
-                "Aus der Vorgaengerfassung uebernommen.",
+                "Aus der Vorgängerfassung übernommen.",
                 str(row["created_by"] or actor),
                 str(row["created_at"] or _now()),
                 _now(),
@@ -266,7 +361,7 @@ def import_all(
         license_id = str(row["license_id"] or "")
         customer_id = customer_map.get(int(row["customer_id"] or 0))
         if not license_id or customer_id is None:
-            report.skipped.append(f"Lizenz {license_id[:12] or '?'} -- Kunde nicht uebernommen")
+            report.skipped.append(f"Lizenz {license_id[:12] or '?'} -- Kunde nicht übernommen")
             continue
         if Database.one(conn, "SELECT id FROM licenses WHERE license_id=?", (license_id,)):
             continue
@@ -276,7 +371,7 @@ def import_all(
         modules = _modules(row["modules"])
 
         if not reissue:
-            report.skipped.append(f"{customer['name']} / {license_id[:12]} -- nur gezaehlt")
+            report.skipped.append(f"{customer['name']} / {license_id[:12]} -- nur gezählt")
             report.licenses += 1
             continue
 
@@ -288,7 +383,7 @@ def import_all(
         if not lifetime and valid_days <= 0:
             report.skipped.append(
                 f"{customer['name']} / {license_id[:12]} -- abgelaufen am "
-                f"{str(row['expires_at'])[:10]}, nicht uebernommen"
+                f"{str(row['expires_at'])[:10]}, nicht übernommen"
             )
             continue
 
@@ -349,7 +444,7 @@ def import_all(
     if report.reissued:
         report.warnings.append(
             "Die neu signierten Lizenzen sind noch nicht aktiviert: die Bindung an eine "
-            "Maschine gilt nur fuer die alte Datei. Nach dem Einspielen aktiviert der "
+            "Maschine gilt nur für die alte Datei. Nach dem Einspielen aktiviert der "
             "Kunde erneut."
         )
     return report

apps/tesm-license/src/tesm_license/services/mail.py

@@ -92,7 +92,7 @@ def _secret(conn: sqlite3.Connection) -> str:
         return core().keystore.decrypt(str(value), aad=AAD_GRAPH_SECRET)
     except Exception as exc:  # noqa: BLE001
         raise MailError(
-            "Das Client-Secret konnte nicht entschluesselt werden -- bitte neu eintragen."
+            "Das Client-Secret konnte nicht entschlüsselt werden – bitte neu eintragen."
         ) from exc
 
 
@@ -162,7 +162,7 @@ def fetch_token(conn: sqlite3.Connection) -> str:
 def test_connection(conn: sqlite3.Connection) -> dict[str, Any]:
     """Holt nur ein Token -- verschickt bewusst keine echte Nachricht."""
     if not is_enabled(conn):
-        return {"ok": False, "message": "Der E-Mail-Versand ist nicht vollstaendig konfiguriert."}
+        return {"ok": False, "message": "Der E-Mail-Versand ist nicht vollständig konfiguriert."}
     try:
         fetch_token(conn)
     except MailError as exc:

apps/tesm-license/src/tesm_license/services/master_key.py

@@ -48,22 +48,22 @@ class MasterKey:
 def load(path: Path) -> MasterKey:
     if not path.is_file():
         raise MasterKeyError(
-            f"Der Signaturschluessel {path} fehlt. Ohne ihn kann keine Lizenz ausgestellt "
+            f"Der Signaturschlüssel {path} fehlt. Ohne ihn kann keine Lizenz ausgestellt "
             "werden. Erzeugen Sie ihn mit 'tesm-license-admin init-key'."
         )
     try:
         data = json.loads(path.read_text(encoding="utf-8"))
     except (OSError, ValueError) as exc:
-        raise MasterKeyError(f"Der Signaturschluessel ist unlesbar: {exc}") from exc
+        raise MasterKeyError(f"Der Signaturschlüssel ist unlesbar: {exc}") from exc
 
     private = str(data.get("private_key") or "")
     public = str(data.get("public_key") or "")
     if not private or not public:
-        raise MasterKeyError("Der Signaturschluessel ist unvollstaendig.")
+        raise MasterKeyError("Der Signaturschlüssel ist unvollständig.")
     if licsrv.public_from_private(private) != public:
         raise MasterKeyError(
-            "Der oeffentliche Teil des Signaturschluessels passt nicht zum privaten. "
-            "Die Datei ist beschaedigt oder wurde manipuliert."
+            "Der öffentliche Teil des Signaturschlüssels passt nicht zum privaten. "
+            "Die Datei ist beschädigt oder wurde manipuliert."
         )
     return MasterKey(
         private_key=private, public_key=public, created_at=str(data.get("created_at") or "")
@@ -87,7 +87,7 @@ def ensure(path: Path) -> MasterKey:
     }
     write_private_file(path, json.dumps(payload, indent=2, sort_keys=True) + "\n")
     logger.warning(
-        "Neuer Signaturschluessel erzeugt (%s). Diese Datei ist unwiederbringlich -- "
+        "Neuer Signaturschlüssel erzeugt (%s). Diese Datei ist unwiederbringlich – "
         "bitte sofort gesichert ablegen: %s",
         lic.key_id(public),
         path,
@@ -98,7 +98,7 @@ def ensure(path: Path) -> MasterKey:
 def health(path: Path) -> dict[str, object]:
     """Zustand fuer die Diagnoseseite."""
     if not path.is_file():
-        return {"present": False, "problems": ["Signaturschluessel fehlt"]}
+        return {"present": False, "problems": ["Signaturschlüssel fehlt"]}
     problems = check_private_file(path)
     try:
         key = load(path)

apps/tesm-license/src/tesm_license/services/transfer.py

@@ -41,11 +41,11 @@ APP_TAG = "tesm-license"
 
 CATEGORIES: tuple[Category, ...] = (
     Category("customers", "Kunden", "Stammdaten der Kundeninstanzen"),
-    Category("tickets", "Tickets", "Anspruechte inklusive Self-Service-Schluessel", sensitive=True),
+    Category("tickets", "Tickets", "Ansprüche inklusive Self-Service-Schlüssel", sensitive=True),
     Category(
         "licenses",
         "Lizenzen",
-        "Ausgestellte Lizenzen mit signiertem Dokument und verschluesseltem Client-Schluessel",
+        "Ausgestellte Lizenzen mit signiertem Dokument und verschlüsseltem Client-Schlüssel",
         sensitive=True,
     ),
     Category("users", "Benutzer", "Lokale Konten mit Passwort-Hash", admin_only=True),

apps/tesm-license/src/tesm_license/settings_spec.py

@@ -25,8 +25,8 @@ VENDOR_SETTINGS: tuple[SettingSpec, ...] = (
         "master_endpoint",
         "",
         "str",
-        "Oeffentlicher Endpunkt dieses Lizenzservers",
-        hint="Basis-URL, unter der Kundeninstanzen diesen Server erreichen -- z. B. "
+        "Öffentlicher Endpunkt dieses Lizenzservers",
+        hint="Basis-URL, unter der Kundeninstanzen diesen Server erreichen – z. B. "
         "https://lizenz.firma.de. Wird in jede Lizenz eingebettet und fuer alle "
         "kundengerichteten Links verwendet.",
         section="vendor",
@@ -38,8 +38,8 @@ PORTAL_SETTINGS: tuple[SettingSpec, ...] = (
         "portal_link_minutes",
         30,
         "int",
-        "Gueltigkeit des Zugangslinks (Minuten)",
-        hint="Der Link ist zusaetzlich nur einmal verwendbar.",
+        "Gültigkeit des Zugangslinks (Minuten)",
+        hint="Der Link ist zusätzlich nur einmal verwendbar.",
         section="portal",
         minimum=5,
         maximum=1440,
@@ -48,9 +48,9 @@ PORTAL_SETTINGS: tuple[SettingSpec, ...] = (
         "portal_session_minutes",
         60,
         "int",
-        "Gueltigkeit der Portalsitzung (Minuten)",
-        hint="Zweites, unabhaengiges Zeitfenster: eines fuer das Anklicken des Links, "
-        "eines fuer die daraus entstehende Sitzung.",
+        "Gültigkeit der Portalsitzung (Minuten)",
+        hint="Zweites, unabhängiges Zeitfenster: eines für das Anklicken des Links, "
+        "eines für die daraus entstehende Sitzung.",
         section="portal",
         minimum=5,
         maximum=1440,
@@ -64,7 +64,7 @@ PORTAL_SETTINGS: tuple[SettingSpec, ...] = (
         "bool",
         "Self-Service-Link je Ticket aktiv",
         hint="Erlaubt dem Kunden, seine Lizenz selbst herunterzuladen, zu widerrufen und "
-        "neu auszustellen -- ohne Anmeldung, allein ueber den unratbaren Ticket-Link.",
+        "neu auszustellen – ohne Anmeldung, allein über den unratbaren Ticket-Link.",
         section="portal",
     ),
 )
@@ -83,8 +83,8 @@ DEFAULT_TICKET_SETTINGS: tuple[SettingSpec, ...] = (
         "allow_customer_revoke",
         True,
         "bool",
-        "Kunden duerfen ihre Lizenz selbst widerrufen",
-        hint="Notwendig fuer einen Systemwechsel ohne Support-Anruf.",
+        "Kunden dürfen ihre Lizenz selbst widerrufen",
+        hint="Notwendig für einen Systemwechsel ohne Support-Anruf.",
         section="licensing",
     ),
 )

apps/tesm-license/src/tesm_license/templates/license/customer_detail.html

@@ -14,7 +14,7 @@
 
 {% block topbar_extra %}
   {% if current_user.has('tickets.create') %}
-    <a class="btn btn--primary btn--sm" href="{{ url_for('tickets.new', kunde=customer.id) }}">
+    <a class="btn btn--primary btn--sm" href="{{ url_for('tickets.new', customer=customer.id) }}">
       {{ icon('plus', size=15) }} Ticket anlegen
     </a>
   {% endif %}

apps/tesm-license/src/tesm_license/templates/license/license_detail.html

@@ -170,7 +170,7 @@
       <summary class="card__header" style="cursor:pointer">
         <div class="flex-1">
           <div class="card__title">{{ icon('file-text', size=17) }} Signiertes Dokument</div>
-          <div class="card__sub">Genau so, wie es signiert wurde -- jede Änderung bricht die Signatur</div>
+          <div class="card__sub">Genau so, wie es signiert wurde – jede Änderung bricht die Signatur</div>
         </div>
         {{ icon('chevron-down', size=16) }}
       </summary>
@@ -214,7 +214,7 @@
             <button class="btn btn--sm btn--danger btn--block" type="button"
                     data-dialog-open="revoke-dialog">Widerrufen</button>
             <p class="fs-xs faint">
-              Das Ticket bleibt offen -- eine neue Lizenz kann sofort ausgestellt werden. Genau so
+              Das Ticket bleibt offen – eine neue Lizenz kann sofort ausgestellt werden. Genau so
               läuft ein Systemwechsel.
             </p>
           {% endif %}

apps/tesm-license/src/tesm_license/templates/license/own_license.html

@@ -116,9 +116,16 @@
         {% endif %}
       </section>
     {% else %}
-      {{ empty_state('Keine gültige Lizenz',
-         'Spielen Sie eine Lizenzdatei ein oder erzeugen Sie mit "tesm-license-admin bootstrap"
-         die eigene Lizenz der Wurzelinstanz.', 'key') }}
+      {% if master_edition %}
+        {{ empty_state('Keine gültige Lizenz',
+           'Spielen Sie eine Lizenzdatei ein oder erzeugen Sie mit "tesm-license-admin bootstrap"
+           die eigene Lizenz der Wurzelinstanz.', 'key') }}
+      {% else %}
+        {{ empty_state('Keine gültige Lizenz',
+           'Diese Ausgabe ist ein Sub-Lizenzserver: fordern Sie beim Master-Lizenzserver eine
+           Lizenz für diesen Server an und spielen Sie die Datei hier ein. Eine Master-Lizenz
+           kann diese Ausgabe nicht erzeugen.', 'key') }}
+      {% endif %}
     {% endif %}
 
     {% if pending %}

apps/tesm-license/src/tesm_license/templates/license/portal_request.html

@@ -22,7 +22,7 @@
 </form>
 
 <p class="auth-footnote">
-  Aus Datenschutzgründen bekommen Sie immer dieselbe Rückmeldung -- unabhängig davon, ob die
+  Aus Datenschutzgründen bekommen Sie immer dieselbe Rückmeldung – unabhängig davon, ob die
   Adresse bei uns bekannt ist.
 </p>
 {% endblock %}

apps/tesm-license/src/tesm_license/templates/license/selfservice_offline.html

@@ -15,7 +15,7 @@
 
     {% if response_code %}
       <div class="field">
-        <span class="field__label">Antwortcode -- in TESM eintragen</span>
+        <span class="field__label">Antwortcode – in TESM eintragen</span>
         <pre class="log-view" id="offline-answer" style="max-height:16dvh">{{ response_code }}</pre>
         <div class="row row--end mt-2">
           <button class="btn btn--sm" type="button" data-copy="#offline-answer">
@@ -23,7 +23,7 @@
           </button>
         </div>
         <p class="fs-sm muted mt-2">
-          Tragen Sie ihn in TESM unter Verwaltung -- Lizenz bei
+          Tragen Sie ihn in TESM unter Verwaltung → Lizenz bei
           &bdquo;Antwortcode des Lizenzservers&ldquo; ein.
           {% if summary.hostname %}
             Die Anfrage kam von <span class="mono">{{ summary.hostname }}</span>.

apps/tesm-license/src/tesm_license/templates/license/settings_system.html

@@ -1,5 +1,5 @@
 {% extends "tesm_core/base.html" %}
-{% from "tesm_core/macros.html" import field, select_field, checkbox, alert %}
+{% from "tesm_core/macros.html" import field, select_field, checkbox, alert, nav_order_card %}
 
 {% block page_title %}Systemeinstellungen{% endblock %}
 {% block page_sub %}Portal, Self-Service, Protokolle, Host{% endblock %}
@@ -60,9 +60,6 @@
                             selected=values.log_rotate_interval) }}
             {{ field('log_rotate_keep', 'Aufbewahrte Rotationen', value=values.log_rotate_keep,
                      type='number') }}
-            {{ field('session_idle_minutes', 'Automatische Abmeldung (Minuten)',
-                     value=values.session_idle_minutes, type='number',
-                     hint_text=specs['session_idle_minutes'].hint) }}
             {{ field('trash_retention_days', 'Papierkorb-Aufbewahrung (Tage)',
                      value=values.trash_retention_days, type='number') }}
           </div>
@@ -73,6 +70,34 @@
   </div>
 
   <div class="stack">
+    {# Eigene Karte: die Abmeldung stand zwischen Protokollrotation und
+       Papierkorb -- drei Dinge ohne Zusammenhang. Wer die Sitzungsdauer sucht,
+       sucht sie nicht unter "Protokolle". #}
+    <section class="card">
+      <div class="card__header">
+        <div class="flex-1">
+          <div class="card__title">{{ icon('clock', size=17) }} Sitzungen</div>
+          <div class="card__sub">Wie lange eine Anmeldung gilt</div>
+        </div>
+      </div>
+      <form method="post" action="{{ url_for('settings.system_save') }}">
+        <input type="hidden" name="{{ csrf_field_name }}" value="{{ csrf_token() }}">
+        <div class="card__body">
+          <div class="form-grid">
+            {{ field('session_idle_minutes', 'Automatische Abmeldung nach Leerlauf (Minuten)',
+                     value=values.session_idle_minutes, type='number',
+                     attrs='min="5" max="1440" step="1"',
+                     hint_text=specs['session_idle_minutes'].hint) }}
+            {{ field('session_absolute_hours', 'Längstmögliche Sitzungsdauer (Stunden)',
+                     value=values.session_absolute_hours, type='number',
+                     attrs='min="1" max="168" step="1"',
+                     hint_text=specs['session_absolute_hours'].hint) }}
+          </div>
+        </div>
+        <div class="card__footer"><button class="btn btn--primary" type="submit">Speichern</button></div>
+      </form>
+    </section>
+
     <section class="card">
       <div class="card__header">
         <div class="flex-1"><div class="card__title">{{ icon('server', size=17) }} Host</div></div>
@@ -104,33 +129,9 @@
     </section>
 
     {% if current_user.is_admin %}
-      <section class="card">
-        <div class="card__header">
-          <div class="flex-1">
-            <div class="card__title">{{ icon('sliders', size=17) }} Navigationsreihenfolge</div>
-            <div class="card__sub">Gilt für alle Benutzer</div>
-          </div>
-        </div>
-        <form method="post" action="{{ url_for('admin.nav_order') }}">
-          <input type="hidden" name="{{ csrf_field_name }}" value="{{ csrf_token() }}">
-          <div class="card__body">
-            <ol class="stack stack--tight">
-              {% for key in nav_order %}
-                {% set item = nav_items | selectattr('key', 'equalto', key) | list | first %}
-                {% if item %}
-                  <li class="row row--tight">
-                    <input type="hidden" name="order" value="{{ item.key }}">
-                    <span class="flex-1">{{ icon(item.icon, size=15) }} {{ item.label }}</span>
-                  </li>
-                {% endif %}
-              {% endfor %}
-            </ol>
-          </div>
-          <div class="card__footer">
-            <button class="btn btn--sm" type="submit">Reihenfolge speichern</button>
-          </div>
-        </form>
-      </section>
+      {{ nav_order_card(nav_items, nav_order, nav_child_order,
+                        url_for('admin.nav_order'), csrf_field_name, csrf_token(),
+                        sub='Gilt für alle Benutzer') }}
     {% endif %}
   </div>
 </div>

apps/tesm-license/src/tesm_license/templates/license/settings_vendor.html

@@ -45,7 +45,7 @@ welche Basis-URL in kundengerichteten Links steht.', 'info') }}
             <input class="input" type="file" name="vendor_logo" accept="image/png,image/jpeg,image/svg+xml"
                    {% if not current_user.has('settings_vendor.edit') %}disabled{% endif %}>
             <span class="field__hint">
-              Ein zu grosses Logo wird abgelehnt, die übrigen Angaben werden trotzdem gespeichert.
+              Ein zu großes Logo wird abgelehnt, die übrigen Angaben werden trotzdem gespeichert.
             </span>
           </div>
         </fieldset>
@@ -75,7 +75,7 @@ welche Basis-URL in kundengerichteten Links steht.', 'info') }}
       <div class="divider"></div>
       <p class="fs-sm muted">
         Die Angaben werden zum Zeitpunkt der Ausstellung in die Lizenz kopiert und signiert. Eine
-        Änderung hier wirkt auf neue Lizenzen -- bestehende behalten ihren Stand, bis eine neue
+        Änderung hier wirkt auf neue Lizenzen – bestehende behalten ihren Stand, bis eine neue
         Revision signiert wird.
       </p>
     </div>

apps/tesm-license/src/tesm_license/templates/license/ticket_detail.html

@@ -33,7 +33,7 @@
           <div class="card__title">{{ icon('shield', size=17) }} Lizenz ausstellen</div>
           <div class="card__sub">
             {% if has_open_license %}
-              Es existiert bereits eine offene Lizenz -- widerrufen Sie sie zuerst.
+              Es existiert bereits eine offene Lizenz – widerrufen Sie sie zuerst.
             {% else %}
               Erzeugt eine signierte Lizenzdatei mit den Werten dieses Tickets.
             {% endif %}
@@ -128,7 +128,7 @@
           </div>
           <p class="fs-xs faint">
             Damit kann der Kunde seine Lizenz herunterladen, bei einem Systemwechsel freigeben und
-            neu ausstellen. Der Link enthält 192 Bit Zufall und ist nicht ratbar -- behandeln Sie
+            neu ausstellen. Der Link enthält 192 Bit Zufall und ist nicht ratbar – behandeln Sie
             ihn wie ein Passwort.
           </p>
           <div class="divider"></div>

apps/tesm-license/src/tesm_license/templates/license/ticket_new.html

@@ -32,7 +32,7 @@
               {% endfor %}
             </select>
             <span class="field__hint">
-              Der Kunde ist nach dem Anlegen unveränderlich -- der Self-Service-Link ist an ihn
+              Der Kunde ist nach dem Anlegen unveränderlich – der Self-Service-Link ist an ihn
               gebunden.
             </span>
           </label>
@@ -77,7 +77,7 @@
             <div class="flex-1">
               <div class="card__title">{{ icon('share', size=17) }} Lizenzserver-Lizenz</div>
               <div class="card__sub">
-                Erzeugt eine neue Vertrauensgrenze -- der Empfänger verwaltet danach eigene Kunden
+                Erzeugt eine neue Vertrauensgrenze – der Empfänger verwaltet danach eigene Kunden
               </div>
             </div>
           </div>
@@ -103,7 +103,7 @@
       <div class="card__body">
         <ol class="stack stack--tight fs-sm muted" style="list-style:decimal;padding-left:1.2em">
           <li>Ticket anlegen (dieser Schritt).</li>
-          <li>Auf der Ticketseite eine Lizenz ausstellen -- optional als 30-Tage-Testlizenz mit
+          <li>Auf der Ticketseite eine Lizenz ausstellen – optional als 30-Tage-Testlizenz mit
             allen Modulen.</li>
           <li>Lizenzdatei herunterladen oder per E-Mail versenden.</li>
           <li>Der Kunde spielt sie ein und aktiviert sie; die Aktivierung bindet sie an seine
@@ -112,7 +112,7 @@
         <div class="divider"></div>
         <p class="fs-sm muted">
           Der Self-Service-Link des Tickets erlaubt dem Kunden, seine Lizenz selbst
-          herunterzuladen und bei einem Systemwechsel freizugeben -- ohne Support-Anruf.
+          herunterzuladen und bei einem Systemwechsel freizugeben – ohne Support-Anruf.
         </p>
       </div>
       <div class="card__footer">

deploy/install.sh

@@ -28,6 +28,9 @@ set -euo pipefail
 
 APP=""
 INSTANCE=""
+#: Verzeichnis der Umgebungsdateien. Ueberschreibbar, damit sich die
+#: Portsuche in einem Test wirklich ausfuehren laesst.
+ETC_TESM="${TESM_ETC_DIR:-/etc/tesm}"
 PORT=""
 HTTP_PORT=""
 SKIP_PACKAGES=0
@@ -46,6 +49,62 @@ warn()  { printf '%s !!%s %s\n' "$COLOR_WARN" "$COLOR_OFF" "$*"; }
 fail()  { printf '%s !!%s %s\n' "$COLOR_ERR" "$COLOR_OFF" "$*" >&2; exit 1; }
 info()  { printf '    %s\n' "$*"; }
 
+#: Merker fuer die EXIT-Falle. Zurueckgerollt wird nur, was auch gesichert ist.
+SICHERUNG_STEHT=0
+INSTALL_FERTIG=0
+ZURUECKGEROLLT=0
+
+zurueckrollen_install() {
+  [[ $SICHERUNG_STEHT -eq 1 && $ZURUECKGEROLLT -eq 0 ]] || return 0
+  # Kommt nur zum Zug, wenn die Sicherung steht -- dann sind diese Variablen
+  # gesetzt. Der Vollstaendigkeit halber trotzdem gepruefte Namen.
+  [[ -n "${BACKUP_DIR:-}" && -d "$BACKUP_DIR" ]] || { warn "Keine Sicherung gefunden -- nichts wiederhergestellt."; return 0; }
+  ZURUECKGEROLLT=1
+  warn "Alten Stand wiederherstellen."
+  systemctl stop "$UNIT" 2>/dev/null || true
+  [[ "$APP" == "tesm" ]] && systemctl stop "$MONITOR_UNIT" 2>/dev/null || true
+  rm -rf "$FAILED_DIR"
+  mv "$ROOT" "$FAILED_DIR" 2>/dev/null || true
+  cp -a "$BACKUP_DIR" "$ROOT"
+  systemctl start "$UNIT" 2>/dev/null || true
+  [[ "$APP" == "tesm" ]] && systemctl start "$MONITOR_UNIT" 2>/dev/null || true
+  warn "Wiederhergestellt aus $BACKUP_DIR"
+  warn "Fehlgeschlagener Stand liegt unter $FAILED_DIR"
+}
+
+# Bei **jedem** Fehlschlag, nicht nur bei einem, an den ich gedacht habe:
+# Systempakete, venv, sudoers, nginx, ein Ctrl-C. Vorher blieb der Dienst
+# gestoppt und das Verzeichnis teils ersetzt zurueck.
+bei_fehler() {
+  local code=$?
+  [[ $INSTALL_FERTIG -eq 1 || "$code" == "0" ]] && return "$code"
+  if [[ $SICHERUNG_STEHT -eq 1 ]]; then
+    zurueckrollen_install
+  else
+    # Neuinstallation: es gibt keinen alten Stand. Nichts loeschen -- im
+    # Zielverzeichnis kann eine Fassung 1.x liegen, deren Sicherung ein
+    # anderes Skript haelt (upgrade.sh).
+    # Vorsichtige Ersetzung: bricht es schon beim Auswerten der Argumente ab,
+    # gibt es $ROOT noch nicht -- und "set -u" wuerde die Falle selbst zum
+    # Fehler machen.
+    if [[ ${IS_UPDATE:-0} -eq 1 ]]; then
+      # Abbruch vor dem Sicherungsschritt: die Installation ist unangetastet.
+      warn "Abgebrochen (Code $code), bevor etwas geaendert wurde."
+      warn "Die bestehende Installation ist unberuehrt -- nichts zurueckzurollen."
+    else
+      warn "Abgebrochen (Code $code). Es gab keinen vorherigen Stand dieser Fassung,"
+      warn "also wurde nichts wiederhergestellt und nichts geloescht."
+      # Nur sagen, was es wirklich gibt: bei einem Abbruch an der Rueckfrage
+      # existiert das Verzeichnis noch nicht.
+      if [[ -n "${ROOT:-}" && -d "${ROOT:-}" ]]; then
+        warn "Angelegt wurde bis hierhin: $ROOT (Daten unter data/ unberuehrt)."
+      fi
+    fi
+  fi
+  return "$code"
+}
+trap bei_fehler EXIT
+
 usage() {
   cat <<'USAGE'
 Verwendung: install.sh --app <tesm|tesm-license> [Optionen]
@@ -109,16 +168,35 @@ LOG_DIR="/var/log/$NAME"
 SERVICE_USER="$APP"
 UNIT="$NAME.service"
 MONITOR_UNIT="$NAME-monitor.service"
+CLEANUP_UNIT="$NAME-cleanup.service"
+CLEANUP_TIMER="$NAME-cleanup.timer"
 NGINX_SITE="/etc/nginx/sites-available/$NAME"
 ENV_PREFIX="TESM_"
 [[ "$APP" == "tesm-license" ]] && ENV_PREFIX="TESM_LICENSE_"
+
+# Ausgabe des Lizenzservers: die Master-Ausgabe bringt das Teilpaket
+# tesm_license/master mit -- den einzigen Weg, auf dem eine Lizenzdatei die
+# Rolle "master" bekommt. Das Release fuer Sub-Lizenzserver hat es nicht.
+# Die Ausgabe haengt an der Anwesenheit des Verzeichnisses, nicht an einer
+# Einstellung: eine Einstellung liesse sich vor Ort umstellen.
+MASTER_TEILPAKET="apps/tesm-license/src/tesm_license/master"
+EDITION="standard"
+if [[ "$APP" == "tesm-license" ]]; then
+  if [[ -d "$REPO_DIR/$MASTER_TEILPAKET" ]]; then EDITION="master"; else EDITION="sub"; fi
+fi
 # Bei einer Aktualisierung gilt zuerst, was schon eingerichtet ist. Sonst
 # verschiebt ein Update ohne Portangaben die Anwendung: eine benannte Instanz
 # faellt auf 8080/8443 zurueck, auch wenn sie seit der Installation auf Port 80
 # lief -- und ein Reverse Proxy davor zeigt dann ins Leere. Dieselbe Regel wie
 # beim Secure-Flag weiter unten: eine Aktualisierung nimmt nichts weg, was
 # nicht ausdruecklich neu gesetzt wird.
-ENV_FILE="/etc/tesm/$NAME.env"
+ENV_FILE="$ETC_TESM/$NAME.env"
+# Wo die Daten liegen, steht in der Umgebungsdatei; ohne sie beim Vorgabeort.
+# "|| true": bei einer Neuinstallation gibt es die Datei noch nicht, und ein
+# scheiterndes sed in einer Zuweisung beendet unter "set -e" das ganze Skript.
+DATEN_DIR="$(sed -n "s/^${ENV_PREFIX}DATA_DIR=//p" "$ENV_FILE" 2>/dev/null || true)"
+DATEN_DIR="$(printf '%s' "$DATEN_DIR" | tail -1)"
+DATEN_DIR="${DATEN_DIR:-$ROOT/data}"
 if [[ -z "$PORT" && -f "$ENV_FILE" ]]; then
   PORT="$(sed -n "s/^${ENV_PREFIX}BIND=127\.0\.0\.1:\([0-9]\{1,5\}\)$/\1/p" "$ENV_FILE" | head -1)"
 fi
@@ -127,10 +205,30 @@ if [[ -f "$NGINX_SITE" ]]; then
   [[ -z "$HTTPS_PORT" ]] && HTTPS_PORT="$(sed -n 's/^[[:space:]]*listen[[:space:]]\([0-9]\{1,5\}\)[[:space:]]\+ssl.*/\1/p' "$NGINX_SITE" | head -1)"
 fi
 
+port_belegt() {
+  local p="$1"
+  # Schon von einer anderen Installation vergeben? Die Umgebungsdateien sind
+  # die Wahrheit -- ein Dienst kann gerade gestoppt sein und den Port trotzdem
+  # beanspruchen.
+  grep -qs "BIND=127\.0\.0\.1:$p\$" "$ETC_TESM"/*.env 2>/dev/null &&
+    return 0
+  # Oder gerade in Benutzung, von was auch immer.
+  command -v ss >/dev/null 2>&1 && [[ -n "$(ss -Hltn "sport = :$p" 2>/dev/null)" ]] && return 0
+  return 1
+}
+
 if [[ -z "$PORT" ]]; then
-  PORT=5000
-  [[ "$APP" == "tesm-license" ]] && PORT=5001
-  [[ -n "$INSTANCE" ]] && PORT=$((PORT + 100))
+  BASISPORT=5000
+  [[ "$APP" == "tesm-license" ]] && BASISPORT=5001
+  if [[ -n "$INSTANCE" ]]; then
+    # Frueher bekam **jede** Instanz Basis+100. Die zweite startete nie
+    # ("Address already in use") -- und die Gesundheitspruefung merkte es
+    # nicht, weil die erste auf demselben Port antwortete.
+    PORT=$((BASISPORT + 100))
+    while port_belegt "$PORT"; do PORT=$((PORT + 1)); done
+  else
+    PORT=$BASISPORT
+  fi
 fi
 if [[ -z "$HTTP_PORT" ]]; then
   HTTP_PORT=80
@@ -212,12 +310,41 @@ fi
 # Der Vorgaenger lief als root. Hier laeuft der Dienst unprivilegiert; Rootrechte
 # gibt es ausschliesslich ueber den Helfer.
 
+# Ein Sub-Paket auf eine Master-Installation waere ein stiller Rueckbau: der
+# Abgleich unten laeuft mit --delete und wuerde das Teilpaket entfernen. Danach
+# gaebe es auf dem Master keinen Weg mehr, eine Master-Lizenz auszustellen --
+# und niemand haette es gesagt.
+# Die Rolle steht in der eingespielten Lizenz. Das ist die zuverlaessigere
+# Haelfte der Pruefung: eine Master-Installation aus einer aelteren Fassung
+# kennt das Teilpaket noch nicht, ist aber trotzdem eine Wurzelinstanz.
+ROLLE_ALT=""
+if [[ "$EDITION" == "sub" && -s "$DATEN_DIR/license.json" ]]; then
+  ROLLE_ALT="$(python3 -c '
+import json, sys
+try:
+    print(json.load(open(sys.argv[1])).get("role", ""))
+except Exception:
+    pass
+' "$DATEN_DIR/license.json" 2>/dev/null || true)"
+fi
+
+if [[ "$EDITION" == "sub" && ( -d "$ROOT/$MASTER_TEILPAKET" || "$ROLLE_ALT" == "master" ) ]]; then
+  fail "Hier laeuft eine Wurzelinstanz${ROLLE_ALT:+ (Lizenz mit Rolle $ROLLE_ALT)}, dieses Paket
+    ist die Ausgabe fuer Sub-Lizenzserver.
+    Eine Aktualisierung damit wuerde die Master-Ausgabe entfernen.
+    Passendes Paket: Repository tesm-license-master (privat).
+    Bewusster Rueckbau: eine vom Master ausgestellte Lizenz einspielen (Rolle
+    license_server) und $ROOT/$MASTER_TEILPAKET entfernen -- danach ist dies ein
+    Sub-Lizenzserver und dieses Paket das richtige."
+fi
+
 # -- Backup ------------------------------------------------------------------
 if [[ $IS_UPDATE -eq 1 ]]; then
   step "Sicherung vor der Aktualisierung"
   systemctl stop "$UNIT" 2>/dev/null || true
   [[ "$APP" == "tesm" ]] && systemctl stop "$MONITOR_UNIT" 2>/dev/null || true
   cp -a "$ROOT" "$BACKUP_DIR"
+  SICHERUNG_STEHT=1
   info "Sicherung: $BACKUP_DIR"
 fi
 
@@ -295,6 +422,42 @@ install -o root -g root -m 0440 "$TMP_SUDO" "/etc/sudoers.d/$APP"
 rm -f "$TMP_SUDO"
 info "sudoers: $SERVICE_USER darf ausschliesslich tesm-helper als root aufrufen"
 
+# -- Anmeldebanner (MOTD) ----------------------------------------------------
+# Das Banner liest die Datenbank dieser Installation und laeuft dabei mit dem
+# System-Python, ohne das venv und ohne die Anwendung zu importieren. Der
+# Vorgaenger importierte dafuer die ganze Flask-App -- bei jeder Anmeldung, und
+# nach einem Wechsel des Quellverzeichnisses zeigte er stillschweigend die
+# Zahlen einer Datenbank, die niemand mehr fuellte.
+#
+# "timeout" verhindert, dass ein haengender Dateizugriff die Anmeldung
+# blockiert; "|| true" sorgt dafuer, dass ein Fehler hier den Login nie stoert.
+step "Anmeldebanner"
+if [[ -d /etc/update-motd.d ]]; then
+  install_if_changed "$ROOT/deploy/tesm-motd" /usr/local/lib/tesm/tesm-motd 0755 >/dev/null \
+    && info "Bannerskript aktualisiert" || info "Bannerskript unveraendert"
+  TMP_MOTD="$(mktemp)"
+  {
+    echo "#!/bin/sh"
+    echo "# Von TESM erzeugt ($NAME). Aenderungen werden bei der naechsten"
+    echo "# Installation ueberschrieben."
+    echo "timeout 3 /usr/local/lib/tesm/tesm-motd --app $APP --root $ROOT 2>/dev/null || true"
+  } > "$TMP_MOTD"
+  install -o root -g root -m 0755 "$TMP_MOTD" "/etc/update-motd.d/50-$NAME"
+  rm -f "$TMP_MOTD"
+  info "Banner: /etc/update-motd.d/50-$NAME"
+  # Ein Banner der Vorgaengerfassung zeigt Zahlen aus einer Datenbank, die
+  # niemand mehr fuellt. Er wird nur entfernt, wenn er genau darauf zeigt --
+  # nichts anderes wird angefasst.
+  ALT_MOTD="/etc/update-motd.d/50-tesm"
+  if [[ "$ALT_MOTD" != "/etc/update-motd.d/50-$NAME" && -f "$ALT_MOTD" ]] \
+     && grep -q "motd_banner.py" "$ALT_MOTD" 2>/dev/null; then
+    rm -f "$ALT_MOTD"
+    info "Banner der Vorgaengerfassung entfernt ($ALT_MOTD)"
+  fi
+else
+  info "Kein /etc/update-motd.d -- Banner uebersprungen"
+fi
+
 # -- Rechte ------------------------------------------------------------------
 step "Dateirechte"
 chown -R "$SERVICE_USER:$SERVICE_USER" "$ROOT/data" "$LOG_DIR"
@@ -311,8 +474,8 @@ step "Umgebung"
 # EnvironmentFile, die Kommandozeilenwerkzeuge ueber ihren Wrapper. Ohne das
 # wuesste "tesm-admin" nicht, wo die Instanz liegt, und wuerde sich eine leere
 # Datenbank im Arbeitsverzeichnis anlegen.
-install -d -o root -g root -m 0755 /etc/tesm
-ENV_FILE="/etc/tesm/$NAME.env"
+install -d -o root -g root -m 0755 "$ETC_TESM"
+ENV_FILE="$ETC_TESM/$NAME.env"
 TMP_ENV="$(mktemp)"
 {
   echo "# Von install.sh erzeugt fuer $NAME -- nicht von Hand bearbeiten."
@@ -378,6 +541,11 @@ render_unit "$ROOT/deploy/systemd/$APP.service" "/etc/systemd/system/$UNIT"
 if [[ "$APP" == "tesm" ]]; then
   render_unit "$ROOT/deploy/systemd/tesm-monitor.service" "/etc/systemd/system/$MONITOR_UNIT"
 fi
+# Aufraeumen lief bisher nur von Hand -- also praktisch nie. Auf einer
+# laufenden Installation lagen deshalb hunderte abgelaufene Sitzungszeilen in
+# der Datenbank, und das Aenderungsprotokoll waere nie archiviert worden.
+render_unit "$ROOT/deploy/systemd/$APP-cleanup.service" "/etc/systemd/system/$CLEANUP_UNIT"
+render_unit "$ROOT/deploy/systemd/$APP-cleanup.timer" "/etc/systemd/system/$CLEANUP_TIMER"
 [[ $UNITS_CHANGED -eq 1 ]] && systemctl daemon-reload && info "Units neu geladen" \
   || info "Units unveraendert"
 
@@ -450,12 +618,18 @@ systemctl enable --now "$UNIT" >/dev/null
 if [[ "$APP" == "tesm" ]]; then
   systemctl enable --now "$MONITOR_UNIT" >/dev/null
 fi
+# Der Timer, nicht der Dienst: der Dienst laeuft einmal und ist fertig.
+systemctl enable --now "$CLEANUP_TIMER" >/dev/null 2>&1 && info "Aufraeumen: taeglich 03:30"   || info "Aufraeum-Timer nicht aktiviert -- 'systemctl status $CLEANUP_TIMER' zeigt warum"
 
 # -- Health-Check und Rollback ----------------------------------------------
 step "Gesundheitspruefung"
 HEALTHY=0
 for attempt in $(seq 1 20); do
-  if curl -fsS --max-time 3 "http://127.0.0.1:$PORT/gesundheit" >/dev/null 2>&1; then
+  # Beides: der Dienst muss laufen **und** antworten. Nur die Antwort zu
+  # pruefen ging schon einmal schief -- auf einem gemeinsamen Port antwortete
+  # eine andere Instanz, und ein toter Dienst galt als gesund.
+  if systemctl is-active --quiet "$UNIT" &&
+     curl -fsS --max-time 3 "http://127.0.0.1:$PORT/health" >/dev/null 2>&1; then
     HEALTHY=1
     info "Antwort nach ${attempt}x"
     break
@@ -466,13 +640,9 @@ done
 if [[ $HEALTHY -eq 0 ]]; then
   warn "Die Anwendung antwortet nicht."
   if [[ $IS_UPDATE -eq 1 ]]; then
-    warn "Rollback wird ausgefuehrt."
-    systemctl stop "$UNIT" 2>/dev/null || true
-    [[ "$APP" == "tesm" ]] && systemctl stop "$MONITOR_UNIT" 2>/dev/null || true
-    mv "$ROOT" "$FAILED_DIR"
-    cp -a "$BACKUP_DIR" "$ROOT"
-    systemctl start "$UNIT" || true
-    [[ "$APP" == "tesm" ]] && systemctl start "$MONITOR_UNIT" || true
+    # Dieselbe Funktion wie die EXIT-Falle -- zwei Wege, die dasselbe tun
+    # sollen, laufen sonst irgendwann auseinander.
+    zurueckrollen_install
     fail "Aktualisierung fehlgeschlagen. Alter Stand wiederhergestellt.
     Fehlgeschlagene Version : $FAILED_DIR
     Sicherung              : $BACKUP_DIR
@@ -532,12 +702,41 @@ if [[ $HTTPS -eq 1 ]]; then
   fi
 fi
 
+# -- Lizenzserver einrichten -------------------------------------------------
+# Bei einer Neuinstallation: Signaturschluessel anlegen (braucht jeder
+# Lizenzserver, um Kundenlizenzen zu signieren) und in der Master-Ausgabe
+# gleich die eigene Master-Lizenz. Bei einer Aktualisierung nichts davon --
+# ein bestehender Schluessel darf nie angetastet werden.
+if [[ "$APP" == "tesm-license" && $IS_UPDATE -eq 0 ]]; then
+  step "Signaturschluessel"
+  if sudo -u "$SERVICE_USER" "/usr/local/bin/$NAME-admin" init-key; then
+    info "Bitte die Datei $DATEN_DIR/master_signing_key.json SOFORT sichern."
+  else
+    fail "Der Signaturschluessel liess sich nicht erzeugen. Ohne ihn kann dieser Server
+    keine Lizenz ausstellen. Protokoll: journalctl -u $UNIT -n 50"
+  fi
+
+  if [[ "$EDITION" == "master" ]]; then
+    step "Eigene Master-Lizenz"
+    if [[ -s "$DATEN_DIR/license.json" ]]; then
+      info "Es liegt schon eine Lizenzdatei -- unangetastet."
+    elif sudo -u "$SERVICE_USER" "/usr/local/bin/$NAME-admin" bootstrap; then
+      systemctl restart "$UNIT"
+      info "Dienst neu gestartet, damit die Lizenz gelesen wird."
+    else
+      fail "Die Master-Lizenz liess sich nicht ausstellen.
+    Nachtraeglich: sudo -u $SERVICE_USER $NAME-admin bootstrap"
+    fi
+  fi
+fi
+
 if [[ $IS_UPDATE -eq 1 ]]; then
   rm -rf "$BACKUP_DIR"
   info "Sicherung entfernt (Aktualisierung erfolgreich)"
 fi
 
 # -- Abschluss ---------------------------------------------------------------
+INSTALL_FERTIG=1
 step "Fertig"
 ADMIN_CMD="tesm-admin"
 [[ "$APP" == "tesm-license" ]] && ADMIN_CMD="tesm-license-admin"
@@ -553,14 +752,24 @@ cat <<SUMMARY
   Naechste Schritte:
 SUMMARY
 
-if [[ "$APP" == "tesm-license" ]]; then
+if [[ "$APP" == "tesm-license" && "$EDITION" == "master" ]]; then
   cat <<SUMMARY
-    1. Signaturschluessel erzeugen und sofort sichern:
-         sudo -u $SERVICE_USER $NAME-admin init-key
-    2. Eigene Master-Lizenz ausstellen:
-         sudo -u $SERVICE_USER $NAME-admin bootstrap
-    3. Administrator anlegen:
+    1. Administrator anlegen:
          sudo -u $SERVICE_USER $NAME-admin create-admin
+    2. Signaturschluessel sichern -- ohne ihn ist keine ausgestellte Lizenz
+       mehr pruefbar:
+         $ROOT/data/master_signing_key.json
+SUMMARY
+elif [[ "$APP" == "tesm-license" ]]; then
+  cat <<SUMMARY
+    1. Administrator anlegen:
+         sudo -u $SERVICE_USER $NAME-admin create-admin
+    2. Beim Master-Lizenzserver eine Lizenz fuer diesen Server anfordern und
+       unter "Eigene Lizenz" einspielen. Diese Ausgabe ist ein Sub-Lizenzserver
+       und stellt keine eigene Master-Lizenz aus.
+    3. Signaturschluessel sichern -- mit ihm signiert dieser Server seine
+       Kundenlizenzen:
+         $ROOT/data/master_signing_key.json
 SUMMARY
 else
   cat <<SUMMARY

deploy/release.sh

@@ -14,12 +14,21 @@ TAG="${1:?Verwendung: release.sh vX.Y.Z [name]}"
 SCRIPT_DIR="$(cd "$(dirname "${BASH_SOURCE[0]}")" && pwd)"
 REPO_DIR="$(cd "$SCRIPT_DIR/.." && pwd)"
 
-# Vorgabe: der Name der einzigen Anwendung im Baum, sonst der Verzeichnisname.
+# Vorgabe: der Name des Repositoriums. Genau den erwartet der Bootstrap von
+# update.sh als Anhangsnamen ("$repo-$TAG.tar.gz"). Die Anwendung heisst nicht
+# immer so: im Repositorium tesm-license-master liegt die Anwendung
+# "tesm-license", und ein Anhang unter deren Namen waere nie zu finden.
 if [[ -n "${2:-}" ]]; then
   NAME="$2"
 else
-  mapfile -t APPS < <(ls -1 "$REPO_DIR/apps" 2>/dev/null || true)
-  if [[ ${#APPS[@]} -eq 1 ]]; then NAME="${APPS[0]}"; else NAME="$(basename "$REPO_DIR")"; fi
+  HERKUNFT="$(git -C "$REPO_DIR" config --get remote.origin.url 2>/dev/null || true)"
+  if [[ -n "$HERKUNFT" ]]; then
+    NAME="$(basename "$HERKUNFT" .git)"
+  else
+    # Ohne Gegenseite: die einzige Anwendung im Baum, sonst das Verzeichnis.
+    mapfile -t APPS < <(ls -1 "$REPO_DIR/apps" 2>/dev/null || true)
+    if [[ ${#APPS[@]} -eq 1 ]]; then NAME="${APPS[0]}"; else NAME="$(basename "$REPO_DIR")"; fi
+  fi
 fi
 
 OUT="$NAME-$TAG.tar.gz"

deploy/rename.sh

@@ -0,0 +1,359 @@
+#!/usr/bin/env bash
+# =============================================================================
+# Benennt eine Installation um -- aus einer Instanz wird die Hauptinstallation
+# (oder umgekehrt).
+#
+#     sudo bash deploy/rename.sh --app tesm --from tesm-test --to tesm
+#     sudo bash deploy/rename.sh --app tesm-license --from tesm-license-test \
+#                                --to tesm-license
+#
+# Der Name steckt an mehr Stellen, als man beim Verschieben eines Verzeichnisses
+# erwartet, und drei davon sind leicht zu vergessen:
+#
+#   * ``SITE_KEY`` in der Umgebungsdatei -- daraus entsteht der Name des
+#     Sitzungscookies. Bleibt er alt, heisst das Cookie weiter wie die alte
+#     Instanz.
+#   * ``web_cert_path``/``web_key_path``/``web_acme_webroot`` in der Datenbank.
+#     Sie enthalten den Namen; ein Zertifikat unter dem alten Pfad findet nginx
+#     nach dem Umzug nicht mehr.
+#   * ``server_name`` der nginx-Site. install.sh schreibt die Datei neu, sobald
+#     sich die alias-Pfade aendern -- und die aendern sich hier zwangslaeufig.
+#     Ohne den Namen aus der Datenbank stuenden danach zwei Sites mit ``_`` auf
+#     Port 80 und die erste gewinnt.
+#
+# Belegt der Zielname noch eine Installation der Fassung 1.x, wird sie beiseite
+# geschoben: Verzeichnis nach ``<ziel>-<suffix>``, ihre systemd-Units und ihre
+# nginx-Site als Kopie hinein. Danach ist der Name frei und nichts auf dem
+# System zeigt mehr ins Leere.
+#
+# Alle angemeldeten Benutzer werden abgemeldet: das Sitzungscookie heisst
+# danach anders.
+# =============================================================================
+set -euo pipefail
+
+APP=""
+FROM=""
+TO=""
+SUFFIX="sonnet5"
+ASSUME_YES=0
+DRY_RUN=0
+
+SCRIPT_DIR="$(cd "$(dirname "${BASH_SOURCE[0]}")" && pwd)"
+
+COLOR_OK=$'\033[32m'; COLOR_WARN=$'\033[33m'; COLOR_ERR=$'\033[31m'; COLOR_OFF=$'\033[0m'
+step()  { printf '\n%s==>%s %s\n' "$COLOR_OK" "$COLOR_OFF" "$*"; }
+warn()  { printf '%s !!%s %s\n' "$COLOR_WARN" "$COLOR_OFF" "$*"; }
+fail()  { printf '%s !!%s %s\n' "$COLOR_ERR" "$COLOR_OFF" "$*" >&2; exit 1; }
+info()  { printf '    %s\n' "$*"; }
+
+usage() {
+  cat <<'USAGE'
+Verwendung: rename.sh --app <tesm|tesm-license> --from <alt> --to <neu> [Optionen]
+
+  --app <name>     Welche Anwendung (Pflicht)
+  --from <name>    Bisheriger Installationsname, z.B. tesm-test (Pflicht)
+  --to <name>      Neuer Installationsname, z.B. tesm (Pflicht)
+  --suffix <text>  Namenszusatz fuer eine beiseite geschobene Installation
+                   der Fassung 1.x (Vorgabe: sonnet5)
+  --dry-run        Nur zeigen, was geschehen wuerde
+  --yes            Keine Rueckfrage
+USAGE
+}
+
+while [[ $# -gt 0 ]]; do
+  case "$1" in
+    --app) APP="${2:?}"; shift 2 ;;
+    --from) FROM="${2:?}"; shift 2 ;;
+    --to) TO="${2:?}"; shift 2 ;;
+    --suffix) SUFFIX="${2:?}"; shift 2 ;;
+    --dry-run) DRY_RUN=1; shift ;;
+    --yes|-y) ASSUME_YES=1; shift ;;
+    -h|--help) usage; exit 0 ;;
+    *) usage; fail "unbekannte Option: $1" ;;
+  esac
+done
+
+[[ "$APP" == "tesm" || "$APP" == "tesm-license" ]] || { usage; fail "--app fehlt oder ist unbekannt"; }
+[[ -n "$FROM" && -n "$TO" ]] || { usage; fail "--from und --to sind Pflicht"; }
+[[ "$FROM" != "$TO" ]] || fail "--from und --to sind gleich"
+[[ "$TO" =~ ^[a-z0-9-]{1,32}$ ]] || fail "ungueltiger Zielname: $TO"
+[[ "$TO" == "$APP" || "$TO" == "$APP-"* ]] || fail "der Zielname muss mit '$APP' beginnen"
+[[ "$(id -u)" -eq 0 ]] || fail "bitte mit sudo ausfuehren"
+[[ -f "$SCRIPT_DIR/install.sh" ]] || fail "install.sh fehlt neben diesem Skript"
+[[ -d "/srv/$FROM" ]] || fail "/srv/$FROM gibt es nicht"
+[[ -f "/srv/$FROM/data/app.db" ]] || fail "/srv/$FROM sieht nicht nach einer Installation dieser Fassung aus"
+
+ENV_PREFIX="TESM_"
+[[ "$APP" == "tesm-license" ]] && ENV_PREFIX="TESM_LICENSE_"
+
+# Alles, was den Namen traegt. Reihenfolge: erst Daten, dann Konfiguration.
+VERSCHIEBEN=(
+  "/srv/$FROM:/srv/$TO"
+  "/var/log/$FROM:/var/log/$TO"
+  "/etc/tesm/$FROM.env:/etc/tesm/$TO.env"
+  "/var/www/$FROM-acme:/var/www/$TO-acme"
+  "/etc/tesm/certs/$FROM:/etc/tesm/certs/$TO"
+)
+ENTFERNEN=(
+  "/etc/systemd/system/$FROM.service"
+  "/etc/systemd/system/$FROM-monitor.service"
+  "/etc/nginx/sites-enabled/$FROM"
+  "/etc/nginx/sites-available/$FROM"
+  "/usr/local/bin/$FROM-admin"
+  "/etc/logrotate.d/$FROM"
+  "/etc/update-motd.d/50-$FROM"
+)
+
+# -- Webeinstellungen auslesen, bevor irgendetwas umzieht -------------------- #
+# Mit dem System-Python und der Standardbibliothek: das venv zieht gleich mit
+# um, und ein zusaetzliches Werkzeug (sqlite3) ist auf einem schlanken Server
+# nicht garantiert.
+lese_einstellung() {
+  python3 - "$1" "/srv/$FROM/data/app.db" <<'PY'
+import sqlite3, sys
+schluessel, datenbank = sys.argv[1], sys.argv[2]
+try:
+    conn = sqlite3.connect(f"file:{datenbank}?mode=ro", uri=True)
+    row = conn.execute("SELECT value FROM settings WHERE key=?", (schluessel,)).fetchone()
+    conn.close()
+except sqlite3.Error:
+    row = None
+print((row[0] if row and row[0] is not None else "").strip())
+PY
+}
+
+DOMAIN="$(lese_einstellung web_domain || true)"
+HTTPS_AN="$(lese_einstellung web_https_enabled || true)"
+HSTS_AN="$(lese_einstellung web_hsts_enabled || true)"
+CERT_ALT="$(lese_einstellung web_cert_path || true)"
+
+step "Vorhaben"
+info "Anwendung : $APP"
+info "Alt       : $FROM"
+info "Neu       : $TO"
+info "Domain    : ${DOMAIN:-(keine)}"
+info "HTTPS     : $([[ "$HTTPS_AN" == "1" ]] && echo "ja${CERT_ALT:+, Zertifikat $CERT_ALT}" || echo nein)"
+for paar in "${VERSCHIEBEN[@]}"; do
+  quelle="${paar%%:*}"; ziel="${paar##*:}"
+  [[ -e "$quelle" ]] && info "verschieben: $quelle -> $ziel"
+done
+for pfad in "${ENTFERNEN[@]}"; do
+  [[ -e "$pfad" ]] && info "entfernen  : $pfad (install.sh legt es unter dem neuen Namen neu an)"
+done
+
+# -- Was belegt den Zielnamen? ----------------------------------------------- #
+# Nicht nur das Verzeichnis unter /srv: eine Installation der Fassung 1.x
+# hinterlaesst auch /var/log/<name>, /etc/logrotate.d/<name> und den
+# ACME-Pfad. Der Umzug bricht sonst mitten drin ab -- live genau so passiert.
+BELEGT=()
+for paar in "${VERSCHIEBEN[@]}"; do
+  ziel="${paar##*:}"
+  [[ -e "$ziel" ]] && BELEGT+=("$ziel")
+done
+for weiteres in "/etc/logrotate.d/$TO" "/etc/update-motd.d/50-$TO"; do
+  [[ -e "$weiteres" ]] && BELEGT+=("$weiteres")
+done
+
+BEISEITE=""
+if [[ ${#BELEGT[@]} -gt 0 ]]; then
+  if [[ -f "/srv/$TO/data/app.db" ]]; then
+    fail "/srv/$TO ist bereits eine Installation dieser Fassung. Welche gewinnt, entscheidet niemand automatisch."
+  fi
+  BEISEITE="/srv/$TO-$SUFFIX"
+  if [[ -e "$BEISEITE" ]]; then
+    # Ein vorhandenes Archiv derselben Verdraengung wird weiterbenutzt -- die
+    # Reste einer Installation gehoeren zusammen und nicht in ein zweites
+    # Verzeichnis. Alles andere unter diesem Namen bleibt unangetastet.
+    if [[ -f "$BEISEITE/sqlite.db" || -d "$BEISEITE/systemd-alt" ]]; then
+      info "Archiv $BEISEITE ist vorhanden und wird weiterbenutzt."
+    else
+      fail "$BEISEITE existiert und sieht nicht nach einem solchen Archiv aus -- bitte --suffix waehlen"
+    fi
+  fi
+  info "Der Zielname ist belegt. Alles davon wandert nach $BEISEITE:"
+  for pfad in "${BELEGT[@]}"; do info "  $pfad"; done
+fi
+
+if [[ $DRY_RUN -eq 1 ]]; then
+  step "--dry-run: hier ist Schluss."
+  exit 0
+fi
+if [[ $ASSUME_YES -eq 0 ]]; then
+  read -r -p "Fortfahren? Alle angemeldeten Benutzer werden abgemeldet. [j/N] " answer
+  [[ "$answer" =~ ^[jJyY]$ ]] || { echo "Abgebrochen."; exit 0; }
+fi
+
+# -- 1. Dienste anhalten ----------------------------------------------------- #
+step "Dienste anhalten"
+for unit in "$FROM.service" "$FROM-monitor.service"; do
+  if systemctl list-unit-files "$unit" --no-legend 2>/dev/null | grep -q .; then
+    systemctl disable --now "$unit" >/dev/null 2>&1 || true
+    info "$unit gestoppt und deaktiviert"
+  fi
+done
+
+# -- 2. Zielnamen freimachen ------------------------------------------------- #
+if [[ -n "$BEISEITE" ]]; then
+  step "Zielnamen freimachen"
+  # Alles wandert ins Archiv, nichts wird geloescht: unter /var/log/<name>
+  # liegen Protokolle, unter /srv/<name> im Zweifel eine ganze Installation.
+  # Die Units und die Site kommen mit -- sie zeigen auf das alte Verzeichnis
+  # und waeren auf dem System nur noch Fehlerquellen, im Archiv aber ein Beleg.
+  mkdir -p "$BEISEITE"
+  for pfad in "${BELEGT[@]}"; do
+    ziel="$BEISEITE/$(basename "$pfad")"
+    if [[ "$pfad" == "/srv/$TO" ]]; then
+      # Das Verzeichnis selbst wird das Archiv -- sein Inhalt bleibt, wie er ist.
+      for eintrag in "$pfad"/* "$pfad"/.[!.]*; do
+        [[ -e "$eintrag" ]] || continue
+        mv "$eintrag" "$BEISEITE/"
+      done
+      rmdir "$pfad"
+      info "/srv/$TO -> $BEISEITE/"
+      continue
+    fi
+    if [[ -e "$ziel" ]]; then
+      ziel="$ziel-$(date +%Y%m%d-%H%M%S)"
+      warn "Im Archiv lag schon etwas mit diesem Namen -- ablegen als $(basename "$ziel")"
+    fi
+    mv "$pfad" "$ziel"
+    info "$pfad -> $ziel"
+  done
+  mkdir -p "$BEISEITE/systemd-alt"
+  for unit in "/etc/systemd/system/$TO.service" "/etc/systemd/system/$TO-check.service" \
+              "/etc/systemd/system/$TO-check.timer" "/etc/systemd/system/$TO-check-restart.service" \
+              "/etc/systemd/system/$TO-check-restart.timer"; do
+    [[ -f "$unit" ]] || continue
+    systemctl disable --now "$(basename "$unit")" >/dev/null 2>&1 || true
+    mv "$unit" "$BEISEITE/systemd-alt/"
+    info "$(basename "$unit") archiviert"
+  done
+  for site in "/etc/nginx/sites-enabled/$TO" "/etc/nginx/sites-available/$TO"; do
+    [[ -e "$site" ]] || continue
+    [[ -L "$site" ]] && { rm -f "$site"; continue; }
+    mv "$site" "$BEISEITE/systemd-alt/nginx-site"
+    info "nginx-Site archiviert"
+  done
+  for motd in "/etc/update-motd.d/50-$TO"; do
+    [[ -f "$motd" ]] && grep -q "motd_banner.py" "$motd" 2>/dev/null && rm -f "$motd" \
+      && info "Banner der Fassung 1.x entfernt"
+  done
+  info "Alles Verdraengte liegt unter $BEISEITE"
+fi
+
+# -- 3. Umziehen ------------------------------------------------------------- #
+step "Umziehen"
+for paar in "${VERSCHIEBEN[@]}"; do
+  quelle="${paar%%:*}"; ziel="${paar##*:}"
+  [[ -e "$quelle" ]] || continue
+  [[ -e "$ziel" ]] && fail "$ziel existiert bereits -- Abbruch, damit nichts vermischt wird"
+  mkdir -p "$(dirname "$ziel")"
+  mv "$quelle" "$ziel"
+  info "$quelle -> $ziel"
+done
+
+# -- 4. Namen in den Dateien nachziehen -------------------------------------- #
+step "Namen nachziehen"
+ENV_FILE="/etc/tesm/$TO.env"
+if [[ -f "$ENV_FILE" ]]; then
+  # Der SITE_KEY bestimmt den Namen des Sitzungscookies. Bleibt er alt, heisst
+  # das Cookie weiter wie die alte Instanz -- unauffaellig und falsch.
+  sed -i "s#^${ENV_PREFIX}SITE_KEY=.*#${ENV_PREFIX}SITE_KEY=$TO#" "$ENV_FILE"
+  info "SITE_KEY=$TO"
+fi
+
+# Pfade in der Datenbank, die den Namen enthalten.
+python3 - "$TO" "$FROM" "/srv/$TO/data/app.db" <<'PY'
+import sqlite3, sys
+neu, alt, datenbank = sys.argv[1], sys.argv[2], sys.argv[3]
+schluessel = ("web_cert_path", "web_key_path", "web_acme_webroot")
+try:
+    conn = sqlite3.connect(datenbank, timeout=5.0)
+except sqlite3.Error as fehler:
+    print(f"    Datenbank nicht schreibbar: {fehler}")
+    raise SystemExit(0)
+try:
+    with conn:
+        for key in schluessel:
+            row = conn.execute("SELECT value FROM settings WHERE key=?", (key,)).fetchone()
+            if not row or not row[0]:
+                continue
+            wert = str(row[0])
+            ersetzt = wert.replace(alt, neu)
+            if ersetzt != wert:
+                conn.execute("UPDATE settings SET value=? WHERE key=?", (ersetzt, key))
+                print(f"    {key}: {wert} -> {ersetzt}")
+finally:
+    conn.close()
+PY
+
+# -- 5. Alte Konfiguration entfernen ----------------------------------------- #
+step "Alte Konfiguration entfernen"
+for pfad in "${ENTFERNEN[@]}"; do
+  [[ -e "$pfad" ]] || continue
+  rm -f "$pfad"
+  info "$pfad"
+done
+systemctl daemon-reload
+
+# -- 6. Unter dem neuen Namen einrichten ------------------------------------- #
+# Das venv wird verworfen und neu gebaut. Es ist abgeleiteter Zustand, und
+# seine Konsolenskripte tragen den absoluten Pfad im Shebang: nach dem Umzug
+# zeigt "venv/bin/gunicorn" auf einen Interpreter, den es nicht mehr gibt, und
+# systemd meldet nur "No such file or directory" -- fuer eine Datei, die
+# sichtbar da ist. Live auf POETEST genau so passiert.
+if [[ -d "/srv/$TO/venv" ]]; then
+  step "venv verwerfen (Shebangs tragen den alten Pfad)"
+  rm -rf "/srv/$TO/venv"
+  info "wird von install.sh neu gebaut"
+fi
+
+step "Unter dem neuen Namen einrichten"
+INSTALL_ARGS=(--app "$APP" --yes)
+[[ "$TO" != "$APP" ]] && INSTALL_ARGS+=(--instance "${TO#"$APP"-}")
+bash "$SCRIPT_DIR/install.sh" "${INSTALL_ARGS[@]}"
+
+# -- 7. nginx-Site aus den Einstellungen neu schreiben ----------------------- #
+# install.sh schreibt die Site aus seiner Vorlage, sobald sich die alias-Pfade
+# aendern -- und die aendern sich hier zwangslaeufig. Der Name der Site steht
+# aber in der Datenbank, nicht in der Vorlage. Ohne diesen Schritt stuenden
+# zwei Sites mit "_" auf Port 80 und die erste gewinnt.
+if [[ -n "$DOMAIN" ]]; then
+  step "Webserver-Konfiguration erneuern"
+  # --apply nicht vergessen: ohne ihn speichert web-setup nur die Einstellungen
+  # und laesst die Site-Datei stehen, die install.sh aus seiner Vorlage
+  # geschrieben hat -- mit "server_name _" und ohne TLS.
+  WEB_ARGS=(web-setup --apply --domain "$DOMAIN")
+  if [[ "$HTTPS_AN" == "1" ]]; then
+    WEB_ARGS+=(--https)
+    [[ "$HSTS_AN" == "1" ]] && WEB_ARGS+=(--hsts)
+    # Das Zertifikat ist mitgezogen und sein Pfad in der Datenbank nachgefuehrt
+    # -- "web-setup --https" laesst es dann unangetastet. Ein neues erzeugen
+    # wuerde nur eine weitere Browserwarnung produzieren. Nur wenn nach dem
+    # Umzug wirklich keines da ist, wird eines erzeugt.
+    CERT_NEU="${CERT_ALT//$FROM/$TO}"
+    if [[ -n "$CERT_NEU" && -f "$CERT_NEU" ]]; then
+      info "HTTPS mit dem vorhandenen Zertifikat: $CERT_NEU"
+    else
+      WEB_ARGS+=(--self-signed)
+      warn "Zertifikat nicht gefunden (${CERT_NEU:-keins hinterlegt}) -- es wird ein neues"
+      warn "selbstsigniertes erzeugt. Der Browser warnt dann einmal erneut."
+    fi
+  fi
+  if sudo -u "$APP" "/usr/local/bin/$TO-admin" "${WEB_ARGS[@]}"; then
+    info "Site neu geschrieben: server_name $DOMAIN"
+  else
+    warn "web-setup ist fehlgeschlagen -- bitte in der Anwendung unter"
+    warn "'Verwaltung -> Webserver und TLS' die Domain eintragen und uebernehmen."
+  fi
+fi
+
+# -- 8. Ergebnis ------------------------------------------------------------- #
+step "Fertig"
+info "Verzeichnis : /srv/$TO"
+info "Dienst      : systemctl status $TO.service"
+info "Werkzeug    : $TO-admin"
+info "Aktualisieren: sudo bash /srv/$TO/deploy/update.sh $APP$([[ "$TO" != "$APP" ]] && echo " latest --instance ${TO#"$APP"-}")"
+[[ -n "$BEISEITE" ]] && info "Fassung 1.x : $BEISEITE (Units und Site darin unter systemd-alt/)"
+echo
+warn "Alle Benutzer sind abgemeldet: das Sitzungscookie heisst jetzt anders."

deploy/sudoers/tesm

@@ -5,5 +5,11 @@
 #
 # Bewusst KEIN "ALL=(ALL) NOPASSWD: ALL". Der Vorgaenger loeste dasselbe
 # Problem, indem die gesamte Anwendung als root lief.
-Defaults:tesm !requiretty
+#
+# Hier stand "Defaults:tesm !requiretty". Auf Debian und Ubuntu ist
+# requiretty nie gesetzt, die Zeile war also von Anfang an wirkungslos -- und
+# ab sudo 1.9.16 kennt visudo die Einstellung nicht mehr und lehnt die ganze
+# Datei ab ("unknown setting: 'requiretty'"). Auf einem frisch aufgesetzten
+# Server brach die Installation deshalb mitten drin ab. Nicht wieder
+# hinzufuegen; ein Hygienetest haelt das fest.
 tesm ALL=(root) NOPASSWD: /usr/local/lib/tesm/tesm-helper

deploy/sudoers/tesm-license

@@ -5,5 +5,11 @@
 #
 # Bewusst KEIN "ALL=(ALL) NOPASSWD: ALL". Der Vorgaenger loeste dasselbe
 # Problem, indem die gesamte Anwendung als root lief.
-Defaults:tesm-license !requiretty
+#
+# Hier stand "Defaults:tesm-license !requiretty". Auf Debian und Ubuntu ist
+# requiretty nie gesetzt, die Zeile war also von Anfang an wirkungslos -- und
+# ab sudo 1.9.16 kennt visudo die Einstellung nicht mehr und lehnt die ganze
+# Datei ab ("unknown setting: 'requiretty'"). Auf einem frisch aufgesetzten
+# Server brach die Installation deshalb mitten drin ab. Nicht wieder
+# hinzufuegen; ein Hygienetest haelt das fest.
 tesm-license ALL=(root) NOPASSWD: /usr/local/lib/tesm/tesm-helper

deploy/systemd/tesm-cleanup.service

@@ -0,0 +1,34 @@
+[Unit]
+Description=TESM -- Aufraeumen: Sitzungen, Ratenereignisse, Protokollarchiv
+After=tesm.service
+# Ohne die laufende Anwendung ist nichts kaputt -- der Befehl arbeitet direkt
+# auf der Datenbank. "After" sorgt nur fuer eine sinnvolle Reihenfolge beim
+# Hochfahren.
+
+[Service]
+Type=oneshot
+User=tesm
+Group=tesm
+WorkingDirectory=/srv/tesm
+Environment=TESM_BASE_DIR=/srv/tesm
+Environment=TESM_DATA_DIR=/srv/tesm/data
+Environment=TESM_LOG_DIR=/var/log/tesm
+Environment=PYTHONUNBUFFERED=1
+ExecStart=/srv/tesm/venv/bin/tesm-admin housekeeping
+
+# Hier darf voll gehaertet werden: dieser Aufruf fasst nur die Datenbank und
+# das Protokollverzeichnis an, keine Systemdateien und keinen Helfer per sudo.
+NoNewPrivileges=yes
+PrivateTmp=yes
+ProtectSystem=strict
+ProtectHome=yes
+ProtectKernelTunables=yes
+ProtectKernelModules=yes
+ProtectControlGroups=yes
+RestrictSUIDSGID=yes
+RestrictNamespaces=yes
+RestrictAddressFamilies=AF_UNIX
+LockPersonality=yes
+SystemCallArchitectures=native
+UMask=0027
+ReadWritePaths=/srv/tesm/data /var/log/tesm

deploy/systemd/tesm-cleanup.timer

@@ -0,0 +1,18 @@
+[Unit]
+Description=TESM -- taegliches Aufraeumen
+
+[Timer]
+# Nachts, wenn niemand arbeitet: abgelaufene Sitzungen, alte Ratenereignisse
+# und die Archivierung des Aenderungsprotokolls.
+#
+# Vorher lief das nur, wenn jemand "tesm-admin housekeeping" aufrief oder in
+# der Diagnose darauf klickte -- also praktisch nie. Gemessen auf einer
+# Installation nach vier Wochen: 747 Sitzungszeilen, 682 davon abgelaufen.
+OnCalendar=*-*-* 03:30:00
+# Streuung, damit nicht jede Installation im Netz zur selben Sekunde loslegt.
+RandomizedDelaySec=15m
+# Nachgeholt, wenn die Maschine nachts aus war.
+Persistent=true
+
+[Install]
+WantedBy=timers.target

deploy/systemd/tesm-license-cleanup.service

@@ -0,0 +1,34 @@
+[Unit]
+Description=TESM-Lizenzserver -- Aufraeumen: Sitzungen, Ratenereignisse, Protokollarchiv
+After=tesm-license.service
+# Ohne die laufende Anwendung ist nichts kaputt -- der Befehl arbeitet direkt
+# auf der Datenbank. "After" sorgt nur fuer eine sinnvolle Reihenfolge beim
+# Hochfahren.
+
+[Service]
+Type=oneshot
+User=tesm-license
+Group=tesm-license
+WorkingDirectory=/srv/tesm-license
+Environment=TESM_LICENSE_BASE_DIR=/srv/tesm-license
+Environment=TESM_LICENSE_DATA_DIR=/srv/tesm-license/data
+Environment=TESM_LICENSE_LOG_DIR=/var/log/tesm-license
+Environment=PYTHONUNBUFFERED=1
+ExecStart=/srv/tesm-license/venv/bin/tesm-license-admin housekeeping
+
+# Hier darf voll gehaertet werden: dieser Aufruf fasst nur die Datenbank und
+# das Protokollverzeichnis an, keine Systemdateien und keinen Helfer per sudo.
+NoNewPrivileges=yes
+PrivateTmp=yes
+ProtectSystem=strict
+ProtectHome=yes
+ProtectKernelTunables=yes
+ProtectKernelModules=yes
+ProtectControlGroups=yes
+RestrictSUIDSGID=yes
+RestrictNamespaces=yes
+RestrictAddressFamilies=AF_UNIX
+LockPersonality=yes
+SystemCallArchitectures=native
+UMask=0027
+ReadWritePaths=/srv/tesm-license/data /var/log/tesm-license

deploy/systemd/tesm-license-cleanup.timer

@@ -0,0 +1,18 @@
+[Unit]
+Description=TESM-Lizenzserver -- taegliches Aufraeumen
+
+[Timer]
+# Nachts, wenn niemand arbeitet: abgelaufene Sitzungen, alte Ratenereignisse
+# und die Archivierung des Aenderungsprotokolls.
+#
+# Vorher lief das nur, wenn jemand "tesm-license-admin housekeeping" aufrief oder in
+# der Diagnose darauf klickte -- also praktisch nie. Gemessen auf einer
+# Installation nach vier Wochen: 747 Sitzungszeilen, 682 davon abgelaufen.
+OnCalendar=*-*-* 03:30:00
+# Streuung, damit nicht jede Installation im Netz zur selben Sekunde loslegt.
+RandomizedDelaySec=15m
+# Nachgeholt, wenn die Maschine nachts aus war.
+Persistent=true
+
+[Install]
+WantedBy=timers.target

deploy/tesm-helper

@@ -47,7 +47,7 @@ check_in_list() {
 }
 
 # Name einer Installation auf diesem Host: entweder die Hauptinstallation
-# ("tesm") oder eine benannte Instanz daneben ("tesm-opus"). Mehr als diese
+# ("tesm") oder eine benannte Instanz daneben ("tesm-test"). Mehr als diese
 # beiden Formen gibt es nicht -- so kann keine erfundene Zeichenkette einen
 # Pfad ausserhalb des vorgesehenen Namensraums erzeugen.
 check_app_key() {

deploy/tesm-motd

@@ -0,0 +1,185 @@
+#!/usr/bin/env python3
+"""Live-Banner fuer die SSH-Anmeldung (MOTD).
+
+Eingebunden ueber ``/etc/update-motd.d/50-<name>``, das ``install.sh``
+erzeugt. Aufruf mit ``--app`` und ``--root``; alles andere steht in der
+Datenbank der Installation.
+
+**Nur Standardbibliothek, kein Flask, kein venv.** Der Vorgaenger importierte
+dafuer die ganze Anwendung -- bei jeder SSH-Anmeldung. Das ist teuer, und es
+faellt aus, sobald das venv nicht mehr passt: nach dem Umstieg auf diese
+Fassung zeigte das alte Banner monatelang eingefrorene Zahlen aus einer
+Datenbank, die niemand mehr fuellte. Hier wird gelesen, was auf der Platte
+liegt, und zwar **nur lesend** (``mode=ro``).
+
+Ein Banner darf eine Anmeldung niemals stoeren: jede Auskunft, die nicht zu
+holen ist, wird zu einem kurzen Hinweis, und am Ende faengt ``main`` alles ab.
+Der Aufrufer setzt zusaetzlich ein Zeitlimit.
+"""
+
+from __future__ import annotations
+
+import argparse
+import sqlite3
+import sys
+import time
+from pathlib import Path
+
+AMBER = "\033[38;2;226;166;60m"
+DIM = "\033[2m"
+BOLD = "\033[1m"
+RESET = "\033[0m"
+
+#: Kea schreibt seine Leases als CSV; die letzte Zeile je Adresse gilt.
+#: Dieselbe Datei liest die Anwendung (``services/kea.py``: ``LEASE_FILE``).
+LEASE_FILE = "/var/lib/kea/kea-leases4.csv"
+
+#: Zeile unter der Wortmarke. Wortlaut wie in der jeweiligen Anwendung
+#: (``AUTH_TAGLINE`` in deren ``__init__.py``) -- ein Hygienetest haelt beides
+#: zusammen.
+TAGLINE = {
+    "tesm": "ÜBERWACHEN · BOOTEN · ANBINDEN",
+    "tesm-license": "LIZENZIEREN",
+}
+
+TITEL = {"tesm": "TimEShepManager", "tesm-license": "Lizenzserver"}
+
+#: Wortgleich mit ``services/monitor.py``: ``DASHBOARD_COUNT_SQL``. Die
+#: Statusuebersicht und dieses Banner sollen nicht zwei Wahrheiten haben; ein
+#: Hygienetest vergleicht die beiden Zeichenketten.
+DASHBOARD_COUNT_SQL = """
+        SELECT
+          COUNT(*) AS total,
+          SUM(CASE WHEN d.is_active=0 THEN 1 ELSE 0 END) AS disabled,
+          SUM(CASE WHEN d.is_active=1 AND COALESCE(st.state,'unknown')='online' THEN 1 ELSE 0 END) AS online,
+          SUM(CASE WHEN d.is_active=1 AND COALESCE(st.state,'unknown')='offline' THEN 1 ELSE 0 END) AS offline,
+          SUM(CASE WHEN d.is_active=1 AND COALESCE(st.state,'unknown')='unknown' THEN 1 ELSE 0 END) AS unknown,
+          SUM(CASE WHEN d.is_active=1 AND st.state='restarting' THEN 1 ELSE 0 END) AS restarting
+        FROM devices d LEFT JOIN device_status st ON st.device_id = d.id
+        WHERE d.deleted_at IS NULL
+        """
+
+
+def _zahl(anzahl: int, singular: str, plural: str) -> str:
+    """Zahl mit passendem Wort. "1 Clients" liest man jeden Tag einmal zu oft."""
+    return f"{BOLD}{anzahl}{RESET} {singular if anzahl == 1 else plural}"
+
+
+def _oeffnen(root: Path) -> sqlite3.Connection:
+    pfad = root / "data" / "app.db"
+    conn = sqlite3.connect(f"file:{pfad.as_posix()}?mode=ro", uri=True, timeout=1.0)
+    conn.row_factory = sqlite3.Row
+    return conn
+
+
+def _flotte(conn: sqlite3.Connection) -> str:
+    row = conn.execute(DASHBOARD_COUNT_SQL).fetchone()
+    online = int(row["online"] or 0)
+    offline = int(row["offline"] or 0)
+    teile = [
+        _zahl(online, "Client online", "Clients online"),
+        f"{BOLD}{offline}{RESET} nicht erreichbar",
+    ]
+    # Nur nennen, wenn es sie gibt: eine Null bei "startet neu" ist keine
+    # Auskunft, sondern Fuellmaterial.
+    restarting = int(row["restarting"] or 0)
+    if restarting:
+        teile.append(_zahl(restarting, "startet neu", "starten neu"))
+    unbekannt = int(row["unknown"] or 0)
+    if unbekannt:
+        teile.append(f"{DIM}{unbekannt} ohne Pruefung{RESET}")
+    return " · ".join(teile)
+
+
+def _dhcp() -> str:
+    """Aktive Leases aus der Kea-CSV. Laeuft als root, braucht keinen Helfer."""
+    datei = Path(LEASE_FILE)
+    if not datei.is_file():
+        return "keine Lease-Datei"
+    try:
+        zeilen = datei.read_text(encoding="utf-8", errors="replace").splitlines()
+    except OSError:
+        return "Lease-Datei nicht lesbar"
+    if len(zeilen) < 2:
+        return "0 Leases aktiv"
+    kopf = [name.strip().strip('"') for name in zeilen[0].split(",")]
+    try:
+        i_adresse = kopf.index("address")
+        i_ablauf = kopf.index("expire")
+        i_zustand = kopf.index("state")
+    except ValueError:
+        return "Lease-Datei mit unerwarteten Spalten"
+
+    jetzt = int(time.time())
+    letzte: dict[str, tuple[int, str]] = {}
+    for zeile in zeilen[1:]:
+        felder = [feld.strip().strip('"') for feld in zeile.split(",")]
+        if len(felder) < len(kopf):
+            continue
+        try:
+            letzte[felder[i_adresse]] = (int(felder[i_ablauf] or 0), felder[i_zustand] or "0")
+        except ValueError:
+            continue
+    aktiv = sum(1 for ablauf, zustand in letzte.values() if zustand == "0" and ablauf > jetzt)
+    return f"{aktiv} {'Lease' if aktiv == 1 else 'Leases'} aktiv"
+
+
+def _lizenzen(conn: sqlite3.Connection) -> str:
+    kunden = int(conn.execute("SELECT COUNT(*) FROM license_customers").fetchone()[0] or 0)
+    lizenzen = int(
+        conn.execute(
+            "SELECT COUNT(*) FROM licenses WHERE status IN ('issued','active')"
+        ).fetchone()[0]
+        or 0
+    )
+    return (
+        _zahl(kunden, "Kunde", "Kunden")
+        + " · "
+        + _zahl(lizenzen, "Lizenz ausgestellt", "Lizenzen ausgestellt")
+    )
+
+
+def main(argv: list[str] | None = None) -> int:
+    parser = argparse.ArgumentParser(prog="tesm-motd", description="Banner fuer die SSH-Anmeldung")
+    parser.add_argument("--app", required=True, choices=sorted(TITEL))
+    parser.add_argument("--root", required=True, help="Verzeichnis der Installation")
+    parser.add_argument("--no-color", action="store_true")
+    args = parser.parse_args(argv)
+
+    if args.no_color:
+        globals().update(AMBER="", DIM="", BOLD="", RESET="")
+
+    root = Path(args.root)
+    # Kein isatty()-Test: dieses Skript schreibt beim Login nicht auf ein
+    # Terminal, sondern ueber run-parts in eine Datei. Der Betrachter ist
+    # trotzdem ein echtes Terminal -- deshalb immer Farbe.
+    print(f"{BOLD}{AMBER}TESM{RESET} · {TITEL[args.app]}")
+    if TAGLINE[args.app]:
+        print(f"{DIM}{TAGLINE[args.app]}{RESET}")
+    print()
+    try:
+        conn = _oeffnen(root)
+    except sqlite3.Error:
+        print(f"{DIM}Datenbank nicht lesbar: {root}{RESET}")
+        print()
+        return 0
+    try:
+        if args.app == "tesm":
+            print(f"{_flotte(conn)} · DHCP: {_dhcp()}")
+        else:
+            print(_lizenzen(conn))
+    except sqlite3.Error as fehler:
+        print(f"{DIM}Zustand nicht verfuegbar ({fehler}){RESET}")
+    finally:
+        conn.close()
+    print()
+    return 0
+
+
+if __name__ == "__main__":
+    try:
+        raise SystemExit(main())
+    except SystemExit:
+        raise
+    except Exception:  # noqa: BLE001 - ein Banner darf keinen Login stoeren
+        sys.exit(0)

deploy/update.sh

@@ -1,89 +1,199 @@
 #!/usr/bin/env bash
 # =============================================================================
-# Bootstrapper: laedt ein Release herunter und ruft dessen install.sh auf.
+# Aktualisierung: laedt das aktuelle Release und ruft dessen install.sh auf.
 # Enthaelt selbst keinerlei Installationslogik.
 #
-# Zwei Fallen des Vorgaengers sind hier bewusst vermieden:
-#   * Der Tag "latest" wird ueber die API aufgeloest, nie direkt in die
-#     Download-URL geschrieben. Gitea liefert sonst mit HTTP 200 ein
-#     automatisch erzeugtes Quell-Snapshot statt des echten Release-Assets.
-#   * Nach dem Entpacken wird geprueft, dass ein install.sh existiert -- faengt
-#     denselben Fehler ein zweites Mal ab.
+# Eine einzelne Datei genuegt -- sie holt sich alles Weitere:
+#
+#     curl -fsSLO https://gitea.int.eertmoed.net/alientim/tesm/raw/branch/main/deploy/update.sh
+#     sudo bash update.sh tesm
+#
+# Auf einer bestehenden Installation liegt sie schon bereit:
+#
+#     sudo bash /srv/tesm/deploy/update.sh tesm
+#
+# Laeuft hier die Master-Ausgabe des Lizenzservers, kommt das Release aus dem
+# privaten Repositorium tesm-license-master -- dafuer braucht es einen
+# Zugriffstoken in TESM_RELEASE_TOKEN oder in /etc/tesm-release.token.
 # =============================================================================
 set -euo pipefail
 
-# Ein Wagenruecklauf im Paket macht jedes Shell-Skript auf dem Ziel
-# unbrauchbar ("bad interpreter"). Die Pruefung darf dabei nicht selbst
-# von einem Zusatzpaket abhaengen: mit "file" -- das auf einem schlanken
-# Server fehlt -- endete sie in "command not found", grep bekam nichts zu
-# sehen, und das Skript machte weiter, als waere alles in Ordnung.
-hat_crlf() {
-  local cr
-  cr="$(printf '\r')"
-  # -U (binaer lesen) ist unter Linux ohne Wirkung, auf einer Windows-Buildmaschine
-  # aber entscheidend: dort entfernt grep den Wagenruecklauf beim Lesen und
-  # findet deshalb nie einen.
-  LC_ALL=C grep -qU "$cr" "$1"
-}
-
 APP="${1:-}"
 TAG="${2:-latest}"
 
 # Alles nach dem Tag geht unveraendert an install.sh weiter. Ohne das liesse
 # sich eine benannte Instanz nicht aktualisieren: install.sh leitet den Namen
-# aus "--instance" ab, und ohne den Schalter entstuende neben "tesm-opus" eine
+# aus "--instance" ab, und ohne den Schalter entstuende neben "tesm-test" eine
 # zweite Installation namens "tesm" -- mit eigener Datenbank, eigener
 # nginx-Site und demselben Port.
 shift $(( $# > 2 ? 2 : $# ))
 EXTRA=("$@")
-# Bezugsquelle. Die Vorgaben zeigen dorthin, wo die Releases tatsaechlich
-# liegen -- ein Platzhalter wie "gitea.example.invalid" macht das Skript auf
-# jedem Host unbrauchbar, und genau das war hier der Fall.
-#
-# Das Repository heisst wie die Anwendung; getrennte Repositorien, getrennte
-# Releases. Der Anhang heisst "<repo>-<tag>.tar.gz", siehe unten.
-BASE="${TESM_RELEASE_BASE:-https://gitea.int.eertmoed.net}"
-OWNER="${TESM_RELEASE_OWNER:-alientim}"
 
 [[ "$APP" == "tesm" || "$APP" == "tesm-license" ]] || {
   echo "Verwendung: update.sh <tesm|tesm-license> [tag] [install.sh-Argumente ...]" >&2
-  echo "Beispiel  : update.sh tesm latest --instance opus" >&2
+  echo "Beispiel  : update.sh tesm latest --instance test" >&2
+  echo "Ohne Rueckfrage: --yes anhaengen (ohne Terminal zwingend)." >&2
   exit 2
 }
 
-REPO="${TESM_RELEASE_REPO:-$APP}"
-
-WORK="$(mktemp -d /tmp/tesm-update-XXXXXX)"
-trap 'rm -rf "$WORK"' EXIT   # anders als im Vorgaenger wird aufgeraeumt
-
-if [[ "$TAG" == "latest" ]]; then
-  echo "==> Ermittle aktuellen Release-Tag ..."
-  TAG="$(curl -fsS "$BASE/api/v1/repos/$OWNER/$REPO/releases/latest" \
-        | python3 -c 'import json,sys; print(json.load(sys.stdin)["tag_name"])')"
-  echo "    $TAG"
+# Repositorium: die Master-Ausgabe des Lizenzservers liegt in einem eigenen,
+# privaten Repositorium, heisst als Installation aber weiter "tesm-license".
+# Erkannt wird sie an der Installation und nicht an einem Schalter -- wer
+# aktualisiert, soll nicht erst wissen muessen, welche Ausgabe hier laeuft.
+# Sonst holte der Aufruf die Ausgabe fuer Sub-Lizenzserver, und der Installer
+# muesste sie abweisen.
+REPO="$APP"
+if [[ "$APP" == "tesm-license" ]]; then
+  NAME="$APP"
+  for ((i = 0; i < ${#EXTRA[@]}; i++)); do
+    [[ "${EXTRA[i]}" == "--instance" ]] && NAME="$APP-${EXTRA[i + 1]:-}"
+  done
+  # Die Wurzel ist ueberschreibbar, damit ein Test die Erkennung wirklich
+  # ausfuehren kann und nicht nur den Quelltext liest.
+  if [[ -d "${TESM_SRV_ROOT:-/srv}/$NAME/apps/tesm-license/src/tesm_license/master" ]]; then
+    REPO="tesm-license-master"
+    echo "==> Master-Ausgabe erkannt -- Release aus $REPO."
+  fi
 fi
 
-ASSET="$REPO-$TAG.tar.gz"
-echo "==> Lade $ASSET ..."
-curl -fsSL -o "$WORK/$ASSET" "$BASE/$OWNER/$REPO/releases/download/$TAG/$ASSET"
+# --8<-- Bootstrap: Release holen --------------------------------------------
+# Wortgleich in update.sh und upgrade.sh; ein Hygienetest vergleicht die beiden
+# Bloecke. Zwei eigenstaendige Skripte koennen sich keine Datei teilen, und
+# beide sollen als **einzelne Datei** genuegen: auf das Zielsystem legen,
+# ausfuehren, fertig -- auf einer 1.2.8 liegt nichts von diesem Projekt.
+#
+# Erwartet: $APP und $TAG, wahlweise $REPO (Vorgabe: $APP). Setzt: $TAG
+# (aufgeloest) und $SRC (entpacktes Release). Raeumt sein Arbeitsverzeichnis
+# beim Beenden auf.
+#
+# $REPO gibt es, weil Installationsname und Repositorium auseinanderfallen
+# koennen: die Master-Ausgabe des Lizenzservers liegt in
+# "tesm-license-master", die Installation heisst weiter "tesm-license".
+#
+# Zwei Fallen des Vorgaengers sind hier vermieden:
+#   * Der Tag "latest" wird ueber die API aufgeloest, nie direkt in die
+#     Download-URL geschrieben. Gitea liefert sonst mit HTTP 200 ein
+#     automatisch erzeugtes Quell-Snapshot statt des echten Release-Anhangs.
+#   * Nach dem Entpacken wird geprueft, dass ein install.sh existiert.
+BASE="${TESM_RELEASE_BASE:-https://gitea.int.eertmoed.net}"
+OWNER="${TESM_RELEASE_OWNER:-alientim}"
 
-echo "==> Entpacke ..."
-tar -xzf "$WORK/$ASSET" -C "$WORK"
-# Drei Ebenen, nicht zwei: release.sh packt mit dem Praefix "<name>/", also
-# liegt das Skript unter <name>/deploy/install.sh. Mit "-maxdepth 2" fand die
-# Suche nie etwas -- und die Fehlermeldung schob es auf den Download.
-SRC="$(find "$WORK" -maxdepth 3 -name install.sh -path '*/deploy/*' -printf '%h/..\n' | head -1)"
-[[ -n "$SRC" ]] || { echo "Im Paket fehlt deploy/install.sh -- Download unbrauchbar." >&2; exit 1; }
-SRC="$(cd "$SRC" && pwd)"
-
-echo "==> Pruefe auf CRLF (Windows-Buildmaschinen) ..."
-if hat_crlf "$SRC/deploy/install.sh"; then
-  echo "Das Paket enthaelt CRLF-Zeilenenden. Beim Paketieren fehlte" >&2
-  echo "'git -c core.autocrlf=false archive'." >&2
-  exit 1
+# Ein privates Repositorium -- tesm-license-master -- gibt sein Release nur mit
+# Zugriffstoken heraus. Reihenfolge: Umgebungsvariable, dann eine Datei, die
+# der Betreiber selbst anlegt. Der Installer legt sie nie an: ob ein Token auf
+# dem Server liegt, ist keine Entscheidung eines Skripts.
+TOKEN="${TESM_RELEASE_TOKEN:-}"
+if [[ -z "$TOKEN" && -r /etc/tesm-release.token ]]; then
+  TOKEN="$(tr -d '[:space:]' < /etc/tesm-release.token)"
 fi
 
-read -r -p "Version $TAG fuer $APP${EXTRA[0]+ (${EXTRA[*]})} installieren? [j/N] " answer
-[[ "$answer" =~ ^[jJyY]$ ]] || exit 0
+# Ein Wagenruecklauf im Paket macht jedes Shell-Skript auf dem Ziel unbrauchbar
+# ("bad interpreter"). Die Pruefung darf dabei nicht selbst von einem
+# Zusatzpaket abhaengen: mit "file" -- das auf einem schlanken Server fehlt --
+# endete sie in "command not found", grep bekam nichts zu sehen, und das Skript
+# machte weiter, als waere alles in Ordnung.
+hat_crlf() {
+  local cr
+  cr="$(printf '\r')"
+  # -U (binaer lesen) ist unter Linux ohne Wirkung, auf einer
+  # Windows-Buildmaschine aber entscheidend: dort entfernt grep den
+  # Wagenruecklauf beim Lesen und findet deshalb nie einen.
+  LC_ALL=C grep -qU "$cr" "$1"
+}
 
-exec sudo bash "$SRC/deploy/install.sh" --app "$APP" --yes ${EXTRA[0]+"${EXTRA[@]}"}
+BOOTSTRAP_WORK=""
+bootstrap_aufraeumen() {
+  # Den Ausstiegscode zuerst festhalten: alles danach ueberschreibt ihn.
+  local code=$?
+  [[ -n "$BOOTSTRAP_WORK" ]] && rm -rf "$BOOTSTRAP_WORK"
+  # Wer einen eigenen Abschluss braucht -- etwa einen Rueckweg nach einem
+  # Fehlschlag --, definiert "beim_beenden". Ein zweiter "trap ... EXIT" waere
+  # der falsche Weg: er wuerde diesen hier ersetzen, und das entpackte Release
+  # bliebe unter /tmp liegen.
+  declare -F beim_beenden >/dev/null 2>&1 && beim_beenden "$code"
+  return "$code"
+}
+trap bootstrap_aufraeumen EXIT
+
+release_holen() {
+  local repo="${TESM_RELEASE_REPO:-${REPO:-$APP}}" asset
+  # Leeres Array und "set -u" vertragen sich nur mit dieser Schreibweise.
+  local -a kopf=()
+  [[ -n "$TOKEN" ]] && kopf=(-H "Authorization: token $TOKEN")
+  for werkzeug in curl tar python3 find; do
+    command -v "$werkzeug" >/dev/null 2>&1 || {
+      echo "Auf diesem System fehlt $werkzeug -- ohne das geht es nicht." >&2
+      return 1
+    }
+  done
+  BOOTSTRAP_WORK="$(mktemp -d /tmp/tesm-release-XXXXXX)"
+
+  if [[ "$TAG" == "latest" ]]; then
+    echo "==> Ermittle aktuellen Release-Tag ..."
+    TAG="$(curl -fsS ${kopf[0]+"${kopf[@]}"} "$BASE/api/v1/repos/$OWNER/$repo/releases/latest" \
+          | python3 -c 'import json,sys; print(json.load(sys.stdin)["tag_name"])')" || {
+      echo "Kein Release gefunden unter $BASE/$OWNER/$repo." >&2
+      [[ -z "$TOKEN" ]] &&
+        echo "Ist das Repositorium privat? Dann TESM_RELEASE_TOKEN setzen." >&2
+      echo "Andere Quelle: TESM_RELEASE_BASE, TESM_RELEASE_OWNER, TESM_RELEASE_REPO." >&2
+      return 1
+    }
+    echo "    $TAG"
+  fi
+
+  asset="$repo-$TAG.tar.gz"
+  echo "==> Lade $asset ..."
+  curl -fsSL ${kopf[0]+"${kopf[@]}"} -o "$BOOTSTRAP_WORK/$asset" \
+       "$BASE/$OWNER/$repo/releases/download/$TAG/$asset" || {
+    echo "Download fehlgeschlagen: $BASE/$OWNER/$repo/releases/download/$TAG/$asset" >&2
+    return 1
+  }
+
+  echo "==> Entpacke ..."
+  tar -xzf "$BOOTSTRAP_WORK/$asset" -C "$BOOTSTRAP_WORK"
+  # Drei Ebenen, nicht zwei: release.sh packt mit dem Praefix "<name>/", also
+  # liegt das Skript unter <name>/deploy/install.sh. Mit "-maxdepth 2" fand die
+  # Suche nie etwas -- und die Fehlermeldung schob es auf den Download.
+  SRC="$(find "$BOOTSTRAP_WORK" -maxdepth 3 -name install.sh -path '*/deploy/*' \
+         -printf '%h/..\n' | head -1)"
+  [[ -n "$SRC" ]] || {
+    echo "Im Paket fehlt deploy/install.sh -- Download unbrauchbar." >&2
+    return 1
+  }
+  SRC="$(cd "$SRC" && pwd)"
+
+  echo "==> Pruefe auf CRLF (Windows-Buildmaschinen) ..."
+  if hat_crlf "$SRC/deploy/install.sh"; then
+    echo "Das Paket enthaelt CRLF-Zeilenenden. Beim Paketieren fehlte" >&2
+    echo "'git -c core.autocrlf=false archive'." >&2
+    return 1
+  fi
+}
+# --8<-- Ende Bootstrap ------------------------------------------------------
+
+release_holen
+
+# --yes darf auch hier stehen, nicht nur bei install.sh und upgrade.sh. Es
+# bleibt in EXTRA: install.sh bekommt es ohnehin, doppelt schadet nicht.
+OHNE_RUECKFRAGE=0
+for ((i = 0; i < ${#EXTRA[@]}; i++)); do
+  [[ "${EXTRA[i]}" == "--yes" || "${EXTRA[i]}" == "-y" ]] && OHNE_RUECKFRAGE=1
+done
+
+if [[ $OHNE_RUECKFRAGE -eq 1 ]]; then
+  echo "==> Version $TAG wird ohne Rueckfrage installiert."
+elif [[ -t 0 ]]; then
+  read -r -p "Version $TAG fuer $APP${EXTRA[0]+ (${EXTRA[*]})} installieren? [j/N] " answer
+  [[ "$answer" =~ ^[jJyY]$ ]] || exit 0
+else
+  # Ohne Terminal las "read" hier EOF, die Antwort blieb leer, und das Skript
+  # endete mit 0 -- wer es aus einem anderen Skript aufrief, hielt das Update
+  # fuer erledigt. Lieber laut abbrechen.
+  echo "Kein Terminal fuer die Rueckfrage, und --yes fehlt -- es wurde nichts" >&2
+  echo "installiert. Aufruf mit --yes wiederholen." >&2
+  exit 3
+fi
+
+# Kein exec: sonst laeuft die Aufraeumfalle nie, und jedes Update liesse ein
+# entpacktes Release unter /tmp liegen.
+bash "$SRC/deploy/install.sh" --app "$APP" --yes ${EXTRA[0]+"${EXTRA[@]}"}

deploy/upgrade.sh

@@ -0,0 +1,687 @@
+#!/usr/bin/env bash
+# =============================================================================
+# Upgrade vom Stand SONNET5 (Version 1.x) auf diese Fassung -- mit Datenuebernahme.
+#
+# Eine einzelne Datei genuegt -- sie holt sich das Release selbst:
+#
+#     curl -fsSLO https://gitea.int.eertmoed.net/alientim/tesm/raw/branch/main/deploy/upgrade.sh
+#     sudo bash upgrade.sh --app tesm
+#
+# Auf einer 1.2.8 liegt nichts von diesem Projekt; alles andere waere die
+# falsche Voraussetzung. Liegt das Skript in einem entpackten Release, wird
+# dessen install.sh benutzt statt eines Downloads:
+#
+#     sudo bash deploy/upgrade.sh --app tesm
+#     sudo bash deploy/upgrade.sh --app tesm --instance test --source /srv/tesm
+#
+# Der Ablauf ist die Vorgabe und braucht keine Schalter:
+#
+#   1. **Sichern.** Vollstaendige Kopie der alten Installation nach
+#      /srv/<name>-upgrade-<zeitstempel>/alt. Erst danach wird irgendetwas
+#      angefasst -- und aus dieser Kopie stammen auch alle weiteren Schritte.
+#   2. **Altes System abschalten.** Dienst und Timer werden gestoppt und
+#      deaktiviert, damit sie nach einem Neustart nicht zurueckkommen.
+#   3. **Neu installieren.** install.sh dieses Verzeichnisses.
+#   4. **Exportieren.** Aus der Kopie entsteht eine Exportdatei im **alten**
+#      Format -- genau die, die der Vorgaenger selbst geschrieben haette.
+#   5. **Uebersetzen.** Daraus eine Datei im neuen Format.
+#   6. **Einspielen.** Diese Datei geht durch denselben Import wie eine
+#      Sicherung.
+#
+# Warum die Sicherung vor dem Export steht und nicht danach: laeuft das
+# Upgrade **in dasselbe Verzeichnis** (also ohne --instance), ueberschreibt
+# install.sh die alte Installation. Wer erst exportiert und dann sichert,
+# sichert im schlechtesten Fall nichts mehr. Gelesen wird ausschliesslich aus
+# der Kopie -- das Ergebnis ist dasselbe, die Reihenfolge ist die sichere.
+#
+# Der Lizenzserver kennt Schritt 4 und 5 nicht: seine Uebernahme liest die alte
+# Datenbank unmittelbar und **signiert jede Lizenz neu**. Dabei wird der alte
+# Signaturschluessel uebernommen -- sonst muesste jeder Kunde einen
+# Ausstellerwechsel bestaetigen. Wer das nicht will: --new-key. Dort ist die
+# Kopie aus Schritt 1 der Export.
+# =============================================================================
+set -euo pipefail
+
+APP=""
+INSTANCE=""
+SOURCE=""
+PASSPHRASE=""
+ASSUME_YES=0
+DRY_RUN=0
+WITH_DATA=1
+STOP_OLD=1
+ADOPT_KEY=1
+TAG="latest"
+ROLLBACK=""
+
+#: Steht die Sicherung schon, und ist der Lauf durch? Daran entscheidet
+#: die EXIT-Falle, ob sie zurueckrollt.
+SICHERUNG_STEHT=0
+UPGRADE_FERTIG=0
+#: Namenszusatz, unter dem ``rename.sh`` eine verdraengte Installation der
+#: Fassung 1.x ablegt. Beide Skripte muessen denselben Wert benutzen; ein
+#: Hygienetest vergleicht sie.
+#:
+#: Auf einer echten 1.2.8 gibt es das **nicht** -- dort liegt die Installation
+#: unter ihrem Hauptnamen. Der Zusatz entsteht erst, wenn ``rename.sh`` den
+#: Hauptnamen fuer die neue Fassung braucht. Deshalb ist er der zweite Ort, an
+#: dem gesucht wird, nicht der erste.
+ARCHIV_SUFFIX="sonnet5"
+
+#: Nur fuer die Ausgabe: wurde die Quelle selbst gefunden oder angegeben?
+info_quelle=""
+EXTRA=()
+
+SCRIPT_DIR="$(cd "$(dirname "${BASH_SOURCE[0]}")" && pwd)"
+REPO_DIR="$(cd "$SCRIPT_DIR/.." && pwd)"
+
+COLOR_OK=$'\033[32m'; COLOR_WARN=$'\033[33m'; COLOR_ERR=$'\033[31m'; COLOR_OFF=$'\033[0m'
+step()  { printf '\n%s==>%s %s\n' "$COLOR_OK" "$COLOR_OFF" "$*"; }
+warn()  { printf '%s !!%s %s\n' "$COLOR_WARN" "$COLOR_OFF" "$*"; }
+fail()  { printf '%s !!%s %s\n' "$COLOR_ERR" "$COLOR_OFF" "$*" >&2; exit 1; }
+info()  { printf '    %s\n' "$*"; }
+
+usage() {
+  cat <<'USAGE'
+Verwendung: upgrade.sh --app <tesm|tesm-license> [Optionen]
+
+  --app <name>         Welche Anwendung (Pflicht)
+  --source <pfad>      Verzeichnis der alten Installation
+                       (Vorgabe: /srv/tesm bzw. /srv/tesm-license)
+  --instance <name>    Neue Installation als benannte Instanz anlegen, statt
+                       das alte Verzeichnis zu ueberschreiben. Damit bleibt die
+                       alte Installation liegen und ist zurueckholbar.
+  --passphrase <text>  Passphrase der Zwischendateien. Ohne Angabe wird eine
+                       erzeugt und in der Sicherung abgelegt.
+  --no-data            Nur installieren, keine Datenuebernahme
+  --keep-old-running   Alten Dienst nicht stoppen (nur mit --instance sinnvoll)
+  --new-key            Nur Lizenzserver: einen neuen Signaturschluessel
+                       erzeugen, statt den alten zu uebernehmen. Dann muessen
+                       alle Kunden den Ausstellerwechsel bestaetigen -- die
+                       Vorgabe ist deshalb die Uebernahme.
+  --tag <vX.Y.Z>       Bestimmte Version installieren (Vorgabe: latest).
+                       Wird nur beachtet, wenn das Release geladen wird.
+  --rollback [pfad]    Einen fehlgeschlagenen Lauf zurueckdrehen: die alte
+                       Installation aus der Sicherung wiederherstellen und
+                       ihren Dienst wieder einschalten. Ohne Pfad wird die
+                       neueste Sicherung dieses Namens genommen.
+  --dry-run            Nur zeigen, was geschehen wuerde
+  --yes                Keine Rueckfrage
+  -h, --help           Diese Hilfe
+
+Alles weitere wird unveraendert an install.sh weitergegeben, etwa --https
+oder --domain.
+
+Beispiele:
+  # In dasselbe Verzeichnis, alte Installation wird ersetzt:
+  sudo bash deploy/upgrade.sh --app tesm
+
+  # Daneben, zum Vergleich, alte Installation bleibt unangetastet:
+  sudo bash deploy/upgrade.sh --app tesm --instance test --keep-old-running
+USAGE
+}
+
+while [[ $# -gt 0 ]]; do
+  case "$1" in
+    --app) APP="${2:?}"; shift 2 ;;
+    --source) SOURCE="${2:?}"; shift 2 ;;
+    --instance) INSTANCE="${2:?}"; shift 2 ;;
+    --passphrase) PASSPHRASE="${2:?}"; shift 2 ;;
+    --no-data) WITH_DATA=0; shift ;;
+    --keep-old-running) STOP_OLD=0; shift ;;
+    --new-key) ADOPT_KEY=0; shift ;;
+    --adopt-key) ADOPT_KEY=1; shift ;;   # Vorgabe, hier nur zur Deutlichkeit
+    --tag) TAG="${2:?}"; shift 2 ;;
+    --rollback)
+      # Der Pfad ist optional: allein genommen heisst es "die neueste".
+      if [[ -n "${2:-}" && "${2:-}" != --* ]]; then ROLLBACK="$2"; shift 2
+      else ROLLBACK="auto"; shift; fi
+      ;;
+    --dry-run) DRY_RUN=1; shift ;;
+    --yes|-y) ASSUME_YES=1; shift ;;
+    -h|--help) usage; exit 0 ;;
+    *) EXTRA+=("$1"); shift ;;
+  esac
+done
+
+[[ "$APP" == "tesm" || "$APP" == "tesm-license" ]] || { usage; fail "--app fehlt oder ist unbekannt"; }
+[[ "$(id -u)" -eq 0 ]] || fail "bitte mit sudo ausfuehren"
+
+NAME="$APP"
+[[ -n "$INSTANCE" ]] && NAME="$APP-$INSTANCE"
+ADMIN="$NAME-admin"
+NEW_ROOT="/srv/$NAME"
+STAMP="$(date +%Y%m%d-%H%M%S)"
+BACKUP="/srv/$NAME-upgrade-$STAMP"
+ALT_KOPIE="$BACKUP/alt"
+SYSTEM_KOPIE="$BACKUP/system"
+EXPORT_ALT="$BACKUP/export-alt.json"
+IMPORT_NEU="$BACKUP/import-neu.json"
+
+# Alte Einheiten der Vorgaengerfassung. Der Timer gehoert dazu: nur den Dienst
+# zu stoppen liesse ihn beim naechsten Ablauf wieder anlaufen.
+# -- Rueckweg ---------------------------------------------------------------- #
+# Alles, was install.sh unter demselben Namen ueberschreiben wuerde. Bei einem
+# Upgrade in dasselbe Verzeichnis sind das die Dateien der alten Fassung.
+SYSTEMDATEIEN=(
+  "/etc/systemd/system/$NAME.service"
+  "/etc/systemd/system/$NAME-monitor.service"
+  "/etc/nginx/sites-available/$NAME"
+  "/etc/logrotate.d/$NAME"
+  "/etc/update-motd.d/50-$NAME"
+  "/etc/tesm/$NAME.env"
+)
+
+zurueckrollen() {
+  local sicherung="$1" grund="${2:-}"
+  local alt="$sicherung/alt" system="$sicherung/system"
+  [[ -d "$alt" ]] || fail "In $sicherung fehlt das Verzeichnis 'alt' -- das ist keine Sicherung dieses Skripts."
+
+  # Quelle und Art des Umzugs stehen im Manifest. Aus dem laufenden Aufruf
+  # abzuleiten waere falsch: ein Rueckweg kann Tage spaeter und mit anderen
+  # Schaltern aufgerufen werden -- und beim automatischen Rueckweg steht
+  # IN_PLACE zwar fest, beim spaeteren --rollback aber nicht.
+  local ziel="${SOURCE:-}" gleiches_verzeichnis="${IN_PLACE:-0}" vermerkt
+  if [[ -f "$system/manifest" ]]; then
+    vermerkt="$(awk '$1=="quelle" {print $2}' "$system/manifest" | head -1)"
+    [[ -n "$vermerkt" ]] && ziel="$vermerkt"
+    vermerkt="$(awk '$1=="in-place" {print $2}' "$system/manifest" | head -1)"
+    [[ -n "$vermerkt" ]] && gleiches_verzeichnis="$vermerkt"
+  fi
+  [[ -n "$ziel" ]] || fail "Im Manifest fehlt die Quelle -- bitte --source angeben."
+
+  [[ -n "$grund" ]] && warn "$grund"
+  step "Rueckweg: alten Stand wiederherstellen"
+
+  # Der neue Dienst zuerst -- er haelt sonst Dateien offen, die gleich ersetzt
+  # werden.
+  for unit in "$NAME.service" "$NAME-monitor.service"; do
+    if systemctl list-unit-files "$unit" --no-legend 2>/dev/null | grep -q .; then
+      systemctl disable --now "$unit" >/dev/null 2>&1 || true
+      info "$unit gestoppt"
+    fi
+  done
+
+  # Verzeichnis: nur bei gleichem Ziel -- bei einer eigenen Instanz war die
+  # alte Installation nie angefasst.
+  if [[ "$gleiches_verzeichnis" == "1" ]]; then
+    rm -rf "$ziel"
+    mkdir -p "$ziel"
+    tar -C "$alt" -cf - . | tar -C "$ziel" -xf -
+    info "$ziel aus der Sicherung wiederhergestellt"
+    [[ -d "$ziel/venv" ]] || warn "Im Backup war kein venv -- der alte Dienst braucht dann noch 'python3 -m venv venv' und seine requirements.txt."
+  else
+    info "$ziel war nicht betroffen (eigene Instanz) -- bleibt, wie es ist"
+    if [[ -d "$NEW_ROOT" && "$NEW_ROOT" != "$ziel" ]]; then
+      rm -rf "$NEW_ROOT"
+      info "$NEW_ROOT entfernt"
+    fi
+  fi
+
+  # Systemdateien zurueck, alles andere entfernen, was der Lauf angelegt hat.
+  local site_wieder=0
+  if [[ -f "$system/manifest" ]]; then
+    while read -r zeile; do
+      case "$zeile" in
+        unit-enabled\ *|site-enabled\ *) continue ;;
+      esac
+      local name; name="$(basename "$zeile")"
+      if [[ -e "$system/$name" ]]; then
+        cp -a "$system/$name" "$zeile"
+        info "wiederhergestellt: $zeile"
+        [[ "$zeile" == /etc/nginx/* ]] && site_wieder=1
+      fi
+    done < <(grep -v '^\(unit\|site\)-enabled ' "$system/manifest" || true)
+  fi
+
+  systemctl daemon-reload
+  if [[ $site_wieder -eq 1 ]] || [[ -e "/etc/nginx/sites-enabled/$NAME" ]]; then
+    nginx -t >/dev/null 2>&1 && systemctl reload nginx >/dev/null 2>&1 \
+      && info "nginx neu geladen" || warn "nginx meldet einen Fehler -- bitte 'nginx -t' ansehen"
+  fi
+
+  # Und die Dienste wieder einschalten, die vorher liefen.
+  if [[ -f "$system/manifest" ]]; then
+    while read -r _ unit; do
+      systemctl enable --now "$unit" >/dev/null 2>&1 \
+        && info "$unit wieder eingeschaltet" || warn "$unit liess sich nicht starten"
+    done < <(grep '^unit-enabled ' "$system/manifest" || true)
+  fi
+
+  step "Zurueckgerollt"
+  info "Sicherung bleibt liegen: $sicherung"
+  # Nicht ueber ALTE_UNITS: die Liste entsteht erst nach der Quellensuche, und
+  # bei "--rollback" laeuft diese Funktion vorher. Das Manifest weiss es.
+  local hinweis
+  hinweis="$(awk '$1=="unit-enabled" {print $2; exit}' "$system/manifest" 2>/dev/null || true)"
+  info "Zustand pruefen: systemctl status ${hinweis:-$APP.service}"
+}
+
+# Wird von der EXIT-Falle des Bootstraps aufgerufen -- mit dem Ausstiegscode.
+# Damit gilt der Rueckweg fuer **jeden** Fehlschlag und nicht nur fuer den, an
+# den ich gedacht habe: Export, Uebersetzen, Einspielen, nginx, ein Ctrl-C.
+beim_beenden() {
+  local code="${1:-0}"
+  [[ "$code" == "0" ]] && return 0
+  [[ $UPGRADE_FERTIG -eq 1 ]] && return 0
+  if [[ $SICHERUNG_STEHT -eq 0 ]]; then
+    warn "Abgebrochen (Code $code), bevor eine Sicherung stand -- nichts zurueckzurollen."
+    return 0
+  fi
+  zurueckrollen "$BACKUP" "Abgebrochen (Code $code)."
+}
+
+neueste_sicherung() {
+  local kandidat
+  kandidat="$(ls -1dt /srv/"$NAME"-upgrade-*/ 2>/dev/null | head -1)"
+  [[ -n "$kandidat" ]] || return 1
+  printf '%s' "${kandidat%/}"
+}
+
+if [[ -n "$ROLLBACK" ]]; then
+  if [[ "$ROLLBACK" == "auto" ]]; then
+    ROLLBACK="$(neueste_sicherung)" || fail "Keine Sicherung unter /srv/$NAME-upgrade-* gefunden. Pfad angeben."
+    info "Neueste Sicherung: $ROLLBACK"
+  fi
+  [[ -d "$ROLLBACK" ]] || fail "$ROLLBACK gibt es nicht"
+  if [[ $DRY_RUN -eq 1 ]]; then
+    step "--dry-run: es wuerde $ROLLBACK zurueckgerollt."
+    exit 0
+  fi
+  if [[ $ASSUME_YES -eq 0 ]]; then
+    read -r -p "Stand aus $ROLLBACK wiederherstellen? [j/N] " answer
+    [[ "$answer" =~ ^[jJyY]$ ]] || { echo "Abgebrochen."; exit 0; }
+  fi
+  zurueckrollen "$ROLLBACK"
+  exit 0
+fi
+
+# Ab hier wird wirklich installiert -- ein Rueckweg hat oben schon
+# beendet. Erst jetzt braucht es ein Release und eine Quelle.
+
+# --8<-- Bootstrap: Release holen --------------------------------------------
+# Wortgleich in update.sh und upgrade.sh; ein Hygienetest vergleicht die beiden
+# Bloecke. Zwei eigenstaendige Skripte koennen sich keine Datei teilen, und
+# beide sollen als **einzelne Datei** genuegen: auf das Zielsystem legen,
+# ausfuehren, fertig -- auf einer 1.2.8 liegt nichts von diesem Projekt.
+#
+# Erwartet: $APP und $TAG, wahlweise $REPO (Vorgabe: $APP). Setzt: $TAG
+# (aufgeloest) und $SRC (entpacktes Release). Raeumt sein Arbeitsverzeichnis
+# beim Beenden auf.
+#
+# $REPO gibt es, weil Installationsname und Repositorium auseinanderfallen
+# koennen: die Master-Ausgabe des Lizenzservers liegt in
+# "tesm-license-master", die Installation heisst weiter "tesm-license".
+#
+# Zwei Fallen des Vorgaengers sind hier vermieden:
+#   * Der Tag "latest" wird ueber die API aufgeloest, nie direkt in die
+#     Download-URL geschrieben. Gitea liefert sonst mit HTTP 200 ein
+#     automatisch erzeugtes Quell-Snapshot statt des echten Release-Anhangs.
+#   * Nach dem Entpacken wird geprueft, dass ein install.sh existiert.
+BASE="${TESM_RELEASE_BASE:-https://gitea.int.eertmoed.net}"
+OWNER="${TESM_RELEASE_OWNER:-alientim}"
+
+# Ein privates Repositorium -- tesm-license-master -- gibt sein Release nur mit
+# Zugriffstoken heraus. Reihenfolge: Umgebungsvariable, dann eine Datei, die
+# der Betreiber selbst anlegt. Der Installer legt sie nie an: ob ein Token auf
+# dem Server liegt, ist keine Entscheidung eines Skripts.
+TOKEN="${TESM_RELEASE_TOKEN:-}"
+if [[ -z "$TOKEN" && -r /etc/tesm-release.token ]]; then
+  TOKEN="$(tr -d '[:space:]' < /etc/tesm-release.token)"
+fi
+
+# Ein Wagenruecklauf im Paket macht jedes Shell-Skript auf dem Ziel unbrauchbar
+# ("bad interpreter"). Die Pruefung darf dabei nicht selbst von einem
+# Zusatzpaket abhaengen: mit "file" -- das auf einem schlanken Server fehlt --
+# endete sie in "command not found", grep bekam nichts zu sehen, und das Skript
+# machte weiter, als waere alles in Ordnung.
+hat_crlf() {
+  local cr
+  cr="$(printf '\r')"
+  # -U (binaer lesen) ist unter Linux ohne Wirkung, auf einer
+  # Windows-Buildmaschine aber entscheidend: dort entfernt grep den
+  # Wagenruecklauf beim Lesen und findet deshalb nie einen.
+  LC_ALL=C grep -qU "$cr" "$1"
+}
+
+BOOTSTRAP_WORK=""
+bootstrap_aufraeumen() {
+  # Den Ausstiegscode zuerst festhalten: alles danach ueberschreibt ihn.
+  local code=$?
+  [[ -n "$BOOTSTRAP_WORK" ]] && rm -rf "$BOOTSTRAP_WORK"
+  # Wer einen eigenen Abschluss braucht -- etwa einen Rueckweg nach einem
+  # Fehlschlag --, definiert "beim_beenden". Ein zweiter "trap ... EXIT" waere
+  # der falsche Weg: er wuerde diesen hier ersetzen, und das entpackte Release
+  # bliebe unter /tmp liegen.
+  declare -F beim_beenden >/dev/null 2>&1 && beim_beenden "$code"
+  return "$code"
+}
+trap bootstrap_aufraeumen EXIT
+
+release_holen() {
+  local repo="${TESM_RELEASE_REPO:-${REPO:-$APP}}" asset
+  # Leeres Array und "set -u" vertragen sich nur mit dieser Schreibweise.
+  local -a kopf=()
+  [[ -n "$TOKEN" ]] && kopf=(-H "Authorization: token $TOKEN")
+  for werkzeug in curl tar python3 find; do
+    command -v "$werkzeug" >/dev/null 2>&1 || {
+      echo "Auf diesem System fehlt $werkzeug -- ohne das geht es nicht." >&2
+      return 1
+    }
+  done
+  BOOTSTRAP_WORK="$(mktemp -d /tmp/tesm-release-XXXXXX)"
+
+  if [[ "$TAG" == "latest" ]]; then
+    echo "==> Ermittle aktuellen Release-Tag ..."
+    TAG="$(curl -fsS ${kopf[0]+"${kopf[@]}"} "$BASE/api/v1/repos/$OWNER/$repo/releases/latest" \
+          | python3 -c 'import json,sys; print(json.load(sys.stdin)["tag_name"])')" || {
+      echo "Kein Release gefunden unter $BASE/$OWNER/$repo." >&2
+      [[ -z "$TOKEN" ]] &&
+        echo "Ist das Repositorium privat? Dann TESM_RELEASE_TOKEN setzen." >&2
+      echo "Andere Quelle: TESM_RELEASE_BASE, TESM_RELEASE_OWNER, TESM_RELEASE_REPO." >&2
+      return 1
+    }
+    echo "    $TAG"
+  fi
+
+  asset="$repo-$TAG.tar.gz"
+  echo "==> Lade $asset ..."
+  curl -fsSL ${kopf[0]+"${kopf[@]}"} -o "$BOOTSTRAP_WORK/$asset" \
+       "$BASE/$OWNER/$repo/releases/download/$TAG/$asset" || {
+    echo "Download fehlgeschlagen: $BASE/$OWNER/$repo/releases/download/$TAG/$asset" >&2
+    return 1
+  }
+
+  echo "==> Entpacke ..."
+  tar -xzf "$BOOTSTRAP_WORK/$asset" -C "$BOOTSTRAP_WORK"
+  # Drei Ebenen, nicht zwei: release.sh packt mit dem Praefix "<name>/", also
+  # liegt das Skript unter <name>/deploy/install.sh. Mit "-maxdepth 2" fand die
+  # Suche nie etwas -- und die Fehlermeldung schob es auf den Download.
+  SRC="$(find "$BOOTSTRAP_WORK" -maxdepth 3 -name install.sh -path '*/deploy/*' \
+         -printf '%h/..\n' | head -1)"
+  [[ -n "$SRC" ]] || {
+    echo "Im Paket fehlt deploy/install.sh -- Download unbrauchbar." >&2
+    return 1
+  }
+  SRC="$(cd "$SRC" && pwd)"
+
+  echo "==> Pruefe auf CRLF (Windows-Buildmaschinen) ..."
+  if hat_crlf "$SRC/deploy/install.sh"; then
+    echo "Das Paket enthaelt CRLF-Zeilenenden. Beim Paketieren fehlte" >&2
+    echo "'git -c core.autocrlf=false archive'." >&2
+    return 1
+  fi
+}
+# --8<-- Ende Bootstrap ------------------------------------------------------
+
+# Woher kommt install.sh? Liegt dieses Skript in einem entpackten Release,
+# nimm dessen Verzeichnis -- wer ein Paket ausgepackt hat, will nicht, dass
+# ungefragt ein anderes geladen wird. Sonst hol das Release.
+if [[ -f "$SCRIPT_DIR/install.sh" ]]; then
+  SRC="$REPO_DIR"
+  RELEASE_HERKUNFT="$SRC (entpacktes Release neben diesem Skript)"
+else
+  release_holen || fail "Das Release liess sich nicht holen."
+  RELEASE_HERKUNFT="$TAG von $BASE/$OWNER"
+fi
+
+# -- Wo liegt die alte Fassung? ---------------------------------------------- #
+# Zwei Orte kommen in Frage, und der zweite ist der Grund fuer diesen Block:
+# ``rename.sh`` schiebt eine Installation der Fassung 1.x nach
+# ``/srv/<app>-sonnet5``, sobald der Hauptname fuer die neue gebraucht wird.
+# Danach liegt unter ``/srv/<app>`` die **laufende** Installation, und die
+# Vorgabe zeigte ins Leere. Erkannt wird an ``sqlite.db`` im Wurzelverzeichnis
+# -- die neue Fassung legt ihre Datenbank unter ``data/app.db`` ab.
+ist_alte_fassung() { [[ -f "$1/sqlite.db" ]]; }
+
+if [[ -z "$SOURCE" ]]; then
+  for kandidat in "/srv/$APP" "/srv/$APP-$ARCHIV_SUFFIX"; do
+    if ist_alte_fassung "$kandidat"; then SOURCE="$kandidat"; break; fi
+  done
+  if [[ -z "$SOURCE" ]]; then
+    warn "Keine Installation der Fassung 1.x gefunden. Gesucht wurde in:"
+    warn "  /srv/$APP                 (dort liegt sie normalerweise)"
+    warn "  /srv/$APP-$ARCHIV_SUFFIX  (dorthin verschiebt rename.sh sie, falls"
+    warn "                             der Hauptname schon vergeben war)"
+    [[ -f "/srv/$APP/data/app.db" ]] && warn "Unter /srv/$APP liegt die laufende Installation dieser Fassung."
+    fail "Bitte --source setzen."
+  fi
+  info_quelle="gefunden: $SOURCE"
+fi
+[[ -d "$SOURCE" ]] || fail "Die alte Installation $SOURCE gibt es nicht (--source setzen)"
+ist_alte_fassung "$SOURCE" || fail "In $SOURCE liegt keine sqlite.db -- das ist keine Installation der Vorgaengerfassung"
+
+IN_PLACE=0
+[[ "$(cd "$SOURCE" && pwd)" == "$NEW_ROOT" ]] && IN_PLACE=1
+
+# Die Units der alten Fassung erkennt man daran, dass sie in genau dieses
+# Verzeichnis zeigen -- nicht am Namen der Anwendung. Nach einem rename.sh
+# heisst die *laufende* Installation "tesm", und eine Namensliste haette sie
+# gestoppt und deaktiviert, sobald jemand die archivierte 1.x in eine eigene
+# Instanz hochzieht.
+#
+# Timer und Hilfsdienste tragen keinen Pfad (der Restart-Timer ruft nur
+# "systemctl restart ..."). Sie kommen ueber den Namen der gefundenen Unit mit.
+alte_units_finden() {
+  local quelle="$1" gefunden=() datei name runde
+  shopt -s nullglob
+  for datei in /etc/systemd/system/*.service; do
+    grep -qs -- "$quelle/" "$datei" && gefunden+=("$(basename "$datei")")
+  done
+  # Zwei Runden: erst Timer und Helfer, die eine gefundene Unit nennen, dann
+  # noch einmal fuer deren eigene Timer.
+  for runde in 1 2; do
+    for datei in /etc/systemd/system/*.service /etc/systemd/system/*.timer; do
+      name="$(basename "$datei")"
+      [[ " ${gefunden[*]-} " == *" $name "* ]] && continue
+      for treffer in ${gefunden[*]-}; do
+        if grep -qs -- "$treffer" "$datei"; then gefunden+=("$name"); break; fi
+      done
+    done
+  done
+  shopt -u nullglob
+  printf '%s\n' ${gefunden[*]-}
+}
+
+mapfile -t ALTE_UNITS < <(alte_units_finden "$SOURCE")
+if [[ ${#ALTE_UNITS[@]} -eq 0 ]]; then
+  if [[ "$SOURCE" == "/srv/$APP" ]]; then
+    # Kein Fund, aber die Quelle ist der Hauptpfad: die historischen Namen der
+    # Fassung 1.x als Rueckfall.
+    if [[ "$APP" == "tesm" ]]; then
+      ALTE_UNITS=(tesm.service tesm-check.timer tesm-check.service
+                  tesm-check-restart.timer tesm-check-restart.service)
+    else
+      ALTE_UNITS=(tesm-license.service)
+    fi
+  else
+    ALTE_UNITS=()
+  fi
+fi
+
+
+step "Vorhaben"
+info "Anwendung      : $APP${INSTANCE:+ (Instanz $INSTANCE)}"
+info "Neue Fassung   : $RELEASE_HERKUNFT"
+info "Alt            : $SOURCE${info_quelle:+  (automatisch gefunden)}"
+info "Neu            : $NEW_ROOT$([[ $IN_PLACE -eq 1 ]] && echo '  << dasselbe Verzeichnis')"
+info "Sicherung      : $ALT_KOPIE"
+info "Datenuebernahme: $([[ $WITH_DATA -eq 1 ]] && echo ja || echo nein)"
+info "Altes System   : $([[ $STOP_OLD -eq 1 ]] && echo 'stoppen und deaktivieren' || echo 'laeuft weiter')"
+if [[ $IN_PLACE -eq 1 && $STOP_OLD -eq 0 ]]; then
+  warn "--keep-old-running bei gleichem Verzeichnis: der alte Dienst laeuft auf Dateien,"
+  warn "die gleich ersetzt werden. Das geht schief. Bitte --instance verwenden."
+fi
+
+if [[ $DRY_RUN -eq 1 ]]; then
+  step "--dry-run: hier ist Schluss."
+  exit 0
+fi
+
+if [[ $ASSUME_YES -eq 0 ]]; then
+  read -r -p "Fortfahren? [j/N] " answer
+  [[ "$answer" =~ ^[jJyY]$ ]] || { echo "Abgebrochen."; exit 0; }
+fi
+
+# -- 1. Sichern -------------------------------------------------------------- #
+step "Sichern"
+mkdir -p "$ALT_KOPIE" "$SYSTEM_KOPIE"
+chmod 700 "$BACKUP"
+
+# Das venv kommt nur mit, wenn in dasselbe Verzeichnis installiert wird -- dort
+# ersetzt install.sh es, und ohne das alte startet der alte Dienst nach einem
+# Rueckweg nicht mehr. Bei einer eigenen Instanz bleibt die alte Installation
+# unangetastet, dann waere es nur Ballast (und seine Shebangs zeigen auf einen
+# anderen Pfad).
+if [[ $IN_PLACE -eq 1 ]]; then
+  tar -C "$SOURCE" --exclude=__pycache__ -cf - . | tar -C "$ALT_KOPIE" -xf -
+  info "$(du -sh "$ALT_KOPIE" | cut -f1) kopiert (mit venv, weil dasselbe Verzeichnis)"
+else
+  tar -C "$SOURCE" --exclude=venv --exclude=__pycache__ -cf - . | tar -C "$ALT_KOPIE" -xf -
+  info "$(du -sh "$ALT_KOPIE" | cut -f1) kopiert (ohne venv)"
+fi
+[[ -f "$ALT_KOPIE/sqlite.db" ]] || fail "In der Kopie fehlt die Datenbank -- Abbruch"
+
+# Und die Systemdateien: bei gleichem Verzeichnis schreibt install.sh Unit,
+# nginx-Site, logrotate und Banner neu. Ohne Kopie liesse sich der alte Stand
+# nicht wiederherstellen -- das Verzeichnis allein genuegt nicht.
+: > "$SYSTEM_KOPIE/manifest"
+# Woher kam der Stand, und ging es in dasselbe Verzeichnis? Ein spaeterer
+# Rueckweg darf das nicht raten muessen -- er laeuft womoeglich Tage danach
+# und mit anderen Schaltern.
+printf 'quelle %s\n' "$SOURCE" >> "$SYSTEM_KOPIE/manifest"
+printf 'in-place %s\n' "$IN_PLACE" >> "$SYSTEM_KOPIE/manifest"
+for pfad in "${SYSTEMDATEIEN[@]}"; do
+  [[ -e "$pfad" ]] || continue
+  cp -a "$pfad" "$SYSTEM_KOPIE/$(basename "$pfad")"
+  printf '%s\n' "$pfad" >> "$SYSTEM_KOPIE/manifest"
+done
+# Welche Units liefen, und war die Site eingeschaltet?
+for unit in "${ALTE_UNITS[@]}"; do
+  systemctl is-enabled "$unit" >/dev/null 2>&1 && printf 'unit-enabled %s\n' "$unit" >> "$SYSTEM_KOPIE/manifest"
+done
+[[ -L "/etc/nginx/sites-enabled/$NAME" ]] && printf 'site-enabled %s\n' "$NAME" >> "$SYSTEM_KOPIE/manifest"
+info "$(grep -c . "$SYSTEM_KOPIE/manifest") Systemdatei(en) und Zustaende vermerkt"
+SICHERUNG_STEHT=1
+
+# -- 2. Altes System abschalten ---------------------------------------------- #
+if [[ $STOP_OLD -eq 1 ]]; then
+  step "Altes System abschalten"
+  for unit in "${ALTE_UNITS[@]}"; do
+    if systemctl list-unit-files "$unit" --no-legend 2>/dev/null | grep -q .; then
+      systemctl disable --now "$unit" >/dev/null 2>&1 || true
+      info "$unit gestoppt und deaktiviert"
+    fi
+  done
+else
+  step "Altes System bleibt in Betrieb"
+fi
+
+# -- 3. Neu installieren ----------------------------------------------------- #
+step "Neu installieren"
+INSTALL_ARGS=(--app "$APP" --yes)
+[[ -n "$INSTANCE" ]] && INSTALL_ARGS+=(--instance "$INSTANCE")
+# Kein eigener Fehlerzweig mehr: die EXIT-Falle rollt bei jedem Fehlschlag
+# zurueck -- hier, beim Export, beim Einspielen oder bei einem Ctrl-C.
+bash "$SRC/deploy/install.sh" "${INSTALL_ARGS[@]}" ${EXTRA[0]+"${EXTRA[@]}"}
+
+if [[ $WITH_DATA -eq 0 ]]; then
+  UPGRADE_FERTIG=1
+  step "Fertig -- ohne Datenuebernahme"
+  info "Sicherung der alten Installation: $ALT_KOPIE"
+  exit 0
+fi
+
+command -v "$ADMIN" >/dev/null 2>&1 || fail "$ADMIN nicht gefunden -- die Installation ist unvollstaendig"
+
+if [[ -z "$PASSPHRASE" ]]; then
+  PASSPHRASE="$(head -c 24 /dev/urandom | base64 | tr -d '=+/' | cut -c1-24)"
+  # Die Passphrase liegt neben den Dateien, die sie schuetzt. Das ist hier kein
+  # Widerspruch: das alte Format verlangt eine, das Verzeichnis gehoert root
+  # allein (0700), und ohne sie waeren die beiden Dateien spaeter unbrauchbar --
+  # auch als Rueckweg.
+  printf '%s\n' "$PASSPHRASE" > "$BACKUP/passphrase.txt"
+  chmod 600 "$BACKUP/passphrase.txt"
+fi
+
+if [[ "$APP" == "tesm" ]]; then
+  # -- 4. Exportieren -------------------------------------------------------- #
+  step "Daten der alten Installation lesen"
+  "$ADMIN" legacy-export --source "$ALT_KOPIE" --out "$EXPORT_ALT" \
+           --passphrase "$PASSPHRASE" --force
+  chmod 600 "$EXPORT_ALT"
+
+  # -- 5. Uebersetzen -------------------------------------------------------- #
+  step "Uebersetzen"
+  "$ADMIN" convert-legacy "$EXPORT_ALT" --ausgabe "$IMPORT_NEU" \
+           --passphrase "$PASSPHRASE" --neue-passphrase "$PASSPHRASE" --force
+  chmod 600 "$IMPORT_NEU"
+
+  # -- 6. Einspielen --------------------------------------------------------- #
+  step "Einspielen"
+  "$ADMIN" legacy-import "$IMPORT_NEU" --passphrase "$PASSPHRASE" --actor upgrade
+else
+  # -- 4.-6. in einem: die Uebernahme liest die alte Datenbank unmittelbar --- #
+  step "Lizenzbestand uebernehmen"
+  # Der alte Signaturschluessel wird uebernommen. Fuer ein Upgrade ist das
+  # die einzige sinnvolle Vorgabe: es ist derselbe Server mit neuerer Software,
+  # und ohne den alten Schluessel muesste jeder Kunde den Ausstellerwechsel
+  # bestaetigen. Ueberschrieben wird dabei nichts -- die Uebernahme lehnt ab,
+  # wenn die neue Installation schon einen eigenen Schluessel hat.
+  MIGRATE_ARGS=(migrate-legacy --source "$ALT_KOPIE")
+  [[ $ADOPT_KEY -eq 1 ]] && MIGRATE_ARGS+=(--adopt-key)
+  "$ADMIN" "${MIGRATE_ARGS[@]}"
+  if [[ $ADOPT_KEY -eq 0 ]]; then
+    warn "--new-key: es gilt ein neuer Signaturschluessel. Die Kunden muessen den"
+    warn "Ausstellerwechsel einmal bestaetigen."
+  fi
+fi
+
+# -- Abschluss --------------------------------------------------------------- #
+UPGRADE_FERTIG=1
+step "Fertig"
+info "Sicherung der alten Installation : $ALT_KOPIE"
+if [[ "$APP" == "tesm" ]]; then
+  info "Export im alten Format           : $EXPORT_ALT"
+  info "Uebersetzte Datei                : $IMPORT_NEU"
+  [[ -f "$BACKUP/passphrase.txt" ]] && info "Passphrase beider Dateien        : $BACKUP/passphrase.txt"
+fi
+cat <<TEXT
+
+  Von Hand nachzuziehen -- das laesst sich nicht uebersetzen:
+    * Lokale Konten: der alte Hash ist bcrypt, hier gilt Argon2id. Ein Hash
+      ist nicht umrechenbar; das ist sein Zweck. Erstes Konto anlegen mit
+          sudo -u $APP $ADMIN create-admin
+    * Gruppen und Rechte: die Rechteschluessel wurden neu geschnitten.
+    * Verzeichnisdienst (LDAP), Webserver und Zertifikat.
+TEXT
+
+# Der Rueckweg sieht in den beiden Faellen verschieden aus. Ein Hinweis, der
+# das alte Verzeichnis wiederherstellen laesst, obwohl es nie angefasst wurde,
+# waere schlimmer als keiner: er wuerde die Daten der neuen Installation mit
+# einem alten Stand ueberschreiben.
+if [[ $IN_PLACE -eq 1 ]]; then
+  cat <<TEXT
+
+  Zurueck auf den alten Stand -- das Verzeichnis wurde ersetzt, die Kopie
+  bringt es zurueck:
+    sudo systemctl disable --now $NAME
+    sudo rm -rf $SOURCE && sudo mkdir -p $SOURCE
+    sudo tar -C $ALT_KOPIE -cf - . | sudo tar -C $SOURCE -xf -
+    # venv der alten Installation neu bauen:
+    sudo python3 -m venv $SOURCE/venv
+    sudo $SOURCE/venv/bin/python -m pip install -r $SOURCE/requirements.txt
+    sudo systemctl enable --now ${ALTE_UNITS[0]}
+
+TEXT
+else
+  cat <<TEXT
+
+  Zurueck auf den alten Stand -- $SOURCE wurde nicht angefasst, es genuegt,
+  die neue Instanz abzuschalten:
+    sudo systemctl disable --now $NAME $NAME-monitor
+    sudo rm -f /etc/nginx/sites-enabled/$NAME && sudo systemctl reload nginx
+    sudo systemctl enable --now ${ALTE_UNITS[0]}
+
+TEXT
+fi

docs/BETRIEB.md

@@ -105,19 +105,26 @@ Eine bereits eingerichtete HTTPS-Konfiguration bleibt erhalten, auch ohne
 
 ### Ohne Quellbaum: `update.sh`
 
-Liegt kein entpacktes Release vor, holt `update.sh` es selbst -- es lädt das
-Release-Asset, entpackt es und ruft dessen `install.sh` auf:
+`update.sh` genügt als **einzelne Datei**. Auf einem System, auf dem noch nichts
+von diesem Projekt liegt:
 
 ```bash
-sudo bash /opt/tesm/deploy/update.sh tesm
-sudo bash /opt/tesm-license/deploy/update.sh tesm-license
+curl -fsSLO https://gitea.int.eertmoed.net/alientim/tesm/raw/branch/main/deploy/update.sh
+sudo bash update.sh tesm
+```
+
+Auf einer bestehenden Installation liegt sie schon bereit:
+
+```bash
+sudo bash /srv/tesm/deploy/update.sh tesm
+sudo bash /srv/tesm-license/deploy/update.sh tesm-license
 ```
 
 Alles nach dem Tag geht unverändert an `install.sh` weiter -- das ist der Weg,
 eine **benannte Instanz** zu aktualisieren:
 
 ```bash
-sudo bash /opt/tesm-opus/deploy/update.sh tesm latest --instance opus
+sudo bash /srv/tesm/deploy/update.sh tesm
 ```
 
 Ohne `--instance` entstünde daneben eine zweite Installation namens `tesm`, mit
@@ -141,6 +148,104 @@ etwa auf eine Spiegelung:
 
 Der erwartete Anhang heisst `<repo>-<tag>.tar.gz`.
 
+### Upgrade vom Stand 1.x (Branch `SONNET5`)
+
+Ein eigenes Skript, weil dabei mehr passiert als ein Dateiabgleich: die alte
+Fassung hat ein anderes Schema, andere Rechteschlüssel und ein anderes
+Exportformat.
+
+Auch `upgrade.sh` genügt als **einzelne Datei** -- und das ist hier der
+Regelfall: auf einer 1.2.8 liegt nichts von dieser Fassung.
+
+```bash
+curl -fsSLO https://gitea.int.eertmoed.net/alientim/tesm/raw/branch/main/deploy/upgrade.sh
+sudo bash upgrade.sh --app tesm
+```
+
+Sie lädt das aktuelle Release, entpackt es und benutzt dessen `install.sh`.
+Liegt das Skript in einem entpackten Release, wird dieses benutzt statt eines
+Downloads -- wer ein Paket ausgepackt hat, will nicht, dass ungefragt ein
+anderes geladen wird:
+
+```bash
+sudo bash deploy/upgrade.sh --app tesm
+sudo bash deploy/upgrade.sh --app tesm-license
+```
+
+Eine bestimmte Version statt `latest`: `--tag v2.0.8`.
+
+**Wenn etwas schiefgeht.** Schlägt `install.sh` fehl, dreht `upgrade.sh` den
+Lauf selbst zurück: der neue Dienst wird gestoppt, das Verzeichnis aus der
+Sicherung wiederhergestellt und der alte Dienst wieder eingeschaltet. Das
+Verzeichnis allein genügt dafür nicht -- bei einem Upgrade in dasselbe
+Verzeichnis schreibt `install.sh` auch systemd-Unit, nginx-Site, logrotate und
+Banner neu und ersetzt das venv. Die Sicherung enthält deshalb alles davon,
+und ein Manifest hält fest, woher der Stand kam.
+
+Später von Hand zurückdrehen, etwa nach einem Lauf, der durchlief aber nicht
+gefallen hat:
+
+```bash
+sudo bash upgrade.sh --app tesm --rollback              # neueste Sicherung
+sudo bash upgrade.sh --app tesm --rollback /srv/tesm-upgrade-20260908-225428
+```
+
+Die Sicherung bleibt danach liegen; gelöscht wird nichts.
+
+Ohne `--source` wird die alte Fassung an zwei Stellen gesucht: unter
+`/srv/<app>` und unter `/srv/<app>-sonnet5`. Der zweite Ort ist der, an den
+`rename.sh` sie verschiebt, sobald der Hauptname für die neue Installation
+gebraucht wird -- danach liegt unter `/srv/<app>` die **laufende** Installation.
+Erkannt wird eine 1.x an der `sqlite.db` im Wurzelverzeichnis; die neue Fassung
+legt ihre Datenbank unter `data/app.db` ab.
+
+Der Ablauf ist die Vorgabe und braucht keine Schalter:
+
+| | |
+|---|---|
+| 1. Sichern | Vollständige Kopie der alten Installation nach `/srv/<name>-upgrade-<zeitstempel>/alt` (ohne `venv`, Verzeichnis 0700) |
+| 2. Abschalten | Alter Dienst **und seine Timer** werden gestoppt und deaktiviert |
+| 3. Installieren | `install.sh` dieses Verzeichnisses |
+| 4. Exportieren | Aus der Kopie entsteht `export-alt.json` im **alten** Format |
+| 5. Übersetzen | Daraus `import-neu.json` im neuen Format |
+| 6. Einspielen | Diese Datei geht durch denselben Import wie eine Sicherung |
+
+Warum die Sicherung **vor** dem Export steht: ohne `--instance` installiert
+`install.sh` in dasselbe Verzeichnis und ersetzt die alte Installation. Wer
+erst exportiert und dann sichert, sichert im schlechtesten Fall nichts mehr.
+Gelesen wird ausschliesslich aus der Kopie -- die alte Installation wird nie
+verändert.
+
+Die beiden Zwischendateien bleiben liegen; ihre Passphrase steht daneben in
+`passphrase.txt` (0600, Verzeichnis 0700). `export-alt.json` ist ein echter
+Export des Vorgängers und taugt deshalb auch als Rückweg.
+
+**Daneben statt darüber.** Mit `--instance` entsteht eine zweite Installation,
+und die alte bleibt vollständig liegen:
+
+```bash
+sudo bash deploy/upgrade.sh --app tesm --instance test      --keep-old-running --port 5100 --http-port 8080
+```
+
+**Was nicht mitkommt** -- und warum:
+
+* **Lokale Konten.** Der alte Hash ist bcrypt, hier gilt Argon2id. Ein Hash
+  ist nicht umrechenbar; das ist sein Zweck. Erstes Konto mit
+  `tesm-admin create-admin`.
+* **Gruppen und Rechte.** Die Rechteschlüssel wurden neu geschnitten.
+* **LDAP, Webserver, Zertifikat.** Von Hand nachziehen.
+
+Beim **Lizenzserver** gibt es Schritt 4 und 5 nicht: die Übernahme liest die
+alte Datenbank unmittelbar, holt Endpunkt und Anbieterdaten aus ihren
+Einstellungen und **signiert jede Lizenz neu**. Der alte Signaturschlüssel wird
+dabei übernommen -- sonst müsste jeder Kunde einen Ausstellerwechsel
+bestätigen; `--new-key` erzwingt das Gegenteil. Der Bericht nennt namentlich,
+wer eine neue Lizenzdatei braucht, denn die Bindung an eine Maschine gilt nur
+für die alte Datei.
+
+Nur die Anwendung, ohne Daten: `--no-data`. Nur zeigen, was geschähe:
+`--dry-run`.
+
 ---
 
 ## 4. HTTPS
@@ -193,6 +298,83 @@ würde). Der ACME-Pfad bleibt auch bei aktiver Umleitung erreichbar.
 
 ---
 
+## 4a. Anmeldebanner (MOTD)
+
+`install.sh` legt `/etc/update-motd.d/50-<name>` an. Bei jeder SSH-Anmeldung
+steht dann der Zustand der Installation im Login-Banner:
+
+```
+TESM · TimEShepManager
+UEBERWACHEN · BOOTEN · ANBINDEN (DHCP) · BETRIEBSSYSTEM GEBEN (PXE)
+
+3 Clients online · 0 nicht erreichbar · DHCP: 2 Leases aktiv
+```
+
+Das Skript liegt unter `/usr/local/lib/tesm/tesm-motd` und benutzt **nur die
+Standardbibliothek**: kein venv, kein Import der Anwendung, die Datenbank wird
+nur lesend geöffnet. Ein Lauf dauert Millisekunden. Der Vorgänger importierte
+dafür die ganze Flask-Anwendung -- bei jeder Anmeldung, und nach einem Wechsel
+des Quellverzeichnisses zeigte er stillschweigend die Zahlen einer Datenbank,
+die niemand mehr füllte.
+
+Von Hand prüfen:
+
+```bash
+sudo /usr/local/lib/tesm/tesm-motd --app tesm --root /srv/tesm-test
+```
+
+Der Aufruf im Banner ist mit `timeout 3` und `|| true` abgesichert: ein
+hängender oder fehlschlagender Bannerlauf darf eine Anmeldung nie blockieren.
+Ein Banner der Vorgängerfassung (`50-tesm`, das `motd_banner.py` aufruft) wird
+entfernt -- nur dieses, nichts anderes in dem Verzeichnis.
+
+---
+
+## 4b. Installation umbenennen
+
+Aus einer Instanz die Hauptinstallation machen (oder umgekehrt):
+
+```bash
+sudo bash deploy/rename.sh --app tesm --from tesm-test --to tesm
+sudo bash deploy/rename.sh --app tesm-license --from tesm-license-test --to tesm-license
+```
+
+Der Name steckt an mehr Stellen als im Verzeichnisnamen, und drei davon sind
+leicht zu übersehen:
+
+* **`SITE_KEY`** in der Umgebungsdatei -- daraus entsteht der Name des
+  Sitzungscookies. Bleibt er alt, heisst das Cookie weiter wie die alte
+  Instanz.
+* **`web_cert_path`, `web_key_path`, `web_acme_webroot`** in der Datenbank. Sie
+  enthalten den Namen; ein Zertifikat unter dem alten Pfad findet nginx nach
+  dem Umzug nicht mehr.
+* **`server_name`** der nginx-Site. `install.sh` schreibt die Datei aus seiner
+  Vorlage neu, sobald sich die `alias`-Pfade ändern -- und die ändern sich hier
+  zwangsläufig. Ohne den Namen aus der Datenbank stünden danach zwei Sites mit
+  `server_name _` auf Port 80, und die erste gewinnt.
+
+Ausserdem wird das **venv verworfen und neu gebaut**: seine Konsolenskripte
+tragen den absoluten Pfad im Shebang, und nach dem Umzug zeigt
+`venv/bin/gunicorn` auf einen Interpreter, den es nicht mehr gibt. systemd
+meldet dann `No such file or directory` -- für eine Datei, die sichtbar da ist.
+
+Belegt der Zielname noch eine Installation der Fassung 1.x, wandert **alles**,
+was ihn belegt, in ein Archiv `/srv/<ziel>-sonnet5`: das Verzeichnis, die
+Protokolle unter `/var/log/<ziel>`, der ACME-Pfad, die logrotate-Datei, und die
+systemd-Units samt nginx-Site unter `systemd-alt/`. Gelöscht wird nichts.
+
+Ports und HTTPS bleiben, wie sie waren; ein vorhandenes Zertifikat zieht mit
+und wird weiterverwendet. **Alle angemeldeten Benutzer werden abgemeldet** --
+das Sitzungscookie heisst danach anders.
+
+Danach ist auch das Aktualisieren einfacher, weil der Instanzname wegfällt:
+
+```bash
+sudo bash /srv/tesm/deploy/update.sh tesm
+```
+
+---
+
 ## 5. Dienste
 
 ```bash
@@ -264,7 +446,7 @@ Unverzichtbar:
 **Die Anwendung antwortet nicht.**
 ```bash
 journalctl -u tesm -n 200 --no-pager
-curl -s http://127.0.0.1:5000/gesundheit
+curl -s http://127.0.0.1:5000/health
 ```
 Antwortet gunicorn, aber der Browser nicht, liegt es an nginx.
 

install.sh

@@ -0,0 +1,181 @@
+#!/usr/bin/env bash
+# =============================================================================
+# Installation -- der kurze Weg.
+#
+# Diese Datei liegt oben im Paket und ruft den Installer unter deploy/ auf:
+#
+#     tar xzf tesm-vX.Y.Z.tar.gz && cd tesm
+#     sudo bash install.sh --app tesm --https
+#
+# Sie genuegt aber auch **allein**: liegt kein Paket um sie herum, holt sie
+# sich das aktuelle Release selbst.
+#
+#     curl -fsSLO https://gitea.int.eertmoed.net/alientim/tesm/raw/branch/main/install.sh
+#     sudo bash install.sh --app tesm --https
+#
+# Die Master-Ausgabe des Lizenzservers liegt im privaten Repositorium
+# tesm-license-master. Allein-Betrieb dafuer:
+#
+#     export TESM_RELEASE_REPO=tesm-license-master
+#     export TESM_RELEASE_TOKEN=<Gitea-Token>
+#     sudo -E bash install.sh --app tesm-license --https
+#
+# Aus einem entpackten Paket braucht es das nicht: dort entscheidet, welches
+# Paket es ist. Die Master-Ausgabe legt beim Installieren Signaturschluessel
+# und eigene Master-Lizenz selbst an.
+#
+# Alle Argumente gehen unveraendert an deploy/install.sh weiter; dessen Hilfe:
+#
+#     bash install.sh --help
+# =============================================================================
+set -euo pipefail
+
+SCRIPT_DIR="$(cd "$(dirname "${BASH_SOURCE[0]}")" && pwd)"
+
+# --app wird nur gelesen, nicht verbraucht: der Bootstrap braucht es fuer den
+# Namen des Repositoriums, der Installer bekommt die Argumente unveraendert.
+APP=""
+TAG="latest"
+ARGUMENTE=("$@")
+for ((i = 0; i < $#; i++)); do
+  case "${ARGUMENTE[i]}" in
+    --app) APP="${ARGUMENTE[i + 1]:-}" ;;
+    --tag) TAG="${ARGUMENTE[i + 1]:-latest}" ;;
+  esac
+done
+
+# Ohne Paket drumherum brauchen wir den Namen, um das richtige Release zu
+# finden -- die beiden Anwendungen liegen in getrennten Repositorien.
+if [[ ! -f "$SCRIPT_DIR/deploy/install.sh" ]]; then
+  [[ "$APP" == "tesm" || "$APP" == "tesm-license" ]] || {
+    echo "Diese Datei liegt allein hier und muss sich das Release holen --" >&2
+    echo "dafuer braucht sie --app <tesm|tesm-license>." >&2
+    echo "Verwendung: install.sh --app <tesm|tesm-license> [weitere Optionen]" >&2
+    exit 2
+  }
+fi
+
+# --8<-- Bootstrap: Release holen --------------------------------------------
+# Wortgleich in update.sh und upgrade.sh; ein Hygienetest vergleicht die beiden
+# Bloecke. Zwei eigenstaendige Skripte koennen sich keine Datei teilen, und
+# beide sollen als **einzelne Datei** genuegen: auf das Zielsystem legen,
+# ausfuehren, fertig -- auf einer 1.2.8 liegt nichts von diesem Projekt.
+#
+# Erwartet: $APP und $TAG, wahlweise $REPO (Vorgabe: $APP). Setzt: $TAG
+# (aufgeloest) und $SRC (entpacktes Release). Raeumt sein Arbeitsverzeichnis
+# beim Beenden auf.
+#
+# $REPO gibt es, weil Installationsname und Repositorium auseinanderfallen
+# koennen: die Master-Ausgabe des Lizenzservers liegt in
+# "tesm-license-master", die Installation heisst weiter "tesm-license".
+#
+# Zwei Fallen des Vorgaengers sind hier vermieden:
+#   * Der Tag "latest" wird ueber die API aufgeloest, nie direkt in die
+#     Download-URL geschrieben. Gitea liefert sonst mit HTTP 200 ein
+#     automatisch erzeugtes Quell-Snapshot statt des echten Release-Anhangs.
+#   * Nach dem Entpacken wird geprueft, dass ein install.sh existiert.
+BASE="${TESM_RELEASE_BASE:-https://gitea.int.eertmoed.net}"
+OWNER="${TESM_RELEASE_OWNER:-alientim}"
+
+# Ein privates Repositorium -- tesm-license-master -- gibt sein Release nur mit
+# Zugriffstoken heraus. Reihenfolge: Umgebungsvariable, dann eine Datei, die
+# der Betreiber selbst anlegt. Der Installer legt sie nie an: ob ein Token auf
+# dem Server liegt, ist keine Entscheidung eines Skripts.
+TOKEN="${TESM_RELEASE_TOKEN:-}"
+if [[ -z "$TOKEN" && -r /etc/tesm-release.token ]]; then
+  TOKEN="$(tr -d '[:space:]' < /etc/tesm-release.token)"
+fi
+
+# Ein Wagenruecklauf im Paket macht jedes Shell-Skript auf dem Ziel unbrauchbar
+# ("bad interpreter"). Die Pruefung darf dabei nicht selbst von einem
+# Zusatzpaket abhaengen: mit "file" -- das auf einem schlanken Server fehlt --
+# endete sie in "command not found", grep bekam nichts zu sehen, und das Skript
+# machte weiter, als waere alles in Ordnung.
+hat_crlf() {
+  local cr
+  cr="$(printf '\r')"
+  # -U (binaer lesen) ist unter Linux ohne Wirkung, auf einer
+  # Windows-Buildmaschine aber entscheidend: dort entfernt grep den
+  # Wagenruecklauf beim Lesen und findet deshalb nie einen.
+  LC_ALL=C grep -qU "$cr" "$1"
+}
+
+BOOTSTRAP_WORK=""
+bootstrap_aufraeumen() {
+  # Den Ausstiegscode zuerst festhalten: alles danach ueberschreibt ihn.
+  local code=$?
+  [[ -n "$BOOTSTRAP_WORK" ]] && rm -rf "$BOOTSTRAP_WORK"
+  # Wer einen eigenen Abschluss braucht -- etwa einen Rueckweg nach einem
+  # Fehlschlag --, definiert "beim_beenden". Ein zweiter "trap ... EXIT" waere
+  # der falsche Weg: er wuerde diesen hier ersetzen, und das entpackte Release
+  # bliebe unter /tmp liegen.
+  declare -F beim_beenden >/dev/null 2>&1 && beim_beenden "$code"
+  return "$code"
+}
+trap bootstrap_aufraeumen EXIT
+
+release_holen() {
+  local repo="${TESM_RELEASE_REPO:-${REPO:-$APP}}" asset
+  # Leeres Array und "set -u" vertragen sich nur mit dieser Schreibweise.
+  local -a kopf=()
+  [[ -n "$TOKEN" ]] && kopf=(-H "Authorization: token $TOKEN")
+  for werkzeug in curl tar python3 find; do
+    command -v "$werkzeug" >/dev/null 2>&1 || {
+      echo "Auf diesem System fehlt $werkzeug -- ohne das geht es nicht." >&2
+      return 1
+    }
+  done
+  BOOTSTRAP_WORK="$(mktemp -d /tmp/tesm-release-XXXXXX)"
+
+  if [[ "$TAG" == "latest" ]]; then
+    echo "==> Ermittle aktuellen Release-Tag ..."
+    TAG="$(curl -fsS ${kopf[0]+"${kopf[@]}"} "$BASE/api/v1/repos/$OWNER/$repo/releases/latest" \
+          | python3 -c 'import json,sys; print(json.load(sys.stdin)["tag_name"])')" || {
+      echo "Kein Release gefunden unter $BASE/$OWNER/$repo." >&2
+      [[ -z "$TOKEN" ]] &&
+        echo "Ist das Repositorium privat? Dann TESM_RELEASE_TOKEN setzen." >&2
+      echo "Andere Quelle: TESM_RELEASE_BASE, TESM_RELEASE_OWNER, TESM_RELEASE_REPO." >&2
+      return 1
+    }
+    echo "    $TAG"
+  fi
+
+  asset="$repo-$TAG.tar.gz"
+  echo "==> Lade $asset ..."
+  curl -fsSL ${kopf[0]+"${kopf[@]}"} -o "$BOOTSTRAP_WORK/$asset" \
+       "$BASE/$OWNER/$repo/releases/download/$TAG/$asset" || {
+    echo "Download fehlgeschlagen: $BASE/$OWNER/$repo/releases/download/$TAG/$asset" >&2
+    return 1
+  }
+
+  echo "==> Entpacke ..."
+  tar -xzf "$BOOTSTRAP_WORK/$asset" -C "$BOOTSTRAP_WORK"
+  # Drei Ebenen, nicht zwei: release.sh packt mit dem Praefix "<name>/", also
+  # liegt das Skript unter <name>/deploy/install.sh. Mit "-maxdepth 2" fand die
+  # Suche nie etwas -- und die Fehlermeldung schob es auf den Download.
+  SRC="$(find "$BOOTSTRAP_WORK" -maxdepth 3 -name install.sh -path '*/deploy/*' \
+         -printf '%h/..\n' | head -1)"
+  [[ -n "$SRC" ]] || {
+    echo "Im Paket fehlt deploy/install.sh -- Download unbrauchbar." >&2
+    return 1
+  }
+  SRC="$(cd "$SRC" && pwd)"
+
+  echo "==> Pruefe auf CRLF (Windows-Buildmaschinen) ..."
+  if hat_crlf "$SRC/deploy/install.sh"; then
+    echo "Das Paket enthaelt CRLF-Zeilenenden. Beim Paketieren fehlte" >&2
+    echo "'git -c core.autocrlf=false archive'." >&2
+    return 1
+  fi
+}
+# --8<-- Ende Bootstrap ------------------------------------------------------
+
+if [[ -f "$SCRIPT_DIR/deploy/install.sh" ]]; then
+  # Im Paket: der Installer liegt daneben.
+  exec bash "$SCRIPT_DIR/deploy/install.sh" ${ARGUMENTE[0]+"${ARGUMENTE[@]}"}
+fi
+
+# Allein: Release holen und dessen Installer benutzen. Kein exec -- sonst
+# laeuft die Aufraeumfalle nie und das entpackte Release bliebe unter /tmp.
+release_holen || { echo "Das Release liess sich nicht holen." >&2; exit 1; }
+bash "$SRC/deploy/install.sh" ${ARGUMENTE[0]+"${ARGUMENTE[@]}"}

packages/tesm-core/pyproject.toml

@@ -4,7 +4,7 @@ build-backend = "setuptools.build_meta"
 
 [project]
 name = "tesm-core"
-version = "2.0.2"
+version = "2.7.4"
 description = "Gemeinsames Anwendungsgeruest (Auth, RBAC, Navigation, Design-System, Migrationen) fuer TESM und TESM-Lizenzserver"
 requires-python = ">=3.11"
 dependencies = [

packages/tesm-core/src/tesm_core/__init__.py

@@ -8,7 +8,20 @@ Design-System.
 
 from __future__ import annotations
 
-__version__ = "2.0.2"
+#: Version aus den Metadaten des installierten Pakets -- die einzige Quelle
+#: ist ``pyproject.toml``. Vorher stand hier eine feste Zahl, und die
+#: Fusszeile zeigte vier Releases lang 2.0.2.
+#:
+#: Im Quellbaum ohne ``pip install`` gibt es keine Metadaten; dann steht dort
+#: "unbekannt" statt einer erfundenen Nummer. In einem editierbaren Install
+#: zeigt sie den Stand des letzten ``pip install -e`` -- also die Version, die
+#: tatsaechlich installiert ist.
+try:  # pragma: no cover - haengt an der Installationsart
+    from importlib.metadata import PackageNotFoundError, version as _paketversion
+
+    __version__ = _paketversion("tesm-core")
+except (ImportError, PackageNotFoundError):  # pragma: no cover
+    __version__ = "unbekannt"
 
 from .app_factory import create_base_app
 from .config import CoreConfig, SecurityConfig, load_core_config

packages/tesm-core/src/tesm_core/app_factory.py

@@ -13,10 +13,12 @@ import secrets
 from datetime import datetime, timezone
 from typing import Any, Sequence
 
-from flask import Blueprint, Flask, g, render_template, request
+from urllib.parse import urlencode
+
+from flask import Blueprint, Flask, g, redirect, render_template, request
 from werkzeug.exceptions import HTTPException
 
-from . import audit, logging_setup, ui
+from . import audit, legacy_urls, logging_setup, ui
 from .config import CoreConfig
 from .core_schema import CORE_MIGRATIONS
 from .db import Database
@@ -31,6 +33,7 @@ from .security import csrf
 from .security import sessions as session_store
 from .security.sessions import SqliteSessionInterface
 from .settings_store import SettingSpec, SettingsStore
+from . import uploads
 from .sysops import SysOps
 from .auth import directory
 from .auth import routes as auth_routes
@@ -56,18 +59,29 @@ CORE_SETTINGS: tuple[SettingSpec, ...] = (
         30,
         "int",
         "Aufbewahrung im Papierkorb (Tage)",
-        hint="Nach dieser Frist werden Eintraege beim naechsten Aufruf endgueltig entfernt.",
+        hint="Nach dieser Frist werden Einträge beim nächsten Aufruf endgültig entfernt.",
         section="system",
         minimum=1,
         maximum=3650,
     ),
+    SettingSpec(
+        "session_absolute_hours",
+        12,
+        "int",
+        "Längstmögliche Sitzungsdauer (Stunden)",
+        hint="Danach ist Schluss, auch bei ständiger Arbeit – eine Sitzung soll nicht "
+        "ewig leben. Die eingebundenen Dateifreigaben enden mit ihr.",
+        section="system",
+        minimum=1,
+        maximum=168,
+    ),
     SettingSpec(
         "session_idle_minutes",
         30,
         "int",
         "Automatische Abmeldung nach Leerlauf (Minuten)",
-        hint="Jede Anfrage setzt den Zaehler zurueck -- gezaehlt wird nur Untaetigkeit. "
-        "Gilt auch fuer die eingebundenen Dateifreigaben: mit der Sitzung endet die "
+        hint="Jede Anfrage setzt den Zähler zurück – gezählt wird nur Untätigkeit. "
+        "Gilt auch für die eingebundenen Dateifreigaben: mit der Sitzung endet die "
         "Einbindung.",
         section="system",
         minimum=5,
@@ -100,8 +114,8 @@ CORE_SETTINGS: tuple[SettingSpec, ...] = (
     SettingSpec("web_hsts_enabled", False, "bool", "HSTS senden", section="web"),
     SettingSpec("web_redirect_http", True, "bool", "HTTP auf HTTPS umleiten", section="web"),
     SettingSpec("web_cert_path", "", "str", "Zertifikat (Pfad)", section="web"),
-    SettingSpec("web_key_path", "", "str", "Privater Schluessel (Pfad)", section="web"),
-    SettingSpec("web_acme_email", "", "str", "E-Mail fuer Let's Encrypt", section="web"),
+    SettingSpec("web_key_path", "", "str", "Privater Schlüssel (Pfad)", section="web"),
+    SettingSpec("web_acme_email", "", "str", "E-Mail für Let's Encrypt", section="web"),
     SettingSpec("web_acme_webroot", "", "str", "ACME-Webroot", section="web"),
     # Abweichende Ports braucht nur eine Testinstanz neben der Produktion --
     # im Regelbetrieb bleibt es bei 80 und 443.
@@ -112,7 +126,7 @@ CORE_SETTINGS: tuple[SettingSpec, ...] = (
         "web_https_port", 443, "int", "HTTPS-Port", section="web", minimum=1, maximum=65535
     ),
     SettingSpec(
-        "web_max_body_mb", 128, "int", "Maximale Anfragegroesse (MB)", section="web",
+        "web_max_body_mb", 128, "int", "Maximale Anfragegröße (MB)", section="web",
         minimum=1, maximum=8192,
     ),
     *directory.SETTINGS,
@@ -130,11 +144,11 @@ def create_base_app(
     import_name: str = "tesm_core",
     app_short: str = "TESM",
     app_edition: str = "",
-    #: Zeile unter der Wortmarke auf den Anmeldeseiten. Leer = kein
-    #: Seitenhintergrund. Der Lizenzserver setzt sie bewusst nicht: die
-    #: Funktionsliste von TESM waere dort schlicht falsch.
+    #: Zeile unter der Wortmarke auf den Anmeldeseiten. Leer = nur die
+    #: Wortmarke, ohne Zeile darunter; die Marke selbst zeigen beide
+    #: Anwendungen.
     auth_tagline: str = "",
-    app_version: str = "2.0.2",
+    app_version: str = "2.7.4",
     built_in_trusted_keys: tuple[str, ...] = (),
     enable_license: bool = True,
     template_folder: str | None = None,
@@ -146,6 +160,10 @@ def create_base_app(
         static_folder=static_folder or "static",
         static_url_path="/assets",
     )
+    # Umlaute bleiben Umlaute -- auch in JSON. Flask wuerde sonst nach ASCII
+    # ausweichen ("ü"), und genau darin stehen die Flash-Meldungen in der
+    # Seite: eine Meldung mit "ue" war lesbar, eine mit "ü" wurde zu Zahlen.
+    app.json.ensure_ascii = False
 
     # Templates und Design-System des Kerns liegen im Paket ``tesm_core`` und
     # werden ueber einen eigenen Blueprint bereitgestellt. Dadurch kann jede
@@ -163,6 +181,10 @@ def create_base_app(
     config.data_dir.mkdir(parents=True, exist_ok=True)
     config.log_dir.mkdir(parents=True, exist_ok=True)
 
+    # Die Groessengrenze einer Anfrage kommt aus der Einstellung, nicht aus
+    # der Konfiguration beim Start.
+    app.request_class = uploads.UploadLimitRequest
+
     app.config.update(
         SECRET_KEY=load_or_create_secret_key(config.secret_key_file),
         # site_key statt app_key: Cookies unterscheiden keine Ports. Zwei
@@ -172,6 +194,9 @@ def create_base_app(
         SESSION_COOKIE_HTTPONLY=True,
         SESSION_COOKIE_SECURE=config.security.cookie_secure,
         SESSION_COOKIE_SAMESITE=config.security.cookie_samesite,
+        # Nur die aeussere Schranke aus der Umgebung. Die eigentliche Grenze
+        # steht in der Einstellung und wird pro Anfrage gelesen (uploads.py) --
+        # sonst braeuchte jede Aenderung einen Neustart aller Arbeiter.
         MAX_CONTENT_LENGTH=config.security.max_content_length,
         JSON_SORT_KEYS=False,
         TRAP_HTTP_EXCEPTIONS=False,
@@ -222,12 +247,21 @@ def create_base_app(
             wert = 0
         return wert if wert > 0 else config.security.session_idle_minutes
 
+    def _gesamtdauer(conn: Any) -> int:
+        """Gesamtdauer aus den Einstellungen -- ueber dieselbe offene Verbindung."""
+        try:
+            wert = int(settings.get(conn, "session_absolute_hours") or 0)
+        except (TypeError, ValueError):
+            wert = 0
+        return wert if wert > 0 else config.security.session_absolute_hours
+
     app.session_interface = SqliteSessionInterface(
         database,
         cookie_name=app.config["SESSION_COOKIE_NAME"],
         idle_minutes=config.security.session_idle_minutes,
         absolute_hours=config.security.session_absolute_hours,
         idle_lookup=_leerlauf,
+        absolute_lookup=_gesamtdauer,
     )
 
     # -- Schema und Startzustand ------------------------------------------ #
@@ -259,6 +293,17 @@ def create_base_app(
 
     @app.after_request
     def _finish_request(response):  # type: ignore[no-untyped-def]
+        # Ein Aktualisierungsdurchlauf, der mit Sitzungscookie kommt und
+        # unangemeldet endet, hat gerade seine Sitzung verloren. Bei einer
+        # geschuetzten Seite sagt das schon der Status (401); bei einer, die
+        # auch oeffentlich antwortet -- die Statusuebersicht etwa -- kommt eine
+        # 200 mit den oeffentlichen Kacheln zurueck, und der offene Tab merkt
+        # nichts: er zeigt weiter eine Oberflaeche, als sei alles in Ordnung.
+        # Deshalb ein Kopf, den der Browser unabhaengig vom Status auswerten
+        # kann.
+        if session_store.is_automatic(request) and not current_user.is_authenticated:
+            if request.cookies.get(app.config["SESSION_COOKIE_NAME"], ""):
+                response.headers["X-Session-Expired"] = "1"
         hsts = ""
         if config.security.hsts_enabled:
             hsts = f"max-age={config.security.hsts_max_age}; includeSubDomains"
@@ -317,6 +362,26 @@ def create_base_app(
     # -- Fehlerseiten ------------------------------------------------------ #
     @app.errorhandler(HTTPException)
     def _http_error(error: HTTPException):  # type: ignore[no-untyped-def]
+        if error.code == 404:
+            # Vor der Fehlerseite: war das eine Adresse aus der Zeit vor 2.5.0?
+            # Erst hier gefragt, damit die Tabelle nie eine bestehende Route
+            # verdeckt -- auf dem Lizenzserver ist /lizenz/<ticket> echt.
+            ziel = legacy_urls.neue_adresse(request.path)
+            if ziel is not None:
+                parameter = legacy_urls.neue_parameter(request.args.to_dict(flat=True))
+                if parameter:
+                    ziel = ziel + "?" + urlencode(parameter)
+                return redirect(ziel)
+        if error.code == 413:
+            # "Request Entity Too Large" allein hilft niemandem weiter: die
+            # Zahl steht in einer Einstellung, und wer hochlaedt, soll sie
+            # sehen. Vorher stand hier nur der nackte Status.
+            grenze = uploads.limit_mb()
+            error.description = (
+                f"Diese Datei ist größer als erlaubt. Zurzeit sind {grenze} MB je Upload "
+                "eingestellt; ändern kann das ein Administrator unter "
+                '"Einstellungen -> Webserver und TLS".'
+            )
         if _wants_json():
             return {
                 "error": error.name,
@@ -370,7 +435,7 @@ def create_base_app(
     with app.app_context():
         trash_views.register_core_providers()
 
-    app.add_url_rule("/gesundheit", "health", _health, methods=["GET"])
+    app.add_url_rule("/health", "health", _health, methods=["GET"])
 
     return app
 

packages/tesm-core/src/tesm_core/audit.py

@@ -133,14 +133,14 @@ def verify_chain(conn: sqlite3.Connection, *, limit: int | None = None) -> dict[
                 "ok": False,
                 "checked": checked,
                 "broken_at": data["id"],
-                "reason": "Vorgaenger-Hash passt nicht -- eine Zeile wurde entfernt oder eingefuegt.",
+                "reason": "Vorgänger-Hash passt nicht – eine Zeile wurde entfernt oder eingefügt.",
             }
         if compute_hash(str(data["prev_hash"]), data) != data["hash"]:
             return {
                 "ok": False,
                 "checked": checked,
                 "broken_at": data["id"],
-                "reason": "Zeileninhalt passt nicht zum gespeicherten Hash -- Eintrag geaendert.",
+                "reason": "Zeileninhalt passt nicht zum gespeicherten Hash | Eintrag geändert.",
             }
         expected_prev = str(data["hash"])
         checked += 1

packages/tesm-core/src/tesm_core/auth/directory.py

@@ -59,20 +59,20 @@ SETTINGS: tuple[SettingSpec, ...] = (
         section="ldap",
         choices=(("ldaps", "LDAPS (Port 636)"), ("starttls", "StartTLS (Port 389)"), ("none", "Unverschluesselt")),
     ),
-    SettingSpec("ldap_verify_cert", True, "bool", "Serverzertifikat pruefen", section="ldap"),
+    SettingSpec("ldap_verify_cert", True, "bool", "Serverzertifikat prüfen", section="ldap"),
     SettingSpec("ldap_ca_file", "", "str", "CA-Zertifikat (Pfad)", section="ldap"),
     SettingSpec(
         "ldap_allow_insecure",
         False,
         "bool",
-        "Unverschluesselte Verbindung ausdruecklich erlauben",
-        hint="Nur fuer Testumgebungen. Das Passwort geht dabei im Klartext ueber das Netz.",
+        "Unverschlüsselte Verbindung ausdrücklich erlauben",
+        hint="Nur für Testumgebungen. Das Passwort geht dabei im Klartext über das Netz.",
         section="ldap",
     ),
     SettingSpec("ldap_base_dn", "", "str", "Basis-DN (leer = automatisch)", section="ldap"),
     SettingSpec("ldap_user_attribute", "sAMAccountName", "str", "Anmeldeattribut", section="ldap"),
     SettingSpec("ldap_email_attribute", "userPrincipalName", "str", "E-Mail-Attribut", section="ldap"),
-    SettingSpec("ldap_group_sync", True, "bool", "Gruppen aus dem Verzeichnis uebernehmen", section="ldap"),
+    SettingSpec("ldap_group_sync", True, "bool", "Gruppen aus dem Verzeichnis übernehmen", section="ldap"),
     SettingSpec("ldap_timeout", 8, "int", "Zeitlimit (Sekunden)", section="ldap", minimum=1, maximum=60),
 )
 
@@ -123,7 +123,7 @@ def bind_credentials(conn: sqlite3.Connection) -> tuple[str, str]:
     try:
         secret = core().keystore.decrypt(encrypted, aad=AAD_LDAP_BIND)
     except Exception:  # noqa: BLE001 - Schluessel gewechselt/Datei kaputt
-        logger.error("Bind-Passwort des Verzeichnisdienstes konnte nicht entschluesselt werden")
+        logger.error("Bind-Passwort des Verzeichnisdienstes konnte nicht entschlüsselt werden")
         return str(row.get("username") or ""), ""
     return str(row.get("username") or ""), secret
 
@@ -182,7 +182,7 @@ def _connect(config: dict[str, Any], user: str, password: str):
     security = str(config["ldap_security"])
     if security == "none" and not config["ldap_allow_insecure"]:
         raise PermissionError(
-            "Unverschluesselte Verzeichnisverbindungen sind deaktiviert. "
+            "Unverschlüsselte Verzeichnisverbindungen sind deaktiviert. "
             "Nutzen Sie LDAPS oder StartTLS."
         )
     connection = Connection(
@@ -249,9 +249,9 @@ def authenticate(conn: sqlite3.Connection, username: str, password: str) -> Dire
     bind_user, bind_password = bind_credentials(conn)
     warnings: list[str] = []
     if str(config["ldap_security"]) == "none":
-        warnings.append("Unverschluesselte Verzeichnisverbindung in Benutzung")
+        warnings.append("Unverschlüsselte Verzeichnisverbindung in Benutzung")
     if not config["ldap_verify_cert"]:
-        warnings.append("Serverzertifikat des Verzeichnisdienstes wird nicht geprueft")
+        warnings.append("Serverzertifikat des Verzeichnisdienstes wird nicht geprüft")
 
     try:
         service_conn, bound = _connect(config, bind_user, bind_password)
@@ -359,7 +359,7 @@ def _resolve_groups(connection: Any, base: str, user_dn: str) -> tuple[str, ...]
         )
         return tuple(str(entry.entry_dn) for entry in connection.entries)
     except Exception as exc:  # noqa: BLE001
-        logger.warning("Gruppenaufloesung fehlgeschlagen: %s", exc)
+        logger.warning("Gruppenauflösung fehlgeschlagen: %s", exc)
         return ()
 
 

packages/tesm-core/src/tesm_core/auth/models.py

@@ -10,6 +10,7 @@ from flask import abort, flash, g, redirect, request, session, url_for
 from werkzeug.local import LocalProxy
 
 from ..rbac.model import Action, PermissionTree
+from ..security.sessions import is_automatic
 
 AUTH_SOURCES = ("local", "ldap")
 
@@ -189,9 +190,22 @@ def _deny(message: str) -> Any:
     if not current_user.is_authenticated:
         if request.method == "GET" and not request.headers.get("X-Requested-With"):
             session["_after_login"] = request.full_path if request.query_string else request.path
+        # Eine automatische Aktualisierung fragt einen Ausschnitt ab und
+        # erwartet HTML. Eine Umleitung auf die Anmeldeseite wuerde sie
+        # dankbar entgegennehmen und eine ganze Seite in eine Kachel setzen --
+        # der Tab bliebe stumm stehen, obwohl die Sitzung abgelaufen ist. 401
+        # sagt es deutlich; der Browser laedt daraufhin die Seite neu und der
+        # Mensch sieht die Anmeldemaske.
+        if is_automatic(request):
+            abort(401, description="Sitzung abgelaufen.")
         if request.accept_mimetypes.accept_json and not request.accept_mimetypes.accept_html:
             abort(401, description="Anmeldung erforderlich.")
-        flash("Bitte melden Sie sich an.", "info")
+        # "Bitte melden Sie sich an." stand auf einer Seite, die aus einem
+        # Anmeldefeld, einem Passwortfeld und einem Knopf "Anmelden" besteht --
+        # eine Meldung, die nichts hinzufuegt. Wer dagegen gerade noch
+        # angemeldet war, soll erfahren, warum er es nicht mehr ist.
+        if getattr(g, "session_expired", False):
+            flash("Ihre Sitzung ist abgelaufen. Bitte melden Sie sich erneut an.", "info")
         return redirect(url_for("auth.login"))
     abort(403, description=message)
 
@@ -206,6 +220,37 @@ def login_required(view: Callable[..., Any]) -> Callable[..., Any]:
     return wrapper
 
 
+def _verlangt_wiederanmeldung(permission: str) -> bool:
+    """Fragt das Rechtemodell -- ausserhalb einer Anwendung nie."""
+    try:
+        from ..extension import core
+
+        return bool(core().permissions.verlangt_wiederanmeldung(permission))
+    except Exception:  # noqa: BLE001 - ohne Modell keine zusaetzliche Huerde
+        return False
+
+
+def _wiederanmeldung_frisch() -> bool:
+    from .service import reauth_is_fresh  # zyklischen Import vermeiden
+
+    return reauth_is_fresh()
+
+
+def _bitte_bestaetigen(permission: str) -> Any:
+    """Zur Passwortbestaetigung schicken -- oder es einem Skript sagen.
+
+    Ein Aufruf per fetch bekaeme sonst die Anmeldeseite als Antwort und wuesste
+    nichts damit anzufangen.
+    """
+    if is_automatic(request) or (
+        request.accept_mimetypes.accept_json and not request.accept_mimetypes.accept_html
+    ):
+        abort(403, description="Bitte bestätigen Sie zur Sicherheit Ihr Passwort.")
+    session["_after_reauth"] = request.full_path if request.query_string else request.path
+    flash("Bitte bestätigen Sie zur Sicherheit Ihr Passwort.", "info")
+    return redirect(url_for("auth.reauth"))
+
+
 def permission_required(*permissions: str, mode: str = "all") -> Callable[..., Any]:
     """Erzwingt Rechte serverseitig.
 
@@ -223,7 +268,15 @@ def permission_required(*permissions: str, mode: str = "all") -> Callable[..., A
                 else current_user.has(*permissions)
             )
             if not ok:
-                return _deny("Fuer diese Seite fehlt Ihnen die Berechtigung.")
+                return _deny("Für diese Seite fehlt Ihnen die Berechtigung.")
+            # Geheimnisse und Exporte verlangen eine frische Bestaetigung --
+            # das steht im Rechtemodell und wird deshalb hier abgefragt, nicht
+            # in jeder Route einzeln. Vorher hing es daran, dass jemand an den
+            # Dekorator dachte: dieselbe Lizenz herunterzuladen fragte nach,
+            # sie per Mail zu verschicken nicht.
+            heikel = [p for p in permissions if _verlangt_wiederanmeldung(p)]
+            if heikel and not _wiederanmeldung_frisch():
+                return _bitte_bestaetigen(heikel[0])
             return view(*args, **kwargs)
 
         wrapper._required_permissions = permissions  # type: ignore[attr-defined]
@@ -265,7 +318,7 @@ def reauth_required(view: Callable[..., Any]) -> Callable[..., Any]:
             return _deny("Anmeldung erforderlich.")
         if not reauth_is_fresh():
             session["_after_reauth"] = request.full_path if request.query_string else request.path
-            flash("Bitte bestaetigen Sie zur Sicherheit Ihr Passwort.", "info")
+            flash("Bitte bestätigen Sie zur Sicherheit Ihr Passwort.", "info")
             return redirect(url_for("auth.reauth"))
         return view(*args, **kwargs)
 

packages/tesm-core/src/tesm_core/auth/routes.py

@@ -66,7 +66,7 @@ def login():
     )
 
 
-@bp.route("/login/zweiter-faktor", methods=["GET", "POST"])
+@bp.route("/login/second-factor", methods=["GET", "POST"])
 def second_factor():
     conn = db()
     user_row = service.pending_totp_user(conn)
@@ -116,7 +116,7 @@ def logout_get():
     return redirect(url_for("auth.login"))
 
 
-@bp.route("/bestaetigen", methods=["GET", "POST"])
+@bp.route("/confirm", methods=["GET", "POST"])
 @login_required
 def reauth():
     target = _safe_next(session.get("_after_reauth"))

packages/tesm-core/src/tesm_core/auth/service.py

@@ -151,7 +151,7 @@ def authenticate(
     if ip_verdict.blocked:
         return AuthOutcome(
             "rate_limited",
-            "Zu viele Anmeldeversuche von dieser Adresse. Bitte spaeter erneut versuchen.",
+            "Zu viele Anmeldeversuche von dieser Adresse. Bitte später erneut versuchen.",
             retry_after=ip_verdict.retry_after_seconds,
         )
 
@@ -165,7 +165,7 @@ def authenticate(
     if user_verdict.blocked:
         return AuthOutcome(
             "rate_limited",
-            "Dieses Konto ist nach mehreren Fehlversuchen voruebergehend gesperrt.",
+            "Dieses Konto ist nach mehreren Fehlversuchen vorübergehend gesperrt.",
             retry_after=user_verdict.retry_after_seconds,
         )
 
@@ -248,7 +248,7 @@ def _verify_credentials(
         return AuthOutcome(
             "directory_unavailable",
             "Der Verzeichnisdienst ist derzeit nicht erreichbar. "
-            "Bitte versuchen Sie es spaeter erneut.",
+            "Bitte versuchen Sie es später erneut.",
         )
     if result.status != "ok" or result.profile is None:
         return AuthOutcome("invalid", GENERIC_FAILURE)
@@ -257,6 +257,24 @@ def _verify_credentials(
     return AuthOutcome("ok", user_row=user_row, group_dns=result.profile.group_dns)
 
 
+
+def _ist_erstanmeldung(user_row: dict[str, Any]) -> bool:
+    """Meldet sich dieses Konto zum ersten Mal ueberhaupt an?
+
+    Das Aenderungsprotokoll soll Aenderungen zeigen. Eine taegliche Anmeldung
+    ist keine -- sie erzeugte aber jedes Mal eine Zeile und schob damit echte
+    Eintraege aus dem Blickfeld. Interessant ist genau die erste: mit ihr
+    entsteht das Konto aus dem Verzeichnisdienst und betritt jemand die
+    Anwendung, der vorher nicht darin war.
+
+    Nicht betroffen: fehlgeschlagene Anmeldungen und Sperren. Die stehen
+    weiterhin **jedes Mal** im Protokoll -- dort liegt der sicherheitsrelevante
+    Teil, und Haeufung ist dort das Signal. Wer wann zuletzt angemeldet war,
+    steht ausserdem unveraendert am Konto und in der Sitzungsuebersicht.
+    """
+    return not str(user_row.get("last_login_at") or "").strip()
+
+
 def complete_login(
     conn: sqlite3.Connection,
     user_row: dict[str, Any],
@@ -275,21 +293,26 @@ def complete_login(
     """
     from ..security import csrf
 
+    # Vor dem UPDATE lesen -- danach steht ueberall ein Zeitstempel.
+    erstanmeldung = _ist_erstanmeldung(user_row)
+
     with core().database.transaction(conn):
         session_store.rotate(conn, session, reason="login")  # type: ignore[arg-type]
         conn.execute(
             "UPDATE users SET last_login_at=? WHERE id=?", (_iso(_now()), user_row["id"])
         )
-        audit.log(
-            conn,
-            actor=str(user_row["username"]),
-            actor_id=int(user_row["id"]),
-            action="auth.login",
-            target=str(user_row["username"]),
-            detail=f"Quelle: {user_row.get('auth_source') or 'local'}",
-            ip=ip,
-            request_id=getattr(g, "request_id", ""),
-        )
+        if erstanmeldung:
+            audit.log(
+                conn,
+                actor=str(user_row["username"]),
+                actor_id=int(user_row["id"]),
+                action="auth.first_login",
+                target=str(user_row["username"]),
+                detail=f"Erste Anmeldung | Quelle: {user_row.get('auth_source') or 'local'}",
+                ip=ip,
+                request_id=getattr(g, "request_id", ""),
+                severity="notice",
+            )
 
     session.clear()
     session[SESSION_USER_KEY] = int(user_row["id"])

packages/tesm-core/src/tesm_core/cli_web.py

@@ -83,7 +83,7 @@ def run_web_setup(app: Any, extension: Any, args: argparse.Namespace) -> int:
             port = getattr(args, flag, None)
             if port:
                 if not 1 <= int(port) <= 65535:
-                    print(f"Ungueltiger Port: {port}", file=sys.stderr)
+                    print(f"Ungültiger Port: {port}", file=sys.stderr)
                     return 2
                 values[key] = int(port)
 
@@ -93,11 +93,11 @@ def run_web_setup(app: Any, extension: Any, args: argparse.Namespace) -> int:
 
         # -- Zertifikat --------------------------------------------------- #
         config = _config_from_settings(extension, conn)
-        cert: dict[str, Any] = {"ok": True, "message": "Zertifikat unveraendert."}
+        cert: dict[str, Any] = {"ok": True, "message": "Zertifikat unverändert."}
 
         if args.acme:
             if sysops is None or not sysops.available:
-                print("Der Systemhelfer ist nicht verfuegbar.", file=sys.stderr)
+                print("Der Systemhelfer ist nicht verfügbar.", file=sys.stderr)
                 return 2
             cert = webserver.request_certificate(
                 sysops,
@@ -118,7 +118,7 @@ def run_web_setup(app: Any, extension: Any, args: argparse.Namespace) -> int:
 
         if args.self_signed and not args.acme:
             if sysops is None or not sysops.available:
-                print("Der Systemhelfer ist nicht verfuegbar.", file=sys.stderr)
+                print("Der Systemhelfer ist nicht verfügbar.", file=sys.stderr)
                 return 2
             suggested = webserver.local_names()
             cert = webserver.create_self_signed(
@@ -144,7 +144,7 @@ def run_web_setup(app: Any, extension: Any, args: argparse.Namespace) -> int:
         if args.https:
             if not (config.cert_path and config.key_path):
                 print(
-                    "HTTPS verlangt Zertifikat und Schluessel -- bitte --self-signed "
+                    "HTTPS verlangt Zertifikat und Schlüssel – bitte --self-signed "
                     "oder --acme angeben.",
                     file=sys.stderr,
                 )
@@ -172,7 +172,7 @@ def run_web_setup(app: Any, extension: Any, args: argparse.Namespace) -> int:
             return 0
 
         if sysops is None or not sysops.available:
-            print("Der Systemhelfer ist nicht verfuegbar.", file=sys.stderr)
+            print("Der Systemhelfer ist nicht verfügbar.", file=sys.stderr)
             return 2
         result = webserver.apply_config(sysops, rendered)
         print(result["message"])
@@ -194,7 +194,7 @@ def add_web_setup(sub: Any, runner: Any) -> None:
         help="nginx und TLS einrichten (Port 80/443)",
         description=(
             "Setzt die Webserver-Einstellungen und erzeugt daraus die nginx-Site. "
-            "Die Datei wird immer vollstaendig neu geschrieben -- eine von Hand "
+            "Die Datei wird immer vollständig neu geschrieben – eine von Hand "
             "bearbeitete Site-Datei gibt es in diesem Projekt bewusst nicht."
         ),
     )
@@ -207,20 +207,20 @@ def add_web_setup(sub: Any, runner: Any) -> None:
     parser.add_argument(
         "--acme",
         action="store_true",
-        help="Zertifikat per Let's Encrypt anfordern (Domain muss oeffentlich zeigen)",
+        help="Zertifikat per Let's Encrypt anfordern (Domain muss öffentlich zeigen)",
     )
-    parser.add_argument("--domain", help="Oeffentlicher Name dieser Installation")
-    parser.add_argument("--acme-email", help="Kontaktadresse fuer Let's Encrypt")
+    parser.add_argument("--domain", help="Öffentlicher Name dieser Installation")
+    parser.add_argument("--acme-email", help="Kontaktadresse für Let's Encrypt")
     parser.add_argument("--hsts", action="store_true", help="HSTS-Header setzen")
     parser.add_argument(
         "--no-redirect",
         action="store_true",
         help="Port 80 nicht auf HTTPS umleiten (Sonderfall)",
     )
-    parser.add_argument("--max-body-mb", type=int, help="Obergrenze fuer Uploads")
+    parser.add_argument("--max-body-mb", type=int, help="Obergrenze für Uploads")
     parser.add_argument("--http-port", type=int, help="Abweichender HTTP-Port (Standard 80)")
     parser.add_argument("--https-port", type=int, help="Abweichender HTTPS-Port (Standard 443)")
-    parser.add_argument("--apply", action="store_true", help="nginx schreiben, pruefen, neu laden")
+    parser.add_argument("--apply", action="store_true", help="nginx schreiben, prüfen, neu laden")
     parser.add_argument(
         "--print-config", action="store_true", help="Nur die erzeugte Datei ausgeben"
     )

packages/tesm-core/src/tesm_core/config.py

@@ -76,7 +76,7 @@ class CoreConfig:
     """Technischer Kurzname, z. B. ``tesm`` -- Namensraum fuer Pfade und Units."""
 
     site_key: str
-    """Name *dieser Installation* auf dem Host, z. B. ``tesm-opus``.
+    """Name *dieser Installation* auf dem Host, z. B. ``tesm-test``.
 
     Weicht vom ``app_key`` ab, sobald neben der Hauptinstallation eine zweite
     Instanz laeuft. Alles, was ausserhalb von ``/srv/<name>`` liegt und damit
@@ -175,11 +175,11 @@ def load_core_config(
 
     bind = (_env(env_prefix, "BIND") or default_bind).strip()
     if not re.fullmatch(r"[0-9A-Za-z_.\[\]:-]{1,80}:\d{1,5}", bind):
-        raise ValueError(f"Ungueltige Bind-Adresse: {bind!r}")
+        raise ValueError(f"Ungültige Bind-Adresse: {bind!r}")
 
     site_key = (_env(env_prefix, "SITE_KEY") or app_key).strip().lower()
     if not re.fullmatch(r"[a-z0-9][a-z0-9-]{0,39}", site_key):
-        raise ValueError(f"Ungueltiger SITE_KEY: {site_key!r}")
+        raise ValueError(f"Ungültiger SITE_KEY: {site_key!r}")
 
     return CoreConfig(
         app_key=app_key,

packages/tesm-core/src/tesm_core/db.py

@@ -80,8 +80,8 @@ class Database:
         """Oeffnet eine neue Verbindung. Nicht aufrufen, solange eine Transaktion laeuft."""
         if self._depth() > 0:
             raise NestedConnectionError(
-                "Es laeuft bereits eine Schreibtransaktion auf dieser Datenbank. "
-                "Reiche die bestehende Verbindung durch, statt eine neue zu oeffnen "
+                "Es läuft bereits eine Schreibtransaktion auf dieser Datenbank. "
+                "Reiche die bestehende Verbindung durch, statt eine neue zu öffnen "
                 "(sonst blockiert SQLite sich selbst)."
             )
         return self._raw_connect()
@@ -119,6 +119,29 @@ class Database:
         finally:
             conn.close()
 
+    @contextmanager
+    def dauerhaft(self, conn: sqlite3.Connection) -> Iterator[sqlite3.Connection]:
+        """Fuer Schreibvorgaenge, die einen Stromausfall ueberstehen muessen.
+
+        Im Alltag laeuft die Datenbank mit ``synchronous=NORMAL``: schnell, und
+        bei einem Stromausfall gehen hoechstens die letzten Sekunden verloren --
+        die Datei bleibt heil. Fuer einen Messwert ist das genau richtig.
+
+        Fuer eine Unterschrift nicht. Dort liegt die Datei anschliessend auf der
+        Freigabe, und fehlte der Eintrag dazu, waere sie "unbekannt" statt
+        nachweisbar. Ein fsync kostet ein paar Millisekunden -- bei ein paar
+        Unterschriften am Tag ist das keine Diskussion wert.
+
+        Umschliesst die Transaktion, nicht umgekehrt: ``PRAGMA synchronous``
+        wirkt auf den naechsten Commit, und gesetzt werden kann es nur
+        ausserhalb einer laufenden Transaktion.
+        """
+        conn.execute("PRAGMA synchronous=FULL")
+        try:
+            yield conn
+        finally:
+            conn.execute("PRAGMA synchronous=NORMAL")
+
     # ------------------------------------------------------------------ #
     # Transaktionen
     # ------------------------------------------------------------------ #

packages/tesm-core/src/tesm_core/extension.py

@@ -79,7 +79,7 @@ def core(app: Flask | None = None) -> TesmCore:
     try:
         return target.extensions["tesm"]  # type: ignore[return-value]
     except KeyError as exc:  # pragma: no cover - Programmierfehler
-        raise RuntimeError("tesm_core ist fuer diese Anwendung nicht initialisiert") from exc
+        raise RuntimeError("tesm_core ist für diese Anwendung nicht initialisiert") from exc
 
 
 def db() -> sqlite3.Connection:

packages/tesm-core/src/tesm_core/keystore.py

@@ -78,7 +78,7 @@ def check_private_file(path: Path) -> list[str]:
     except OSError:
         return problems
     if mode & (stat.S_IRGRP | stat.S_IROTH | stat.S_IWGRP | stat.S_IWOTH):
-        problems.append(f"{path} ist fuer Gruppe/Andere lesbar oder schreibbar (erwartet 0600)")
+        problems.append(f"{path} ist für Gruppe/Andere lesbar oder schreibbar (erwartet 0600)")
     return problems
 
 
@@ -110,11 +110,11 @@ class Keystore:
                     created_at=str(entry.get("created_at", "")),
                 )
                 if len(key.material) != _KEY_BYTES:
-                    raise ValueError(f"Schluessel {key.key_id} hat die falsche Laenge")
+                    raise ValueError(f"Schlüssel {key.key_id} hat die falsche Länge")
                 self._keys[key.key_id] = key
             self._active = str(raw.get("active") or "")
             if self._active not in self._keys:
-                raise ValueError("Aktiver Schluessel fehlt im Schluesselbund")
+                raise ValueError("Aktiver Schlüssel fehlt im Schlüsselbund")
             return
         self._active = "1"
         self._keys = {
@@ -160,7 +160,7 @@ class Keystore:
     def drop_key(self, key_id: str) -> None:
         """Entfernt einen alten Schluessel -- erst nach vollstaendiger Neuverschluesselung."""
         if key_id == self._active:
-            raise ValueError("Der aktive Schluessel kann nicht entfernt werden")
+            raise ValueError("Der aktive Schlüssel kann nicht entfernt werden")
         self._keys.pop(key_id, None)
         self._persist()
 
@@ -183,14 +183,14 @@ class Keystore:
             raise DecryptionError(f"Unbekannte Chiffrat-Version: {prefix!r}")
         key = self._keys.get(key_id)
         if key is None:
-            raise DecryptionError(f"Schluessel {key_id} ist nicht im Schluesselbund")
+            raise DecryptionError(f"Schlüssel {key_id} ist nicht im Schlüsselbund")
         try:
             plain = AESGCM(key.material).decrypt(
                 _b64d(nonce_b64), _b64d(ct_b64), aad.encode("utf-8")
             )
         except (InvalidTag, ValueError) as exc:
             raise DecryptionError(
-                "Chiffrat konnte nicht entschluesselt werden (falscher Schluessel, "
+                "Chiffrat konnte nicht entschlüsselt werden (falscher Schlüssel, "
                 "manipulierte Daten oder falscher Verwendungszweck)"
             ) from exc
         return plain.decode("utf-8")

packages/tesm-core/src/tesm_core/legacy_urls.py

@@ -0,0 +1,242 @@
+"""Alte, deutsche Adressen auf die neuen englischen umlenken.
+
+Mit 2.5.0 folgen die Adressen der Navigation und sind englisch:
+``/monitoring/host-keys`` statt ``/hostschluessel``. Das ist eine gute
+Aenderung und eine unangenehme zugleich -- Lesezeichen, offene Browsertabs und
+ein Link in einer Mail zeigen weiter auf die alte Adresse. Ein offener Tab ist
+dabei der unangenehmste Fall: die Statusuebersicht fragt alle 20 Sekunden ihre
+Kacheln ab und bekam nach dem Update jedes Mal einen 404.
+
+Deshalb diese Tabelle. Sie greift **nur, wenn sonst ein 404 herauskaeme** --
+also nie vor einer bestehenden Route. Das ist keine Feinheit: auf dem
+Lizenzserver ist ``/lizenz/<ticket>`` eine echte, weiterhin gueltige Adresse
+(sie steht in verschickten Mails), waehrend dieselbe Wurzel in TESM zur
+Lizenzseite fuehrte. Wer zuerst das Routing fragt, muss sich nicht zwischen
+beidem entscheiden.
+
+Die Tabelle ist bewusst vollstaendig und nicht nur auf Wurzeln gekuerzt: eine
+Umleitung von ``/dateifreigaben/x/vorschau`` auf eine Uebersichtsseite waere
+zwar kein 404 mehr, aber auch nicht das, was jemand angeklickt hat.
+"""
+
+from __future__ import annotations
+
+from typing import Mapping
+
+#: Alte Wurzel -> (neue Wurzel, Uebersetzung der Segmente darunter).
+WURZELN: dict[str, tuple[str, Mapping[str, str]]] = {
+    "/dateifreigaben": (
+        "/fileshares",
+        {
+            "herunterladen": "download",
+            "vorschau": "preview",
+            "hochladen": "upload",
+            "formular": "form",
+            "ordner": "folder",
+            "umbenennen": "rename",
+            "loeschen": "delete",
+            "freigeben": "release",
+            "zuordnungen": "mappings",
+        },
+    ),
+    "/hostschluessel": (
+        "/monitoring/host-keys",
+        {"pruefen": "probe", "freigeben": "trust", "verwerfen": "forget", "verwaist": "orphaned"},
+    ),
+    "/zugangsdaten": (
+        "/monitoring/credentials",
+        {"neu": "new", "loeschen": "delete", "anzeigen": "reveal"},
+    ),
+    "/switche": (
+        "/monitoring/switches",
+        {
+            "neu": "new",
+            "loeschen": "delete",
+            "hostkey": "host-key",
+            "pruefen": "probe",
+            "freigeben": "trust",
+            "verwerfen": "forget",
+            "kommando": "command",
+            "konsole": "console",
+        },
+    ),
+    "/clients": (
+        "/monitoring/clients",
+        {
+            "neu": "new",
+            "aktiv": "active",
+            "loeschen": "delete",
+            "neustart": "restart",
+            "hostkey": "host-key",
+            "pruefen": "probe",
+            "freigeben": "trust",
+            "verwerfen": "forget",
+            "konsole": "console",
+        },
+    ),
+    "/wartung": (
+        "/maintenance",
+        {
+            "paket-nachinstallieren": "install-package",
+            "auftrag": "job",
+            "ausgabe": "output",
+            "aktualisieren": "update",
+            "neustarten": "restart",
+        },
+    ),
+    "/protokolle": (
+        "/logs",
+        {
+            "kea": "dhcp",
+            "neustarts": "restarts",
+            "laufend": "live",
+            "inhalt": "content",
+            "verlauf": "history",
+            "datei": "file",
+            "archiv": "archive",
+            "archiv-export": "archive-export",
+            "archiv-loeschen": "archive-delete",
+            "aenderungen": "audit",
+        },
+    ),
+    "/verwaltung": (
+        "/administration",
+        {
+            "benutzer": "users",
+            "neu": "new",
+            "loeschen": "delete",
+            "sitzungen-beenden": "end-sessions",
+            "verzeichnis-suche": "directory-search",
+            "verzeichnis-uebernehmen": "directory-import",
+            "gruppen": "groups",
+            "vorlage-anwenden": "apply-preset",
+            "sitzungen": "sessions",
+            "beenden": "end",
+        },
+    ),
+    "/einstellungen": (
+        "/administration",
+        {
+            "zeitzone": "timezone",
+            "pruefung-jetzt": "check-now",
+            "netzwerk": "network",
+            "bestaetigen": "confirm",
+            "webserver": "web",
+            "uebernehmen": "apply",
+            "zertifikat": "certificate",
+            "selbstsigniert": "self-signed",
+            "verzeichnisdienst": "directory",
+            "gruppensuche": "group-search",
+            "zuordnung": "mapping",
+            "loeschen": "delete",
+            "anbieter": "vendor",
+            "logo-entfernen": "remove-logo",
+        },
+    ),
+    "/sicherung": (
+        "/administration/backup",
+        {"vorschau": "preview", "uebernehmen": "apply", "verwerfen": "discard"},
+    ),
+    "/papierkorb": (
+        "/administration/trash",
+        {"wiederherstellen": "restore", "endgueltig-loeschen": "purge", "leeren": "empty"},
+    ),
+    "/diagnose": (
+        "/administration/diagnostics",
+        {"aufraeumen": "cleanup", "schluessel-rotieren": "rotate-keys"},
+    ),
+    "/eigene-lizenz": (
+        "/own-license",
+        {
+            "einspielen": "install",
+            "aktivieren": "activate",
+            "deaktivieren": "deactivate",
+            "offline-antwort": "offline-response",
+            "signaturschluessel": "signing-key",
+        },
+    ),
+    "/lizenzen": (
+        "/licenses",
+        {
+            "aus-ticket": "from-ticket",
+            "datei": "file",
+            "neu-signieren": "resign",
+            "widerrufen": "revoke",
+            "loeschen": "delete",
+            "versenden": "send",
+            "sub-lizenzserver": "sub-servers",
+        },
+    ),
+    "/lizenz": (
+        "/administration/license",
+        {
+            "einspielen": "install",
+            "aktivieren": "activate",
+            "deaktivieren": "deactivate",
+            "offline-antwort": "offline-response",
+            "serverzertifikat": "server-certificate",
+            "aussteller": "issuer",
+            "entfernen": "remove",
+        },
+    ),
+    "/kunden": ("/customers", {"neu": "new", "loeschen": "delete"}),
+    "/konto": (
+        "/account",
+        {
+            "stammdaten": "profile",
+            "profilbild": "avatar",
+            "sicherheit": "security",
+            "passwort": "password",
+            "zwei-faktor": "two-factor",
+            "starten": "start",
+            "bestaetigen": "confirm",
+            "deaktivieren": "disable",
+            "codes-erneuern": "recovery-codes",
+            "sitzungen": "sessions",
+            "beenden": "end",
+            "alle-beenden": "end-all",
+        },
+    ),
+    "/uebersicht": ("/overview", {"kacheln": "tiles"}),
+    "/gesundheit": ("/health", {}),
+    "/bestaetigen": ("/confirm", {}),
+}
+
+#: Abfrageparameter, die mit umbenannt wurden.
+PARAMETER = {
+    "freigabe": "share",
+    "pfad": "path",
+    "aktion": "action",
+    "benutzer": "actor",
+    "stufe": "severity",
+    "seite": "page",
+    "methode": "method",
+    "kunde": "customer",
+    "freischalten": "unlocked",
+}
+
+
+#: Wurzeln, unter denen eine unbekannte Unterseite **nicht** umgelenkt wird.
+#: ``/lizenz/<ticket>`` ist auf dem Lizenzserver eine echte Adresse; ein
+#: abgelaufenes oder falsches Ticket gehoert dort auf die Fehlerseite und nicht
+#: in die Verwaltung.
+STRENG = {"/lizenz"}
+
+
+def neue_adresse(pfad: str) -> str | None:
+    """Uebersetzt eine alte Adresse -- oder ``None``, wenn es keine ist."""
+    for alt, (neu, segmente) in WURZELN.items():
+        if pfad != alt and not pfad.startswith(alt + "/"):
+            continue
+        rest = pfad[len(alt) :]
+        teile = rest.split("/")
+        if alt in STRENG:
+            erstes = next((teil for teil in teile if teil), "")
+            if erstes and erstes not in segmente:
+                return None
+        return neu + "/".join(segmente.get(teil, teil) for teil in teile)
+    return None
+
+
+def neue_parameter(args: Mapping[str, str]) -> dict[str, str]:
+    return {PARAMETER.get(name, name): wert for name, wert in args.items()}

packages/tesm-core/src/tesm_core/licensing_client.py

@@ -68,10 +68,10 @@ API_PATHS = {
 #: die einzige Wahrheit -- Templates lesen sie, Routen erzwingen sie.
 LICENSED_FEATURES: dict[str, str] = {
     "directory": "Verzeichnisanmeldung (LDAP/AD) konfigurieren",
-    "nginx": "Webserver-Einstellungen aendern",
+    "nginx": "Webserver-Einstellungen ändern",
     "export": "Daten exportieren",
-    "trash_restore": "Papierkorb wiederherstellen und endgueltig loeschen",
-    "monitor_interval": "Pruefintervall der Ueberwachung aendern",
+    "trash_restore": "Papierkorb wiederherstellen und endgültig löschen",
+    "monitor_interval": "Prüfintervall der Überwachung ändern",
     "auto_poe_restart": "Automatischer PoE-Neustart bei Ausfall",
 }
 
@@ -85,7 +85,7 @@ def describe_transport_error(exc: BaseException, endpoint: str) -> str:
     """
     text = str(exc)
     if "CERTIFICATE_VERIFY_FAILED" in text or "certificate verify failed" in text:
-        detail = "Das Zertifikat konnte nicht geprueft werden"
+        detail = "Das Zertifikat konnte nicht geprüft werden"
         if "self-signed" in text or "self signed" in text:
             detail = "Der Lizenzserver benutzt ein selbstsigniertes Zertifikat"
         return (
@@ -94,7 +94,7 @@ def describe_transport_error(exc: BaseException, endpoint: str) -> str:
             "einer anerkannten Stelle."
         )
     if "Name or service not known" in text or "nodename nor servname" in text:
-        return f"Der Name im Endpunkt ({endpoint}) laesst sich nicht aufloesen."
+        return f"Der Name im Endpunkt ({endpoint}) lässt sich nicht auflösen."
     if "Connection refused" in text:
         return f"{endpoint} nimmt keine Verbindung an."
     if "timed out" in text or "timeout" in text.lower():
@@ -257,8 +257,8 @@ class LicenseManager:
     def require(self, feature: str) -> None:
         if not self.feature_allowed(feature):
             raise LicenseError(
-                f"{LICENSED_FEATURES.get(feature, feature)} ist ohne gueltige, "
-                "aktivierte Lizenz nicht moeglich."
+                f"{LICENSED_FEATURES.get(feature, feature)} ist ohne gültige, "
+                "aktivierte Lizenz nicht möglich."
             )
 
     # ------------------------------------------------------------------ #
@@ -284,7 +284,7 @@ class LicenseManager:
         try:
             payload = json.loads(text)
         except ValueError as exc:
-            raise LicenseError("Die Datei ist kein gueltiges JSON.") from exc
+            raise LicenseError("Die Datei ist kein gültiges JSON.") from exc
 
         try:
             document, client_key = lic.split_bundle(payload)
@@ -294,20 +294,20 @@ class LicenseManager:
         try:
             lic.verify_license(document)  # innere Konsistenz
         except lic.LicensingError as exc:
-            raise LicenseError(f"Die Lizenzdatei ist ungueltig: {exc}") from exc
+            raise LicenseError(f"Die Lizenzdatei ist ungültig: {exc}") from exc
 
         master_pubkey = str(document.get("master_pubkey") or "")
         known = self.trusted_keys(conn)
         if known and master_pubkey not in set(known) and not allow_new_issuer:
             raise LicenseError(
                 "Diese Lizenz wurde von einem anderen Lizenzserver ausgestellt "
-                f"(Schluessel {lic.key_id(master_pubkey)}). Ein Administrator muss den "
-                "Wechsel des Ausstellers ausdruecklich bestaetigen."
+                f"(Schlüssel {lic.key_id(master_pubkey)}). Ein Administrator muss den "
+                "Wechsel des Ausstellers ausdrücklich bestätigen."
             )
 
         if not client_key and not self.key_path.is_file():
             raise LicenseError(
-                "Der Datei fehlt der Client-Schluessel. Bitte das vollstaendige "
+                "Der Datei fehlt der Client-Schlüssel. Bitte das vollständige "
                 "Lizenz-Bundle des Lizenzservers verwenden."
             )
 
@@ -332,7 +332,7 @@ class LicenseManager:
                 actor=actor,
                 action="license.issuer_pinned",
                 target=lic.key_id(master_pubkey),
-                detail="Trust on first use" if not known else "Aussteller-Wechsel bestaetigt",
+                detail="Trust on first use" if not known else "Aussteller-Wechsel bestätigt",
                 severity="notice",
             )
 
@@ -397,11 +397,11 @@ class LicenseManager:
         self, action: str, *, hostname: str = "", report: dict[str, Any] | None = None
     ) -> dict[str, Any]:
         if not self._state.valid:
-            raise LicenseError("Es ist keine gueltige Lizenz installiert.")
+            raise LicenseError("Es ist keine gültige Lizenz installiert.")
         key = self.client_key()
         if not key:
             raise LicenseError(
-                "Der Client-Schluessel dieser Lizenz fehlt. Bitte die Lizenzdatei erneut importieren."
+                "Der Client-Schlüssel dieser Lizenz fehlt. Bitte die Lizenzdatei erneut importieren."
             )
         return lic.build_client_request(
             action, self._state.document, key, hostname=hostname, report=report
@@ -442,8 +442,8 @@ class LicenseManager:
                 )
         else:
             reason = (
-                "In dieser Lizenz ist kein Lizenzserver hinterlegt -- sie kann sich nur "
-                "ueber den Offline-Weg aktivieren."
+                "In dieser Lizenz ist kein Lizenzserver hinterlegt – sie kann sich nur "
+                "über den Offline-Weg aktivieren."
             )
 
         # Offline-Weg: Anfrage merken -- **mit** dem Code. Zwischen Anfrage und
@@ -475,7 +475,7 @@ class LicenseManager:
             "code": code,
             "message": (
                 (reason + " " if reason else "")
-                + "Der Offline-Weg steht offen: uebermitteln Sie den angezeigten Code an "
+                + "Der Offline-Weg steht offen: übermitteln Sie den angezeigten Code an "
                 "Ihren Ansprechpartner und tragen Sie die Antwort hier ein."
             ),
         }
@@ -527,7 +527,7 @@ class LicenseManager:
                 current_seq=current_seq,
             )
         except lic.LicensingError as exc:
-            raise LicenseError(f"Die Antwort des Lizenzservers ist nicht gueltig: {exc}") from exc
+            raise LicenseError(f"Die Antwort des Lizenzservers ist nicht gültig: {exc}") from exc
 
         status = str(response.get("status") or "")
         detail = str(response.get("detail") or "")
@@ -597,7 +597,7 @@ class LicenseManager:
                 actor=actor,
             )
             self.settings.set(conn, SETTING_HEARTBEAT_ERROR, "", actor=actor)
-            message = "Verbindung zum Lizenzserver bestaetigt."
+            message = "Verbindung zum Lizenzserver bestätigt."
 
         self.settings.set(conn, SETTING_PENDING, "", actor=actor)
         # Ein erfolgreicher Heartbeat laeuft alle paar Minuten und ist kein
@@ -648,7 +648,7 @@ class LicenseManager:
         url: str, payload: dict[str, Any], *, timeout: int, ca_pem: str = ""
     ) -> dict[str, Any]:
         if not url.startswith(("https://", "http://")):
-            raise ValueError("Ungueltiger Endpunkt")
+            raise ValueError("Ungültiger Endpunkt")
         data = json.dumps(payload).encode("utf-8")
         request = urllib.request.Request(  # noqa: S310 - Schema oben geprueft
             url,
@@ -748,7 +748,7 @@ class LicenseManager:
             }
         if not state.valid:
             return {
-                "label": "Lizenz ungueltig",
+                "label": "Lizenz ungültig",
                 "css_class": "status-pill--danger",
                 "dot": "1",
                 "dot_class": "status-pill__dot--pulse",
@@ -773,29 +773,29 @@ class LicenseManager:
                 "dot": "1",
                 "dot_class": "status-pill__dot--pulse",
                 "title": (
-                    "Die Kulanzfrist laeuft noch, Funktionen bleiben vorerst verfuegbar."
+                    "Die Kulanzfrist läuft noch, Funktionen bleiben vorerst verfügbar."
                     if status.grace_active
                     else "Lizenzpflichtige Funktionen sind abgeschaltet."
                 ),
             }
         if status.expiring_soon:
             return {
-                "label": f"Lizenz laeuft in {status.days_left} Tagen ab",
+                "label": f"Lizenz läuft in {status.days_left} Tagen ab",
                 "css_class": "status-pill--warning",
                 "dot": "1",
                 "dot_class": "status-pill__dot--pulse",
-                "title": "Bitte rechtzeitig verlaengern.",
+                "title": "Bitte rechtzeitig verlängern.",
             }
         # Zwischen der Warnschwelle und 90 Tagen: gruen, rein als Hinweis. Wer
         # eine Verlaengerung im Voraus plant, will das Datum sehen, ohne dass es
         # nach einem Problem aussieht.
         if status.days_left is not None and 0 < status.days_left <= EXPIRY_HINT_DAYS:
             return {
-                "label": f"Lizenz laeuft in {status.days_left} Tagen ab",
+                "label": f"Lizenz läuft in {status.days_left} Tagen ab",
                 "css_class": "",
                 "dot": "1",
                 "dot_class": "",
-                "title": "Nur ein Hinweis -- es ist nichts eingeschraenkt.",
+                "title": "Nur ein Hinweis – es ist nichts eingeschränkt.",
             }
         if state.last_heartbeat_at:
             try:
@@ -809,6 +809,6 @@ class LicenseManager:
                     "css_class": "status-pill--warning",
                     "dot": "1",
                     "dot_class": "",
-                    "title": "Rein informativ -- es wird nichts abgeschaltet.",
+                    "title": "Rein informativ – es wird nichts abgeschaltet.",
                 }
         return None

packages/tesm-core/src/tesm_core/logging_setup.py

@@ -94,7 +94,7 @@ def init_app(app: Flask, *, log_dir: Path, debug: bool, json_logs: bool = False)
             except OSError:
                 pass
     except OSError as exc:  # pragma: no cover - z. B. fehlende Rechte
-        root.warning("Konnte app.log nicht oeffnen: %s", exc)
+        root.warning("Konnte app.log nicht öffnen: %s", exc)
 
     # Zugriffsprotokoll separat: eine Zeile pro Anfrage, ohne Stacktraces.
     access = logging.getLogger(ACCESS_LOGGER)

packages/tesm-core/src/tesm_core/migrations.py

@@ -176,9 +176,9 @@ class MigrationRunner:
                 if record is not None:
                     if record["checksum"] != migration.checksum:
                         logger.warning(
-                            "Migration %s/%s (%s) wurde nachtraeglich geaendert "
-                            "(Pruefsumme %s != %s). Bereits angewendete Migrationen werden "
-                            "nicht erneut ausgefuehrt -- neue Aenderungen brauchen eine neue "
+                            "Migration %s/%s (%s) wurde nachträglich geändert "
+                            "(Prüfsumme %s != %s). Bereits angewendete Migrationen werden "
+                            "nicht erneut ausgeführt – neue Änderungen brauchen eine neue "
                             "Versionsnummer.",
                             component,
                             migration.version,
@@ -210,7 +210,7 @@ class MigrationRunner:
                         raise
                     logger.error(
                         "Migration %s/%s (%s) konnte wegen bestehender Altdaten nicht "
-                        "angewendet werden. Der Start laeuft weiter; die Daten muessen "
+                        "angewendet werden. Der Start läuft weiter; die Daten müssen "
                         "manuell bereinigt werden.",
                         component,
                         migration.version,

packages/tesm-core/src/tesm_core/rbac/common.py

@@ -19,7 +19,7 @@ USERS = Resource(
     actions=(A.VIEW, A.CREATE, A.EDIT, A.DELETE),
     hint="Konten anlegen, sperren, Gruppen zuordnen",
     action_hints={
-        A.EDIT: "Stammdaten, Sperre und Gruppenzuordnung aendern.",
+        A.EDIT: "Stammdaten, Sperre und Gruppenzuordnung ändern.",
         A.DELETE: "Konto in den Papierkorb legen (Verzeichniskonten sofort entfernen).",
     },
 )
@@ -30,7 +30,7 @@ GROUPS = Resource(
     actions=(A.VIEW, A.CREATE, A.EDIT, A.DELETE),
     hint="Rechtematrix pflegen",
     action_hints={
-        A.EDIT: "Rechte vergeben -- nur Rechte, die man selbst besitzt.",
+        A.EDIT: "Rechte vergeben – nur Rechte, die man selbst besitzt.",
     },
 )
 
@@ -39,7 +39,7 @@ SETTINGS_SYSTEM = Resource(
     label="Systemeinstellungen",
     actions=(A.VIEW, A.EDIT, A.EXECUTE),
     hint="Hostname, Zeitzone, Protokollrotation, Navigation",
-    action_hints={A.EXECUTE: "Systemaktionen ausloesen (Dienste, Netzwerk uebernehmen)."},
+    action_hints={A.EXECUTE: "Systemaktionen auslösen (Dienste, Netzwerk übernehmen)."},
 )
 
 SETTINGS_LICENSE = Resource(
@@ -55,7 +55,7 @@ SETTINGS_DIRECTORY = Resource(
     actions=(A.VIEW, A.EDIT, A.EXECUTE, A.SECRETS),
     hint="Anbindung und Gruppen-Zuordnung",
     action_hints={
-        A.EXECUTE: "Verbindungstest ausfuehren.",
+        A.EXECUTE: "Verbindungstest ausführen.",
         A.SECRETS: "Bind-Passwort des Dienstkontos setzen.",
     },
 )
@@ -65,7 +65,7 @@ SETTINGS_WEB = Resource(
     label="Webserver und TLS",
     actions=(A.VIEW, A.EDIT, A.EXECUTE),
     hint="Domain, Zertifikat, HSTS",
-    action_hints={A.EXECUTE: "Konfiguration uebernehmen, Zertifikat anfordern."},
+    action_hints={A.EXECUTE: "Konfiguration übernehmen, Zertifikat anfordern."},
 )
 
 SETTINGS_NETWORK = Resource(
@@ -77,13 +77,13 @@ SETTINGS_NETWORK = Resource(
 
 BACKUP = Resource(
     key="backup",
-    label="Sicherung und Uebertragung",
+    label="Sicherung und Übertragung",
     actions=(A.VIEW, A.EXECUTE, A.EXPORT, A.SECRETS),
-    hint="Verschluesselter Export und Import",
+    hint="Verschlüsselter Export und Import",
     action_hints={
         A.EXECUTE: "Eine Sicherung einspielen.",
         A.EXPORT: "Sicherung erzeugen und herunterladen.",
-        A.SECRETS: "Zugangsdaten in die Sicherung einschliessen.",
+        A.SECRETS: "Zugangsdaten in die Sicherung einschließen.",
     },
 )
 
@@ -91,10 +91,10 @@ TRASH = Resource(
     key="trash",
     label="Papierkorb",
     actions=(A.VIEW, A.EDIT, A.DELETE),
-    hint="Geloeschtes wiederherstellen oder endgueltig entfernen",
+    hint="Gelöschtes wiederherstellen oder endgültig entfernen",
     action_hints={
-        A.EDIT: "Eintraege wiederherstellen.",
-        A.DELETE: "Eintraege endgueltig entfernen.",
+        A.EDIT: "Einträge wiederherstellen.",
+        A.DELETE: "Einträge endgültig entfernen.",
     },
 )
 
@@ -102,7 +102,7 @@ DIAGNOSTICS = Resource(
     key="diagnostics",
     label="Diagnose",
     actions=(A.VIEW,),
-    hint="Schemastand, Protokollintegritaet, Schluesselrechte",
+    hint="Schemastand, Protokollintegrität, Schlüsselrechte",
 )
 
 LOGS_LIVE = Resource(
@@ -121,9 +121,9 @@ LOGS_HISTORY = Resource(
 
 LOGS_AUDIT = Resource(
     key="logs_audit",
-    label="Aenderungsprotokoll",
+    label="Änderungsprotokoll",
     actions=(A.VIEW, A.EXPORT),
-    hint="Wer hat wann was geaendert",
+    hint="Wer hat wann was geändert",
 )
 
 

packages/tesm-core/src/tesm_core/rbac/model.py

@@ -42,16 +42,16 @@ class Action(str, Enum):
 
 #: Kuerzel und Erklaerung je Aktion -- Kopfzeile der Rechtematrix.
 ACTION_META: dict[Action, tuple[str, str, str]] = {
-    Action.VIEW: ("R", "Ansehen", "Datensaetze und Seiten dieses Bereichs lesen."),
-    Action.CREATE: ("C", "Anlegen", "Neue Datensaetze erstellen."),
-    Action.EDIT: ("U", "Bearbeiten", "Bestehende Datensaetze aendern -- ohne Loeschen."),
-    Action.DELETE: ("D", "Loeschen", "Datensaetze loeschen bzw. endgueltig entfernen."),
-    Action.EXECUTE: ("X", "Ausfuehren", "Aktionen ausloesen (Neustart, Dienste, Jobs, Import)."),
+    Action.VIEW: ("R", "Ansehen", "Datensätze und Seiten dieses Bereichs lesen."),
+    Action.CREATE: ("C", "Anlegen", "Neue Datensätze erstellen."),
+    Action.EDIT: ("U", "Bearbeiten", "Bestehende Datensätze ändern – ohne Löschen."),
+    Action.DELETE: ("D", "Loeschen", "Datensätze löschen bzw. endgültig entfernen."),
+    Action.EXECUTE: ("X", "Ausfuehren", "Aktionen auslösen (Neustart, Dienste, Jobs, Import)."),
     Action.EXPORT: ("E", "Exportieren", "Daten aus dem System heraustragen (Datei-Download)."),
     Action.SECRETS: (
         "S",
         "Geheimnisse",
-        "Passwoerter und Schluessel im Klartext sehen oder mitnehmen.",
+        "Passwörter und Schlüssel im Klartext sehen oder mitnehmen.",
     ),
 }
 
@@ -74,6 +74,11 @@ class Resource:
     hint: str = ""
     #: Abweichende Erklaerung einzelner Aktionen (z. B. was "Ausfuehren" hier meint).
     action_hints: Mapping[Action, str] = field(default_factory=dict)
+    #: Aktionen, die hier **keine** frische Passwortbestaetigung verlangen,
+    #: obwohl sie in SENSITIVE_ACTIONS stehen. Bewusst hier und nicht als
+    #: stilles Weglassen in der Route: eine Ausnahme von einer
+    #: Sicherheitsregel gehoert dorthin, wo man sie sieht und begruenden muss.
+    ohne_wiederanmeldung: tuple[Action, ...] = ()
 
     def permission(self, action: Action) -> str:
         return f"{self.key}.{action.value}"
@@ -127,18 +132,18 @@ class PermissionTree:
         seen_keys: set[str] = set()
         for area in self.areas:
             if area.key in seen_keys:
-                raise ValueError(f"Doppelter Bereichsschluessel: {area.key}")
+                raise ValueError(f"Doppelter Bereichsschlüssel: {area.key}")
             seen_keys.add(area.key)
             self._by_key[area.key] = area
             self._all.append(area.view_key)
             for resource in area.resources:
                 if resource.key in seen_keys:
-                    raise ValueError(f"Doppelter Ressourcenschluessel: {resource.key}")
+                    raise ValueError(f"Doppelter Ressourcenschlüssel: {resource.key}")
                 seen_keys.add(resource.key)
                 if Action.VIEW not in resource.actions:
                     raise ValueError(
-                        f"Ressource {resource.key} muss die Aktion 'view' anbieten -- "
-                        "sie ist Voraussetzung fuer jede andere Aktion."
+                        f"Ressource {resource.key} muss die Aktion 'view' anbieten – "
+                        "sie ist Voraussetzung für jede andere Aktion."
                     )
                 self._resources[resource.key] = (area, resource)
                 for permission in resource.permissions():
@@ -159,6 +164,25 @@ class PermissionTree:
     def resource(self, key: str) -> tuple[Area, Resource] | None:
         return self._resources.get(key)
 
+    def verlangt_wiederanmeldung(self, permission: str) -> bool:
+        """Braucht dieses Recht eine frische Passwortbestaetigung?
+
+        Die Antwort steht im Modell (``SENSITIVE_ACTIONS``) und nicht in der
+        Route -- sonst vergisst sie die naechste, die dazukommt.
+        """
+        resource_key, _, action_value = permission.rpartition(".")
+        entry = self._resources.get(resource_key)
+        if entry is None:
+            return False
+        _, resource = entry
+        try:
+            action = Action(action_value)
+        except ValueError:
+            return False
+        if action in resource.ohne_wiederanmeldung:
+            return False
+        return action in SENSITIVE_ACTIONS
+
     def label_for(self, permission: str) -> str:
         """Menschenlesbare Beschreibung eines Rechteschluessels -- fuer Audit-Logs."""
         if permission.endswith(".view") and permission[:-5] in self._by_key:

packages/tesm-core/src/tesm_core/rbac/service.py

@@ -132,7 +132,7 @@ def guard_no_amplification(
         labels = ", ".join(tree.label_for(p) for p in missing[:6])
         more = "" if len(missing) <= 6 else f" (und {len(missing) - 6} weitere)"
         raise PermissionDenied(
-            f"Sie koennen kein {what} vergeben, das Sie selbst nicht besitzen: {labels}{more}."
+            f"Sie können kein {what} vergeben, das Sie selbst nicht besitzen: {labels}{more}."
         )
 
 
@@ -160,7 +160,7 @@ def create_group(
         if existing["deleted_at"]:
             raise ValidationError(
                 f"Eine Gruppe namens {clean_name!r} liegt im Papierkorb. "
-                "Stellen Sie sie wieder her oder loeschen Sie sie endgueltig."
+                "Stellen Sie sie wieder her oder löschen Sie sie endgültig."
             )
         raise ValidationError(f"Eine Gruppe namens {clean_name!r} existiert bereits.")
 
@@ -205,7 +205,7 @@ def update_group(
 
     if name is not None and name.strip() != group.name:
         if group.is_system:
-            raise PermissionDenied("Systemgruppen koennen nicht umbenannt werden.")
+            raise PermissionDenied("Systemgruppen können nicht umbenannt werden.")
         clean = name.strip()
         if not clean:
             raise ValidationError("Der Gruppenname darf nicht leer sein.")
@@ -224,13 +224,13 @@ def update_group(
             "UPDATE groups SET description=?, updated_at=? WHERE id=?",
             (description.strip(), _now(), group_id),
         )
-        changes.append("Beschreibung geaendert")
+        changes.append("Beschreibung geändert")
 
     if permissions is not None:
         if group.is_system and not unlock_system:
             raise PermissionDenied(
                 "Die Rechte dieser Systemgruppe sind gesperrt. "
-                "Sie muessen sie zuerst ausdruecklich freischalten."
+                "Sie müssen sie zuerst ausdrücklich freischalten."
             )
         wanted = tree.sanitize(permissions)
         added = sorted(set(wanted) - set(group.permissions))
@@ -240,7 +240,7 @@ def update_group(
             _write_permissions(conn, group_id, wanted)
             conn.execute("UPDATE groups SET updated_at=? WHERE id=?", (_now(), group_id))
             if added:
-                changes.append("Rechte hinzugefuegt: " + ", ".join(tree.label_for(p) for p in added))
+                changes.append("Rechte hinzugefügt: " + ", ".join(tree.label_for(p) for p in added))
             if removed:
                 changes.append("Rechte entfernt: " + ", ".join(tree.label_for(p) for p in removed))
 
@@ -252,7 +252,7 @@ def soft_delete_group(conn: sqlite3.Connection, group_id: int) -> None:
     if group is None:
         raise ValidationError("Diese Gruppe existiert nicht.")
     if group.is_system:
-        raise PermissionDenied("Systemgruppen koennen nicht geloescht werden.")
+        raise PermissionDenied("Systemgruppen können nicht gelöscht werden.")
     conn.execute("UPDATE groups SET deleted_at=? WHERE id=?", (_now(), group_id))
 
 
@@ -410,7 +410,7 @@ def guard_target_account(actor: Any, target: dict[str, Any]) -> None:
     """Ein Administratorkonto darf nur ein echter Administrator anfassen."""
     if bool(target.get("is_admin")) and not getattr(actor, "is_admin", False):
         raise PermissionDenied(
-            "Administratorkonten koennen nur von Administratoren bearbeitet werden."
+            "Administratorkonten können nur von Administratoren bearbeitet werden."
         )
 
 
@@ -420,8 +420,8 @@ def guard_last_admin(conn: sqlite3.Connection, user_id: int, *, action: str) ->
         return
     if count_active_admins(conn, exclude_id=user_id) == 0:
         raise PermissionDenied(
-            f"{action} nicht moeglich: es muss mindestens ein entsperrtes "
-            "Administratorkonto uebrig bleiben."
+            f"{action} nicht möglich: es muss mindestens ein entsperrtes "
+            "Administratorkonto übrig bleiben."
         )
 
 
@@ -482,12 +482,12 @@ def create_user(
         if existing["deleted_at"]:
             raise ValidationError(
                 f"Der Benutzername {clean!r} liegt im Papierkorb. Stellen Sie das Konto "
-                "wieder her oder loeschen Sie es endgueltig."
+                "wieder her oder löschen Sie es endgültig."
             )
         raise ValidationError(f"Der Benutzername {clean!r} ist bereits vergeben.")
 
     if is_admin and not getattr(actor, "is_admin", False):
-        raise PermissionDenied("Nur Administratoren koennen weitere Administratoren anlegen.")
+        raise PermissionDenied("Nur Administratoren können weitere Administratoren anlegen.")
 
     if auth_source == "local":
         problems = policy.check(password, username=clean)
@@ -552,7 +552,7 @@ def update_user(
         # ueberschrieben -- die Bearbeitung waere eine Illusion.
         raise ValidationError(
             "Name und E-Mail eines Verzeichniskontos werden bei jeder Anmeldung "
-            "aus dem Verzeichnis uebernommen und koennen hier nicht geaendert werden."
+            "aus dem Verzeichnis übernommen und können hier nicht geändert werden."
         )
 
     fields: dict[str, Any] = {}
@@ -563,13 +563,13 @@ def update_user(
     ):
         if value is not None and value.strip() != str(target.get(column) or ""):
             fields[column] = value.strip()
-            changes.append(f"{column} geaendert")
+            changes.append(f"{column} geändert")
 
     if is_admin is not None and bool(is_admin) != bool(target["is_admin"]):
         if not getattr(actor, "is_admin", False):
-            raise PermissionDenied("Das Admin-Kennzeichen kann nur ein Administrator aendern.")
+            raise PermissionDenied("Das Admin-Kennzeichen kann nur ein Administrator ändern.")
         if int(target["id"]) == int(getattr(actor, "id", 0)):
-            raise PermissionDenied("Sie koennen Ihr eigenes Admin-Kennzeichen nicht aendern.")
+            raise PermissionDenied("Sie können Ihr eigenes Admin-Kennzeichen nicht ändern.")
         if not is_admin:
             guard_last_admin(conn, user_id, action="Herabstufen")
         fields["is_admin"] = int(bool(is_admin))
@@ -577,7 +577,7 @@ def update_user(
 
     if is_locked is not None and bool(is_locked) != bool(target["is_locked"]):
         if int(target["id"]) == int(getattr(actor, "id", 0)):
-            raise PermissionDenied("Sie koennen Ihr eigenes Konto nicht sperren.")
+            raise PermissionDenied("Sie können Ihr eigenes Konto nicht sperren.")
         if is_locked:
             guard_last_admin(conn, user_id, action="Sperren")
         fields["is_locked"] = int(bool(is_locked))
@@ -595,7 +595,7 @@ def update_user(
         after = {int(gid) for gid in group_ids}
         if before != after:
             set_user_groups(conn, user_id, sorted(after), actor=actor, tree=tree)
-            changes.append("Gruppenzuordnung geaendert")
+            changes.append("Gruppenzuordnung geändert")
 
     return changes
 
@@ -613,7 +613,7 @@ def set_password(
         raise ValidationError("Dieses Konto existiert nicht.")
     if str(row.get("auth_source")) == "ldap":
         raise ValidationError(
-            "Verzeichniskonten haben hier kein Passwort -- es wird im Verzeichnisdienst gepflegt."
+            "Verzeichniskonten haben hier kein Passwort – es wird im Verzeichnisdienst gepflegt."
         )
     problems = policy.check(new_password, username=str(row["username"]))
     if problems:
@@ -631,7 +631,7 @@ def soft_delete_user(conn: sqlite3.Connection, user_id: int, *, actor: Any) -> s
         raise ValidationError("Dieses Konto existiert nicht (mehr).")
     guard_target_account(actor, target)
     if int(target["id"]) == int(getattr(actor, "id", 0)):
-        raise PermissionDenied("Sie koennen Ihr eigenes Konto nicht loeschen.")
+        raise PermissionDenied("Sie können Ihr eigenes Konto nicht löschen.")
     guard_last_admin(conn, user_id, action="Loeschen")
 
     if str(target.get("auth_source")) == "ldap":

packages/tesm-core/src/tesm_core/security/csrf.py

@@ -112,7 +112,7 @@ def protect() -> None:
     if not expected or not provided:
         abort(403, description="Das Sicherheitstoken des Formulars fehlt. Bitte Seite neu laden.")
     if not hmac.compare_digest(str(expected), str(provided)):
-        abort(403, description="Das Sicherheitstoken des Formulars ist ungueltig. Bitte Seite neu laden.")
+        abort(403, description="Das Sicherheitstoken des Formulars ist ungültig. Bitte Seite neu laden.")
 
 
 def exempt(view):

packages/tesm-core/src/tesm_core/security/passwords.py

@@ -65,10 +65,10 @@ class PasswordPolicy:
         if classes < self.require_classes:
             problems.append(
                 f"Mindestens {self.require_classes} verschiedene Zeichenarten "
-                "(Klein-/Grossbuchstaben, Ziffern, Sonderzeichen)."
+                "(Klein-/Großbuchstaben, Ziffern, Sonderzeichen)."
             )
         if normalized.lower() in _FORBIDDEN:
-            problems.append("Dieses Passwort ist zu haeufig und damit unsicher.")
+            problems.append("Dieses Passwort ist zu häufig und damit unsicher.")
         if username and len(username) >= 3 and username.lower() in normalized.lower():
             problems.append("Das Passwort darf den Benutzernamen nicht enthalten.")
         if len(set(normalized)) <= 3 and normalized:

packages/tesm-core/src/tesm_core/security/sessions.py

@@ -26,7 +26,8 @@ import sqlite3
 from datetime import datetime, timedelta, timezone
 from typing import Any
 
-from flask import Flask, Request, Response
+from flask import Flask, Request, Response, g
+from flask import request as aktuelle_anfrage
 from flask.sessions import SessionInterface, SessionMixin
 from werkzeug.datastructures import CallbackDict
 
@@ -34,6 +35,79 @@ from ..db import Database
 
 SESSION_ID_BYTES = 32
 
+#: Kopfzeile, mit der der Browser eine Anfrage als **automatisch** kennzeichnet:
+#: ein Aktualisierungsdurchlauf einer Kachel, kein Klick eines Menschen.
+#:
+#: Ohne diese Unterscheidung ist die automatische Abmeldung wirkungslos, und das
+#: war sie auch: ein offener Tab fragt seine Bereiche alle 15 Sekunden neu ab,
+#: jede Abfrage verlaengerte das Leerlauffenster, und niemand wurde je
+#: abgemeldet -- nachweisbar an einer Sitzung, deren ``last_seen_at`` eine
+#: Minute alt war, obwohl seit zehn Stunden niemand am Rechner sass.
+#:
+#: Die Entscheidung gehoert zum Client: nur er weiss, ob ein Zeitgeber oder ein
+#: Mensch die Anfrage ausgeloest hat. Ein Angreifer koennte den Kopf setzen --
+#: er wuerde damit seine *eigene* Sitzung schneller ablaufen lassen.
+AUTO_REFRESH_HEADER = "X-Auto-Refresh"
+
+
+#: Marke auf der Ansichtsfunktion. Steht an der Route, damit man sie dort sieht,
+#: wo sie gilt.
+FRAGMENT_ATTRIBUT = "_tesm_fragment"
+
+
+def fragment(view: Any) -> Any:
+    """Kennzeichnet eine Route als Aktualisierungsausschnitt.
+
+    Solche Routen ruft ein Zeitgeber auf, kein Mensch. Sie duerfen die Sitzung
+    benutzen, halten sie aber nicht am Leben -- sonst bleibt jeder offene Tab
+    unbegrenzt angemeldet.
+
+    Der Kopf ``X-Auto-Refresh`` allein genuegt dafuer nicht: er setzt voraus,
+    dass der Browser das aktuelle Skript faehrt. Ein Tab, der seit Stunden
+    offen ist, faehrt das alte -- und das ist genau der Tab, um den es geht.
+    """
+    setattr(view, FRAGMENT_ATTRIBUT, True)
+    return view
+
+
+def _ist_fragment_route() -> bool:
+    """Gehoert die laufende Anfrage zu einer als Ausschnitt markierten Route?
+
+    ``request.endpoint`` steht hier nicht immer schon: Flask oeffnet die Sitzung
+    **vor** dem Routing (``RequestContext.push`` ruft ``open_session`` und erst
+    danach ``match_request``). In ``save_session`` ist der Endpunkt gesetzt, in
+    ``open_session`` nicht -- und ohne diesen Nachtrag griff die Erkennung
+    genau dort nicht, wo sie gebraucht wird.
+    """
+    from flask import current_app
+
+    try:
+        endpunkt = getattr(aktuelle_anfrage, "endpoint", None)
+        if not endpunkt:
+            # Selbst nachsehen. Ein zweiter Routenabgleich je Anfrage ist
+            # billiger als eine Abmeldung, die nicht stattfindet.
+            adapter = current_app.url_map.bind_to_environ(aktuelle_anfrage.environ)
+            endpunkt, _ = adapter.match(
+                aktuelle_anfrage.path, method=aktuelle_anfrage.method
+            )
+        ansicht = current_app.view_functions.get(str(endpunkt))
+    except Exception:  # noqa: BLE001 - keine Route, Umleitung, kein App-Kontext
+        return False
+    return bool(getattr(ansicht, FRAGMENT_ATTRIBUT, False))
+
+
+def is_automatic(request: Request) -> bool:
+    """Kam die Anfrage von einem Zeitgeber statt von einem Menschen?
+
+    Zwei Kennzeichen, und eines genuegt: der Kopf, den das Skript setzt,
+    und die Route selbst. Das zweite traegt auch dann, wenn ein lange
+    offener Tab noch ein aelteres Skript faehrt -- und das ist der Tab,
+    um den es geht.
+    """
+    if request.headers.get(AUTO_REFRESH_HEADER, "") == "1":
+        return True
+    return _ist_fragment_route()
+
 
 def _now() -> datetime:
     return datetime.now(timezone.utc)
@@ -89,6 +163,7 @@ class SqliteSessionInterface(SessionInterface):
         idle_minutes: int,
         absolute_hours: int,
         idle_lookup: Any = None,
+        absolute_lookup: Any = None,
     ) -> None:
         self.database = database
         self.cookie_name = cookie_name
@@ -98,6 +173,16 @@ class SqliteSessionInterface(SessionInterface):
         #: Zeit zur Laufzeit einstellbar, ohne den Dienst neu zu starten -- und
         #: ohne eine zweite Datenbankverbindung, denn sie bekommt die offene.
         self._idle_lookup = idle_lookup
+        self._absolute_lookup = absolute_lookup
+
+    def _absolute(self, conn: Any) -> int:
+        """Gesamtdauer in Stunden -- einstellbar wie die Leerlaufgrenze."""
+        if self._absolute_lookup is None:
+            return self.absolute_hours
+        try:
+            return int(self._absolute_lookup(conn)) or self.absolute_hours
+        except Exception:  # pragma: no cover - Einstellung unlesbar
+            return self.absolute_hours
 
     def _idle(self, conn: Any) -> int:
         if self._idle_lookup is None:
@@ -135,6 +220,11 @@ class SqliteSessionInterface(SessionInterface):
                         "WHERE id=?",
                         (_iso(now), sid),
                     )
+                # Fuer die Anmeldeseite vermerken, **warum** sie erscheint. Ohne
+                # das steht dort entweder nichts -- dann wundert sich, wer
+                # gerade noch angemeldet war -- oder eine Meldung, die jeder
+                # Besucher zu sehen bekommt und die deshalb nichts sagt.
+                g.session_expired = True
                 return self.session_class(new=True)
 
             try:
@@ -154,8 +244,17 @@ class SqliteSessionInterface(SessionInterface):
             }
             # Leerlauffenster verlaengern, aber hoechstens einmal pro Minute
             # schreiben -- sonst kostet jeder AJAX-Poll einen Schreibvorgang.
+            #
+            # Eine automatische Abfrage verlaengert gar nichts. Sie darf die
+            # Sitzung benutzen, solange diese lebt, aber sie haelt sie nicht am
+            # Leben: sonst bleibt jeder offene Tab bis in alle Ewigkeit
+            # angemeldet, und "Abmeldung nach 30 Minuten Leerlauf" ist eine
+            # Zusage, die die Anwendung nicht einhaelt. Damit bleibt
+            # ``last_seen_at`` ausserdem, was der Name sagt: der letzte
+            # Zeitpunkt, an dem ein Mensch da war.
             last_seen = _parse(row.get("last_seen_at"))
-            if last_seen is None or (now - last_seen) > timedelta(seconds=60):
+            veraltet = last_seen is None or (now - last_seen) > timedelta(seconds=60)
+            if veraltet and not is_automatic(request):
                 with self.database.transaction(conn):
                     conn.execute(
                         "UPDATE user_sessions SET last_seen_at=?, idle_expires_at=? WHERE id=?",
@@ -192,7 +291,10 @@ class SqliteSessionInterface(SessionInterface):
         payload = json.dumps(dict(session), separators=(",", ":"), sort_keys=True)
         with self.database.session() as conn, self.database.transaction(conn):
             if session.new or not session.sid:
-                session.sid = secrets.token_urlsafe(SESSION_ID_BYTES)
+                # Eine vorhandene ID nicht wegwerfen: nach einem Wechsel beim
+                # Anmelden steht sie schon, und andere haben sie sich gemerkt.
+                if not session.sid:
+                    session.sid = secrets.token_urlsafe(SESSION_ID_BYTES)
                 conn.execute(
                     "INSERT INTO user_sessions "
                     "(id, user_id, created_at, last_seen_at, idle_expires_at, "
@@ -204,13 +306,38 @@ class SqliteSessionInterface(SessionInterface):
                         _iso(now),
                         _iso(now),
                         _iso(now + timedelta(minutes=self._idle(conn))),
-                        _iso(now + timedelta(hours=self.absolute_hours)),
+                        _iso(now + timedelta(hours=self._absolute(conn))),
                         session.get("_ip", ""),
                         session.get("_ua", ""),
                         payload,
                     ),
                 )
                 session.new = False
+            # ``save_session`` bekommt die Anfrage nicht als Argument -- anders als
+            # ``open_session``, wo ein Parameter denselben Namen traegt. Hier ist es
+            # der Anfragekontext von Flask; die Antwort wird darin erzeugt.
+            elif is_automatic(aktuelle_anfrage):
+                # Die zweite Schreibstelle, und die eigentliche Ursache dafuer,
+                # dass die Abmeldung nie ausgeloest hat: hier wurde das
+                # Leerlauffenster bei **jeder** Anfrage verlaengert, die die
+                # Sitzung anfasst. Die Pruefung in open_session lief damit ins
+                # Leere -- ein Aktualisierungsdurchlauf einer Kachel fasst die
+                # Sitzung an (Flash-Speicher, CSRF), und schon stand das Fenster
+                # wieder 30 Minuten offen. Auf dem Lizenzserver fiel es nicht
+                # auf: dort pollt keine Kachel.
+                #
+                # Geaenderte Sitzungsdaten muessen trotzdem erhalten bleiben --
+                # sie zu verwerfen waere eine zweite Fehlerquelle. Nur die
+                # Fristen bleiben stehen.
+                conn.execute(
+                    "UPDATE user_sessions SET user_id=?, data=?, reauth_at=? WHERE id=?",
+                    (
+                        session.get("user_id"),
+                        payload,
+                        session.get("_reauth_at"),
+                        session.sid,
+                    ),
+                )
             else:
                 conn.execute(
                     "UPDATE user_sessions SET user_id=?, data=?, last_seen_at=?, "
@@ -219,7 +346,11 @@ class SqliteSessionInterface(SessionInterface):
                         session.get("user_id"),
                         payload,
                         _iso(now),
-                        _iso(now + timedelta(minutes=self.idle_minutes)),
+                        # ``_idle(conn)`` und nicht ``idle_minutes``: die Zeit ist
+                        # zur Laufzeit einstellbar, und diese Stelle hat die
+                        # Einstellung ignoriert. Bei der Vorgabe von 30 Minuten
+                        # fiel das nicht auf -- bei einer geaenderten schon.
+                        _iso(now + timedelta(minutes=self._idle(conn))),
                         session.get("_reauth_at"),
                         session.sid,
                     ),
@@ -254,7 +385,12 @@ def rotate(conn: sqlite3.Connection, session: ServerSession, *, reason: str = "p
             "UPDATE user_sessions SET revoked_at=?, revoked_reason=? WHERE id=?",
             (_iso(_now()), reason, old_sid),
         )
-    session.sid = ""
+    # Die neue ID entsteht **jetzt** und nicht erst beim Speichern der Antwort.
+    # Zwischen beidem laufen die Anmeldehaken, und einer davon bindet die
+    # Dateifreigaben ein und schreibt sich die Sitzung dazu. Mit einer leeren
+    # Sitzung hielt der Aufraeumer diese Einbindungen fuer verwaist und loeste
+    # sie binnen Minuten wieder.
+    session.sid = secrets.token_urlsafe(SESSION_ID_BYTES)
     session.new = True
     session.modified = True
     return old_sid

packages/tesm-core/src/tesm_core/static/tesm_core/css/components.css

@@ -412,7 +412,10 @@
      und beide sind rot. */
   .pill--critical {
     background: var(--danger);
-    color: var(--surface-0);
+    /* Weiss wie bei .btn--danger. Vorher stand hier ein Token, das es nicht
+       gibt -- die Deklaration war damit unwirksam, und die Schrift blieb in
+       der Textfarbe: dunkelgrau auf Rot. */
+    color: #fff;
     font-weight: 700;
   }
   .pill--critical::before { background: currentColor; }
@@ -682,7 +685,10 @@
   .modal__sub { font-size: var(--fs-xs); color: var(--text-faint); margin-top: 2px; }
   /* Eine Datei-Vorschau soll die ganze Flaeche des Dialogs nutzen; der
      uebliche Innenabstand des Dialogkoerpers wuerde sie einrahmen. */
-  .modal__body--flush { padding: 0; max-height: none; }
+  /* Zwei Klassen am selben Element: diese hier muss gewinnen, obwohl
+     .modal__body weiter unten steht. Mit der doppelten Klasse haengt das
+     nicht mehr an der Reihenfolge im Stylesheet. */
+  .modal__body.modal__body--flush { padding: 0; max-height: none; overflow: visible; }
   .modal__caption {
     padding: 0 var(--sp-5) var(--sp-2);
     color: var(--text-muted);
@@ -695,7 +701,177 @@
     width: 100%;
     height: min(70dvh, 760px);
     border: 0;
-    background: var(--surface-0);
+    /* Die Vorschau zeigt fremde Dokumente; ein neutraler Grund gehoert
+       darunter. --surface-0 gibt es nicht, der Rahmen blieb durchsichtig. */
+    background: var(--surface-1);
+  }
+
+  /* -- Betrachter: Bild, PDF, Rahmen ------------------------------------- */
+  /* Eine feste Hoehe fuer alle drei Anzeigen: sonst springt der Dialog beim
+     Wechsel zwischen Foto und PDF. */
+  .viewer {
+    position: relative;
+    display: flex;
+    flex-direction: column;
+    /* Was der Dialog uebrig laesst: Kopf, Dateiname und Fusszeile brauchen
+       zusammen rund 190 Pixel. Ein fester Anteil der Fensterhoehe schob die
+       Zoomleiste auf kleinen Fenstern unter den Rand. */
+    height: min(calc(100dvh - 240px), 760px);
+    min-height: 220px;
+    background: var(--surface-1);
+  }
+  /* Hochkant -- Tablet oder Monitor im Hochformat -- gibt es unter dem Dialog
+     viel Platz, den die Obergrenze verschenkt. Beim Ausfuellen eines
+     Formulars zaehlt jede sichtbare Zeile, also nehmen wir dort die Hoehe,
+     die da ist. Der Rest (Kopf, Dateiname, Fusszeile) braucht rund 200 Pixel;
+     die 240 lassen etwas Luft. */
+  @media (orientation: portrait) {
+    .viewer {
+      height: calc(100dvh - 240px);
+    }
+  }
+  .viewer > .file-preview {
+    flex: 1;
+    height: auto;
+  }
+  .viewer__stage {
+    position: relative;
+    flex: 1;
+    /* Ohne min-height waechst die Buehne mit dem Bild, und dessen
+       max-height:100% haengt dann an sich selbst: ein 4032x3024-Foto stand
+       36 Pixel ueber den Rand hinaus. */
+    min-height: 0;
+    display: flex;
+    align-items: center;
+    justify-content: center;
+    overflow: hidden;
+    /* Die Seite darf nicht mitwandern, wenn im Bild geschoben wird. */
+    touch-action: none;
+    cursor: zoom-in;
+  }
+  .viewer__stage--gezogen {
+    cursor: grab;
+  }
+  .viewer__img {
+    /* Der Ausgangszustand ist "passt in die Flaeche" -- genau das fehlte:
+       ein Foto vom iPad ist 4032 Pixel breit und wurde im Rahmen 1:1
+       gezeigt, also als Ausschnitt aus der Mitte. */
+    max-width: 100%;
+    max-height: 100%;
+    /* Zoomen soll nicht unscharf wirken, solange nicht vergroessert wird. */
+    transform-origin: center center;
+    will-change: transform;
+    user-select: none;
+    -webkit-user-drag: none;
+  }
+  /* pdf.js verlangt einen absolut positionierten, scrollenden Behaelter --
+     der liegt deshalb *innen*. Aussen ein gewoehnlicher Flex-Kasten, damit
+     Zoomleiste und Speicherzeile ihren Platz behalten. Vorher rechnete der
+     Bereich mit "bottom: var(--sp-10)", also mit genau einer Leiste; die
+     zweite Zeile lag dann unter dem Dialogrand. */
+  .viewer__pdf {
+    position: relative;
+    flex: 1;
+    min-height: 0;
+    /* Ein PDF ist weisses Papier. pdf.js malt Formularfelder mit Systemfarben
+       und ueberlaesst Ankreuzfelder dem Browser -- im dunklen Design heisst
+       CanvasText weiss, und die Haken waren auf dem Papier unsichtbar. Fuer
+       diesen Ausschnitt gilt deshalb immer das helle Schema. */
+    color-scheme: light;
+  }
+  /* pdf.js rechnet fuer die Seite mit dem Standard "content-box": ihr
+     9-Pixel-Rahmen liegt *ausserhalb* der angegebenen Breite. Unser globales
+     "border-box" rechnete ihn hinein -- die Leinwand wurde 18 Pixel schmaler
+     als die Anmerkungsebene, und die Formularfelder wanderten nach rechts
+     unten, immer weiter je weiter unten sie lagen. */
+  .viewer__pdf .pdfViewer .page {
+    box-sizing: content-box;
+  }
+  .viewer__pdfscroll {
+    position: absolute;
+    inset: 0;
+    overflow: auto;
+    -webkit-overflow-scrolling: touch;
+  }
+  .viewer__bar {
+    display: flex;
+    align-items: center;
+    gap: var(--sp-2);
+    padding: var(--sp-2) var(--sp-4);
+    border-top: 1px solid var(--border);
+    background: var(--surface-2, var(--surface-1));
+  }
+  .viewer__hint {
+    margin-inline-start: auto;
+  }
+  /* Bildfeld eines Formulars: der Kasten zeigt das gewaehlte Foto, die
+     Schaltflaeche liegt darin. Acrobats eigener Knopf tut im Browser nichts --
+     das hier ist der Ersatz. */
+  .viewer__bildfeld [data-viewer-bildvorschau] {
+    position: absolute;
+    inset: 0;
+    width: 100%;
+    height: 100%;
+    object-fit: contain;
+    background: #fff;
+  }
+  .viewer__bildwahl {
+    position: absolute;
+    inset: auto 0 4px 0;
+    display: flex;
+    justify-content: center;
+    cursor: pointer;
+  }
+  .viewer__bildwahl > span {
+    padding: 4px 10px;
+    border-radius: var(--r-sm, 6px);
+    background: var(--accent);
+    color: #fff;
+    font-size: var(--fs-xs);
+    font-weight: 600;
+    box-shadow: var(--shadow-sm, 0 1px 3px rgb(0 0 0 / 0.3));
+  }
+  .viewer__bildfeld--belegt .viewer__bildwahl > span {
+    opacity: 0.85;
+  }
+  .viewer__save {
+    display: flex;
+    flex-wrap: wrap;
+    align-items: flex-end;
+    gap: var(--sp-3);
+    padding: var(--sp-3) var(--sp-4);
+    border-top: 1px solid var(--border);
+    background: var(--surface-2, var(--surface-1));
+  }
+  .viewer__save .viewer__feld {
+    flex: 1 1 12rem;
+    margin: 0;
+  }
+  /* Die Entscheidung steht rechts und der Haken darueber: er gehoert zum
+     Speichern, nicht zu den Feldern davor. */
+  .viewer__saveaktionen {
+    margin-left: auto;
+    display: flex;
+    flex-direction: column;
+    align-items: flex-end;
+    gap: var(--sp-2);
+  }
+  .viewer__saveknoepfe {
+    display: flex;
+    gap: var(--sp-2);
+  }
+  /* Nach "gibt es schon": der Haken ist die Antwort -- also faellt er auf. */
+  .viewer__saveaktionen .check.is-gefragt {
+    outline: 2px solid var(--accent);
+    outline-offset: 3px;
+    border-radius: var(--r-xs);
+  }
+  /* Eigener Name: ".field--inline" gibt es schon und steht dort fuer
+     "waagerecht" -- diese Regel haette sie app-weit umgestellt. */
+  .viewer__feld {
+    display: flex;
+    flex-direction: column;
+    gap: 2px;
   }
   /* Der Dateiname ist ein Knopf (er oeffnet die Vorschau), soll aber wie ein
      Link aussehen -- ein Knopf mit Rahmen mitten in einer Tabellenzeile waere
@@ -849,7 +1025,10 @@
     width: 17px;
     height: 17px;
     border-radius: 5px;
-    background: var(--surface-0);
+    /* Dunkler als die Karte -- genau das war die Absicht: "dunkler heisst,
+       es gibt das Recht nicht". Mit dem nicht existierenden --surface-0 war
+       das Feld durchsichtig und damit so hell wie die Karte. */
+    background: var(--canvas);
     border: 1px solid var(--border-subtle);
     box-shadow: inset 0 1px 2px rgb(0 0 0 / 28%);
     vertical-align: -3px;
@@ -943,9 +1122,15 @@
     display: grid;
     place-items: center;
     padding: var(--sp-6);
+    /* Zwei warme Kreise, Geometrie und Staerke aus der Fassung 1.x
+       uebernommen: oben links deutlich, unten rechts angedeutet. Die vorige
+       Fassung setzte den zweiten Kreis auf --info und 10 % -- ein kaltes
+       Blau, das man auf dunklem Grund nicht sah und das nicht zur Marke
+       gehoert. Ueber color-mix statt festem rgba, damit es im hellen Thema
+       nicht schmutzig wird. */
     background:
-      radial-gradient(1100px 520px at 12% -10%, color-mix(in srgb, var(--accent) 12%, transparent), transparent 70%),
-      radial-gradient(900px 480px at 100% 110%, color-mix(in srgb, var(--info) 10%, transparent), transparent 70%),
+      radial-gradient(circle at 15% 15%, color-mix(in srgb, var(--accent) 14%, transparent), transparent 45%),
+      radial-gradient(circle at 85% 85%, color-mix(in srgb, var(--accent) 8%, transparent), transparent 40%),
       var(--canvas);
   }
   /* Die Wortmarke liegt hinter allem (z-index 0), die Anmeldebox davor.
@@ -1026,24 +1211,35 @@
     color: var(--text-faint);
   }
 
-  .auth-page { position: relative; overflow: hidden; align-content: center; }
+  /* Marke und Karte stehen uebereinander im normalen Fluss. Vorher lag die
+     Marke absolut positioniert hinter der Karte -- auf einem flachen Fenster
+     schnitt die Karte mitten durch den Schriftzug und die Funktionszeile. Ein
+     Stapel kann nicht kollidieren, und die Seite darf notfalls scrollen. */
+  .auth-stack {
+    display: flex;
+    flex-direction: column;
+    align-items: center;
+    gap: var(--sp-8);
+    width: 100%;
+  }
   .auth-backdrop {
-    position: absolute;
-    top: 4vh;
-    left: 50%;
-    transform: translateX(-50%);
     width: min(72vw, 880px);
     pointer-events: none;
-    z-index: 0;
-    opacity: 0.5;
+    /* Volle Deckung: solange die Marke hinter der Karte lag, war sie ein
+       Wasserzeichen und musste zurueckhaltend sein. Jetzt steht sie ueber der
+       Karte und ist das Erste, was man sieht -- halbtransparent sah sie dort
+       nur blass aus. Die Farben kommen ohnehin aus zurueckhaltenden Token. */
+    opacity: 1;
   }
   .auth-backdrop svg { width: 100%; height: auto; display: block; }
   @media (max-width: 640px) {
-    .auth-backdrop { width: min(90vw, 460px); opacity: 0.32; }
+    .auth-backdrop { width: min(90vw, 460px); }
   }
   /* Wer wenig Bewegung/Reize moechte, bekommt das Motiv dezenter. */
+  /* Wer weniger Reize moechte, bekommt die Marke ruhiger -- aber nicht
+     unsichtbar: sie ist die Ueberschrift der Seite. */
   @media (prefers-contrast: more) {
-    .auth-backdrop { opacity: 0.18; }
+    .auth-backdrop { opacity: 0.75; }
   }
 
   .auth-card {
@@ -1138,3 +1334,309 @@
     .hide-sm { display: none !important; }
   }
 }
+
+/* -- Sortierbare Liste (Navigationsreihenfolge) --------------------------- */
+/* Symbol und Beschriftung stehen in einer Zeile -- so wie im Menue selbst.
+   Vorher brach die Beschriftung unter das Symbol, und die Liste sah aus wie
+   etwas anderes als das, was sie sortiert. */
+
+.reorder {
+  list-style: none;
+  margin: 0;
+  padding: 0;
+  display: flex;
+  flex-direction: column;
+  gap: 4px;
+}
+
+.reorder__row {
+  display: flex;
+  align-items: center;
+  gap: 10px;
+  padding: 6px 10px;
+  border: 1px solid var(--border);
+  border-radius: var(--r-sm);
+  background: var(--surface-2);
+  cursor: grab;
+}
+
+.reorder__row > .flex-1 {
+  display: flex;
+  align-items: center;
+  gap: 8px;
+  white-space: nowrap;
+  overflow: hidden;
+  text-overflow: ellipsis;
+}
+
+.reorder__row.is-dragging {
+  opacity: 0.5;
+}
+
+.reorder__grip {
+  color: var(--text-muted);
+  display: inline-flex;
+}
+
+.reorder__pos {
+  min-width: 1.6em;
+  text-align: right;
+  font-variant-numeric: tabular-nums;
+  color: var(--text-muted);
+  font-size: var(--fs-xs);
+}
+
+.reorder__moves {
+  display: inline-flex;
+  gap: 2px;
+}
+
+.reorder__group {
+  list-style: none;
+}
+
+.reorder--child {
+  margin: 4px 0 4px 28px;
+}
+
+.reorder--child .reorder__row {
+  background: transparent;
+  border-style: dashed;
+}
+
+/* -- Unterschrift --------------------------------------------------------- */
+/* Die Zeichenflaeche braucht "touch-action: none": sonst scrollt ein iPad die
+   Seite, statt einen Strich zu zeichnen -- und es sieht aus, als reagierte das
+   Feld nicht. */
+
+.viewer__sign {
+  display: flex;
+  flex-direction: column;
+  gap: 8px;
+  padding: 10px 12px;
+  border-top: 1px solid var(--border);
+  background: var(--surface-2);
+}
+
+.viewer__signfelder {
+  display: flex;
+  gap: 10px;
+  flex-wrap: wrap;
+}
+
+.viewer__signpad {
+  width: 100%;
+  height: 160px;
+  border: 1px dashed var(--border-strong, var(--border));
+  border-radius: var(--r-sm);
+  background: #fff;
+  touch-action: none;
+  cursor: crosshair;
+}
+
+.viewer__signaktionen {
+  display: flex;
+  align-items: center;
+  gap: 8px;
+  justify-content: flex-end;
+  flex-wrap: wrap;
+}
+
+.viewer__pdfscroll--setzen {
+  cursor: crosshair;
+}
+
+.viewer__pdfscroll--setzen .page {
+  outline: 2px dashed var(--accent, #c8791f);
+  outline-offset: -2px;
+}
+
+/* Die gesetzte Unterschrift liegt auf der Seite -- in Prozent, damit sie beim
+   Zoomen an ihrer Stelle bleibt. Sie nimmt Zeiger an: verschieben mit dem
+   Block, Groesse mit dem Griff unten rechts, entfernen mit dem Kreuz.
+   "touch-action: none" ist auf dem iPad die Bedingung dafuer, dass ein Finger
+   zieht statt die Seite zu scrollen. */
+.viewer__unterschrift {
+  position: absolute;
+  z-index: 3;
+  cursor: grab;
+  touch-action: none;
+  container-type: inline-size;
+  border: 1px dashed transparent;
+}
+
+.viewer__unterschrift:hover,
+.viewer__unterschrift.is-fassend {
+  border-color: var(--accent);
+  cursor: grabbing;
+}
+
+.viewer__unterschrift img {
+  display: block;
+  width: 100%;
+  pointer-events: none;
+}
+
+/* Dieselbe Rechnung wie im PDF (Breite durch 18): auf dem Schirm steht, was
+   spaeter in der Datei steht. */
+/* "width: max-content": der Strich ist so lang wie der Text darunter -- so
+   wie im PDF. Waere er so breit wie der Block, zeigte die Vorschau etwas
+   anderes als die Datei. */
+.viewer__unterschrifttext {
+  font-size: 5.6cqw;
+  line-height: 1.15;
+  color: #111;
+  border-top: 1px solid rgba(0, 0, 0, 0.85);
+  padding-top: 1px;
+  pointer-events: none;
+  white-space: nowrap;
+  width: max-content;
+}
+
+.viewer__unterschriftgriff,
+.viewer__unterschriftweg {
+  position: absolute;
+  width: 16px;
+  height: 16px;
+  padding: 0;
+  border: 1px solid var(--accent);
+  border-radius: 3px;
+  background: var(--surface-1);
+  color: var(--accent);
+  font-size: 11px;
+  line-height: 1;
+  opacity: 0;
+  cursor: nwse-resize;
+}
+
+.viewer__unterschriftweg {
+  cursor: pointer;
+  top: -8px;
+  right: -8px;
+}
+
+.viewer__unterschriftgriff {
+  right: -8px;
+  bottom: -8px;
+}
+
+.viewer__unterschrift:hover .viewer__unterschriftgriff,
+.viewer__unterschrift:hover .viewer__unterschriftweg,
+.viewer__unterschrift.is-fassend .viewer__unterschriftgriff {
+  opacity: 1;
+}
+
+/* Auf einem Tastbildschirm gibt es kein "hover" -- dort stehen die Knoepfe
+   immer, sonst kaeme man nie an sie heran. */
+@media (hover: none) {
+  .viewer__unterschriftgriff,
+  .viewer__unterschriftweg {
+    opacity: 1;
+  }
+}
+
+/* -- Ergebnis der Signaturpruefung ---------------------------------------- */
+/* Der Schleier liegt ueber der Seite und nimmt keine Klicks an: ein
+   unterschriebenes Dokument ist flach, aber bei einem Irrtum soll die
+   Kennzeichnung nicht auch noch die Bedienung blockieren. */
+
+.viewer__pdf--unveraendert {
+  box-shadow: inset 0 0 0 3px var(--success);
+}
+
+.viewer__pdf--unveraendert::after,
+.viewer__pdf--veraendert::after {
+  content: "";
+  position: absolute;
+  inset: 0;
+  pointer-events: none;
+  z-index: 4;
+}
+
+.viewer__pdf--unveraendert::after {
+  background: rgba(47, 158, 68, 0.1);
+}
+
+.viewer__pdf--veraendert {
+  box-shadow: inset 0 0 0 3px var(--danger);
+}
+
+.viewer__pdf--veraendert::after {
+  background: rgba(201, 42, 42, 0.08);
+}
+
+.viewer__pruefung {
+  margin: 0;
+  padding: 6px 12px;
+  font-size: var(--fs-xs);
+  border-top: 1px solid var(--border);
+}
+
+.viewer__pruefung--gut {
+  color: var(--success);
+  background: rgba(47, 158, 68, 0.12);
+}
+
+.viewer__pruefung--schlecht {
+  color: var(--danger);
+  background: rgba(201, 42, 42, 0.12);
+}
+
+/* -- Tabelle, die schmal zu Bloecken wird -------------------------------- */
+/* Eine Protokollzeile besteht aus sieben Angaben, von denen eine lang ist:
+   das Detail. Auf einem breiten Schirm passt das nebeneinander. Wird es eng,
+   ist eine Spalte von zwei Zentimetern fuer eine Pruefsumme keine Loesung --
+   dann steht jede Angabe auf ihrer eigenen Zeile, beschriftet. */
+
+.table--stapelbar .td--detail {
+  /* Zeilenumbrueche aus dem Eintrag bleiben stehen: die Pruefsumme steht
+     unter dem lesbaren Teil, nicht mitten darin. Und ein Hash ohne Trennstelle
+     darf notfalls hart umbrechen. */
+  white-space: pre-line;
+  overflow-wrap: anywhere;
+  max-width: 52ch;
+}
+
+@media (max-width: 1100px) {
+  .table--stapelbar thead {
+    display: none;
+  }
+
+  .table--stapelbar,
+  .table--stapelbar tbody,
+  .table--stapelbar tr,
+  .table--stapelbar td {
+    display: block;
+    width: auto;
+  }
+
+  .table--stapelbar tr {
+    padding: var(--sp-3) 0;
+    border-bottom: 1px solid var(--border);
+  }
+
+  .table--stapelbar td {
+    display: grid;
+    grid-template-columns: 8.5rem 1fr;
+    gap: var(--sp-2);
+    align-items: baseline;
+    border: 0;
+    padding: 2px var(--sp-3);
+    white-space: normal;
+  }
+
+  .table--stapelbar td::before {
+    content: attr(data-spalte);
+    color: var(--text-muted);
+    font-size: var(--fs-xs);
+  }
+
+  .table--stapelbar .td--detail {
+    max-width: none;
+  }
+
+  /* Leere Zellen brauchen keine Zeile. */
+  .table--stapelbar td:empty {
+    display: none;
+  }
+}

packages/tesm-core/src/tesm_core/static/tesm_core/js/app.js

@@ -45,22 +45,45 @@ function csrfToken() {
   return document.body?.dataset.csrf || "";
 }
 
-/** fetch mit CSRF-Header und JSON-Erwartung. */
+/**
+ * fetch mit CSRF-Header und JSON-Erwartung.
+ *
+ * `auto: true` kennzeichnet eine Anfrage, die ein Zeitgeber ausgeloest hat und
+ * kein Mensch. Der Server verlaengert das Leerlauffenster der Sitzung dann
+ * nicht -- ohne diese Unterscheidung haelt jeder offene Tab die Anmeldung
+ * unbegrenzt am Leben, und die automatische Abmeldung findet nie statt.
+ *
+ * Der HTTP-Status haengt am geworfenen Fehler, damit der Aufrufer 401
+ * ("Sitzung abgelaufen") von einem Netzfehler unterscheiden kann.
+ */
 export async function api(url, options = {}) {
-  const opts = { credentials: "same-origin", ...options };
+  const { auto = false, ...rest } = options;
+  const opts = { credentials: "same-origin", ...rest };
   opts.headers = {
     "X-Requested-With": "fetch",
     "X-CSRF-Token": csrfToken(),
+    ...(auto ? { "X-Auto-Refresh": "1" } : {}),
     ...(options.headers || {}),
   };
   const response = await fetch(url, opts);
+  // Eine Seite, die auch oeffentlich antwortet -- die Statusuebersicht etwa --
+  // liefert nach dem Ablauf der Sitzung eine 200 mit den oeffentlichen
+  // Kacheln. Am Status ist der Verlust also nicht zu erkennen; an diesem Kopf
+  // schon. Behandelt wird er wie eine 401.
+  if (response.headers.get("X-Session-Expired") === "1") {
+    const abgelaufen = new Error("Die Sitzung ist abgelaufen.");
+    abgelaufen.status = 401;
+    throw abgelaufen;
+  }
   const type = response.headers.get("content-type") || "";
   const payload = type.includes("application/json") ? await response.json() : await response.text();
   if (!response.ok) {
     const message =
       (payload && typeof payload === "object" && (payload.error || payload.message)) ||
       `Anfrage fehlgeschlagen (HTTP ${response.status})`;
-    throw new Error(message);
+    const error = new Error(message);
+    error.status = response.status;
+    throw error;
   }
   return payload;
 }
@@ -86,7 +109,7 @@ export function showToast(message, type = "info", { timeout = 6000 } = {}) {
   const close = document.createElement("button");
   close.type = "button";
   close.className = "toast__close";
-  close.setAttribute("aria-label", "Meldung schliessen");
+  close.setAttribute("aria-label", "Meldung schließen");
   close.textContent = "×";
   toast.append(body, close);
   toastStack.appendChild(toast);
@@ -270,7 +293,7 @@ function initConfirmations() {
       event.preventDefault();
       event.stopPropagation();
       pending = trigger;
-      titleNode.textContent = trigger.dataset.confirmTitle || "Bitte bestaetigen";
+      titleNode.textContent = trigger.dataset.confirmTitle || "Bitte bestätigen";
       textNode.textContent = trigger.dataset.confirm;
       okButton.textContent = trigger.dataset.confirmOk || "Fortfahren";
       okButton.className = `btn btn--${trigger.dataset.confirmStyle || "danger"}`;
@@ -474,14 +497,14 @@ function initAutoRefresh() {
       nameField.value = entry.name || "";
       dnField.value = entry.dn || "";
       results.hidden = true;
-      show(`Uebernommen: ${entry.name || entry.dn}`);
+      show(`Übernommen: ${entry.name || entry.dn}`);
     };
 
     const search = async () => {
       const term = query.value.trim();
       if (term.length < 2) { show("Bitte mindestens zwei Zeichen eingeben."); return; }
       button.disabled = true;
-      show("Suche laeuft ...");
+      show("Suche läuft ...");
       results.innerHTML = "";
       try {
         const url = `${picker.dataset.searchUrl}?q=${encodeURIComponent(term)}`;
@@ -509,10 +532,10 @@ function initAutoRefresh() {
           results.appendChild(row);
         });
         results.hidden = false;
-        show(`${entries.length} Treffer -- zum Uebernehmen anklicken.`);
+        show(`${entries.length} Treffer – zum Übernehmen anklicken.`);
       } catch (error) {
         results.hidden = true;
-        show("Die Suche ist fehlgeschlagen. Laeuft die Verbindung zum Verzeichnis?");
+        show("Die Suche ist fehlgeschlagen. Läuft die Verbindung zum Verzeichnis?");
       } finally {
         button.disabled = false;
       }
@@ -556,7 +579,10 @@ function initAutoRefresh() {
     const tick = async () => {
       if (stopped || document.hidden) return schedule();
       try {
-        const html = await api(region.dataset.refreshUrl, { headers: { Accept: "text/html" } });
+        const html = await api(region.dataset.refreshUrl, {
+          auto: true,
+          headers: { Accept: "text/html" },
+        });
         // Eine vollstaendige Seite gehoert nie in einen Ausschnitt. Zeigt die
         // URL versehentlich auf eine ganze Seite, waere das Ergebnis eine
         // Seite in der Seite -- bei jedem Durchlauf eine Ebene tiefer.
@@ -588,7 +614,16 @@ function initAutoRefresh() {
           initRelativeTimes(region);
           initCountdowns(region);
         }
-      } catch {
+      } catch (error) {
+        // 401 heisst: die Sitzung ist abgelaufen. Weiterpollen waere sinnlos,
+        // und stehenbleiben waere irrefuehrend -- die Kacheln zeigten dann
+        // beliebig alte Zahlen, als sei alles in Ordnung. Neu laden bringt die
+        // Anmeldemaske mit ihrem Hinweis.
+        if (error && error.status === 401) {
+          stopped = true;
+          window.location.reload();
+          return;
+        }
         /* Netzfehler: beim naechsten Intervall erneut versuchen. */
       }
       schedule();
@@ -685,7 +720,7 @@ function initClipboard() {
         timeout: 2500,
       });
     } catch {
-      showToast("Kopieren nicht moeglich -- bitte manuell markieren.", "warning");
+      showToast("Kopieren nicht möglich – bitte manuell markieren.", "warning");
     }
   });
 }
@@ -821,6 +856,81 @@ function initTileFilters() {
   });
 }
 
+/* -- Reihenfolge aendern -------------------------------------------------- */
+
+/**
+ * Eine Liste, deren Reihenfolge man aendern kann -- ohne Bibliothek.
+ *
+ * Die Reihenfolge steckt in der Reihenfolge der versteckten Felder: das
+ * Formular schickt sie als wiederholtes Feld, und der Server liest sie als
+ * Liste. Verschiebt man einen Eintrag, verschiebt sich das Feld mit ihm.
+ *
+ * Zwei Wege, weil es zwei Arten von Geraeten gibt: Ziehen mit der Maus und
+ * zwei Knoepfe je Zeile. Die Knoepfe sind nicht die Notloesung -- auf einem
+ * Tablet sind sie der einzige Weg, der zuverlaessig funktioniert, und mit der
+ * Tastatur ebenso.
+ */
+function initReorder() {
+  $$('[data-behavior="reorder"]').forEach((liste) => {
+    // Nur die eigenen Zeilen: Gruppen enthalten wiederum eine sortierbare
+    // Liste, und deren Zeilen gehoeren der inneren Liste, nicht dieser.
+    const zeilen = () => Array.from(liste.querySelectorAll(":scope > [data-reorder-item]"));
+
+    const nummerieren = () => {
+      zeilen().forEach((zeile, index) => {
+        const nummer = zeile.querySelector("[data-reorder-position-text]");
+        if (nummer) nummer.textContent = String(index + 1);
+        const hoch = zeile.querySelector('[data-reorder-move="up"]');
+        const runter = zeile.querySelector('[data-reorder-move="down"]');
+        if (hoch) hoch.disabled = index === 0;
+        if (runter) runter.disabled = index === zeilen().length - 1;
+      });
+    };
+
+    liste.addEventListener("click", (event) => {
+      const knopf = event.target.closest("[data-reorder-move]");
+      if (!knopf) return;
+      const zeile = knopf.closest("[data-reorder-item]");
+      if (!zeile || zeile.parentElement !== liste) return;
+      event.preventDefault();
+      if (knopf.dataset.reorderMove === "up") {
+        const davor = zeile.previousElementSibling;
+        if (davor) liste.insertBefore(zeile, davor);
+      } else {
+        const danach = zeile.nextElementSibling;
+        if (danach) liste.insertBefore(danach, zeile);
+      }
+      nummerieren();
+      zeile.querySelector(`[data-reorder-move="${knopf.dataset.reorderMove}"]`)?.focus();
+    });
+
+    let gezogen = null;
+    liste.addEventListener("dragstart", (event) => {
+      const zeile = event.target.closest("[data-reorder-item]");
+      if (!zeile || zeile.parentElement !== liste) return;
+      gezogen = zeile;
+      gezogen.classList.add("is-dragging");
+      if (event.dataTransfer) event.dataTransfer.effectAllowed = "move";
+    });
+    liste.addEventListener("dragend", () => {
+      if (gezogen) gezogen.classList.remove("is-dragging");
+      gezogen = null;
+      nummerieren();
+    });
+    liste.addEventListener("dragover", (event) => {
+      if (!gezogen) return;
+      event.preventDefault();
+      const ziel = event.target.closest("[data-reorder-item]");
+      if (!ziel || ziel === gezogen || ziel.parentElement !== liste) return;
+      const kasten = ziel.getBoundingClientRect();
+      const obereHaelfte = event.clientY < kasten.top + kasten.height / 2;
+      liste.insertBefore(gezogen, obereHaelfte ? ziel : ziel.nextElementSibling);
+    });
+
+    nummerieren();
+  });
+}
+
 /* -- Start ---------------------------------------------------------------- */
 
 /**
@@ -858,8 +968,23 @@ function boot() {
   initPalette();
   initSubmitGuards();
   initTileFilters();
+  initReorder();
   initLogTails();
   unsavedGuard.init();
+  initViewer();
+}
+
+/* Der Dateibetrachter kommt nur auf Seiten mit Vorschau -- und er zieht bei
+   einem PDF noch pdf.js nach. Beides erst dann, wenn es gebraucht wird. */
+function initViewer() {
+  if (!document.querySelector("[data-viewer]")) return;
+  // Dieselbe Version wie diese Datei: app.js wird als ".../app.js?v=<Zeit>"
+  // eingebunden, und nginx liefert /core-assets/ mit "expires 7d". Ohne das
+  // Anhaengsel bliebe der alte Betrachter nach einem Update im Cache liegen.
+  const version = new URL(import.meta.url).search;
+  import(`./viewer.js${version}`)
+    .then((modul) => modul.initFilePreview())
+    .catch((fehler) => console.error("Dateibetrachter", fehler));
 }
 
 if (document.readyState === "loading") {

packages/tesm-core/src/tesm_core/static/tesm_core/vendor/pdfjs/HERKUNFT.txt

@@ -0,0 +1,11 @@
+pdf.js 4.10.38 -- https://github.com/mozilla/pdf.js
+Aus dem npm-Paket pdfjs-dist; nur build/pdf.min.mjs, build/pdf.worker.min.mjs,
+web/pdf_viewer.mjs, web/pdf_viewer.css, web/images und standard_fonts.
+Apache-2.0, siehe LICENSE.
+
+Die drei Skriptdateien sind von .mjs auf .js umbenannt: die mime.types von
+nginx kennen .mjs nicht, und mit application/octet-stream lehnt jeder Browser
+ein Modul ab. Der Inhalt ist unveraendert.
+
+Warum eingebettet und nicht von einem CDN: TESM laeuft in abgeschotteten
+Netzen. Was die Oberflaeche braucht, muss im Paket liegen.

packages/tesm-core/src/tesm_core/static/tesm_core/vendor/pdfjs/LICENSE

@@ -0,0 +1,177 @@
+
+                                 Apache License
+                           Version 2.0, January 2004
+                        http://www.apache.org/licenses/
+
+   TERMS AND CONDITIONS FOR USE, REPRODUCTION, AND DISTRIBUTION
+
+   1. Definitions.
+
+      "License" shall mean the terms and conditions for use, reproduction,
+      and distribution as defined by Sections 1 through 9 of this document.
+
+      "Licensor" shall mean the copyright owner or entity authorized by
+      the copyright owner that is granting the License.
+
+      "Legal Entity" shall mean the union of the acting entity and all
+      other entities that control, are controlled by, or are under common
+      control with that entity. For the purposes of this definition,
+      "control" means (i) the power, direct or indirect, to cause the
+      direction or management of such entity, whether by contract or
+      otherwise, or (ii) ownership of fifty percent (50%) or more of the
+      outstanding shares, or (iii) beneficial ownership of such entity.
+
+      "You" (or "Your") shall mean an individual or Legal Entity
+      exercising permissions granted by this License.
+
+      "Source" form shall mean the preferred form for making modifications,
+      including but not limited to software source code, documentation
+      source, and configuration files.
+
+      "Object" form shall mean any form resulting from mechanical
+      transformation or translation of a Source form, including but
+      not limited to compiled object code, generated documentation,
+      and conversions to other media types.
+
+      "Work" shall mean the work of authorship, whether in Source or
+      Object form, made available under the License, as indicated by a
+      copyright notice that is included in or attached to the work
+      (an example is provided in the Appendix below).
+
+      "Derivative Works" shall mean any work, whether in Source or Object
+      form, that is based on (or derived from) the Work and for which the
+      editorial revisions, annotations, elaborations, or other modifications
+      represent, as a whole, an original work of authorship. For the purposes
+      of this License, Derivative Works shall not include works that remain
+      separable from, or merely link (or bind by name) to the interfaces of,
+      the Work and Derivative Works thereof.
+
+      "Contribution" shall mean any work of authorship, including
+      the original version of the Work and any modifications or additions
+      to that Work or Derivative Works thereof, that is intentionally
+      submitted to Licensor for inclusion in the Work by the copyright owner
+      or by an individual or Legal Entity authorized to submit on behalf of
+      the copyright owner. For the purposes of this definition, "submitted"
+      means any form of electronic, verbal, or written communication sent
+      to the Licensor or its representatives, including but not limited to
+      communication on electronic mailing lists, source code control systems,
+      and issue tracking systems that are managed by, or on behalf of, the
+      Licensor for the purpose of discussing and improving the Work, but
+      excluding communication that is conspicuously marked or otherwise
+      designated in writing by the copyright owner as "Not a Contribution."
+
+      "Contributor" shall mean Licensor and any individual or Legal Entity
+      on behalf of whom a Contribution has been received by Licensor and
+      subsequently incorporated within the Work.
+
+   2. Grant of Copyright License. Subject to the terms and conditions of
+      this License, each Contributor hereby grants to You a perpetual,
+      worldwide, non-exclusive, no-charge, royalty-free, irrevocable
+      copyright license to reproduce, prepare Derivative Works of,
+      publicly display, publicly perform, sublicense, and distribute the
+      Work and such Derivative Works in Source or Object form.
+
+   3. Grant of Patent License. Subject to the terms and conditions of
+      this License, each Contributor hereby grants to You a perpetual,
+      worldwide, non-exclusive, no-charge, royalty-free, irrevocable
+      (except as stated in this section) patent license to make, have made,
+      use, offer to sell, sell, import, and otherwise transfer the Work,
+      where such license applies only to those patent claims licensable
+      by such Contributor that are necessarily infringed by their
+      Contribution(s) alone or by combination of their Contribution(s)
+      with the Work to which such Contribution(s) was submitted. If You
+      institute patent litigation against any entity (including a
+      cross-claim or counterclaim in a lawsuit) alleging that the Work
+      or a Contribution incorporated within the Work constitutes direct
+      or contributory patent infringement, then any patent licenses
+      granted to You under this License for that Work shall terminate
+      as of the date such litigation is filed.
+
+   4. Redistribution. You may reproduce and distribute copies of the
+      Work or Derivative Works thereof in any medium, with or without
+      modifications, and in Source or Object form, provided that You
+      meet the following conditions:
+
+      (a) You must give any other recipients of the Work or
+          Derivative Works a copy of this License; and
+
+      (b) You must cause any modified files to carry prominent notices
+          stating that You changed the files; and
+
+      (c) You must retain, in the Source form of any Derivative Works
+          that You distribute, all copyright, patent, trademark, and
+          attribution notices from the Source form of the Work,
+          excluding those notices that do not pertain to any part of
+          the Derivative Works; and
+
+      (d) If the Work includes a "NOTICE" text file as part of its
+          distribution, then any Derivative Works that You distribute must
+          include a readable copy of the attribution notices contained
+          within such NOTICE file, excluding those notices that do not
+          pertain to any part of the Derivative Works, in at least one
+          of the following places: within a NOTICE text file distributed
+          as part of the Derivative Works; within the Source form or
+          documentation, if provided along with the Derivative Works; or,
+          within a display generated by the Derivative Works, if and
+          wherever such third-party notices normally appear. The contents
+          of the NOTICE file are for informational purposes only and
+          do not modify the License. You may add Your own attribution
+          notices within Derivative Works that You distribute, alongside
+          or as an addendum to the NOTICE text from the Work, provided
+          that such additional attribution notices cannot be construed
+          as modifying the License.
+
+      You may add Your own copyright statement to Your modifications and
+      may provide additional or different license terms and conditions
+      for use, reproduction, or distribution of Your modifications, or
+      for any such Derivative Works as a whole, provided Your use,
+      reproduction, and distribution of the Work otherwise complies with
+      the conditions stated in this License.
+
+   5. Submission of Contributions. Unless You explicitly state otherwise,
+      any Contribution intentionally submitted for inclusion in the Work
+      by You to the Licensor shall be under the terms and conditions of
+      this License, without any additional terms or conditions.
+      Notwithstanding the above, nothing herein shall supersede or modify
+      the terms of any separate license agreement you may have executed
+      with Licensor regarding such Contributions.
+
+   6. Trademarks. This License does not grant permission to use the trade
+      names, trademarks, service marks, or product names of the Licensor,
+      except as required for reasonable and customary use in describing the
+      origin of the Work and reproducing the content of the NOTICE file.
+
+   7. Disclaimer of Warranty. Unless required by applicable law or
+      agreed to in writing, Licensor provides the Work (and each
+      Contributor provides its Contributions) on an "AS IS" BASIS,
+      WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND, either express or
+      implied, including, without limitation, any warranties or conditions
+      of TITLE, NON-INFRINGEMENT, MERCHANTABILITY, or FITNESS FOR A
+      PARTICULAR PURPOSE. You are solely responsible for determining the
+      appropriateness of using or redistributing the Work and assume any
+      risks associated with Your exercise of permissions under this License.
+
+   8. Limitation of Liability. In no event and under no legal theory,
+      whether in tort (including negligence), contract, or otherwise,
+      unless required by applicable law (such as deliberate and grossly
+      negligent acts) or agreed to in writing, shall any Contributor be
+      liable to You for damages, including any direct, indirect, special,
+      incidental, or consequential damages of any character arising as a
+      result of this License or out of the use or inability to use the
+      Work (including but not limited to damages for loss of goodwill,
+      work stoppage, computer failure or malfunction, or any and all
+      other commercial damages or losses), even if such Contributor
+      has been advised of the possibility of such damages.
+
+   9. Accepting Warranty or Additional Liability. While redistributing
+      the Work or Derivative Works thereof, You may choose to offer,
+      and charge a fee for, acceptance of support, warranty, indemnity,
+      or other liability obligations and/or rights consistent with this
+      License. However, in accepting such obligations, You may act only
+      on Your own behalf and on Your sole responsibility, not on behalf
+      of any other Contributor, and only if You agree to indemnify,
+      defend, and hold each Contributor harmless for any liability
+      incurred by, or claims asserted against, such Contributor by reason
+      of your accepting any such warranty or additional liability.
+
+   END OF TERMS AND CONDITIONS

packages/tesm-core/src/tesm_core/static/tesm_core/vendor/pdfjs/VERSION

@@ -0,0 +1 @@
+4.10.38

packages/tesm-core/src/tesm_core/static/tesm_core/vendor/pdfjs/images/altText_add.svg

@@ -0,0 +1,3 @@
+<svg width="12" height="13" viewBox="0 0 12 13" fill="none" xmlns="http://www.w3.org/2000/svg">
+   <path d="M5.375 7.625V11.875C5.375 12.0408 5.44085 12.1997 5.55806 12.3169C5.67527 12.4342 5.83424 12.5 6 12.5C6.16576 12.5 6.32473 12.4342 6.44194 12.3169C6.55915 12.1997 6.625 12.0408 6.625 11.875V7.625L7.125 7.125H11.375C11.5408 7.125 11.6997 7.05915 11.8169 6.94194C11.9342 6.82473 12 6.66576 12 6.5C12 6.33424 11.9342 6.17527 11.8169 6.05806C11.6997 5.94085 11.5408 5.875 11.375 5.875H7.125L6.625 5.375V1.125C6.625 0.95924 6.55915 0.800269 6.44194 0.683058C6.32473 0.565848 6.16576 0.5 6 0.5C5.83424 0.5 5.67527 0.565848 5.55806 0.683058C5.44085 0.800269 5.375 0.95924 5.375 1.125V5.375L4.875 5.875H0.625C0.45924 5.875 0.300269 5.94085 0.183058 6.05806C0.065848 6.17527 0 6.33424 0 6.5C0 6.66576 0.065848 6.82473 0.183058 6.94194C0.300269 7.05915 0.45924 7.125 0.625 7.125H4.762L5.375 7.625Z" fill="black"/>
+</svg> 

packages/tesm-core/src/tesm_core/static/tesm_core/vendor/pdfjs/images/altText_disclaimer.svg

@@ -0,0 +1,3 @@
+<svg width="17" height="16" viewBox="0 0 17 16" fill="none" xmlns="http://www.w3.org/2000/svg">
+<path fill-rule="evenodd" clip-rule="evenodd" d="M3.49073 1.3015L3.30873 2.1505C3.29349 2.22246 3.25769 2.28844 3.20568 2.34045C3.15368 2.39246 3.08769 2.42826 3.01573 2.4435L2.16673 2.6255C1.76473 2.7125 1.76473 3.2865 2.16673 3.3725L3.01573 3.5555C3.08769 3.57074 3.15368 3.60654 3.20568 3.65855C3.25769 3.71056 3.29349 3.77654 3.30873 3.8485L3.49073 4.6975C3.57773 5.0995 4.15173 5.0995 4.23773 4.6975L4.42073 3.8485C4.43598 3.77654 4.47177 3.71056 4.52378 3.65855C4.57579 3.60654 4.64178 3.57074 4.71373 3.5555L5.56173 3.3725C5.96373 3.2855 5.96373 2.7115 5.56173 2.6255L4.71273 2.4435C4.64083 2.42814 4.57491 2.3923 4.52292 2.34031C4.47093 2.28832 4.43509 2.2224 4.41973 2.1505L4.23773 1.3015C4.15073 0.8995 3.57673 0.8995 3.49073 1.3015ZM10.8647 13.9995C10.4853 14.0056 10.1158 13.8782 9.82067 13.6397C9.52553 13.4013 9.32347 13.0667 9.24973 12.6945L8.89273 11.0275C8.83676 10.7687 8.70738 10.5316 8.52009 10.3445C8.3328 10.1574 8.09554 10.0282 7.83673 9.9725L6.16973 9.6155C5.38873 9.4465 4.86473 8.7975 4.86473 7.9995C4.86473 7.2015 5.38873 6.5525 6.16973 6.3845L7.83673 6.0275C8.09551 5.97135 8.33267 5.84193 8.51992 5.65468C8.70716 5.46744 8.83658 5.23028 8.89273 4.9715L9.25073 3.3045C9.41773 2.5235 10.0667 1.9995 10.8647 1.9995C11.6627 1.9995 12.3117 2.5235 12.4797 3.3045L12.8367 4.9715C12.9507 5.4995 13.3647 5.9135 13.8927 6.0265L15.5597 6.3835C16.3407 6.5525 16.8647 7.2015 16.8647 7.9995C16.8647 8.7975 16.3407 9.4465 15.5597 9.6145L13.8927 9.9715C13.6337 10.0275 13.3963 10.157 13.209 10.3445C13.0217 10.5319 12.8925 10.7694 12.8367 11.0285L12.4787 12.6945C12.4054 13.0667 12.2036 13.4014 11.9086 13.6399C11.6135 13.8784 11.2441 14.0057 10.8647 13.9995ZM10.8647 3.2495C10.7667 3.2495 10.5337 3.2795 10.4727 3.5655L10.1147 5.2335C10.0081 5.72777 9.76116 6.18082 9.40361 6.53837C9.04606 6.89593 8.59301 7.14283 8.09873 7.2495L6.43173 7.6065C6.14573 7.6685 6.11473 7.9015 6.11473 7.9995C6.11473 8.0975 6.14573 8.3305 6.43173 8.3925L8.09873 8.7495C8.59301 8.85617 9.04606 9.10307 9.40361 9.46062C9.76116 9.81817 10.0081 10.2712 10.1147 10.7655L10.4727 12.4335C10.5337 12.7195 10.7667 12.7495 10.8647 12.7495C10.9627 12.7495 11.1957 12.7195 11.2567 12.4335L11.6147 10.7665C11.7212 10.272 11.9681 9.81878 12.3256 9.46103C12.6832 9.10329 13.1363 8.85624 13.6307 8.7495L15.2977 8.3925C15.5837 8.3305 15.6147 8.0975 15.6147 7.9995C15.6147 7.9015 15.5837 7.6685 15.2977 7.6065L13.6307 7.2495C13.1365 7.14283 12.6834 6.89593 12.3259 6.53837C11.9683 6.18082 11.7214 5.72777 11.6147 5.2335L11.2567 3.5655C11.1957 3.2795 10.9627 3.2495 10.8647 3.2495ZM3.30873 12.1505L3.49073 11.3015C3.57673 10.8995 4.15073 10.8995 4.23773 11.3015L4.41973 12.1505C4.43509 12.2224 4.47093 12.2883 4.52292 12.3403C4.57491 12.3923 4.64083 12.4281 4.71273 12.4435L5.56173 12.6255C5.96373 12.7115 5.96373 13.2855 5.56173 13.3725L4.71273 13.5545C4.64083 13.5699 4.57491 13.6057 4.52292 13.6577C4.47093 13.7097 4.43509 13.7756 4.41973 13.8475L4.23773 14.6965C4.15173 15.0985 3.57773 15.0985 3.49073 14.6965L3.30873 13.8475C3.29337 13.7756 3.25754 13.7097 3.20555 13.6577C3.15356 13.6057 3.08764 13.5699 3.01573 13.5545L2.16673 13.3725C1.76473 13.2865 1.76473 12.7125 2.16673 12.6255L3.01573 12.4435C3.08769 12.4283 3.15368 12.3925 3.20568 12.3405C3.25769 12.2884 3.29349 12.2225 3.30873 12.1505Z" fill="black"/>
+</svg>

packages/tesm-core/src/tesm_core/static/tesm_core/vendor/pdfjs/images/altText_done.svg

@@ -0,0 +1,3 @@
+<svg width="12" height="13" viewBox="0 0 12 13" fill="none" xmlns="http://www.w3.org/2000/svg">
+  <path d="M6 0.5C5.21207 0.5 4.43185 0.655195 3.7039 0.956723C2.97595 1.25825 2.31451 1.70021 1.75736 2.25736C1.20021 2.81451 0.758251 3.47595 0.456723 4.2039C0.155195 4.93185 0 5.71207 0 6.5C0 7.28793 0.155195 8.06815 0.456723 8.7961C0.758251 9.52405 1.20021 10.1855 1.75736 10.7426C2.31451 11.2998 2.97595 11.7417 3.7039 12.0433C4.43185 12.3448 5.21207 12.5 6 12.5C7.5913 12.5 9.11742 11.8679 10.2426 10.7426C11.3679 9.61742 12 8.0913 12 6.5C12 4.9087 11.3679 3.38258 10.2426 2.25736C9.11742 1.13214 7.5913 0.5 6 0.5ZM5.06 8.9L2.9464 6.7856C2.85273 6.69171 2.80018 6.56446 2.80033 6.43183C2.80048 6.29921 2.85331 6.17207 2.9472 6.0784C3.04109 5.98473 3.16834 5.93218 3.30097 5.93233C3.43359 5.93248 3.56073 5.98531 3.6544 6.0792L5.3112 7.7368L8.3464 4.7008C8.44109 4.6109 8.56715 4.56153 8.69771 4.56322C8.82827 4.56492 8.95301 4.61754 9.04534 4.70986C9.13766 4.80219 9.19028 4.92693 9.19198 5.05749C9.19367 5.18805 9.1443 5.31411 9.0544 5.4088L5.5624 8.9H5.06Z" fill="#FBFBFE"/>
+</svg> 

packages/tesm-core/src/tesm_core/static/tesm_core/vendor/pdfjs/images/altText_spinner.svg

@@ -0,0 +1,30 @@
+<!-- This Source Code Form is subject to the terms of the Mozilla Public
+   - License, v. 2.0. If a copy of the MPL was not distributed with this
+   - file, You can obtain one at http://mozilla.org/MPL/2.0/. -->
+<svg xmlns="http://www.w3.org/2000/svg" viewBox="0 0 16 16" width="16" height="16">
+  <style>
+    @media not (prefers-reduced-motion) {
+      @keyframes loadingRotate {
+        from { rotate: 0; } to { rotate: 360deg }
+      }
+      #circle-arrows {
+        animation: loadingRotate 1.8s linear infinite;
+        transform-origin: 50% 50%;
+      }
+      #hourglass {
+        display: none;
+      }
+    }
+
+    @media (prefers-reduced-motion) {
+      #circle-arrows {
+        display: none;
+      }
+    }
+  </style>
+  <path id="circle-arrows" d="M9 5.528c0 .42.508.63.804.333l2.528-2.528a.47.47 0 0 0 0-.666L9.805.14A.471.471 0 0 0 9 .472v1.866A5.756 5.756 0 0 0 2.25 8c0 .942.232 1.83.635 2.615l1.143-1.143A4.208 4.208 0 0 1 3.75 8 4.254 4.254 0 0 1 8 3.75c.345 0 .68.042 1 .122v1.656zM7 10.472v1.656c.32.08.655.122 1 .122A4.254 4.254 0 0 0 12.25 8c0-.52-.107-1.013-.279-1.474l1.143-1.143c.404.786.636 1.674.636 2.617A5.756 5.756 0 0 1 7 13.662v1.866a.47.47 0 0 1-.804.333l-2.528-2.528a.47.47 0 0 1 0-.666l2.528-2.528a.47.47 0 0 1 .804.333z"/>
+  <g id="hourglass">
+    <path d="M13,1 C13.5522847,1 14,1.44771525 14,2 C14,2.55228475 13.5522847,3 13,3 L12.9854217,2.99990801 C12.9950817,3.16495885 13,3.33173274 13,3.5 C13,5.24679885 10.9877318,6.01090495 10.9877318,8.0017538 C10.9877318,9.99260264 13,10.7536922 13,12.5 C13,12.6686079 12.9950617,12.8357163 12.985363,13.0010943 L13,13 C13.5522847,13 14,13.4477153 14,14 C14,14.5522847 13.5522847,15 13,15 L3,15 C2.44771525,15 2,14.5522847 2,14 C2,13.4477153 2.44771525,13 3,13 L3.01463704,13.0010943 C3.00493827,12.8357163 3,12.6686079 3,12.5 C3,10.7536922 4.9877318,9.99260264 5,8.0017538 C5.0122682,6.01090495 3,5.24679885 3,3.5 C3,3.33173274 3.00491834,3.16495885 3.01457832,2.99990801 L3,3 C2.44771525,3 2,2.55228475 2,2 C2,1.44771525 2.44771525,1 3,1 L13,1 Z M10.987,3 L5.012,3 L5.00308914,3.24815712 C5.00103707,3.33163368 5,3.4155948 5,3.5 C5,5.36125069 6.99153646,6.01774089 6.99153646,8.0017538 C6.99153646,9.98576671 5,10.6393737 5,12.5 L5.00307746,12.7513676 L5.01222201,12.9998392 L5.60191711,12.9988344 L6.0425138,12.2959826 C7.02362731,10.7653275 7.67612271,10 8,10 C8.37014547,10 9.16950644,10.9996115 10.3980829,12.9988344 L10.987778,12.9998392 C10.9958674,12.8352104 11,12.66849 11,12.5 C11,10.6393737 8.98689779,10.0147381 8.98689779,8.0017538 C8.98689779,5.98876953 11,5.36125069 11,3.5 L10.9969109,3.24815712 L10.987,3 Z"/>
+    <path d="M6,4 L10,4 C8.95166016,6 8.28499349,7 8,7 C7.71500651,7 7.04833984,6 6,4 Z"/>
+  </g>
+</svg>

packages/tesm-core/src/tesm_core/static/tesm_core/vendor/pdfjs/images/altText_warning.svg

@@ -0,0 +1,3 @@
+<svg width="17" height="16" viewBox="0 0 17 16" fill="none" xmlns="http://www.w3.org/2000/svg">
+    <path fill-rule="evenodd" clip-rule="evenodd" d="M8.78182 2.63903C8.58882 2.28803 8.25782 2.25003 8.12482 2.25003C7.99019 2.24847 7.85771 2.28393 7.74185 2.35253C7.62599 2.42113 7.5312 2.52023 7.46782 2.63903L1.97082 12.639C1.90673 12.7528 1.87406 12.8816 1.87617 13.0122C1.87828 13.1427 1.91509 13.2704 1.98282 13.382C2.04798 13.4951 2.14207 13.5888 2.25543 13.6535C2.36879 13.7182 2.49732 13.7515 2.62782 13.75H13.6218C13.7523 13.7515 13.8809 13.7182 13.9942 13.6535C14.1076 13.5888 14.2017 13.4951 14.2668 13.382C14.3346 13.2704 14.3714 13.1427 14.3735 13.0122C14.3756 12.8816 14.3429 12.7528 14.2788 12.639L8.78182 2.63903ZM6.37282 2.03703C6.75182 1.34603 7.43882 1.00003 8.12482 1.00003C8.48341 0.997985 8.83583 1.09326 9.14454 1.2757C9.45325 1.45814 9.70668 1.72092 9.87782 2.03603L15.3748 12.036C16.1078 13.369 15.1438 15 13.6228 15H2.62782C1.10682 15 0.141823 13.37 0.875823 12.037L6.37282 2.03703ZM8.74982 9.06203C8.74982 9.22779 8.68397 9.38676 8.56676 9.50397C8.44955 9.62118 8.29058 9.68703 8.12482 9.68703C7.95906 9.68703 7.80009 9.62118 7.68288 9.50397C7.56566 9.38676 7.49982 9.22779 7.49982 9.06203V5.62503C7.49982 5.45927 7.56566 5.3003 7.68288 5.18309C7.80009 5.06588 7.95906 5.00003 8.12482 5.00003C8.29058 5.00003 8.44955 5.06588 8.56676 5.18309C8.68397 5.3003 8.74982 5.45927 8.74982 5.62503V9.06203ZM7.74982 12L7.49982 11.75V11L7.74982 10.75H8.49982L8.74982 11V11.75L8.49982 12H7.74982Z" fill="black"/>
+</svg>

packages/tesm-core/src/tesm_core/static/tesm_core/vendor/pdfjs/images/annotation-check.svg

@@ -0,0 +1,11 @@
+<?xml version="1.0" encoding="UTF-8" standalone="no"?>
+<svg
+   xmlns="http://www.w3.org/2000/svg"
+   width="40"
+   height="40"
+   viewBox="0 0 40 40">
+  <path
+     d="M 1.5006714,23.536225 6.8925879,18.994244 14.585721,26.037937 34.019683,4.5410479 38.499329,9.2235032 14.585721,35.458952 z"
+     id="path4"
+     style="fill:#ffff00;fill-opacity:1;stroke:#000000;stroke-width:1.25402856;stroke-opacity:1" />
+</svg>

packages/tesm-core/src/tesm_core/static/tesm_core/vendor/pdfjs/images/annotation-comment.svg

@@ -0,0 +1,16 @@
+<?xml version="1.0" encoding="UTF-8" standalone="no"?>
+<svg
+   xmlns="http://www.w3.org/2000/svg"
+   height="40"
+   width="40"
+   viewBox="0 0 40 40">
+  <rect
+     style="fill:#ffff00;fill-opacity:1;fill-rule:evenodd;stroke:#000000;stroke-width:1;stroke-miterlimit:4;stroke-opacity:1;stroke-dasharray:none"
+     width="33.76017"
+     height="33.76017"
+     x="3.119915"
+     y="3.119915" />
+  <path
+     d="m 20.677967,8.54499 c -7.342801,0 -13.295293,4.954293 -13.295293,11.065751 0,2.088793 0.3647173,3.484376 1.575539,5.150563 L 6.0267418,31.45501 13.560595,29.011117 c 2.221262,1.387962 4.125932,1.665377 7.117372,1.665377 7.3428,0 13.295291,-4.954295 13.295291,-11.065753 0,-6.111458 -5.952491,-11.065751 -13.295291,-11.065751 z"
+     style="fill:#ffffff;fill-opacity:1;stroke:#000000;stroke-width:0.93031836;stroke-miterlimit:4;stroke-opacity:1;stroke-dasharray:none"/>
+</svg>

packages/tesm-core/src/tesm_core/static/tesm_core/vendor/pdfjs/images/annotation-help.svg

@@ -0,0 +1,26 @@
+<?xml version="1.0" encoding="UTF-8" standalone="no"?>
+<svg
+   xmlns="http://www.w3.org/2000/svg"
+   width="40"
+   height="40"
+   viewBox="0 0 40 40">
+  <g
+     transform="translate(0,-60)"
+     id="layer1">
+    <rect
+       width="36.460953"
+       height="34.805603"
+       x="1.7695236"
+       y="62.597198"
+       style="fill:#ffff00;fill-opacity:1;fill-rule:evenodd;stroke:#000000;stroke-width:1.30826771;stroke-opacity:1" />
+    <g
+       transform="matrix(0.88763677,0,0,0.88763677,2.2472646,8.9890584)">
+      <path
+         d="M 20,64.526342 C 11.454135,64.526342 4.5263421,71.454135 4.5263421,80 4.5263421,88.545865 11.454135,95.473658 20,95.473658 28.545865,95.473658 35.473658,88.545865 35.473658,80 35.473658,71.454135 28.545865,64.526342 20,64.526342 z m -0.408738,9.488564 c 3.527079,0 6.393832,2.84061 6.393832,6.335441 0,3.494831 -2.866753,6.335441 -6.393832,6.335441 -3.527079,0 -6.393832,-2.84061 -6.393832,-6.335441 0,-3.494831 2.866753,-6.335441 6.393832,-6.335441 z"
+         style="fill:#ffffff;fill-opacity:1;fill-rule:nonzero;stroke:#000000;stroke-width:1.02768445;stroke-miterlimit:4;stroke-opacity:1;stroke-dasharray:none" />
+      <path
+         d="m 7.2335209,71.819938 4.9702591,4.161823 c -1.679956,2.581606 -1.443939,6.069592 0.159325,8.677725 l -5.1263071,3.424463 c 0.67516,1.231452 3.0166401,3.547686 4.2331971,4.194757 l 3.907728,-4.567277 c 2.541952,1.45975 5.730694,1.392161 8.438683,-0.12614 l 3.469517,6.108336 c 1.129779,-0.44367 4.742234,-3.449633 5.416358,-5.003859 l -5.46204,-4.415541 c 1.44319,-2.424098 1.651175,-5.267515 0.557303,-7.748623 l 5.903195,-3.833951 C 33.14257,71.704996 30.616217,69.018606 29.02952,67.99296 l -4.118813,4.981678 C 22.411934,71.205099 18.900853,70.937534 16.041319,72.32916 l -3.595408,-5.322091 c -1.345962,0.579488 -4.1293881,2.921233 -5.2123901,4.812869 z m 8.1010311,3.426672 c 2.75284,-2.446266 6.769149,-2.144694 9.048998,0.420874 2.279848,2.56557 2.113919,6.596919 -0.638924,9.043185 -2.752841,2.446267 -6.775754,2.13726 -9.055604,-0.428308 -2.279851,-2.565568 -2.107313,-6.589485 0.64553,-9.035751 z"
+         style="fill:#000000;fill-opacity:1;stroke:none" />
+    </g>
+  </g>
+</svg>

packages/tesm-core/src/tesm_core/static/tesm_core/vendor/pdfjs/images/annotation-insert.svg

@@ -0,0 +1,10 @@
+<?xml version="1.0" encoding="UTF-8" standalone="no"?>
+<svg
+   xmlns="http://www.w3.org/2000/svg"
+   width="64"
+   height="64"
+   viewBox="0 0 64 64">
+  <path
+     d="M 32.003143,1.4044602 57.432701,62.632577 6.5672991,62.627924 z"
+     style="fill:#ffff00;fill-opacity:0.94117647;fill-rule:nonzero;stroke:#000000;stroke-width:1.00493038;stroke-miterlimit:4;stroke-opacity:1;stroke-dasharray:none" />
+</svg>

packages/tesm-core/src/tesm_core/static/tesm_core/vendor/pdfjs/images/annotation-key.svg

@@ -0,0 +1,11 @@
+<?xml version="1.0" encoding="UTF-8" standalone="no"?>
+<svg
+   xmlns="http://www.w3.org/2000/svg"
+   width="64"
+   height="64"
+   viewBox="0 0 64 64">
+  <path
+     d="M 25.470843,9.4933766 C 25.30219,12.141818 30.139101,14.445969 34.704831,13.529144 40.62635,12.541995 41.398833,7.3856498 35.97505,5.777863 31.400921,4.1549155 25.157674,6.5445892 25.470843,9.4933766 z M 4.5246282,17.652051 C 4.068249,11.832873 9.2742983,5.9270407 18.437379,3.0977088 29.751911,-0.87185184 45.495663,1.4008022 53.603953,7.1104009 c 9.275765,6.1889221 7.158128,16.2079421 -3.171076,21.5939521 -1.784316,1.635815 -6.380222,1.21421 -7.068351,3.186186 -1.04003,0.972427 -1.288046,2.050158 -1.232864,3.168203 1.015111,2.000108 -3.831548,1.633216 -3.270553,3.759574 0.589477,5.264544 -0.179276,10.53738 -0.362842,15.806257 -0.492006,2.184998 1.163456,4.574232 -0.734888,6.610642 -2.482919,2.325184 -7.30604,2.189143 -9.193497,-0.274767 -2.733688,-1.740626 -8.254447,-3.615254 -6.104247,-6.339626 3.468112,-1.708686 -2.116197,-3.449897 0.431242,-5.080274 5.058402,-1.39256 -2.393215,-2.304318 -0.146889,-4.334645 3.069198,-0.977415 2.056986,-2.518352 -0.219121,-3.540397 1.876567,-1.807151 1.484149,-4.868919 -2.565455,-5.942205 0.150866,-1.805474 2.905737,-4.136876 -1.679967,-5.20493 C 10.260902,27.882167 4.6872697,22.95045 4.5245945,17.652051 z"
+     id="path604"
+     style="fill:#ffff00;fill-opacity:1;stroke:#000000;stroke-width:1.72665179;stroke-opacity:1" />
+</svg>

packages/tesm-core/src/tesm_core/static/tesm_core/vendor/pdfjs/images/annotation-newparagraph.svg

@@ -0,0 +1,11 @@
+<?xml version="1.0" encoding="UTF-8" standalone="no"?>
+<svg
+   xmlns="http://www.w3.org/2000/svg"
+   width="64"
+   height="64"
+   viewBox="0 0 64 64">
+  <path
+     d="M 32.003143,10.913072 57.432701,53.086929 6.567299,53.083723 z"
+     id="path2985"
+     style="fill:#ffff00;fill-opacity:0.94117647;fill-rule:nonzero;stroke:#000000;stroke-width:0.83403099;stroke-miterlimit:4;stroke-opacity:1;stroke-dasharray:none" />
+</svg>

packages/tesm-core/src/tesm_core/static/tesm_core/vendor/pdfjs/images/annotation-noicon.svg

@@ -0,0 +1,7 @@
+<?xml version="1.0" encoding="UTF-8" standalone="no"?>
+<svg
+   xmlns="http://www.w3.org/2000/svg"
+   width="40"
+   height="40"
+   viewBox="0 0 40 40">
+</svg>

packages/tesm-core/src/tesm_core/static/tesm_core/vendor/pdfjs/images/annotation-note.svg

@@ -0,0 +1,42 @@
+<?xml version="1.0" encoding="UTF-8" standalone="no"?>
+<svg
+   xmlns="http://www.w3.org/2000/svg"
+   width="40"
+   height="40"
+   viewBox="0 0 40 40">
+  <rect
+     width="36.075428"
+     height="31.096582"
+     x="1.962286"
+     y="4.4517088"
+     id="rect4"
+     style="fill:#ffff00;fill-opacity:1;fill-rule:evenodd;stroke:#000000;stroke-width:1.23004246;stroke-opacity:1" />
+  <rect
+     width="27.96859"
+     height="1.5012145"
+     x="6.0157046"
+     y="10.285"
+     id="rect6"
+     style="fill:#000000;fill-opacity:1;stroke:none" />
+  <rect
+     width="27.96859"
+     height="0.85783684"
+     x="6.0157056"
+     y="23.21689"
+     id="rect8"
+     style="fill:#000000;fill-opacity:1;stroke:none" />
+  <rect
+     width="27.96859"
+     height="0.85783684"
+     x="5.8130345"
+     y="28.964394"
+     id="rect10"
+     style="fill:#000000;fill-opacity:1;stroke:none" />
+  <rect
+     width="27.96859"
+     height="0.85783684"
+     x="6.0157046"
+     y="17.426493"
+     id="rect12"
+     style="fill:#000000;fill-opacity:1;stroke:none" />
+</svg>

packages/tesm-core/src/tesm_core/static/tesm_core/vendor/pdfjs/images/annotation-paperclip.svg

@@ -0,0 +1,6 @@
+<!-- This Source Code Form is subject to the terms of the Mozilla Public
+   - License, v. 2.0. If a copy of the MPL was not distributed with this
+   - file, You can obtain one at http://mozilla.org/MPL/2.0/. -->
+<svg xmlns="http://www.w3.org/2000/svg" viewBox="0 0 16 16" height="40" width="40">
+  <path d="M9 3.5a1.5 1.5 0 0 0-3-.001v7.95C6 12.83 7.12 14 8.5 14s2.5-1.17 2.5-2.55V5.5a.5.5 0 0 1 1 0v6.03C11.955 13.427 10.405 15 8.5 15S5.044 13.426 5 11.53V3.5a2.5 2.5 0 0 1 5 0v7.003a1.5 1.5 0 0 1-3-.003v-5a.5.5 0 0 1 1 0v5a.5.5 0 0 0 1 0Z"/>
+</svg>

packages/tesm-core/src/tesm_core/static/tesm_core/vendor/pdfjs/images/annotation-paragraph.svg

@@ -0,0 +1,16 @@
+<?xml version="1.0" encoding="UTF-8" standalone="no"?>
+<svg
+   xmlns="http://www.w3.org/2000/svg"
+   width="40"
+   height="40"
+   viewBox="0 0 40 40">
+  <rect
+     width="33.76017"
+     height="33.76017"
+     x="3.119915"
+     y="3.119915"
+     style="fill:#ffff00;fill-opacity:1;fill-rule:evenodd;stroke:#000000;stroke-width:1;stroke-miterlimit:4;stroke-opacity:1;stroke-dasharray:none" />
+  <path
+     d="m 17.692678,34.50206 0,-16.182224 c -1.930515,-0.103225 -3.455824,-0.730383 -4.57593,-1.881473 -1.12011,-1.151067 -1.680164,-2.619596 -1.680164,-4.405591 0,-1.992435 0.621995,-3.5796849 1.865988,-4.7617553 1.243989,-1.1820288 3.06352,-1.7730536 5.458598,-1.7730764 l 9.802246,0 0,2.6789711 -2.229895,0 0,26.3251486 -2.632515,0 0,-26.3251486 -3.45324,0 0,26.3251486 z"
+     style="font-size:29.42051125px;font-style:normal;font-variant:normal;font-weight:normal;font-stretch:normal;text-align:start;line-height:125%;letter-spacing:0px;word-spacing:0px;writing-mode:lr-tb;text-anchor:start;fill:#ffffff;fill-opacity:1;stroke:#000000;stroke-width:1.07795751;stroke-opacity:1;font-family:Arial;-inkscape-font-specification:Arial" />
+</svg>

packages/tesm-core/src/tesm_core/static/tesm_core/vendor/pdfjs/images/annotation-pushpin.svg

@@ -0,0 +1,7 @@
+<!-- This Source Code Form is subject to the terms of the Mozilla Public
+   - License, v. 2.0. If a copy of the MPL was not distributed with this
+   - file, You can obtain one at http://mozilla.org/MPL/2.0/. -->
+<svg xmlns="http://www.w3.org/2000/svg" viewBox="0 0 16 16" height="40" width="40">
+  <path d="M8.156 12.5a.99.99 0 0 0 .707-.294l.523-2.574L10.5 8.499l1.058-1.04 2.65-.601a.996.996 0 0 0 0-1.414l-3.657-3.658a.996.996 0 0 0-1.414 0l-.523 2.576L7.5 5.499 6.442 6.535l-2.65.6a.996.996 0 0 0 0 1.413l3.657 3.658a.999.999 0 0 0 .707.295z"/>
+  <path d="M9.842.996c-.386 0-.77.146-1.06.44a.5.5 0 0 0-.136.251l-.492 2.43-1.008 1.03-.953.933-2.511.566a.5.5 0 0 0-.243.133 1.505 1.505 0 0 0-.002 2.123l1.477 1.477-2.768 2.767a.5.5 0 0 0 0 .707.5.5 0 0 0 .708 0l2.767-2.767 1.475 1.474a1.494 1.494 0 0 0 2.123-.002.5.5 0 0 0 .135-.254l.492-2.427 1.008-1.024.953-.937 2.511-.57a.5.5 0 0 0 .243-.132c.586-.58.583-1.543.002-2.125l-3.659-3.656A1.501 1.501 0 0 0 9.842.996Zm.05 1.025a.394.394 0 0 1 .305.12l3.658 3.657c.18.18.141.432.002.627l-2.41.545a.5.5 0 0 0-.24.131L10.15 8.142a.5.5 0 0 0-.007.006L9.029 9.283a.5.5 0 0 0-.133.25l-.48 2.36c-.082.053-.165.109-.26.109a.492.492 0 0 1-.353-.149L4.145 8.195c-.18-.18-.141-.432-.002-.627l2.41-.545a.5.5 0 0 0 .238-.13L7.85 5.857a.5.5 0 0 0 .007-.008l1.114-1.138a.5.5 0 0 0 .133-.25l.472-2.323a.619.619 0 0 1 .317-.117Z"/>
+</svg>

packages/tesm-core/src/tesm_core/static/tesm_core/vendor/pdfjs/images/cursor-editorFreeHighlight.svg

@@ -0,0 +1,6 @@
+<svg width="18" height="19" viewBox="0 0 18 19" fill="none" xmlns="http://www.w3.org/2000/svg">
+<path fill-rule="evenodd" clip-rule="evenodd" d="M12.2 3.09C12.28 3.01 12.43 3 12.43 3C12.48 3 12.58 3.02 12.66 3.1L14.45 4.89C14.58 5.02 14.58 5.22 14.45 5.35L11.7713 8.02872L9.51628 5.77372L12.2 3.09ZM13.2658 5.12L11.7713 6.6145L10.9305 5.77372L12.425 4.27921L13.2658 5.12Z" fill="#FBFBFE"/>
+<path fill-rule="evenodd" clip-rule="evenodd" d="M5.98 9.32L8.23 11.57L10.7106 9.08938L8.45562 6.83438L5.98 9.31V9.32ZM8.23 10.1558L9.29641 9.08938L8.45562 8.24859L7.38921 9.315L8.23 10.1558Z" fill="#FBFBFE"/>
+<path fill-rule="evenodd" clip-rule="evenodd" d="M10.1526 13.1816L16.2125 7.1217C16.7576 6.58919 17.05 5.8707 17.05 5.12C17.05 4.36931 16.7576 3.65084 16.2126 3.11834L14.4317 1.33747C13.8992 0.79242 13.1807 0.5 12.43 0.5C11.6643 0.5 10.9529 0.812929 10.4329 1.33289L3.68289 8.08289C3.04127 8.72452 3.00459 9.75075 3.57288 10.4363L1.29187 12.7239C1.09186 12.9245 0.990263 13.1957 1.0007 13.4685L1 14.5C0.447715 14.5 0 14.9477 0 15.5V17.5C0 18.0523 0.447715 18.5 1 18.5H16C16.5523 18.5 17 18.0523 17 17.5V15.5C17 14.9477 16.5523 14.5 16 14.5H10.2325C9.83594 14.5 9.39953 13.9347 10.1526 13.1816ZM4.39 9.85L4.9807 10.4407L2.39762 13.0312H6.63877L7.10501 12.565L7.57125 13.0312H8.88875L15.51 6.41C15.86 6.07 16.05 5.61 16.05 5.12C16.05 4.63 15.86 4.17 15.51 3.83L13.72 2.04C13.38 1.69 12.92 1.5 12.43 1.5C11.94 1.5 11.48 1.7 11.14 2.04L4.39 8.79C4.1 9.08 4.1 9.56 4.39 9.85ZM16 17.5V15.5H1V17.5H16Z" fill="#FBFBFE"/>
+<path d="M15.1616 6.05136L15.1616 6.05132L15.1564 6.05645L8.40645 12.8064C8.35915 12.8537 8.29589 12.88 8.23 12.88C8.16411 12.88 8.10085 12.8537 8.05355 12.8064L7.45857 12.2115L7.10501 11.8579L6.75146 12.2115L6.03289 12.93H3.20465L5.33477 10.7937L5.6873 10.4402L5.33426 10.0871L4.74355 9.49645C4.64882 9.40171 4.64882 9.23829 4.74355 9.14355L11.4936 2.39355C11.7436 2.14354 12.0779 2 12.43 2C12.7883 2 13.1179 2.13776 13.3614 2.38839L13.3613 2.38843L13.3664 2.39355L15.1564 4.18355L15.1564 4.18359L15.1616 4.18864C15.4122 4.43211 15.55 4.76166 15.55 5.12C15.55 5.47834 15.4122 5.80789 15.1616 6.05136ZM7.87645 11.9236L8.23 12.2771L8.58355 11.9236L11.0642 9.44293L11.4177 9.08938L11.0642 8.73582L8.80918 6.48082L8.45562 6.12727L8.10207 6.48082L5.62645 8.95645L5.48 9.10289V9.31V9.32V9.52711L5.62645 9.67355L7.87645 11.9236ZM11.4177 8.38227L11.7713 8.73582L12.1248 8.38227L14.8036 5.70355C15.1288 5.37829 15.1288 4.86171 14.8036 4.53645L13.0136 2.74645C12.8186 2.55146 12.5792 2.5 12.43 2.5H12.4134L12.3967 2.50111L12.43 3C12.3967 2.50111 12.3966 2.50112 12.3965 2.50112L12.3963 2.50114L12.3957 2.50117L12.3947 2.50125L12.3924 2.50142L12.387 2.50184L12.3732 2.50311C12.3628 2.50416 12.3498 2.50567 12.3346 2.50784C12.3049 2.51208 12.2642 2.51925 12.2178 2.53146C12.1396 2.55202 11.9797 2.60317 11.8464 2.73645L9.16273 5.42016L8.80918 5.77372L9.16273 6.12727L11.4177 8.38227ZM1.5 16H15.5V17H1.5V16Z" stroke="#15141A"/>
+</svg>

packages/tesm-core/src/tesm_core/static/tesm_core/vendor/pdfjs/images/cursor-editorFreeText.svg

@@ -0,0 +1,3 @@
+<svg width="16" height="16" viewBox="0 0 16 16" fill="none" xmlns="http://www.w3.org/2000/svg">
+<path d="M12 2.75H12.5V2.25V1V0.5H12H10.358C9.91165 0.5 9.47731 0.625661 9.09989 0.860442L9.09886 0.861087L8 1.54837L6.89997 0.860979L6.89911 0.860443C6.5218 0.625734 6.08748 0.5 5.642 0.5H4H3.5V1V2.25V2.75H4H5.642C5.66478 2.75 5.6885 2.75641 5.71008 2.76968C5.71023 2.76977 5.71038 2.76986 5.71053 2.76995L6.817 3.461C6.81704 3.46103 6.81709 3.46105 6.81713 3.46108C6.81713 3.46108 6.81713 3.46108 6.81714 3.46109C6.8552 3.48494 6.876 3.52285 6.876 3.567V8V12.433C6.876 12.4771 6.85523 12.515 6.81722 12.5389C6.81715 12.5389 6.81707 12.539 6.817 12.539L5.70953 13.23C5.70941 13.2301 5.70929 13.2302 5.70917 13.2303C5.68723 13.2438 5.6644 13.25 5.641 13.25H4H3.5V13.75V15V15.5H4H5.642C6.08835 15.5 6.52269 15.3743 6.90011 15.1396L6.90086 15.1391L8 14.4526L9.10003 15.14L9.10089 15.1406C9.47831 15.3753 9.91265 15.501 10.359 15.501H12H12.5V15.001V13.751V13.251H12H10.358C10.3352 13.251 10.3115 13.2446 10.2899 13.2313C10.2897 13.2312 10.2896 13.2311 10.2895 13.231L9.183 12.54C9.18298 12.54 9.18295 12.54 9.18293 12.54C9.18291 12.5399 9.18288 12.5399 9.18286 12.5399C9.14615 12.5169 9.125 12.4797 9.125 12.434V8V3.567C9.125 3.52266 9.14603 3.48441 9.18364 3.4606C9.18377 3.46052 9.1839 3.46043 9.18404 3.46035L10.2895 2.76995C10.2896 2.76985 10.2898 2.76975 10.2899 2.76966C10.3119 2.75619 10.3346 2.75 10.358 2.75H12Z" fill="black" stroke="white"/>
+</svg>

packages/tesm-core/src/tesm_core/static/tesm_core/vendor/pdfjs/images/cursor-editorInk.svg

@@ -0,0 +1,4 @@
+<svg width="16" height="16" viewBox="0 0 16 16" fill="none" xmlns="http://www.w3.org/2000/svg">
+<path d="M0.0189877 13.6645L0.612989 10.4635C0.687989 10.0545 0.884989 9.6805 1.18099 9.3825L9.98199 0.5805C10.756 -0.1925 12.015 -0.1945 12.792 0.5805L14.42 2.2085C15.194 2.9835 15.194 4.2435 14.42 5.0185L5.61599 13.8215C5.31999 14.1165 4.94599 14.3125 4.53799 14.3875L1.33599 14.9815C1.26599 14.9935 1.19799 15.0005 1.12999 15.0005C0.832989 15.0005 0.544988 14.8835 0.330988 14.6695C0.0679874 14.4055 -0.0490122 14.0305 0.0189877 13.6645Z" fill="white"/>
+<path d="M0.0189877 13.6645L0.612989 10.4635C0.687989 10.0545 0.884989 9.6805 1.18099 9.3825L9.98199 0.5805C10.756 -0.1925 12.015 -0.1945 12.792 0.5805L14.42 2.2085C15.194 2.9835 15.194 4.2435 14.42 5.0185L5.61599 13.8215C5.31999 14.1165 4.94599 14.3125 4.53799 14.3875L1.33599 14.9815C1.26599 14.9935 1.19799 15.0005 1.12999 15.0005C0.832989 15.0005 0.544988 14.8835 0.330988 14.6695C0.0679874 14.4055 -0.0490122 14.0305 0.0189877 13.6645ZM12.472 5.1965L13.632 4.0365L13.631 3.1885L11.811 1.3675L10.963 1.3685L9.80299 2.5285L12.472 5.1965ZM4.31099 13.1585C4.47099 13.1285 4.61799 13.0515 4.73399 12.9345L11.587 6.0815L8.91899 3.4135L2.06599 10.2655C1.94899 10.3835 1.87199 10.5305 1.84099 10.6915L1.36699 13.2485L1.75199 13.6335L4.31099 13.1585Z" fill="black"/>
+</svg>

packages/tesm-core/src/tesm_core/static/tesm_core/vendor/pdfjs/images/cursor-editorTextHighlight.svg

@@ -0,0 +1,8 @@
+<svg width="29" height="32" viewBox="0 0 29 32" fill="none" xmlns="http://www.w3.org/2000/svg">
+<path d="M28 16.75C28.2761 16.75 28.5 16.5261 28.5 16.25V15C28.5 14.7239 28.2761 14.5 28 14.5H26.358C25.9117 14.5 25.4773 14.6257 25.0999 14.8604L25.0989 14.8611L24 15.5484L22.9 14.861L22.8991 14.8604C22.5218 14.6257 22.0875 14.5 21.642 14.5H20C19.7239 14.5 19.5 14.7239 19.5 15V16.25C19.5 16.5261 19.7239 16.75 20 16.75H21.642C21.6648 16.75 21.6885 16.7564 21.7101 16.7697C21.7102 16.7698 21.7104 16.7699 21.7105 16.77L22.817 17.461C22.817 17.461 22.8171 17.4611 22.8171 17.4611C22.8171 17.4611 22.8171 17.4611 22.8171 17.4611C22.8552 17.4849 22.876 17.5229 22.876 17.567V22.625V27.683C22.876 27.7271 22.8552 27.765 22.8172 27.7889C22.8171 27.7889 22.8171 27.789 22.817 27.789L21.7095 28.48C21.7094 28.4801 21.7093 28.4802 21.7092 28.4803C21.6872 28.4938 21.6644 28.5 21.641 28.5H20C19.7239 28.5 19.5 28.7239 19.5 29V30.25C19.5 30.5261 19.7239 30.75 20 30.75H21.642C22.0883 30.75 22.5227 30.6243 22.9001 30.3896L22.9009 30.3891L24 29.7026L25.1 30.39L25.1009 30.3906C25.4783 30.6253 25.9127 30.751 26.359 30.751H28C28.2761 30.751 28.5 30.5271 28.5 30.251V29.001C28.5 28.7249 28.2761 28.501 28 28.501H26.358C26.3352 28.501 26.3115 28.4946 26.2899 28.4813C26.2897 28.4812 26.2896 28.4811 26.2895 28.481L25.183 27.79C25.183 27.79 25.183 27.79 25.1829 27.79C25.1829 27.7899 25.1829 27.7899 25.1829 27.7899C25.1462 27.7669 25.125 27.7297 25.125 27.684V22.625V17.567C25.125 17.5227 25.146 17.4844 25.1836 17.4606C25.1838 17.4605 25.1839 17.4604 25.184 17.4603L26.2895 16.77C26.2896 16.7699 26.2898 16.7698 26.2899 16.7697C26.3119 16.7562 26.3346 16.75 26.358 16.75H28Z" fill="black" stroke="#FBFBFE" stroke-linejoin="round"/>
+<path d="M24.625 17.567C24.625 17.35 24.735 17.152 24.918 17.037L26.026 16.345C26.126 16.283 26.24 16.25 26.358 16.25H28V15H26.358C26.006 15 25.663 15.099 25.364 15.285L24.256 15.978C24.161 16.037 24.081 16.113 24 16.187C23.918 16.113 23.839 16.037 23.744 15.978L22.635 15.285C22.336 15.099 21.993 15 21.642 15H20V16.25H21.642C21.759 16.25 21.874 16.283 21.974 16.345L23.082 17.037C23.266 17.152 23.376 17.35 23.376 17.567V22.625V27.683C23.376 27.9 23.266 28.098 23.082 28.213L21.973 28.905C21.873 28.967 21.759 29 21.641 29H20V30.25H21.642C21.994 30.25 22.337 30.151 22.636 29.965L23.744 29.273C23.84 29.213 23.919 29.137 24 29.064C24.081 29.137 24.161 29.213 24.256 29.273L25.365 29.966C25.664 30.152 26.007 30.251 26.359 30.251H28V29.001H26.358C26.241 29.001 26.126 28.968 26.026 28.906L24.918 28.214C24.734 28.099 24.625 27.901 24.625 27.684V22.625V17.567Z" fill="black"/>
+<path fill-rule="evenodd" clip-rule="evenodd" d="M12.2 2.59C12.28 2.51 12.43 2.5 12.43 2.5C12.48 2.5 12.58 2.52 12.66 2.6L14.45 4.39C14.58 4.52 14.58 4.72 14.45 4.85L11.7713 7.52872L9.51628 5.27372L12.2 2.59ZM13.2658 4.62L11.7713 6.1145L10.9305 5.27372L12.425 3.77921L13.2658 4.62Z" fill="#FBFBFE"/>
+<path fill-rule="evenodd" clip-rule="evenodd" d="M5.98 8.82L8.23 11.07L10.7106 8.58938L8.45562 6.33438L5.98 8.81V8.82ZM8.23 9.65579L9.29641 8.58938L8.45562 7.74859L7.38921 8.815L8.23 9.65579Z" fill="#FBFBFE"/>
+<path fill-rule="evenodd" clip-rule="evenodd" d="M10.1526 12.6816L16.2125 6.6217C16.7576 6.08919 17.05 5.3707 17.05 4.62C17.05 3.86931 16.7576 3.15084 16.2126 2.61834L14.4317 0.837474C13.8992 0.29242 13.1807 0 12.43 0C11.6643 0 10.9529 0.312929 10.4329 0.832893L3.68289 7.58289C3.04127 8.22452 3.00459 9.25075 3.57288 9.93634L1.29187 12.2239C1.09186 12.4245 0.990263 12.6957 1.0007 12.9685L1 14C0.447715 14 0 14.4477 0 15V17C0 17.5523 0.447715 18 1 18H16C16.5523 18 17 17.5523 17 17V15C17 14.4477 16.5523 14 16 14H10.2325C9.83594 14 9.39953 13.4347 10.1526 12.6816ZM4.39 9.35L4.9807 9.9407L2.39762 12.5312H6.63877L7.10501 12.065L7.57125 12.5312H8.88875L15.51 5.91C15.86 5.57 16.05 5.11 16.05 4.62C16.05 4.13 15.86 3.67 15.51 3.33L13.72 1.54C13.38 1.19 12.92 1 12.43 1C11.94 1 11.48 1.2 11.14 1.54L4.39 8.29C4.1 8.58 4.1 9.06 4.39 9.35ZM16 17V15H1V17H16Z" fill="#FBFBFE"/>
+<path d="M15.1616 5.55136L15.1616 5.55132L15.1564 5.55645L8.40645 12.3064C8.35915 12.3537 8.29589 12.38 8.23 12.38C8.16411 12.38 8.10085 12.3537 8.05355 12.3064L7.45857 11.7115L7.10501 11.3579L6.75146 11.7115L6.03289 12.43H3.20465L5.33477 10.2937L5.6873 9.94019L5.33426 9.58715L4.74355 8.99645C4.64882 8.90171 4.64882 8.73829 4.74355 8.64355L11.4936 1.89355C11.7436 1.64354 12.0779 1.5 12.43 1.5C12.7883 1.5 13.1179 1.63776 13.3614 1.88839L13.3613 1.88843L13.3664 1.89355L15.1564 3.68355L15.1564 3.68359L15.1616 3.68864C15.4122 3.93211 15.55 4.26166 15.55 4.62C15.55 4.97834 15.4122 5.30789 15.1616 5.55136ZM5.48 8.82V9.02711L5.62645 9.17355L7.87645 11.4236L8.23 11.7771L8.58355 11.4236L11.0642 8.94293L11.4177 8.58938L11.0642 8.23582L8.80918 5.98082L8.45562 5.62727L8.10207 5.98082L5.62645 8.45645L5.48 8.60289V8.81V8.82ZM11.4177 7.88227L11.7713 8.23582L12.1248 7.88227L14.8036 5.20355C15.1288 4.87829 15.1288 4.36171 14.8036 4.03645L13.0136 2.24645C12.8186 2.05146 12.5792 2 12.43 2H12.4134L12.3967 2.00111L12.43 2.5C12.3967 2.00111 12.3966 2.00112 12.3965 2.00112L12.3963 2.00114L12.3957 2.00117L12.3947 2.00125L12.3924 2.00142L12.387 2.00184L12.3732 2.00311C12.3628 2.00416 12.3498 2.00567 12.3346 2.00784C12.3049 2.01208 12.2642 2.01925 12.2178 2.03146C12.1396 2.05202 11.9797 2.10317 11.8464 2.23645L9.16273 4.92016L8.80918 5.27372L9.16273 5.62727L11.4177 7.88227ZM1.5 16.5V15.5H15.5V16.5H1.5Z" stroke="#15141A"/>
+</svg>

packages/tesm-core/src/tesm_core/static/tesm_core/vendor/pdfjs/images/editor-toolbar-delete.svg

@@ -0,0 +1,5 @@
+<svg width="16" height="16" viewBox="0 0 16 16" fill="none" xmlns="http://www.w3.org/2000/svg">
+    <path fill-rule="evenodd" clip-rule="evenodd"
+        d="M11 3H13.6C14 3 14.3 3.3 14.3 3.6C14.3 3.9 14 4.2 13.7 4.2H13.3V14C13.3 15.1 12.4 16 11.3 16H4.80005C3.70005 16 2.80005 15.1 2.80005 14V4.2H2.40005C2.00005 4.2 1.80005 4 1.80005 3.6C1.80005 3.2 2.00005 3 2.40005 3H5.00005V2C5.00005 0.9 5.90005 0 7.00005 0H9.00005C10.1 0 11 0.9 11 2V3ZM6.90005 1.2L6.30005 1.8V3H9.80005V1.8L9.20005 1.2H6.90005ZM11.4 14.7L12 14.1V4.2H4.00005V14.1L4.60005 14.7H11.4ZM7.00005 12.4C7.00005 12.7 6.70005 13 6.40005 13C6.10005 13 5.80005 12.7 5.80005 12.4V7.6C5.70005 7.3 6.00005 7 6.40005 7C6.80005 7 7.00005 7.3 7.00005 7.6V12.4ZM10.2001 12.4C10.2001 12.7 9.90006 13 9.60006 13C9.30006 13 9.00006 12.7 9.00006 12.4V7.6C9.00006 7.3 9.30006 7 9.60006 7C9.90006 7 10.2001 7.3 10.2001 7.6V12.4Z"
+        fill="black" />
+</svg>

packages/tesm-core/src/tesm_core/static/tesm_core/vendor/pdfjs/images/messageBar_closingButton.svg

@@ -0,0 +1,3 @@
+<svg width="16" height="16" viewBox="0 0 16 16" fill="none" xmlns="http://www.w3.org/2000/svg">
+    <path d="M7.85822 8.84922L4.85322 11.8542C4.75891 11.9453 4.63261 11.9957 4.50151 11.9946C4.37042 11.9934 4.24501 11.9408 4.15231 11.8481C4.0596 11.7554 4.00702 11.63 4.00588 11.4989C4.00474 11.3678 4.05514 11.2415 4.14622 11.1472L7.15122 8.14222V7.85922L4.14622 4.85322C4.05514 4.75891 4.00474 4.63261 4.00588 4.50151C4.00702 4.37042 4.0596 4.24501 4.15231 4.15231C4.24501 4.0596 4.37042 4.00702 4.50151 4.00588C4.63261 4.00474 4.75891 4.05514 4.85322 4.14622L7.85822 7.15122H8.14122L11.1462 4.14622C11.2405 4.05514 11.3668 4.00474 11.4979 4.00588C11.629 4.00702 11.7544 4.0596 11.8471 4.15231C11.9398 4.24501 11.9924 4.37042 11.9936 4.50151C11.9947 4.63261 11.9443 4.75891 11.8532 4.85322L8.84822 7.85922V8.14222L11.8532 11.1472C11.9443 11.2415 11.9947 11.3678 11.9936 11.4989C11.9924 11.63 11.9398 11.7554 11.8471 11.8481C11.7544 11.9408 11.629 11.9934 11.4979 11.9946C11.3668 11.9957 11.2405 11.9453 11.1462 11.8542L8.14122 8.84922L8.14222 8.85022L7.85822 8.84922Z" fill="black"/>
+</svg>

packages/tesm-core/src/tesm_core/static/tesm_core/vendor/pdfjs/images/messageBar_warning.svg

@@ -0,0 +1,3 @@
+<svg width="16" height="16" viewBox="0 0 16 16" fill="none" xmlns="http://www.w3.org/2000/svg">
+    <path d="M14.8748 12.037L9.37782 2.037C8.99682 1.346 8.31082 1 7.62482 1C6.93882 1 6.25282 1.346 5.87282 2.037L0.375823 12.037C-0.358177 13.37 0.606823 15 2.12782 15H13.1228C14.6428 15 15.6078 13.37 14.8748 12.037ZM8.24982 11.75L7.99982 12H7.24982L6.99982 11.75V11L7.24982 10.75H7.99982L8.24982 11V11.75ZM8.24982 9.062C8.24982 9.22776 8.18398 9.38673 8.06677 9.50394C7.94955 9.62115 7.79058 9.687 7.62482 9.687C7.45906 9.687 7.30009 9.62115 7.18288 9.50394C7.06567 9.38673 6.99982 9.22776 6.99982 9.062V5.625C6.99982 5.45924 7.06567 5.30027 7.18288 5.18306C7.30009 5.06585 7.45906 5 7.62482 5C7.79058 5 7.94955 5.06585 8.06677 5.18306C8.18398 5.30027 8.24982 5.45924 8.24982 5.625V9.062Z" fill="black"/>
+</svg>