Version 2.7.4: Unterschriften in der Sicherung, unterschrieben ist abgeschlossen

apps/tesm-license/pyproject.toml

@@ -4,7 +4,7 @@ build-backend = "setuptools.build_meta"
 
 [project]
 name = "tesm-license"
-version = "2.1.0"
+version = "2.7.4"
 description = "TESM-Lizenzserver -- Kunden, Tickets, Lizenzen, Aktivierung"
 requires-python = ">=3.11"
 dependencies = [

apps/tesm-license/src/tesm_license/__init__.py

@@ -204,7 +204,7 @@ def _status_pills(user: Any) -> list[dict[str, str]]:
 def _startup_tasks(app: Flask) -> None:
     extension = core(app)
     if not extension.config.web_process:
-        logger.info("Startaufgaben uebersprungen -- kein Webprozess.")
+        logger.info("Startaufgaben übersprungen – kein Webprozess.")
         return
 
     from .services import activation

apps/tesm-license/src/tesm_license/blueprints/api.py

@@ -59,7 +59,7 @@ def _handle(action: str):
         )
 
     if request.content_length and request.content_length > MAX_BODY_BYTES:
-        return jsonify({"error": "too_large", "message": "Anfrage zu gross."}), 413
+        return jsonify({"error": "too_large", "message": "Anfrage zu groß."}), 413
 
     payload = request.get_json(silent=True)
     if not isinstance(payload, dict):

apps/tesm-license/src/tesm_license/blueprints/backup.py

@@ -13,7 +13,7 @@ from tesm_core.extension import core, db, transaction
 from ..services import transfer
 from .common import log_event
 
-bp = Blueprint("backup", __name__, url_prefix="/sicherung")
+bp = Blueprint("backup", __name__, url_prefix="/administration/backup")
 
 MAX_IMPORT_BYTES = 64 * 1024 * 1024
 PREVIEW_SESSION_KEY = "_import_token"
@@ -57,18 +57,18 @@ def overview():
 
 @bp.post("/export")
 @permission_required("backup.export")
-@reauth_required
+# Die frische Bestaetigung verlangt das Recht selbst (SENSITIVE_ACTIONS).
 def export():
     conn = db()
     allowed = {category.key for category in _allowed_categories()}
     chosen = [key for key in request.form.getlist("categories") if key in allowed]
     if not chosen:
-        flash("Es wurde keine Kategorie ausgewaehlt.", "warning")
+        flash("Es wurde keine Kategorie ausgewählt.", "warning")
         return redirect(url_for("backup.overview"))
 
     passphrase = request.form.get("passphrase") or ""
     if passphrase != (request.form.get("passphrase_repeat") or ""):
-        flash("Die beiden Passphrasen stimmen nicht ueberein.", "danger")
+        flash("Die beiden Passphrasen stimmen nicht überein.", "danger")
         return redirect(url_for("backup.overview"))
 
     try:
@@ -94,18 +94,18 @@ def export():
     )
 
 
-@bp.post("/import/vorschau")
+@bp.post("/import/preview")
 @permission_required("backup.execute")
 @reauth_required
 def import_preview():
     conn = db()
     upload = request.files.get("backup_file")
     if upload is None or not upload.filename:
-        flash("Keine Datei ausgewaehlt.", "danger")
+        flash("Keine Datei ausgewählt.", "danger")
         return redirect(url_for("backup.overview"))
     raw = upload.stream.read(MAX_IMPORT_BYTES + 1)
     if len(raw) > MAX_IMPORT_BYTES:
-        flash("Die Datei ist zu gross.", "danger")
+        flash("Die Datei ist zu groß.", "danger")
         return redirect(url_for("backup.overview"))
 
     try:
@@ -124,14 +124,14 @@ def import_preview():
         scope="sicherung",
     )
     flash(
-        f"Datei geoeffnet. Sie haben {transfer.PREVIEW_TTL_MINUTES} Minuten Zeit, die "
-        "Uebernahme zu bestaetigen.",
+        f"Datei geöffnet. Sie haben {transfer.PREVIEW_TTL_MINUTES} Minuten Zeit, die "
+        "Übernahme zu bestätigen.",
         "success",
     )
     return redirect(url_for("backup.overview"))
 
 
-@bp.post("/import/uebernehmen")
+@bp.post("/import/apply")
 @permission_required("backup.execute")
 @reauth_required
 def import_apply():
@@ -139,13 +139,13 @@ def import_apply():
     conn = db()
     token = session.get(PREVIEW_SESSION_KEY, "")
     if not token:
-        flash("Es liegt keine geoeffnete Sicherung vor.", "danger")
+        flash("Es liegt keine geöffnete Sicherung vor.", "danger")
         return redirect(url_for("backup.overview"))
 
     allowed = {category.key for category in _allowed_categories()}
     chosen = [key for key in request.form.getlist("categories") if key in allowed]
     if not chosen:
-        flash("Es wurde keine Kategorie ausgewaehlt.", "warning")
+        flash("Es wurde keine Kategorie ausgewählt.", "warning")
         return redirect(url_for("backup.overview"))
 
     try:
@@ -172,7 +172,7 @@ def import_apply():
             action="backup.imported",
             detail="; ".join(
                 f"{key}: {counts['created']} neu, {counts['updated']} aktualisiert, "
-                f"{counts['skipped']} uebersprungen"
+                f"{counts['skipped']} übersprungen"
                 for key, counts in report.items()
             ),
             ip=client_ip(),
@@ -182,15 +182,15 @@ def import_apply():
     lines = [
         f"{transfer.CATEGORY_BY_KEY[key].label}: {counts['created']} neu, "
         f"{counts['updated']} aktualisiert"
-        + (f", {counts['skipped']} uebersprungen" if counts["skipped"] else "")
+        + (f", {counts['skipped']} übersprungen" if counts["skipped"] else "")
         for key, counts in report.items()
         if key in transfer.CATEGORY_BY_KEY
     ]
-    flash("Uebernahme abgeschlossen. " + " | ".join(lines), "success")
+    flash("Übernahme abgeschlossen. " + " – ".join(lines), "success")
     return redirect(url_for("backup.overview"))
 
 
-@bp.post("/import/verwerfen")
+@bp.post("/import/discard")
 @permission_required("backup.execute")
 def import_discard():
     token = session.pop(PREVIEW_SESSION_KEY, "")

apps/tesm-license/src/tesm_license/blueprints/customers.py

@@ -9,7 +9,7 @@ from tesm_core.extension import db, transaction
 from ..services import issuance, reporting
 from .common import customer_facing_url, log_event
 
-bp = Blueprint("customers", __name__, url_prefix="/kunden")
+bp = Blueprint("customers", __name__, url_prefix="/customers")
 
 FIELDS = (
     "name",
@@ -61,7 +61,7 @@ def detail(customer_id: int):
     )
 
 
-@bp.post("/neu")
+@bp.post("/new")
 @permission_required("customers.create")
 def create():
     try:
@@ -96,14 +96,14 @@ def update(customer_id: int):
                 severity="notice",
                 scope="kunde",
             )
-        flash("Aenderungen gespeichert." if changes else "Keine Aenderungen.",
+        flash("Änderungen gespeichert." if changes else "Keine Änderungen.",
               "success" if changes else "info")
     except issuance.IssuanceError as exc:
         flash(str(exc), "danger")
     return redirect(url_for("customers.detail", customer_id=customer_id))
 
 
-@bp.post("/<int:customer_id>/loeschen")
+@bp.post("/<int:customer_id>/delete")
 @permission_required("customers.delete")
 def delete(customer_id: int):
     conn = db()
@@ -119,7 +119,7 @@ def delete(customer_id: int):
             severity="warning",
             scope="kunde",
         )
-        flash("Kunde geloescht.", "success")
+        flash("Kunde gelöscht.", "success")
         return redirect(url_for("customers.overview"))
     except issuance.IssuanceError as exc:
         flash(str(exc), "danger")

apps/tesm-license/src/tesm_license/blueprints/dashboard.py

@@ -16,7 +16,7 @@ from ..services import issuance, reporting
 bp = Blueprint("dashboard", __name__)
 
 
-@bp.get("/uebersicht")
+@bp.get("/overview")
 @login_required
 def index():
     conn = db()

apps/tesm-license/src/tesm_license/blueprints/licenses.py

@@ -38,7 +38,7 @@ from .common import (
     vendor_info,
 )
 
-bp = Blueprint("licenses", __name__, url_prefix="/lizenzen")
+bp = Blueprint("licenses", __name__, url_prefix="/licenses")
 
 
 @bp.get("/")
@@ -49,7 +49,7 @@ def overview():
         {**row, **issuance.display_state(row)}
         for row in issuance.list_licenses(
             conn,
-            customer_id=request.args.get("kunde", type=int),
+            customer_id=request.args.get("customer", type=int),
             ticket_id=request.args.get("ticket"),
             status=request.args.get("status"),
         )
@@ -99,7 +99,7 @@ def detail(license_id: str):
 # --------------------------------------------------------------------------- #
 
 
-@bp.post("/aus-ticket/<ticket_id>")
+@bp.post("/from-ticket/<ticket_id>")
 @permission_required("licenses.create")
 def issue(ticket_id: str):
     conn = db()
@@ -124,7 +124,7 @@ def issue(ticket_id: str):
 
     if result.already_existed:
         flash(
-            "Zu diesem Ticket war bereits eine Lizenz offen -- sie wird angezeigt statt eine "
+            "Zu diesem Ticket war bereits eine Lizenz offen – sie wird angezeigt statt eine "
             "zweite auszustellen.",
             "info",
         )
@@ -140,9 +140,9 @@ def issue(ticket_id: str):
     return redirect(url_for("licenses.detail", license_id=result.license_id))
 
 
-@bp.get("/<license_id>/datei")
+@bp.get("/<license_id>/file")
 @permission_required("licenses.export")
-@reauth_required
+# Die frische Bestaetigung verlangt das Recht selbst (SENSITIVE_ACTIONS).
 def download(license_id: str):
     """Laedt das vollstaendige Auslieferungs-Bundle herunter.
 
@@ -166,7 +166,7 @@ def download(license_id: str):
             channel="download",
             recipient=current_user.username,
             actor=current_user.username,
-            detail="Vollstaendiges Bundle" if "client_key" in bundle else "Nur Lizenzdokument",
+            detail="Vollständiges Bundle" if "client_key" in bundle else "Nur Lizenzdokument",
         )
     log_event("license.downloaded", target=license_id[:12], severity="notice")
     return Response(
@@ -181,7 +181,7 @@ def download(license_id: str):
     )
 
 
-@bp.post("/<license_id>/neu-signieren")
+@bp.post("/<license_id>/resign")
 @permission_required("licenses.edit")
 @reauth_required
 def resign(license_id: str):
@@ -202,7 +202,7 @@ def resign(license_id: str):
         try:
             days = int(request.form["extend_days"])
         except ValueError:
-            flash("Die Verlaengerung muss eine Zahl sein.", "danger")
+            flash("Die Verlängerung muss eine Zahl sein.", "danger")
             return redirect(url_for("licenses.detail", license_id=license_id))
         if days > 0:
             document = json.loads(str(row["license_document"]))
@@ -212,7 +212,7 @@ def resign(license_id: str):
             changes["expires_at"] = lic.iso(base + timedelta(days=days))
 
     if not changes:
-        flash("Es wurde keine Aenderung angegeben.", "info")
+        flash("Es wurde keine Änderung angegeben.", "info")
         return redirect(url_for("licenses.detail", license_id=license_id))
 
     key = signing_key()
@@ -233,14 +233,14 @@ def resign(license_id: str):
     )
     reporting.report_soon(core())
     flash(
-        f"Neue Revision {updated['seq']} signiert. Der Client erhaelt sie beim naechsten "
+        f"Neue Revision {updated['seq']} signiert. Der Client erhält sie beim nächsten "
         "Heartbeat.",
         "success",
     )
     return redirect(url_for("licenses.detail", license_id=license_id))
 
 
-@bp.post("/<license_id>/widerrufen")
+@bp.post("/<license_id>/revoke")
 @permission_required("licenses.edit")
 def revoke(license_id: str):
     conn = db()
@@ -258,14 +258,14 @@ def revoke(license_id: str):
     )
     reporting.report_soon(core())
     flash(
-        "Lizenz widerrufen. Das Ticket bleibt offen -- eine neue Lizenz kann sofort "
+        "Lizenz widerrufen. Das Ticket bleibt offen – eine neue Lizenz kann sofort "
         "ausgestellt werden.",
         "success",
     )
     return redirect(url_for("licenses.detail", license_id=license_id))
 
 
-@bp.post("/<license_id>/loeschen")
+@bp.post("/<license_id>/delete")
 @permission_required("licenses.delete")
 def delete(license_id: str):
     conn = db()
@@ -277,7 +277,7 @@ def delete(license_id: str):
         return redirect(url_for("licenses.detail", license_id=license_id))
     log_event("license.deleted", target=license_id[:12], severity="warning")
     reporting.report_soon(core())
-    flash("Lizenz geloescht.", "success")
+    flash("Lizenz gelöscht.", "success")
     return redirect(url_for("licenses.overview"))
 
 
@@ -286,7 +286,7 @@ def delete(license_id: str):
 # --------------------------------------------------------------------------- #
 
 
-@bp.post("/<license_id>/versenden")
+@bp.post("/<license_id>/send")
 @permission_required("licenses.export")
 def send_mail(license_id: str):
     conn = db()
@@ -295,7 +295,7 @@ def send_mail(license_id: str):
         abort(404)
     recipient = (request.form.get("recipient") or str(row["contact_email"] or "")).strip()
     if not recipient:
-        flash("Es ist keine Empfaengeradresse hinterlegt.", "danger")
+        flash("Es ist keine Empfängeradresse hinterlegt.", "danger")
         return redirect(url_for("licenses.detail", license_id=license_id))
 
     try:
@@ -315,7 +315,7 @@ def send_mail(license_id: str):
         "",
         f"Lizenz-ID: {license_id}",
         f"Typ: {type_labels().get(str(row['type']), str(row['type']))}",
-        f"Gueltig bis: {row['expires_at']}"
+        f"Gültig bis: {row['expires_at']}"
         + (" (unbefristet)" if row["lifetime"] else ""),
     ]
     if is_customer and row["ticket_id"]:
@@ -329,7 +329,7 @@ def send_mail(license_id: str):
             "Ihre Stammdaten pflegen:",
             customer_facing_url("portal.request_link"),
         ]
-    lines += ["", "Freundliche Gruesse", vendor.get("name") or "Ihr Lizenzgeber"]
+    lines += ["", "Freundliche Grüße", vendor.get("name") or "Ihr Lizenzgeber"]
     if vendor.get("phone"):
         lines.append(f"Telefon: {vendor['phone']}")
     if vendor.get("email"):
@@ -403,7 +403,7 @@ def manual_code():
         if outcome.ok:
             response_code = lic.encode_code(outcome.response)
             ok = True
-            message = "Antwortcode erzeugt. Bitte an den Kunden zuruecksenden."
+            message = "Antwortcode erzeugt. Bitte an den Kunden zurücksenden."
             log_event(
                 f"license.offline_{payload.get('action')}",
                 target=str(payload.get("license_id") or "")[:12],
@@ -428,7 +428,7 @@ def manual_code():
 # --------------------------------------------------------------------------- #
 
 
-@bp.get("/sub-lizenzserver")
+@bp.get("/sub-servers")
 @permission_required("reports.view")
 def reports():
     conn = db()
@@ -440,7 +440,7 @@ def reports():
     )
 
 
-@bp.get("/sub-lizenzserver/<license_id>")
+@bp.get("/sub-servers/<license_id>")
 @permission_required("reports.view")
 def report_detail(license_id: str):
     conn = db()

apps/tesm-license/src/tesm_license/blueprints/own_license.py

@@ -36,7 +36,7 @@ from .. import is_master_edition
 from ..services import master_key
 from .common import can_issue_license_server_licenses, log_event, signing_key
 
-bp = Blueprint("own_license", __name__, url_prefix="/eigene-lizenz")
+bp = Blueprint("own_license", __name__, url_prefix="/own-license")
 
 MAX_UPLOAD_BYTES = 256 * 1024
 
@@ -68,7 +68,7 @@ def overview():
     )
 
 
-@bp.post("/einspielen")
+@bp.post("/install")
 @permission_required("settings_license.edit")
 def upload():
     extension = core()
@@ -79,11 +79,11 @@ def upload():
 
     upload_file = request.files.get("license_file")
     if upload_file is None or not upload_file.filename:
-        flash("Keine Datei ausgewaehlt.", "danger")
+        flash("Keine Datei ausgewählt.", "danger")
         return redirect(url_for("own_license.overview"))
     raw = upload_file.stream.read(MAX_UPLOAD_BYTES + 1)
     if len(raw) > MAX_UPLOAD_BYTES:
-        flash("Die Datei ist zu gross fuer eine Lizenzdatei.", "danger")
+        flash("Die Datei ist zu groß für eine Lizenzdatei.", "danger")
         return redirect(url_for("own_license.overview"))
 
     try:
@@ -129,13 +129,13 @@ def _handshake(action: str):
     return redirect(url_for("own_license.overview"))
 
 
-@bp.post("/aktivieren")
+@bp.post("/activate")
 @permission_required("settings_license.edit")
 def activate():
     return _handshake("activate")
 
 
-@bp.post("/deaktivieren")
+@bp.post("/deactivate")
 @permission_required("settings_license.edit")
 @reauth_required
 def deactivate():
@@ -148,7 +148,7 @@ def heartbeat():
     return _handshake("heartbeat")
 
 
-@bp.post("/offline-antwort")
+@bp.post("/offline-response")
 @permission_required("settings_license.edit")
 def offline_response():
     manager = core().license
@@ -166,7 +166,7 @@ def offline_response():
     return redirect(url_for("own_license.overview"))
 
 
-@bp.get("/signaturschluessel")
+@bp.get("/signing-key")
 @permission_required("settings_license.view")
 def signing_key_info():
     """Zeigt den oeffentlichen Signaturschluessel -- zum Pinnen beim Kunden.

apps/tesm-license/src/tesm_license/blueprints/portal.py

@@ -45,7 +45,7 @@ RATE_WINDOW_MINUTES = 15
 
 GENERIC_ANSWER = (
     "Falls diese E-Mail-Adresse bei uns hinterlegt ist, wurde soeben eine Nachricht mit "
-    "einem {minutes} Minuten gueltigen Zugangslink verschickt."
+    "einem {minutes} Minuten gültigen Zugangslink verschickt."
 )
 
 EDITABLE_FIELDS = (
@@ -150,13 +150,13 @@ def request_link():
                             f"Guten Tag{(' ' + str(customer['contact_person'])) if customer['contact_person'] else ''},",
                             "",
                             "mit dem folgenden Link erreichen Sie Ihre Daten im Kundenportal.",
-                            f"Der Link ist {minutes} Minuten gueltig und laesst sich nur einmal verwenden:",
+                            f"Der Link ist {minutes} Minuten gültig und lässt sich nur einmal verwenden:",
                             "",
                             access_url,
                             "",
                             "Wenn Sie diesen Zugang nicht angefragt haben, ignorieren Sie die Nachricht.",
                             "",
-                            "Freundliche Gruesse",
+                            "Freundliche Grüße",
                             vendor.get("name") or "Ihr Lizenzgeber",
                         ]
                     ),
@@ -185,7 +185,7 @@ def access(token: str):
     expires = _parse(row["expires_at"]) if row is not None else None
     valid = row is not None and row["used_at"] is None and expires is not None and _now() < expires
     if not valid:
-        flash("Dieser Link ist ungueltig oder abgelaufen.", "danger")
+        flash("Dieser Link ist ungültig oder abgelaufen.", "danger")
         return redirect(url_for("portal.request_link"))
 
     minutes = int(extension.settings.get(conn, "portal_session_minutes") or 60)
@@ -247,7 +247,7 @@ def me():
                         ip=client_ip(),
                         severity="notice",
                     )
-            flash("Ihre Angaben wurden gespeichert." if changes else "Keine Aenderungen.", "success")
+            flash("Ihre Angaben wurden gespeichert." if changes else "Keine Änderungen.", "success")
         except issuance.IssuanceError as exc:
             flash(str(exc), "danger")
         return redirect(url_for("portal.me"))

apps/tesm-license/src/tesm_license/blueprints/selfservice.py

@@ -31,6 +31,8 @@ from .common import (
     vendor_info,
 )
 
+# Die Adresse steht in verschickten Mails und in Tickets -- sie bleibt
+# deutsch, waehrend der Rest der Anwendung auf englische Pfade wechselt.
 bp = Blueprint("selfservice", __name__, url_prefix="/lizenz")
 
 RATE_BUCKET = "selfservice"
@@ -60,7 +62,7 @@ def _rate_guard() -> None:
     with transaction():
         ratelimit.record(conn, RATE_BUCKET, client_ip() or "unbekannt")
     if verdict.blocked:
-        abort(429, description="Zu viele Anfragen. Bitte spaeter erneut versuchen.")
+        abort(429, description="Zu viele Anfragen. Bitte später erneut versuchen.")
 
 
 def _needs_offline(conn, ticket_id: str):  # type: ignore[no-untyped-def]
@@ -139,8 +141,8 @@ def issue(ticket_id: str):
         return redirect(url_for("selfservice.overview", ticket_id=ticket_id))
     if issuance.ticket_has_open_license(conn, ticket_id):
         flash(
-            "Es existiert bereits eine gueltige Lizenz. Geben Sie diese zuerst frei, wenn Sie "
-            "auf ein anderes System wechseln moechten.",
+            "Es existiert bereits eine gültige Lizenz. Geben Sie diese zuerst frei, wenn Sie "
+            "auf ein anderes System wechseln möchten.",
             "warning",
         )
         return redirect(url_for("selfservice.overview", ticket_id=ticket_id))
@@ -236,12 +238,12 @@ def offline(ticket_id: str):
             _log(
                 "selfservice.offline_rejected",
                 ticket,
-                "Code gehoert nicht zu diesem Vorgang",
+                "Code gehört nicht zu diesem Vorgang",
                 severity="warning",
             )
             flash(
-                "Dieser Code gehoert nicht zu Ihrem Vorgang. Bitte pruefen Sie, ob Sie ihn "
-                "vollstaendig kopiert haben.",
+                "Dieser Code gehört nicht zu Ihrem Vorgang. Bitte prüfen Sie, ob Sie ihn "
+                "vollständig kopiert haben.",
                 "danger",
             )
             return redirect(url_for("selfservice.offline", ticket_id=ticket_id))
@@ -297,7 +299,7 @@ def revoke(ticket_id: str, license_id: str):
     _log("license.revoked_self_service", ticket, license_id[:12], severity="warning")
     reporting.report_soon(core())
     flash(
-        "Die Lizenz wurde freigegeben. Sie koennen jetzt eine neue Lizenz fuer Ihr neues System "
+        "Die Lizenz wurde freigegeben. Sie können jetzt eine neue Lizenz für Ihr neues System "
         "ausstellen.",
         "success",
     )

apps/tesm-license/src/tesm_license/blueprints/settings.py

@@ -17,7 +17,7 @@ from tesm_core.extension import core, db, transaction
 from ..services import mail
 from .common import log_event, master_endpoint, vendor_info
 
-bp = Blueprint("settings", __name__, url_prefix="/einstellungen")
+bp = Blueprint("settings", __name__, url_prefix="/administration")
 
 MAX_LOGO_BYTES = 200 * 1024
 LOGO_MIME = {
@@ -54,6 +54,8 @@ def system():
                 "trash_retention_days",
                 "log_rotate_interval",
                 "log_rotate_keep",
+                "session_idle_minutes",
+                "session_absolute_hours",
             ],
         ),
         specs={spec.key: spec for spec in extension.settings.specs()},
@@ -68,6 +70,7 @@ def system():
         timezones=_timezone_choices(),
         nav_items=extension.nav.items,
         nav_order=extension.settings.get(conn, "nav_order") or extension.nav.default_order(),
+        nav_child_order=extension.settings.get(conn, "nav_child_order") or {},
         sysops_available=bool(sysops and sysops.available),
     )
 
@@ -97,6 +100,8 @@ def system_save():
         "trash_retention_days",
         "log_rotate_interval",
         "log_rotate_keep",
+        "session_idle_minutes",
+        "session_absolute_hours",
     ):
         spec = extension.settings.spec(key)
         if spec.kind == "bool":
@@ -116,7 +121,7 @@ def system_save():
                 ip=client_ip(),
                 severity="notice",
             )
-    flash("Einstellungen gespeichert." if changed else "Keine Aenderungen.",
+    flash("Einstellungen gespeichert." if changed else "Keine Änderungen.",
           "success" if changed else "info")
     return redirect(url_for("settings.system"))
 
@@ -128,10 +133,10 @@ def set_hostname():
     sysops = extension.sysops
     hostname = (request.form.get("hostname") or "").strip()
     if not hostname or len(hostname) > 63 or not hostname.replace("-", "").isalnum():
-        flash("Der Hostname ist ungueltig.", "danger")
+        flash("Der Hostname ist ungültig.", "danger")
         return redirect(url_for("settings.system"))
     if sysops is None or not sysops.available:
-        flash("Systemaktionen sind in dieser Umgebung nicht verfuegbar.", "warning")
+        flash("Systemaktionen sind in dieser Umgebung nicht verfügbar.", "warning")
         return redirect(url_for("settings.system"))
     result = sysops.set_hostname(hostname)
     if result.ok:
@@ -142,7 +147,7 @@ def set_hostname():
     return redirect(url_for("settings.system"))
 
 
-@bp.post("/system/zeitzone")
+@bp.post("/system/timezone")
 @permission_required("settings_system.execute")
 def set_timezone():
     import time
@@ -153,7 +158,7 @@ def set_timezone():
         flash("Unbekannte Zeitzone.", "danger")
         return redirect(url_for("settings.system"))
     if sysops is None or not sysops.available:
-        flash("Systemaktionen sind in dieser Umgebung nicht verfuegbar.", "warning")
+        flash("Systemaktionen sind in dieser Umgebung nicht verfügbar.", "warning")
         return redirect(url_for("settings.system"))
     result = sysops.set_timezone(timezone)
     if result.ok:
@@ -173,7 +178,7 @@ def set_timezone():
 # --------------------------------------------------------------------------- #
 
 
-@bp.get("/anbieter")
+@bp.get("/vendor")
 @permission_required("settings_vendor.view")
 def vendor():
     extension = core()
@@ -195,7 +200,7 @@ def vendor():
     )
 
 
-@bp.post("/anbieter")
+@bp.post("/vendor")
 @permission_required("settings_vendor.edit")
 def vendor_save():
     extension = core()
@@ -222,7 +227,7 @@ def vendor_save():
         if suffix not in LOGO_MIME:
             logo_problem = "Erlaubt sind PNG, JPG und SVG."
         elif len(data) > MAX_LOGO_BYTES:
-            logo_problem = f"Das Logo ist zu gross (maximal {MAX_LOGO_BYTES // 1024} KB)."
+            logo_problem = f"Das Logo ist zu groß (maximal {MAX_LOGO_BYTES // 1024} KB)."
         elif not any(head.startswith(magic) for magic in LOGO_MAGIC):
             logo_problem = "Die Datei ist kein Bild."
         else:
@@ -240,12 +245,12 @@ def vendor_save():
     log_event(
         "settings.vendor_saved", detail=", ".join(changed), severity="notice", scope="anbieter"
     )
-    flash("Anbieterdaten gespeichert." if changed else "Keine Aenderungen.",
+    flash("Anbieterdaten gespeichert." if changed else "Keine Änderungen.",
           "success" if changed else "info")
     return redirect(url_for("settings.vendor"))
 
 
-@bp.post("/anbieter/logo-entfernen")
+@bp.post("/vendor/remove-logo")
 @permission_required("settings_vendor.edit")
 def vendor_logo_remove():
     with transaction() as conn:
@@ -292,7 +297,7 @@ def mail_save():
             mail.store_secret(conn, request.form.get("client_secret"))
             changed.append("client_secret")
     log_event("settings.mail_saved", detail=", ".join(changed), severity="notice", scope="mail")
-    flash("E-Mail-Einstellungen gespeichert." if changed else "Keine Aenderungen.",
+    flash("E-Mail-Einstellungen gespeichert." if changed else "Keine Änderungen.",
           "success" if changed else "info")
     return redirect(url_for("settings.mail_settings"))
 

apps/tesm-license/src/tesm_license/blueprints/tickets.py

@@ -45,7 +45,7 @@ def overview():
     )
 
 
-@bp.get("/neu")
+@bp.get("/new")
 @permission_required("tickets.create")
 def new():
     conn = db()
@@ -60,11 +60,11 @@ def new():
         type_labels=type_labels(),
         default_valid_days=int(extension.settings.get(conn, "default_valid_days") or 365),
         may_create_license_server=can_issue_license_server_licenses(),
-        preselected_customer=request.args.get("kunde", type=int),
+        preselected_customer=request.args.get("customer", type=int),
     )
 
 
-@bp.post("/neu")
+@bp.post("/new")
 @permission_required("tickets.create")
 def create():
     conn = db()
@@ -106,9 +106,9 @@ def _endpoint_missing() -> str:
     if master_endpoint():
         return ""
     return (
-        "Es ist kein oeffentlicher Endpunkt hinterlegt (Einstellungen -> Anbieter). "
-        "Solange er fehlt, koennen keine Lizenzen ausgestellt werden: der Endpunkt wird "
-        "in die Lizenz signiert und laesst sich spaeter nicht nachtragen."
+        "Es ist kein öffentlicher Endpunkt hinterlegt (Einstellungen -> Anbieter). "
+        "Solange er fehlt, können keine Lizenzen ausgestellt werden: der Endpunkt wird "
+        "in die Lizenz signiert und lässt sich später nicht nachtragen."
     )
 
 
@@ -176,9 +176,9 @@ def update(ticket_id: str):
             )
             reporting.report_soon(core())
         flash(
-            "Gespeichert. Die Aenderung wirkt auf die naechste Ausstellung."
+            "Gespeichert. Die Änderung wirkt auf die nächste Ausstellung."
             if changes
-            else "Keine Aenderungen.",
+            else "Keine Änderungen.",
             "success" if changes else "info",
         )
     except (issuance.IssuanceError, ValueError) as exc:
@@ -186,7 +186,7 @@ def update(ticket_id: str):
     return redirect(url_for("tickets.detail", ticket_id=ticket_id))
 
 
-@bp.post("/<ticket_id>/sperre")
+@bp.post("/<ticket_id>/lock")
 @permission_required("tickets.edit")
 def toggle_block(ticket_id: str):
     conn = db()
@@ -205,7 +205,7 @@ def toggle_block(ticket_id: str):
     )
     reporting.report_soon(core())
     flash(
-        "Ticket gesperrt -- es lassen sich keine neuen Lizenzen mehr ausstellen."
+        "Ticket gesperrt – es lassen sich keine neuen Lizenzen mehr ausstellen."
         if new_status == "blocked"
         else "Ticket entsperrt.",
         "success",
@@ -213,7 +213,7 @@ def toggle_block(ticket_id: str):
     return redirect(url_for("tickets.detail", ticket_id=ticket_id))
 
 
-@bp.post("/<ticket_id>/loeschen")
+@bp.post("/<ticket_id>/delete")
 @permission_required("tickets.delete")
 def delete(ticket_id: str):
     conn = db()
@@ -231,7 +231,7 @@ def delete(ticket_id: str):
             scope="ticket",
         )
         reporting.report_soon(core())
-        flash("Ticket und seine Lizenzhistorie geloescht.", "success")
+        flash("Ticket und seine Lizenzhistorie gelöscht.", "success")
         return redirect(url_for("tickets.overview"))
     except issuance.IssuanceError as exc:
         flash(str(exc), "danger")

apps/tesm-license/src/tesm_license/cli.py

@@ -42,22 +42,22 @@ def cmd_init_key(args: argparse.Namespace) -> int:
     path = master_key_path(extension.config)
     if path.exists() and not args.force:
         key = master_key.load(path)
-        print(f"Signaturschluessel existiert bereits: {key.key_id} ({path})")
-        print("Ein Austausch macht ALLE bereits ausgestellten Lizenzen unpruefbar.")
+        print(f"Signaturschlüssel existiert bereits: {key.key_id} ({path})")
+        print("Ein Austausch macht ALLE bereits ausgestellten Lizenzen unprüfbar.")
         return 0
     if path.exists() and args.force:
         print(
-            "ABBRUCH: --force auf einen bestehenden Signaturschluessel wird nicht unterstuetzt.\n"
-            "Ein neuer Schluessel entwertet jede ausgestellte Lizenz. Bitte die Datei bewusst\n"
+            "ABBRUCH: --force auf einen bestehenden Signaturschlüssel wird nicht unterstützt.\n"
+            "Ein neuer Schlüssel entwertet jede ausgestellte Lizenz. Bitte die Datei bewusst\n"
             "von Hand beiseite legen, wenn das wirklich gewollt ist.",
             file=sys.stderr,
         )
         return 2
     key = master_key.ensure(path)
-    print(f"Signaturschluessel erzeugt: {key.key_id}")
+    print(f"Signaturschlüssel erzeugt: {key.key_id}")
     print(f"Datei: {path}")
-    print("Bitte SOFORT sichern -- ohne sie ist keine ausgestellte Lizenz mehr pruefbar.")
-    print(f"Oeffentlicher Schluessel (zum Pinnen beim Kunden):\n{key.public_key}")
+    print("Bitte SOFORT sichern – ohne sie ist keine ausgestellte Lizenz mehr prüfbar.")
+    print(f"Öffentlicher Schlüssel (zum Pinnen beim Kunden):\n{key.public_key}")
     return 0
 
 
@@ -65,11 +65,11 @@ def cmd_bootstrap(args: argparse.Namespace) -> int:
     """Stellt die eigene Lizenz dieser Wurzelinstanz aus -- nur in der Master-Ausgabe."""
     if not is_master_edition():
         for zeile in (
-            "Diese Ausgabe ist fuer Sub-Lizenzserver und kann keine Master-Lizenz erzeugen.",
+            "Diese Ausgabe ist für Sub-Lizenzserver und kann keine Master-Lizenz erzeugen.",
             "",
             "Ein Sub-Lizenzserver bekommt seine Lizenz vom Master-Lizenzserver und spielt",
             "sie unter 'Eigene Lizenz' ein. Danach stellt er selbst Kundenlizenzen aus --",
-            "mit seinem eigenen Signaturschluessel, der beim Installieren entstanden ist.",
+            "mit seinem eigenen Signaturschlüssel, der beim Installieren entstanden ist.",
             "",
             "Die Master-Ausgabe liegt im Repository tesm-license-master.",
         ):
@@ -83,10 +83,10 @@ def cmd_bootstrap(args: argparse.Namespace) -> int:
         app, extension, days=int(args.days), name=args.name
     )
     print(f"Master-Lizenz ausgestellt: {document['license_id']}")
-    print(f"Gueltig bis: {document['expires_at']}")
+    print(f"Gültig bis: {document['expires_at']}")
     print(f"Datei: {extension.config.license_path}")
     if state is not None:
-        print(f"Zustand: gueltig={state.valid}, aktiviert={state.activated}, Rolle={state.role}")
+        print(f"Zustand: gültig={state.valid}, aktiviert={state.activated}, Rolle={state.role}")
     return 0
 
 
@@ -98,7 +98,7 @@ def cmd_create_admin(args: argparse.Namespace) -> int:
         return 2
     password = args.password or getpass.getpass("Passwort: ")
     if not args.password and password != getpass.getpass("Passwort wiederholen: "):
-        print("Die Passwoerter stimmen nicht ueberein.", file=sys.stderr)
+        print("Die Passwörter stimmen nicht überein.", file=sys.stderr)
         return 2
     problems = extension.password_policy.check(password, username=username)
     if problems and not args.force:
@@ -180,7 +180,7 @@ def cmd_status(args: argparse.Namespace) -> int:
         + ("unversehrt" if chain["ok"] else f"GEBROCHEN bei {chain['broken_at']}")
     )
     print(
-        "Signaturschluessel: "
+        "Signaturschlüssel: "
         + (str(key_health.get("key_id")) if key_health.get("present") else "FEHLT")
     )
     for problem in key_health.get("problems", []):
@@ -253,17 +253,17 @@ def cmd_migrate_legacy(args: argparse.Namespace) -> int:
         except legacy_import.LegacyImportError as exc:
             if args.adopt_key:
                 raise
-            print(f"Hinweis: alter Signaturschluessel nicht lesbar ({exc}).")
+            print(f"Hinweis: alter Signaturschlüssel nicht lesbar ({exc}).")
 
         if key_path.is_file():
             existing = master_key.load(key_path)
             report.key_id = existing.key_id
             if legacy_public and existing.public_key == legacy_public:
-                print(f"Signaturschluessel stimmt bereits ueberein ({existing.key_id}).")
+                print(f"Signaturschlüssel stimmt bereits überein ({existing.key_id}).")
             elif not legacy_public:
                 issuer_changes = True
                 print(
-                    f"Es wird mit dem vorhandenen Signaturschluessel {existing.key_id} "
+                    f"Es wird mit dem vorhandenen Signaturschlüssel {existing.key_id} "
                     "gearbeitet."
                 )
             else:
@@ -271,7 +271,7 @@ def cmd_migrate_legacy(args: argparse.Namespace) -> int:
                 # ausgestellte Lizenz waere danach unpruefbar.
                 issuer_changes = True
                 print(
-                    f"Diese Installation hat einen eigenen Signaturschluessel "
+                    f"Diese Installation hat einen eigenen Signaturschlüssel "
                     f"({existing.key_id}); der alte war {lic.key_id(legacy_public)}. "
                     "Es wird mit dem vorhandenen weitergearbeitet."
                 )
@@ -279,12 +279,12 @@ def cmd_migrate_legacy(args: argparse.Namespace) -> int:
             legacy_private, legacy_public = legacy_import.read_legacy_key(root)
             report.key_id = legacy_import.adopt_key(legacy_private, legacy_public, key_path)
             report.key_adopted = True
-            print(f"Signaturschluessel uebernommen: {report.key_id}")
+            print(f"Signaturschlüssel übernommen: {report.key_id}")
         else:
             print(
-                "Diese Installation hat noch keinen Signaturschluessel. Mit --adopt-key "
-                "wird der alte uebernommen -- dann bleibt die Anbieteridentitaet erhalten "
-                "und Kunden muessen keinen Ausstellerwechsel bestaetigen.",
+                "Diese Installation hat noch keinen Signaturschlüssel. Mit --adopt-key "
+                "wird der alte übernommen – dann bleibt die Anbieteridentität erhalten "
+                "und Kunden müssen keinen Ausstellerwechsel bestätigen.",
                 file=sys.stderr,
             )
             return 2
@@ -312,7 +312,7 @@ def cmd_migrate_legacy(args: argparse.Namespace) -> int:
                 # Uebernahme.
                 for einstellung, wert in uebernommen.items():
                     gekuerzt = wert if len(wert) <= 60 else wert[:57] + "..."
-                    print(f"Uebernommen: {einstellung} = {gekuerzt}")
+                    print(f"Übernommen: {einstellung} = {gekuerzt}")
 
             vendor = {
                 "name": str(extension.settings.get(conn, "vendor_name") or "Eigenbetrieb"),
@@ -326,7 +326,7 @@ def cmd_migrate_legacy(args: argparse.Namespace) -> int:
                 print(
                     "Es ist kein Endpunkt hinterlegt, und die alte Installation nennt "
                     "auch keinen. Bitte unter Einstellungen -> Anbieter eintragen: ohne "
-                    "ihn koennen uebernommene Lizenzen sich spaeter nicht aktivieren.",
+                    "ihn können übernommene Lizenzen sich später nicht aktivieren.",
                     file=sys.stderr,
                 )
                 return 2
@@ -347,10 +347,10 @@ def cmd_migrate_legacy(args: argparse.Namespace) -> int:
                 result.key_id = report.key_id
                 if issuer_changes:
                     result.warnings.append(
-                        "Die Lizenzen sind mit einem anderen Schluessel signiert als "
-                        "frueher. Kunden, die den alten Aussteller gepinnt haben, muessen "
-                        "beim Einspielen einmal 'Wechsel des Ausstellers ausdruecklich "
-                        "zulassen' bestaetigen."
+                        "Die Lizenzen sind mit einem anderen Schlüssel signiert als "
+                        "früher. Kunden, die den alten Aussteller gepinnt haben, müssen "
+                        "beim Einspielen einmal 'Wechsel des Ausstellers ausdrücklich "
+                        "zulassen' bestätigen."
                     )
                 if args.dry_run:
                     # Nichts festschreiben -- der Lauf war nur zur Ansicht.
@@ -385,7 +385,7 @@ def build_parser() -> argparse.ArgumentParser:
     )
     sub = parser.add_subparsers(dest="command", required=True)
 
-    init_key = sub.add_parser("init-key", help="Signaturschluessel erzeugen (einmalig)")
+    init_key = sub.add_parser("init-key", help="Signaturschlüssel erzeugen (einmalig)")
     init_key.add_argument("--force", action="store_true")
     init_key.set_defaults(func=cmd_init_key)
 
@@ -401,7 +401,7 @@ def build_parser() -> argparse.ArgumentParser:
     bootstrap.add_argument("--name", default="Lizenzserver (Eigenbetrieb)")
     bootstrap.set_defaults(func=cmd_bootstrap)
 
-    admin = sub.add_parser("create-admin", help="Administratorkonto anlegen oder zuruecksetzen")
+    admin = sub.add_parser("create-admin", help="Administratorkonto anlegen oder zurücksetzen")
     admin.add_argument("--username")
     admin.add_argument("--password")
     admin.add_argument("--force", action="store_true")
@@ -411,16 +411,16 @@ def build_parser() -> argparse.ArgumentParser:
     status.add_argument("--json", action="store_true")
     status.set_defaults(func=cmd_status)
 
-    house = sub.add_parser("housekeeping", help="Laufzeitdaten aufraeumen")
+    house = sub.add_parser("housekeeping", help="Laufzeitdaten aufräumen")
     house.set_defaults(func=cmd_housekeeping)
 
     migrate = sub.add_parser(
         "migrate-legacy",
-        help="Lizenzserver der Vorgaengerfassung uebernehmen",
+        help="Lizenzserver der Vorgängerfassung übernehmen",
         description=(
-            "Uebernimmt Signaturschluessel, Kunden, Tickets und Lizenzen aus einer alten "
+            "Übernimmt Signaturschlüssel, Kunden, Tickets und Lizenzen aus einer alten "
             "Installation. Die alte Installation wird nur gelesen. Jede Lizenz wird im "
-            "neuen Format neu signiert -- die Kunden brauchen danach eine neue "
+            "neuen Format neu signiert – die Kunden brauchen danach eine neue "
             "Lizenzdatei, weil die alte Signatur nicht mehr gilt."
         ),
     )
@@ -430,13 +430,13 @@ def build_parser() -> argparse.ArgumentParser:
     migrate.add_argument(
         "--adopt-key",
         action="store_true",
-        help="Den alten Signaturschluessel uebernehmen. Nur moeglich, solange diese "
-        "Installation noch keinen eigenen hat -- ein vorhandener wird nie ueberschrieben.",
+        help="Den alten Signaturschlüssel übernehmen. Nur möglich, solange diese "
+        "Installation noch keinen eigenen hat – ein vorhandener wird nie überschrieben.",
     )
     migrate.add_argument(
         "--dry-run",
         action="store_true",
-        help="Nur anzeigen, was passieren wuerde -- nichts schreiben",
+        help="Nur anzeigen, was passieren würde – nichts schreiben",
     )
     migrate.set_defaults(func=cmd_migrate_legacy)
 

apps/tesm-license/src/tesm_license/navigation.py

@@ -28,7 +28,7 @@ def _is_master(_user: Any) -> bool:
 
 NAVIGATION = NavTree(
     [
-        NavItem(key="index", label="Uebersicht", icon="grid", endpoint="dashboard.index"),
+        NavItem(key="index", label="Übersicht", icon="grid", endpoint="dashboard.index"),
         NavItem(
             key="customers",
             label="Kunden",

apps/tesm-license/src/tesm_license/permissions.py

@@ -30,18 +30,18 @@ CUSTOMERS = Resource(
     label="Kunden",
     actions=(A.VIEW, A.CREATE, A.EDIT, A.DELETE),
     hint="Stammdaten der Kundeninstanzen",
-    action_hints={A.DELETE: "Nur moeglich, solange kein Ticket am Kunden haengt."},
+    action_hints={A.DELETE: "Nur möglich, solange kein Ticket am Kunden hängt."},
 )
 
 TICKETS = Resource(
     key="tickets",
     label="Tickets",
     actions=(A.VIEW, A.CREATE, A.EDIT, A.DELETE),
-    hint="Dauerhafte Anspruechte auf eine Lizenz",
+    hint="Dauerhafte Ansprüche auf eine Lizenz",
     action_hints={
-        A.EDIT: "Parameter aendern und Ticket sperren/entsperren. Wirkt erst auf die "
-        "naechste Ausstellung -- bereits ausgestellte Lizenzen bleiben unveraendert.",
-        A.DELETE: "Nur moeglich, wenn keine offene Lizenz mehr existiert.",
+        A.EDIT: "Parameter ändern und Ticket sperren/entsperren. Wirkt erst auf die "
+        "nächste Ausstellung – bereits ausgestellte Lizenzen bleiben unverändert.",
+        A.DELETE: "Nur möglich, wenn keine offene Lizenz mehr existiert.",
     },
 )
 
@@ -62,7 +62,7 @@ PORTAL = Resource(
     key="portal",
     label="Kundenportal",
     actions=(A.VIEW, A.EXECUTE),
-    hint="Zugangslinks fuer Kunden",
+    hint="Zugangslinks für Kunden",
     action_hints={A.EXECUTE: "Zugangslink erzeugen und versenden."},
 )
 
@@ -79,7 +79,7 @@ MAIL = Resource(
     actions=(A.VIEW, A.EDIT, A.EXECUTE, A.SECRETS),
     hint="Microsoft Graph (App-only)",
     action_hints={
-        A.EXECUTE: "Verbindungstest ausfuehren.",
+        A.EXECUTE: "Verbindungstest ausführen.",
         A.SECRETS: "Client-Secret setzen.",
     },
 )
@@ -88,7 +88,7 @@ VENDOR = Resource(
     key="settings_vendor",
     label="Anbieterdaten",
     actions=(A.VIEW, A.EDIT),
-    hint="Name, Kontakt, Logo und oeffentlicher Endpunkt -- reisen in jeder Lizenz mit",
+    hint="Name, Kontakt, Logo und öffentlicher Endpunkt – reisen in jeder Lizenz mit",
 )
 
 LICENSING_AREA = Area(
@@ -144,7 +144,7 @@ ROLE_PRESETS: tuple[RolePreset, ...] = (
     RolePreset(
         key="auditor",
         name="Revision",
-        description="Nur lesen -- inklusive Aenderungsprotokoll und Diagnose.",
+        description="Nur lesen – inklusive Änderungsprotokoll und Diagnose.",
         grants=(
             ("customers", (A.VIEW,)),
             ("tickets", (A.VIEW,)),
@@ -161,7 +161,7 @@ ROLE_PRESETS: tuple[RolePreset, ...] = (
     RolePreset(
         key="administration",
         name="Administration",
-        description="Benutzer, Gruppen und Einstellungen -- ohne Admin-Kennzeichen.",
+        description="Benutzer, Gruppen und Einstellungen – ohne Admin-Kennzeichen.",
         grants=(
             ("users", "*"),
             ("groups", "*"),

apps/tesm-license/src/tesm_license/services/activation.py

@@ -132,7 +132,7 @@ def _verify(
             seen_nonce=seen,
         )
     except lic.SignatureInvalid:
-        return None, _error(400, "invalid_signature", "Signatur der Anfrage ist ungueltig.")
+        return None, _error(400, "invalid_signature", "Signatur der Anfrage ist ungültig.")
     except lic.ReplayDetected as exc:
         return None, _error(409, "replay", str(exc))
     except lic.ProtocolViolation as exc:
@@ -150,7 +150,7 @@ def process_activate(
 ) -> Outcome:
     row, error = _verify(conn, request, expected_action="activate")
     if error is not None or row is None:
-        return error or _error(400, "bad_request", "Ungueltige Anfrage.")
+        return error or _error(400, "bad_request", "Ungültige Anfrage.")
 
     fingerprint = str(request["fingerprint"])
     hostname = str(request.get("hostname") or "")
@@ -202,7 +202,7 @@ def process_activate(
         target=str(row["license_id"]),
         detail=(
             f"Fingerprint {fingerprint[:16]}..., Host {hostname or 'unbekannt'}"
-            + (f", verdraengt {len(superseded)} Lizenz(en)" if superseded else "")
+            + (f", verdrängt {len(superseded)} Lizenz(en)" if superseded else "")
         ),
         severity="notice",
     )
@@ -211,7 +211,7 @@ def process_activate(
         request,
         master_private_key=master_private_key,
         status="ok",
-        detail="Aktivierung bestaetigt.",
+        detail="Aktivierung bestätigt.",
     )
 
 
@@ -220,7 +220,7 @@ def process_deactivate(
 ) -> Outcome:
     row, error = _verify(conn, request, expected_action="deactivate")
     if error is not None or row is None:
-        return error or _error(400, "bad_request", "Ungueltige Anfrage.")
+        return error or _error(400, "bad_request", "Ungültige Anfrage.")
 
     fingerprint = str(request["fingerprint"])
     if str(row["status"]) != "active" or str(row["fingerprint"] or "") != fingerprint:
@@ -249,7 +249,7 @@ def process_deactivate(
         request,
         master_private_key=master_private_key,
         status="ok",
-        detail="Deaktivierung bestaetigt. Die Lizenz kann auf einer anderen Maschine aktiviert werden.",
+        detail="Deaktivierung bestätigt. Die Lizenz kann auf einer anderen Maschine aktiviert werden.",
     )
 
 
@@ -258,7 +258,7 @@ def process_heartbeat(
 ) -> Outcome:
     row, error = _verify(conn, request, expected_action="heartbeat")
     if error is not None or row is None:
-        return error or _error(400, "bad_request", "Ungueltige Anfrage.")
+        return error or _error(400, "bad_request", "Ungültige Anfrage.")
 
     fingerprint = str(request["fingerprint"])
     hostname = str(request.get("hostname") or "")
@@ -306,7 +306,7 @@ def process_heartbeat(
             )
         else:
             logger.warning(
-                "Bericht von Lizenz %s verworfen -- Rolle ist %s, nicht license_server",
+                "Bericht von Lizenz %s verworfen | Rolle ist %s, nicht license_server",
                 row["license_id"],
                 row["role"],
             )
@@ -322,7 +322,7 @@ def process_heartbeat(
         request,
         master_private_key=master_private_key,
         status="ok",
-        detail="Verbindung bestaetigt.",
+        detail="Verbindung bestätigt.",
         license_update=update,
     )
 

apps/tesm-license/src/tesm_license/services/issuance.py

@@ -48,7 +48,7 @@ def validate_email(value: str, *, required: bool) -> str:
         # sollen weiter bearbeitbar bleiben, statt ausgesperrt zu werden.
         return ""
     if not EMAIL_RE.match(text):
-        raise IssuanceError(f"{text!r} ist keine gueltige E-Mail-Adresse.")
+        raise IssuanceError(f"{text!r} ist keine gültige E-Mail-Adresse.")
     return text
 
 
@@ -137,7 +137,7 @@ def delete_customer(conn: sqlite3.Connection, customer_id: int) -> None:
     )
     if int(tickets or 0):
         raise IssuanceError(
-            f"An diesem Kunden haengen noch {tickets} Ticket(s). Bitte zuerst entfernen."
+            f"An diesem Kunden hängen noch {tickets} Ticket(s). Bitte zuerst entfernen."
         )
     conn.execute("DELETE FROM license_customers WHERE id=?", (customer_id,))
 
@@ -224,7 +224,7 @@ def create_ticket(
         raise IssuanceError("Unbekannter Lizenztyp.")
     if role not in lic.LICENSE_ROLES or role == "master":
         # "master" entsteht ausschliesslich lokal per Bootstrap-Skript.
-        raise IssuanceError("Unzulaessige Rolle.")
+        raise IssuanceError("Unzulässige Rolle.")
 
     # Trial + unbefristet ist ein sinnloser Zustand: eine permanente Lizenz ohne
     # Module. Diese Regel wird an drei Stellen geprueft (hier, beim Bearbeiten
@@ -290,7 +290,7 @@ def update_ticket(
     if license_type != str(ticket["type"]):
         changes.append(f"Typ: {ticket['type']} -> {license_type}")
     if new_modules != str(ticket["modules"]):
-        changes.append("Module geaendert")
+        changes.append("Module geändert")
     if int(valid_days) != int(ticket["valid_days"]):
         changes.append(f"Laufzeit: {ticket['valid_days']} -> {valid_days} Tage")
     if bool(lifetime) != bool(ticket["lifetime"]):
@@ -428,7 +428,7 @@ def issue_from_ticket(
     role = str(ticket["role"])
     if as_trial and role != "customer":
         raise IssuanceError(
-            "Eine Testlizenz gibt es nur fuer Kundeninstanzen, nicht fuer Lizenzserver."
+            "Eine Testlizenz gibt es nur für Kundeninstanzen, nicht für Lizenzserver."
         )
 
     if as_trial:
@@ -452,9 +452,9 @@ def issue_from_ticket(
     # hier, an der einzigen Stelle, durch die jede Ausstellung laeuft.
     if not str(master_endpoint or "").strip():
         raise IssuanceError(
-            "Es ist kein oeffentlicher Endpunkt hinterlegt (Einstellungen -> Anbieter). "
-            "Ohne ihn koennte sich diese Lizenz nie online aktivieren -- der Endpunkt "
-            "wird in die Lizenz signiert und laesst sich spaeter nicht nachtragen."
+            "Es ist kein öffentlicher Endpunkt hinterlegt (Einstellungen -> Anbieter). "
+            "Ohne ihn könnte sich diese Lizenz nie online aktivieren – der Endpunkt "
+            "wird in die Lizenz signiert und lässt sich später nicht nachtragen."
         )
 
     customer = get_customer(conn, int(ticket["customer_id"]))
@@ -550,7 +550,7 @@ def delivery_bundle(conn: sqlite3.Connection, license_id: str, *, keystore: Any)
             bundle["client_key"] = keystore.decrypt(encrypted, aad=client_key_aad(license_id))
         except Exception as exc:  # noqa: BLE001
             raise IssuanceError(
-                "Der Client-Schluessel dieser Lizenz konnte nicht entschluesselt werden. "
+                "Der Client-Schlüssel dieser Lizenz konnte nicht entschlüsselt werden. "
                 "Bitte eine neue Lizenz ausstellen."
             ) from exc
     return bundle
@@ -580,7 +580,7 @@ def delete_license(conn: sqlite3.Connection, license_id: str) -> None:
         raise IssuanceError("Diese Lizenz existiert nicht.")
     if str(row["status"]) not in {"revoked", "issued"}:
         raise IssuanceError(
-            "Eine aktive Lizenz kann nicht geloescht werden. Bitte zuerst widerrufen."
+            "Eine aktive Lizenz kann nicht gelöscht werden. Bitte zuerst widerrufen."
         )
     conn.execute("DELETE FROM licenses WHERE license_id=?", (license_id,))
 

apps/tesm-license/src/tesm_license/services/legacy_import.py

@@ -61,7 +61,7 @@ class Report:
 
     def as_text(self) -> str:
         lines = [
-            f"Signaturschluessel uebernommen: {'ja' if self.key_adopted else 'nein'}"
+            f"Signaturschlüssel übernommen: {'ja' if self.key_adopted else 'nein'}"
             + (f" ({self.key_id})" if self.key_id else ""),
             f"Kunden      : {self.customers}",
             f"Tickets     : {self.tickets}",
@@ -69,7 +69,7 @@ class Report:
         ]
         if self.reissued:
             lines.append("")
-            lines.append("Neu signiert -- diese Kunden brauchen eine neue Lizenzdatei:")
+            lines.append("Neu signiert – diese Kunden brauchen eine neue Lizenzdatei:")
             lines.extend(f"  * {entry}" for entry in self.reissued)
         if self.skipped:
             lines.append("")
@@ -95,7 +95,7 @@ def open_legacy(root: Path) -> sqlite3.Connection:
     """Oeffnet die alte Datenbank **nur lesend**."""
     path = Path(root) / "sqlite.db"
     if not path.is_file():
-        raise LegacyImportError(f"Unter {path} liegt keine Datenbank der Vorgaengerfassung.")
+        raise LegacyImportError(f"Unter {path} liegt keine Datenbank der Vorgängerfassung.")
     try:
         conn = sqlite3.connect(f"file:{path}?mode=ro", uri=True)
     except sqlite3.Error as exc:
@@ -107,7 +107,7 @@ def open_legacy(root: Path) -> sqlite3.Connection:
     if missing:
         conn.close()
         raise LegacyImportError(
-            f"Das sieht nicht nach einem Lizenzserver aus -- es fehlen: {', '.join(sorted(missing))}"
+            f"Das sieht nicht nach einem Lizenzserver aus – es fehlen: {', '.join(sorted(missing))}"
         )
     return conn
 
@@ -123,7 +123,7 @@ def _standard_b64(wert: str, feld: str) -> str:
     """
     roh = wert.strip()
     if not roh:
-        raise LegacyImportError(f"Im alten Signaturschluessel fehlt {feld!r}.")
+        raise LegacyImportError(f"Im alten Signaturschlüssel fehlt {feld!r}.")
     # Fehlende Polsterung ergaenzen -- der Vorgaenger schrieb sie mit, andere
     # Werkzeuge lassen sie weg.
     gepolstert = roh + "=" * (-len(roh) % 4)
@@ -138,29 +138,29 @@ def _standard_b64(wert: str, feld: str) -> str:
             continue
         if len(rohbytes) != 32:
             raise LegacyImportError(
-                f"{feld} im alten Signaturschluessel ist {len(rohbytes)} Byte lang, "
+                f"{feld} im alten Signaturschlüssel ist {len(rohbytes)} Byte lang, "
                 "erwartet werden 32 (Ed25519)."
             )
         return base64.b64encode(rohbytes).decode("ascii")
-    raise LegacyImportError(f"{feld} im alten Signaturschluessel ist kein Base64.")
+    raise LegacyImportError(f"{feld} im alten Signaturschlüssel ist kein Base64.")
 
 
 def read_legacy_key(root: Path) -> tuple[str, str]:
     """Liest den alten Signaturschluessel. Rueckgabe: ``(privat, oeffentlich)``."""
     path = Path(root) / "master_signing_key.json"
     if not path.is_file():
-        raise LegacyImportError(f"Der alte Signaturschluessel {path} fehlt.")
+        raise LegacyImportError(f"Der alte Signaturschlüssel {path} fehlt.")
     try:
         data = json.loads(path.read_text(encoding="utf-8"))
     except (OSError, ValueError) as exc:
-        raise LegacyImportError(f"Der alte Signaturschluessel ist unlesbar: {exc}") from exc
+        raise LegacyImportError(f"Der alte Signaturschlüssel ist unlesbar: {exc}") from exc
 
     # Die Vorgaengerfassung nannte die Felder "private"/"public" und kodierte
     # sie URL-sicher.
     private = str(data.get("private") or data.get("private_key") or "")
     public = str(data.get("public") or data.get("public_key") or "")
     if not private or not public:
-        raise LegacyImportError("Der alte Signaturschluessel ist unvollstaendig.")
+        raise LegacyImportError("Der alte Signaturschlüssel ist unvollständig.")
     private = _standard_b64(private, "private")
     public = _standard_b64(public, "public")
     # Alles, was aus der Protokollschicht kommt, wird hier zu einer Meldung im
@@ -170,11 +170,11 @@ def read_legacy_key(root: Path) -> tuple[str, str]:
     try:
         passt = licsrv.public_from_private(private) == public
     except (ValueError, TypeError) as exc:
-        raise LegacyImportError(f"Der alte Signaturschluessel ist unbrauchbar: {exc}") from exc
+        raise LegacyImportError(f"Der alte Signaturschlüssel ist unbrauchbar: {exc}") from exc
     if not passt:
         raise LegacyImportError(
-            "Im alten Signaturschluessel passen privater und oeffentlicher Teil nicht "
-            "zueinander. Die Datei ist beschaedigt."
+            "Im alten Signaturschlüssel passen privater und öffentlicher Teil nicht "
+            "zueinander. Die Datei ist beschädigt."
         )
     return private, public
 
@@ -190,16 +190,16 @@ def adopt_key(private: str, public: str, target: Path) -> str:
 
     if Path(target).is_file():
         raise LegacyImportError(
-            f"Unter {target} liegt bereits ein Signaturschluessel. Er wird nicht "
-            "ueberschrieben -- das wuerde jede damit ausgestellte Lizenz unbrauchbar "
-            "machen. Fuer eine Uebernahme bitte eine frische Installation verwenden."
+            f"Unter {target} liegt bereits ein Signaturschlüssel. Er wird nicht "
+            "überschrieben – das würde jede damit ausgestellte Lizenz unbrauchbar "
+            "machen. Für eine Übernahme bitte eine frische Installation verwenden."
         )
     payload = {
         "private_key": private,
         "public_key": public,
         "key_id": lic.key_id(public),
         "created_at": _now(),
-        "origin": "Uebernommen aus der Vorgaengerfassung.",
+        "origin": "Übernommen aus der Vorgängerfassung.",
     }
     write_private_file(Path(target), json.dumps(payload, indent=2, sort_keys=True) + "\n")
     return lic.key_id(public)
@@ -309,7 +309,7 @@ def import_all(
         )
         if existing is not None:
             customer_map[int(row["id"])] = int(existing["id"])
-            report.warnings.append(f"Kunde {name!r} war schon vorhanden -- nicht doppelt angelegt.")
+            report.warnings.append(f"Kunde {name!r} war schon vorhanden – nicht doppelt angelegt.")
             continue
         new_id = issuance.create_customer(
             conn,
@@ -331,7 +331,7 @@ def import_all(
     for row in legacy.execute("SELECT * FROM license_tickets ORDER BY created_at"):
         customer_id = customer_map.get(int(row["customer_id"] or 0))
         if customer_id is None:
-            report.skipped.append(f"Ticket {str(row['id'])[:12]} -- Kunde nicht uebernommen")
+            report.skipped.append(f"Ticket {str(row['id'])[:12]} -- Kunde nicht übernommen")
             continue
         if Database.one(conn, "SELECT id FROM license_tickets WHERE id=?", (row["id"],)):
             continue
@@ -348,7 +348,7 @@ def import_all(
                 int(row["lifetime"] or 0),
                 str(row["status"] or "open"),
                 str(row["role"] or "customer"),
-                "Aus der Vorgaengerfassung uebernommen.",
+                "Aus der Vorgängerfassung übernommen.",
                 str(row["created_by"] or actor),
                 str(row["created_at"] or _now()),
                 _now(),
@@ -361,7 +361,7 @@ def import_all(
         license_id = str(row["license_id"] or "")
         customer_id = customer_map.get(int(row["customer_id"] or 0))
         if not license_id or customer_id is None:
-            report.skipped.append(f"Lizenz {license_id[:12] or '?'} -- Kunde nicht uebernommen")
+            report.skipped.append(f"Lizenz {license_id[:12] or '?'} -- Kunde nicht übernommen")
             continue
         if Database.one(conn, "SELECT id FROM licenses WHERE license_id=?", (license_id,)):
             continue
@@ -371,7 +371,7 @@ def import_all(
         modules = _modules(row["modules"])
 
         if not reissue:
-            report.skipped.append(f"{customer['name']} / {license_id[:12]} -- nur gezaehlt")
+            report.skipped.append(f"{customer['name']} / {license_id[:12]} -- nur gezählt")
             report.licenses += 1
             continue
 
@@ -383,7 +383,7 @@ def import_all(
         if not lifetime and valid_days <= 0:
             report.skipped.append(
                 f"{customer['name']} / {license_id[:12]} -- abgelaufen am "
-                f"{str(row['expires_at'])[:10]}, nicht uebernommen"
+                f"{str(row['expires_at'])[:10]}, nicht übernommen"
             )
             continue
 
@@ -444,7 +444,7 @@ def import_all(
     if report.reissued:
         report.warnings.append(
             "Die neu signierten Lizenzen sind noch nicht aktiviert: die Bindung an eine "
-            "Maschine gilt nur fuer die alte Datei. Nach dem Einspielen aktiviert der "
+            "Maschine gilt nur für die alte Datei. Nach dem Einspielen aktiviert der "
             "Kunde erneut."
         )
     return report

apps/tesm-license/src/tesm_license/services/mail.py

@@ -92,7 +92,7 @@ def _secret(conn: sqlite3.Connection) -> str:
         return core().keystore.decrypt(str(value), aad=AAD_GRAPH_SECRET)
     except Exception as exc:  # noqa: BLE001
         raise MailError(
-            "Das Client-Secret konnte nicht entschluesselt werden -- bitte neu eintragen."
+            "Das Client-Secret konnte nicht entschlüsselt werden – bitte neu eintragen."
         ) from exc
 
 
@@ -162,7 +162,7 @@ def fetch_token(conn: sqlite3.Connection) -> str:
 def test_connection(conn: sqlite3.Connection) -> dict[str, Any]:
     """Holt nur ein Token -- verschickt bewusst keine echte Nachricht."""
     if not is_enabled(conn):
-        return {"ok": False, "message": "Der E-Mail-Versand ist nicht vollstaendig konfiguriert."}
+        return {"ok": False, "message": "Der E-Mail-Versand ist nicht vollständig konfiguriert."}
     try:
         fetch_token(conn)
     except MailError as exc:

apps/tesm-license/src/tesm_license/services/master_key.py

@@ -48,22 +48,22 @@ class MasterKey:
 def load(path: Path) -> MasterKey:
     if not path.is_file():
         raise MasterKeyError(
-            f"Der Signaturschluessel {path} fehlt. Ohne ihn kann keine Lizenz ausgestellt "
+            f"Der Signaturschlüssel {path} fehlt. Ohne ihn kann keine Lizenz ausgestellt "
             "werden. Erzeugen Sie ihn mit 'tesm-license-admin init-key'."
         )
     try:
         data = json.loads(path.read_text(encoding="utf-8"))
     except (OSError, ValueError) as exc:
-        raise MasterKeyError(f"Der Signaturschluessel ist unlesbar: {exc}") from exc
+        raise MasterKeyError(f"Der Signaturschlüssel ist unlesbar: {exc}") from exc
 
     private = str(data.get("private_key") or "")
     public = str(data.get("public_key") or "")
     if not private or not public:
-        raise MasterKeyError("Der Signaturschluessel ist unvollstaendig.")
+        raise MasterKeyError("Der Signaturschlüssel ist unvollständig.")
     if licsrv.public_from_private(private) != public:
         raise MasterKeyError(
-            "Der oeffentliche Teil des Signaturschluessels passt nicht zum privaten. "
-            "Die Datei ist beschaedigt oder wurde manipuliert."
+            "Der öffentliche Teil des Signaturschlüssels passt nicht zum privaten. "
+            "Die Datei ist beschädigt oder wurde manipuliert."
         )
     return MasterKey(
         private_key=private, public_key=public, created_at=str(data.get("created_at") or "")
@@ -87,7 +87,7 @@ def ensure(path: Path) -> MasterKey:
     }
     write_private_file(path, json.dumps(payload, indent=2, sort_keys=True) + "\n")
     logger.warning(
-        "Neuer Signaturschluessel erzeugt (%s). Diese Datei ist unwiederbringlich -- "
+        "Neuer Signaturschlüssel erzeugt (%s). Diese Datei ist unwiederbringlich – "
         "bitte sofort gesichert ablegen: %s",
         lic.key_id(public),
         path,
@@ -98,7 +98,7 @@ def ensure(path: Path) -> MasterKey:
 def health(path: Path) -> dict[str, object]:
     """Zustand fuer die Diagnoseseite."""
     if not path.is_file():
-        return {"present": False, "problems": ["Signaturschluessel fehlt"]}
+        return {"present": False, "problems": ["Signaturschlüssel fehlt"]}
     problems = check_private_file(path)
     try:
         key = load(path)

apps/tesm-license/src/tesm_license/services/transfer.py

@@ -41,11 +41,11 @@ APP_TAG = "tesm-license"
 
 CATEGORIES: tuple[Category, ...] = (
     Category("customers", "Kunden", "Stammdaten der Kundeninstanzen"),
-    Category("tickets", "Tickets", "Anspruechte inklusive Self-Service-Schluessel", sensitive=True),
+    Category("tickets", "Tickets", "Ansprüche inklusive Self-Service-Schlüssel", sensitive=True),
     Category(
         "licenses",
         "Lizenzen",
-        "Ausgestellte Lizenzen mit signiertem Dokument und verschluesseltem Client-Schluessel",
+        "Ausgestellte Lizenzen mit signiertem Dokument und verschlüsseltem Client-Schlüssel",
         sensitive=True,
     ),
     Category("users", "Benutzer", "Lokale Konten mit Passwort-Hash", admin_only=True),

apps/tesm-license/src/tesm_license/settings_spec.py

@@ -25,8 +25,8 @@ VENDOR_SETTINGS: tuple[SettingSpec, ...] = (
         "master_endpoint",
         "",
         "str",
-        "Oeffentlicher Endpunkt dieses Lizenzservers",
-        hint="Basis-URL, unter der Kundeninstanzen diesen Server erreichen -- z. B. "
+        "Öffentlicher Endpunkt dieses Lizenzservers",
+        hint="Basis-URL, unter der Kundeninstanzen diesen Server erreichen – z. B. "
         "https://lizenz.firma.de. Wird in jede Lizenz eingebettet und fuer alle "
         "kundengerichteten Links verwendet.",
         section="vendor",
@@ -38,8 +38,8 @@ PORTAL_SETTINGS: tuple[SettingSpec, ...] = (
         "portal_link_minutes",
         30,
         "int",
-        "Gueltigkeit des Zugangslinks (Minuten)",
-        hint="Der Link ist zusaetzlich nur einmal verwendbar.",
+        "Gültigkeit des Zugangslinks (Minuten)",
+        hint="Der Link ist zusätzlich nur einmal verwendbar.",
         section="portal",
         minimum=5,
         maximum=1440,
@@ -48,9 +48,9 @@ PORTAL_SETTINGS: tuple[SettingSpec, ...] = (
         "portal_session_minutes",
         60,
         "int",
-        "Gueltigkeit der Portalsitzung (Minuten)",
-        hint="Zweites, unabhaengiges Zeitfenster: eines fuer das Anklicken des Links, "
-        "eines fuer die daraus entstehende Sitzung.",
+        "Gültigkeit der Portalsitzung (Minuten)",
+        hint="Zweites, unabhängiges Zeitfenster: eines für das Anklicken des Links, "
+        "eines für die daraus entstehende Sitzung.",
         section="portal",
         minimum=5,
         maximum=1440,
@@ -64,7 +64,7 @@ PORTAL_SETTINGS: tuple[SettingSpec, ...] = (
         "bool",
         "Self-Service-Link je Ticket aktiv",
         hint="Erlaubt dem Kunden, seine Lizenz selbst herunterzuladen, zu widerrufen und "
-        "neu auszustellen -- ohne Anmeldung, allein ueber den unratbaren Ticket-Link.",
+        "neu auszustellen – ohne Anmeldung, allein über den unratbaren Ticket-Link.",
         section="portal",
     ),
 )
@@ -83,8 +83,8 @@ DEFAULT_TICKET_SETTINGS: tuple[SettingSpec, ...] = (
         "allow_customer_revoke",
         True,
         "bool",
-        "Kunden duerfen ihre Lizenz selbst widerrufen",
-        hint="Notwendig fuer einen Systemwechsel ohne Support-Anruf.",
+        "Kunden dürfen ihre Lizenz selbst widerrufen",
+        hint="Notwendig für einen Systemwechsel ohne Support-Anruf.",
         section="licensing",
     ),
 )

apps/tesm-license/src/tesm_license/templates/license/customer_detail.html

@@ -14,7 +14,7 @@
 
 {% block topbar_extra %}
   {% if current_user.has('tickets.create') %}
-    <a class="btn btn--primary btn--sm" href="{{ url_for('tickets.new', kunde=customer.id) }}">
+    <a class="btn btn--primary btn--sm" href="{{ url_for('tickets.new', customer=customer.id) }}">
       {{ icon('plus', size=15) }} Ticket anlegen
     </a>
   {% endif %}

apps/tesm-license/src/tesm_license/templates/license/license_detail.html

@@ -170,7 +170,7 @@
       <summary class="card__header" style="cursor:pointer">
         <div class="flex-1">
           <div class="card__title">{{ icon('file-text', size=17) }} Signiertes Dokument</div>
-          <div class="card__sub">Genau so, wie es signiert wurde -- jede Änderung bricht die Signatur</div>
+          <div class="card__sub">Genau so, wie es signiert wurde – jede Änderung bricht die Signatur</div>
         </div>
         {{ icon('chevron-down', size=16) }}
       </summary>
@@ -214,7 +214,7 @@
             <button class="btn btn--sm btn--danger btn--block" type="button"
                     data-dialog-open="revoke-dialog">Widerrufen</button>
             <p class="fs-xs faint">
-              Das Ticket bleibt offen -- eine neue Lizenz kann sofort ausgestellt werden. Genau so
+              Das Ticket bleibt offen – eine neue Lizenz kann sofort ausgestellt werden. Genau so
               läuft ein Systemwechsel.
             </p>
           {% endif %}

apps/tesm-license/src/tesm_license/templates/license/portal_request.html

@@ -22,7 +22,7 @@
 </form>
 
 <p class="auth-footnote">
-  Aus Datenschutzgründen bekommen Sie immer dieselbe Rückmeldung -- unabhängig davon, ob die
+  Aus Datenschutzgründen bekommen Sie immer dieselbe Rückmeldung – unabhängig davon, ob die
   Adresse bei uns bekannt ist.
 </p>
 {% endblock %}

apps/tesm-license/src/tesm_license/templates/license/selfservice_offline.html

@@ -15,7 +15,7 @@
 
     {% if response_code %}
       <div class="field">
-        <span class="field__label">Antwortcode -- in TESM eintragen</span>
+        <span class="field__label">Antwortcode – in TESM eintragen</span>
         <pre class="log-view" id="offline-answer" style="max-height:16dvh">{{ response_code }}</pre>
         <div class="row row--end mt-2">
           <button class="btn btn--sm" type="button" data-copy="#offline-answer">
@@ -23,7 +23,7 @@
           </button>
         </div>
         <p class="fs-sm muted mt-2">
-          Tragen Sie ihn in TESM unter Verwaltung -- Lizenz bei
+          Tragen Sie ihn in TESM unter Verwaltung → Lizenz bei
           &bdquo;Antwortcode des Lizenzservers&ldquo; ein.
           {% if summary.hostname %}
             Die Anfrage kam von <span class="mono">{{ summary.hostname }}</span>.

apps/tesm-license/src/tesm_license/templates/license/settings_system.html

@@ -1,5 +1,5 @@
 {% extends "tesm_core/base.html" %}
-{% from "tesm_core/macros.html" import field, select_field, checkbox, alert %}
+{% from "tesm_core/macros.html" import field, select_field, checkbox, alert, nav_order_card %}
 
 {% block page_title %}Systemeinstellungen{% endblock %}
 {% block page_sub %}Portal, Self-Service, Protokolle, Host{% endblock %}
@@ -60,9 +60,6 @@
                             selected=values.log_rotate_interval) }}
             {{ field('log_rotate_keep', 'Aufbewahrte Rotationen', value=values.log_rotate_keep,
                      type='number') }}
-            {{ field('session_idle_minutes', 'Automatische Abmeldung (Minuten)',
-                     value=values.session_idle_minutes, type='number',
-                     hint_text=specs['session_idle_minutes'].hint) }}
             {{ field('trash_retention_days', 'Papierkorb-Aufbewahrung (Tage)',
                      value=values.trash_retention_days, type='number') }}
           </div>
@@ -73,6 +70,34 @@
   </div>
 
   <div class="stack">
+    {# Eigene Karte: die Abmeldung stand zwischen Protokollrotation und
+       Papierkorb -- drei Dinge ohne Zusammenhang. Wer die Sitzungsdauer sucht,
+       sucht sie nicht unter "Protokolle". #}
+    <section class="card">
+      <div class="card__header">
+        <div class="flex-1">
+          <div class="card__title">{{ icon('clock', size=17) }} Sitzungen</div>
+          <div class="card__sub">Wie lange eine Anmeldung gilt</div>
+        </div>
+      </div>
+      <form method="post" action="{{ url_for('settings.system_save') }}">
+        <input type="hidden" name="{{ csrf_field_name }}" value="{{ csrf_token() }}">
+        <div class="card__body">
+          <div class="form-grid">
+            {{ field('session_idle_minutes', 'Automatische Abmeldung nach Leerlauf (Minuten)',
+                     value=values.session_idle_minutes, type='number',
+                     attrs='min="5" max="1440" step="1"',
+                     hint_text=specs['session_idle_minutes'].hint) }}
+            {{ field('session_absolute_hours', 'Längstmögliche Sitzungsdauer (Stunden)',
+                     value=values.session_absolute_hours, type='number',
+                     attrs='min="1" max="168" step="1"',
+                     hint_text=specs['session_absolute_hours'].hint) }}
+          </div>
+        </div>
+        <div class="card__footer"><button class="btn btn--primary" type="submit">Speichern</button></div>
+      </form>
+    </section>
+
     <section class="card">
       <div class="card__header">
         <div class="flex-1"><div class="card__title">{{ icon('server', size=17) }} Host</div></div>
@@ -104,33 +129,9 @@
     </section>
 
     {% if current_user.is_admin %}
-      <section class="card">
-        <div class="card__header">
-          <div class="flex-1">
-            <div class="card__title">{{ icon('sliders', size=17) }} Navigationsreihenfolge</div>
-            <div class="card__sub">Gilt für alle Benutzer</div>
-          </div>
-        </div>
-        <form method="post" action="{{ url_for('admin.nav_order') }}">
-          <input type="hidden" name="{{ csrf_field_name }}" value="{{ csrf_token() }}">
-          <div class="card__body">
-            <ol class="stack stack--tight">
-              {% for key in nav_order %}
-                {% set item = nav_items | selectattr('key', 'equalto', key) | list | first %}
-                {% if item %}
-                  <li class="row row--tight">
-                    <input type="hidden" name="order" value="{{ item.key }}">
-                    <span class="flex-1">{{ icon(item.icon, size=15) }} {{ item.label }}</span>
-                  </li>
-                {% endif %}
-              {% endfor %}
-            </ol>
-          </div>
-          <div class="card__footer">
-            <button class="btn btn--sm" type="submit">Reihenfolge speichern</button>
-          </div>
-        </form>
-      </section>
+      {{ nav_order_card(nav_items, nav_order, nav_child_order,
+                        url_for('admin.nav_order'), csrf_field_name, csrf_token(),
+                        sub='Gilt für alle Benutzer') }}
     {% endif %}
   </div>
 </div>

apps/tesm-license/src/tesm_license/templates/license/settings_vendor.html

@@ -45,7 +45,7 @@ welche Basis-URL in kundengerichteten Links steht.', 'info') }}
             <input class="input" type="file" name="vendor_logo" accept="image/png,image/jpeg,image/svg+xml"
                    {% if not current_user.has('settings_vendor.edit') %}disabled{% endif %}>
             <span class="field__hint">
-              Ein zu grosses Logo wird abgelehnt, die übrigen Angaben werden trotzdem gespeichert.
+              Ein zu großes Logo wird abgelehnt, die übrigen Angaben werden trotzdem gespeichert.
             </span>
           </div>
         </fieldset>
@@ -75,7 +75,7 @@ welche Basis-URL in kundengerichteten Links steht.', 'info') }}
       <div class="divider"></div>
       <p class="fs-sm muted">
         Die Angaben werden zum Zeitpunkt der Ausstellung in die Lizenz kopiert und signiert. Eine
-        Änderung hier wirkt auf neue Lizenzen -- bestehende behalten ihren Stand, bis eine neue
+        Änderung hier wirkt auf neue Lizenzen – bestehende behalten ihren Stand, bis eine neue
         Revision signiert wird.
       </p>
     </div>

apps/tesm-license/src/tesm_license/templates/license/ticket_detail.html

@@ -33,7 +33,7 @@
           <div class="card__title">{{ icon('shield', size=17) }} Lizenz ausstellen</div>
           <div class="card__sub">
             {% if has_open_license %}
-              Es existiert bereits eine offene Lizenz -- widerrufen Sie sie zuerst.
+              Es existiert bereits eine offene Lizenz – widerrufen Sie sie zuerst.
             {% else %}
               Erzeugt eine signierte Lizenzdatei mit den Werten dieses Tickets.
             {% endif %}
@@ -128,7 +128,7 @@
           </div>
           <p class="fs-xs faint">
             Damit kann der Kunde seine Lizenz herunterladen, bei einem Systemwechsel freigeben und
-            neu ausstellen. Der Link enthält 192 Bit Zufall und ist nicht ratbar -- behandeln Sie
+            neu ausstellen. Der Link enthält 192 Bit Zufall und ist nicht ratbar – behandeln Sie
             ihn wie ein Passwort.
           </p>
           <div class="divider"></div>

apps/tesm-license/src/tesm_license/templates/license/ticket_new.html

@@ -32,7 +32,7 @@
               {% endfor %}
             </select>
             <span class="field__hint">
-              Der Kunde ist nach dem Anlegen unveränderlich -- der Self-Service-Link ist an ihn
+              Der Kunde ist nach dem Anlegen unveränderlich – der Self-Service-Link ist an ihn
               gebunden.
             </span>
           </label>
@@ -77,7 +77,7 @@
             <div class="flex-1">
               <div class="card__title">{{ icon('share', size=17) }} Lizenzserver-Lizenz</div>
               <div class="card__sub">
-                Erzeugt eine neue Vertrauensgrenze -- der Empfänger verwaltet danach eigene Kunden
+                Erzeugt eine neue Vertrauensgrenze – der Empfänger verwaltet danach eigene Kunden
               </div>
             </div>
           </div>
@@ -103,7 +103,7 @@
       <div class="card__body">
         <ol class="stack stack--tight fs-sm muted" style="list-style:decimal;padding-left:1.2em">
           <li>Ticket anlegen (dieser Schritt).</li>
-          <li>Auf der Ticketseite eine Lizenz ausstellen -- optional als 30-Tage-Testlizenz mit
+          <li>Auf der Ticketseite eine Lizenz ausstellen – optional als 30-Tage-Testlizenz mit
             allen Modulen.</li>
           <li>Lizenzdatei herunterladen oder per E-Mail versenden.</li>
           <li>Der Kunde spielt sie ein und aktiviert sie; die Aktivierung bindet sie an seine
@@ -112,7 +112,7 @@
         <div class="divider"></div>
         <p class="fs-sm muted">
           Der Self-Service-Link des Tickets erlaubt dem Kunden, seine Lizenz selbst
-          herunterzuladen und bei einem Systemwechsel freizugeben -- ohne Support-Anruf.
+          herunterzuladen und bei einem Systemwechsel freizugeben – ohne Support-Anruf.
         </p>
       </div>
       <div class="card__footer">

deploy/install.sh

@@ -94,11 +94,11 @@ bei_fehler() {
     else
       warn "Abgebrochen (Code $code). Es gab keinen vorherigen Stand dieser Fassung,"
       warn "also wurde nichts wiederhergestellt und nichts geloescht."
-    fi
-    # Nur sagen, was es wirklich gibt: bei einem Abbruch an der Rueckfrage
-    # existiert das Verzeichnis noch nicht, und die Zeile log dann.
-    if [[ -n "${ROOT:-}" && -d "${ROOT:-}" ]]; then
-      warn "Angelegt wurde bis hierhin: $ROOT (Daten unter data/ unberuehrt)."
+      # Nur sagen, was es wirklich gibt: bei einem Abbruch an der Rueckfrage
+      # existiert das Verzeichnis noch nicht.
+      if [[ -n "${ROOT:-}" && -d "${ROOT:-}" ]]; then
+        warn "Angelegt wurde bis hierhin: $ROOT (Daten unter data/ unberuehrt)."
+      fi
     fi
   fi
   return "$code"
@@ -168,6 +168,8 @@ LOG_DIR="/var/log/$NAME"
 SERVICE_USER="$APP"
 UNIT="$NAME.service"
 MONITOR_UNIT="$NAME-monitor.service"
+CLEANUP_UNIT="$NAME-cleanup.service"
+CLEANUP_TIMER="$NAME-cleanup.timer"
 NGINX_SITE="/etc/nginx/sites-available/$NAME"
 ENV_PREFIX="TESM_"
 [[ "$APP" == "tesm-license" ]] && ENV_PREFIX="TESM_LICENSE_"
@@ -189,6 +191,12 @@ fi
 # beim Secure-Flag weiter unten: eine Aktualisierung nimmt nichts weg, was
 # nicht ausdruecklich neu gesetzt wird.
 ENV_FILE="$ETC_TESM/$NAME.env"
+# Wo die Daten liegen, steht in der Umgebungsdatei; ohne sie beim Vorgabeort.
+# "|| true": bei einer Neuinstallation gibt es die Datei noch nicht, und ein
+# scheiterndes sed in einer Zuweisung beendet unter "set -e" das ganze Skript.
+DATEN_DIR="$(sed -n "s/^${ENV_PREFIX}DATA_DIR=//p" "$ENV_FILE" 2>/dev/null || true)"
+DATEN_DIR="$(printf '%s' "$DATEN_DIR" | tail -1)"
+DATEN_DIR="${DATEN_DIR:-$ROOT/data}"
 if [[ -z "$PORT" && -f "$ENV_FILE" ]]; then
   PORT="$(sed -n "s/^${ENV_PREFIX}BIND=127\.0\.0\.1:\([0-9]\{1,5\}\)$/\1/p" "$ENV_FILE" | head -1)"
 fi
@@ -306,11 +314,28 @@ fi
 # Abgleich unten laeuft mit --delete und wuerde das Teilpaket entfernen. Danach
 # gaebe es auf dem Master keinen Weg mehr, eine Master-Lizenz auszustellen --
 # und niemand haette es gesagt.
-if [[ "$EDITION" == "sub" && -d "$ROOT/$MASTER_TEILPAKET" ]]; then
-  fail "Hier laeuft die Master-Ausgabe, dieses Paket ist die Ausgabe fuer Sub-Lizenzserver.
+# Die Rolle steht in der eingespielten Lizenz. Das ist die zuverlaessigere
+# Haelfte der Pruefung: eine Master-Installation aus einer aelteren Fassung
+# kennt das Teilpaket noch nicht, ist aber trotzdem eine Wurzelinstanz.
+ROLLE_ALT=""
+if [[ "$EDITION" == "sub" && -s "$DATEN_DIR/license.json" ]]; then
+  ROLLE_ALT="$(python3 -c '
+import json, sys
+try:
+    print(json.load(open(sys.argv[1])).get("role", ""))
+except Exception:
+    pass
+' "$DATEN_DIR/license.json" 2>/dev/null || true)"
+fi
+
+if [[ "$EDITION" == "sub" && ( -d "$ROOT/$MASTER_TEILPAKET" || "$ROLLE_ALT" == "master" ) ]]; then
+  fail "Hier laeuft eine Wurzelinstanz${ROLLE_ALT:+ (Lizenz mit Rolle $ROLLE_ALT)}, dieses Paket
+    ist die Ausgabe fuer Sub-Lizenzserver.
     Eine Aktualisierung damit wuerde die Master-Ausgabe entfernen.
     Passendes Paket: Repository tesm-license-master (privat).
-    Bewusster Rueckbau: $ROOT/$MASTER_TEILPAKET von Hand entfernen, dann erneut."
+    Bewusster Rueckbau: eine vom Master ausgestellte Lizenz einspielen (Rolle
+    license_server) und $ROOT/$MASTER_TEILPAKET entfernen -- danach ist dies ein
+    Sub-Lizenzserver und dieses Paket das richtige."
 fi
 
 # -- Backup ------------------------------------------------------------------
@@ -516,6 +541,11 @@ render_unit "$ROOT/deploy/systemd/$APP.service" "/etc/systemd/system/$UNIT"
 if [[ "$APP" == "tesm" ]]; then
   render_unit "$ROOT/deploy/systemd/tesm-monitor.service" "/etc/systemd/system/$MONITOR_UNIT"
 fi
+# Aufraeumen lief bisher nur von Hand -- also praktisch nie. Auf einer
+# laufenden Installation lagen deshalb hunderte abgelaufene Sitzungszeilen in
+# der Datenbank, und das Aenderungsprotokoll waere nie archiviert worden.
+render_unit "$ROOT/deploy/systemd/$APP-cleanup.service" "/etc/systemd/system/$CLEANUP_UNIT"
+render_unit "$ROOT/deploy/systemd/$APP-cleanup.timer" "/etc/systemd/system/$CLEANUP_TIMER"
 [[ $UNITS_CHANGED -eq 1 ]] && systemctl daemon-reload && info "Units neu geladen" \
   || info "Units unveraendert"
 
@@ -588,6 +618,8 @@ systemctl enable --now "$UNIT" >/dev/null
 if [[ "$APP" == "tesm" ]]; then
   systemctl enable --now "$MONITOR_UNIT" >/dev/null
 fi
+# Der Timer, nicht der Dienst: der Dienst laeuft einmal und ist fertig.
+systemctl enable --now "$CLEANUP_TIMER" >/dev/null 2>&1 && info "Aufraeumen: taeglich 03:30"   || info "Aufraeum-Timer nicht aktiviert -- 'systemctl status $CLEANUP_TIMER' zeigt warum"
 
 # -- Health-Check und Rollback ----------------------------------------------
 step "Gesundheitspruefung"
@@ -597,7 +629,7 @@ for attempt in $(seq 1 20); do
   # pruefen ging schon einmal schief -- auf einem gemeinsamen Port antwortete
   # eine andere Instanz, und ein toter Dienst galt als gesund.
   if systemctl is-active --quiet "$UNIT" &&
-     curl -fsS --max-time 3 "http://127.0.0.1:$PORT/gesundheit" >/dev/null 2>&1; then
+     curl -fsS --max-time 3 "http://127.0.0.1:$PORT/health" >/dev/null 2>&1; then
     HEALTHY=1
     info "Antwort nach ${attempt}x"
     break
@@ -676,10 +708,6 @@ fi
 # gleich die eigene Master-Lizenz. Bei einer Aktualisierung nichts davon --
 # ein bestehender Schluessel darf nie angetastet werden.
 if [[ "$APP" == "tesm-license" && $IS_UPDATE -eq 0 ]]; then
-  # Das Datenverzeichnis steht in der Umgebungsdatei -- es muss nicht
-  # $ROOT/data sein, wenn jemand es dort umgestellt hat.
-  DATEN_DIR="$(sed -n "s/^${ENV_PREFIX}DATA_DIR=//p" "$ENV_FILE" | tail -1)"
-  DATEN_DIR="${DATEN_DIR:-$ROOT/data}"
   step "Signaturschluessel"
   if sudo -u "$SERVICE_USER" "/usr/local/bin/$NAME-admin" init-key; then
     info "Bitte die Datei $DATEN_DIR/master_signing_key.json SOFORT sichern."

deploy/systemd/tesm-cleanup.service

@@ -0,0 +1,34 @@
+[Unit]
+Description=TESM -- Aufraeumen: Sitzungen, Ratenereignisse, Protokollarchiv
+After=tesm.service
+# Ohne die laufende Anwendung ist nichts kaputt -- der Befehl arbeitet direkt
+# auf der Datenbank. "After" sorgt nur fuer eine sinnvolle Reihenfolge beim
+# Hochfahren.
+
+[Service]
+Type=oneshot
+User=tesm
+Group=tesm
+WorkingDirectory=/srv/tesm
+Environment=TESM_BASE_DIR=/srv/tesm
+Environment=TESM_DATA_DIR=/srv/tesm/data
+Environment=TESM_LOG_DIR=/var/log/tesm
+Environment=PYTHONUNBUFFERED=1
+ExecStart=/srv/tesm/venv/bin/tesm-admin housekeeping
+
+# Hier darf voll gehaertet werden: dieser Aufruf fasst nur die Datenbank und
+# das Protokollverzeichnis an, keine Systemdateien und keinen Helfer per sudo.
+NoNewPrivileges=yes
+PrivateTmp=yes
+ProtectSystem=strict
+ProtectHome=yes
+ProtectKernelTunables=yes
+ProtectKernelModules=yes
+ProtectControlGroups=yes
+RestrictSUIDSGID=yes
+RestrictNamespaces=yes
+RestrictAddressFamilies=AF_UNIX
+LockPersonality=yes
+SystemCallArchitectures=native
+UMask=0027
+ReadWritePaths=/srv/tesm/data /var/log/tesm

deploy/systemd/tesm-cleanup.timer

@@ -0,0 +1,18 @@
+[Unit]
+Description=TESM -- taegliches Aufraeumen
+
+[Timer]
+# Nachts, wenn niemand arbeitet: abgelaufene Sitzungen, alte Ratenereignisse
+# und die Archivierung des Aenderungsprotokolls.
+#
+# Vorher lief das nur, wenn jemand "tesm-admin housekeeping" aufrief oder in
+# der Diagnose darauf klickte -- also praktisch nie. Gemessen auf einer
+# Installation nach vier Wochen: 747 Sitzungszeilen, 682 davon abgelaufen.
+OnCalendar=*-*-* 03:30:00
+# Streuung, damit nicht jede Installation im Netz zur selben Sekunde loslegt.
+RandomizedDelaySec=15m
+# Nachgeholt, wenn die Maschine nachts aus war.
+Persistent=true
+
+[Install]
+WantedBy=timers.target

deploy/systemd/tesm-license-cleanup.service

@@ -0,0 +1,34 @@
+[Unit]
+Description=TESM-Lizenzserver -- Aufraeumen: Sitzungen, Ratenereignisse, Protokollarchiv
+After=tesm-license.service
+# Ohne die laufende Anwendung ist nichts kaputt -- der Befehl arbeitet direkt
+# auf der Datenbank. "After" sorgt nur fuer eine sinnvolle Reihenfolge beim
+# Hochfahren.
+
+[Service]
+Type=oneshot
+User=tesm-license
+Group=tesm-license
+WorkingDirectory=/srv/tesm-license
+Environment=TESM_LICENSE_BASE_DIR=/srv/tesm-license
+Environment=TESM_LICENSE_DATA_DIR=/srv/tesm-license/data
+Environment=TESM_LICENSE_LOG_DIR=/var/log/tesm-license
+Environment=PYTHONUNBUFFERED=1
+ExecStart=/srv/tesm-license/venv/bin/tesm-license-admin housekeeping
+
+# Hier darf voll gehaertet werden: dieser Aufruf fasst nur die Datenbank und
+# das Protokollverzeichnis an, keine Systemdateien und keinen Helfer per sudo.
+NoNewPrivileges=yes
+PrivateTmp=yes
+ProtectSystem=strict
+ProtectHome=yes
+ProtectKernelTunables=yes
+ProtectKernelModules=yes
+ProtectControlGroups=yes
+RestrictSUIDSGID=yes
+RestrictNamespaces=yes
+RestrictAddressFamilies=AF_UNIX
+LockPersonality=yes
+SystemCallArchitectures=native
+UMask=0027
+ReadWritePaths=/srv/tesm-license/data /var/log/tesm-license

deploy/systemd/tesm-license-cleanup.timer

@@ -0,0 +1,18 @@
+[Unit]
+Description=TESM-Lizenzserver -- taegliches Aufraeumen
+
+[Timer]
+# Nachts, wenn niemand arbeitet: abgelaufene Sitzungen, alte Ratenereignisse
+# und die Archivierung des Aenderungsprotokolls.
+#
+# Vorher lief das nur, wenn jemand "tesm-license-admin housekeeping" aufrief oder in
+# der Diagnose darauf klickte -- also praktisch nie. Gemessen auf einer
+# Installation nach vier Wochen: 747 Sitzungszeilen, 682 davon abgelaufen.
+OnCalendar=*-*-* 03:30:00
+# Streuung, damit nicht jede Installation im Netz zur selben Sekunde loslegt.
+RandomizedDelaySec=15m
+# Nachgeholt, wenn die Maschine nachts aus war.
+Persistent=true
+
+[Install]
+WantedBy=timers.target

deploy/update.sh

@@ -32,6 +32,7 @@ EXTRA=("$@")
 [[ "$APP" == "tesm" || "$APP" == "tesm-license" ]] || {
   echo "Verwendung: update.sh <tesm|tesm-license> [tag] [install.sh-Argumente ...]" >&2
   echo "Beispiel  : update.sh tesm latest --instance test" >&2
+  echo "Ohne Rueckfrage: --yes anhaengen (ohne Terminal zwingend)." >&2
   exit 2
 }
 
@@ -172,8 +173,26 @@ release_holen() {
 
 release_holen
 
-read -r -p "Version $TAG fuer $APP${EXTRA[0]+ (${EXTRA[*]})} installieren? [j/N] " answer
-[[ "$answer" =~ ^[jJyY]$ ]] || exit 0
+# --yes darf auch hier stehen, nicht nur bei install.sh und upgrade.sh. Es
+# bleibt in EXTRA: install.sh bekommt es ohnehin, doppelt schadet nicht.
+OHNE_RUECKFRAGE=0
+for ((i = 0; i < ${#EXTRA[@]}; i++)); do
+  [[ "${EXTRA[i]}" == "--yes" || "${EXTRA[i]}" == "-y" ]] && OHNE_RUECKFRAGE=1
+done
+
+if [[ $OHNE_RUECKFRAGE -eq 1 ]]; then
+  echo "==> Version $TAG wird ohne Rueckfrage installiert."
+elif [[ -t 0 ]]; then
+  read -r -p "Version $TAG fuer $APP${EXTRA[0]+ (${EXTRA[*]})} installieren? [j/N] " answer
+  [[ "$answer" =~ ^[jJyY]$ ]] || exit 0
+else
+  # Ohne Terminal las "read" hier EOF, die Antwort blieb leer, und das Skript
+  # endete mit 0 -- wer es aus einem anderen Skript aufrief, hielt das Update
+  # fuer erledigt. Lieber laut abbrechen.
+  echo "Kein Terminal fuer die Rueckfrage, und --yes fehlt -- es wurde nichts" >&2
+  echo "installiert. Aufruf mit --yes wiederholen." >&2
+  exit 3
+fi
 
 # Kein exec: sonst laeuft die Aufraeumfalle nie, und jedes Update liesse ein
 # entpacktes Release unter /tmp liegen.

docs/BETRIEB.md

@@ -446,7 +446,7 @@ Unverzichtbar:
 **Die Anwendung antwortet nicht.**
 ```bash
 journalctl -u tesm -n 200 --no-pager
-curl -s http://127.0.0.1:5000/gesundheit
+curl -s http://127.0.0.1:5000/health
 ```
 Antwortet gunicorn, aber der Browser nicht, liegt es an nginx.
 

packages/tesm-core/pyproject.toml

@@ -4,7 +4,7 @@ build-backend = "setuptools.build_meta"
 
 [project]
 name = "tesm-core"
-version = "2.1.0"
+version = "2.7.4"
 description = "Gemeinsames Anwendungsgeruest (Auth, RBAC, Navigation, Design-System, Migrationen) fuer TESM und TESM-Lizenzserver"
 requires-python = ">=3.11"
 dependencies = [

packages/tesm-core/src/tesm_core/app_factory.py

@@ -13,10 +13,12 @@ import secrets
 from datetime import datetime, timezone
 from typing import Any, Sequence
 
-from flask import Blueprint, Flask, g, render_template, request
+from urllib.parse import urlencode
+
+from flask import Blueprint, Flask, g, redirect, render_template, request
 from werkzeug.exceptions import HTTPException
 
-from . import audit, logging_setup, ui
+from . import audit, legacy_urls, logging_setup, ui
 from .config import CoreConfig
 from .core_schema import CORE_MIGRATIONS
 from .db import Database
@@ -31,6 +33,7 @@ from .security import csrf
 from .security import sessions as session_store
 from .security.sessions import SqliteSessionInterface
 from .settings_store import SettingSpec, SettingsStore
+from . import uploads
 from .sysops import SysOps
 from .auth import directory
 from .auth import routes as auth_routes
@@ -56,18 +59,29 @@ CORE_SETTINGS: tuple[SettingSpec, ...] = (
         30,
         "int",
         "Aufbewahrung im Papierkorb (Tage)",
-        hint="Nach dieser Frist werden Eintraege beim naechsten Aufruf endgueltig entfernt.",
+        hint="Nach dieser Frist werden Einträge beim nächsten Aufruf endgültig entfernt.",
         section="system",
         minimum=1,
         maximum=3650,
     ),
+    SettingSpec(
+        "session_absolute_hours",
+        12,
+        "int",
+        "Längstmögliche Sitzungsdauer (Stunden)",
+        hint="Danach ist Schluss, auch bei ständiger Arbeit – eine Sitzung soll nicht "
+        "ewig leben. Die eingebundenen Dateifreigaben enden mit ihr.",
+        section="system",
+        minimum=1,
+        maximum=168,
+    ),
     SettingSpec(
         "session_idle_minutes",
         30,
         "int",
         "Automatische Abmeldung nach Leerlauf (Minuten)",
-        hint="Jede Anfrage setzt den Zaehler zurueck -- gezaehlt wird nur Untaetigkeit. "
-        "Gilt auch fuer die eingebundenen Dateifreigaben: mit der Sitzung endet die "
+        hint="Jede Anfrage setzt den Zähler zurück – gezählt wird nur Untätigkeit. "
+        "Gilt auch für die eingebundenen Dateifreigaben: mit der Sitzung endet die "
         "Einbindung.",
         section="system",
         minimum=5,
@@ -100,8 +114,8 @@ CORE_SETTINGS: tuple[SettingSpec, ...] = (
     SettingSpec("web_hsts_enabled", False, "bool", "HSTS senden", section="web"),
     SettingSpec("web_redirect_http", True, "bool", "HTTP auf HTTPS umleiten", section="web"),
     SettingSpec("web_cert_path", "", "str", "Zertifikat (Pfad)", section="web"),
-    SettingSpec("web_key_path", "", "str", "Privater Schluessel (Pfad)", section="web"),
-    SettingSpec("web_acme_email", "", "str", "E-Mail fuer Let's Encrypt", section="web"),
+    SettingSpec("web_key_path", "", "str", "Privater Schlüssel (Pfad)", section="web"),
+    SettingSpec("web_acme_email", "", "str", "E-Mail für Let's Encrypt", section="web"),
     SettingSpec("web_acme_webroot", "", "str", "ACME-Webroot", section="web"),
     # Abweichende Ports braucht nur eine Testinstanz neben der Produktion --
     # im Regelbetrieb bleibt es bei 80 und 443.
@@ -112,7 +126,7 @@ CORE_SETTINGS: tuple[SettingSpec, ...] = (
         "web_https_port", 443, "int", "HTTPS-Port", section="web", minimum=1, maximum=65535
     ),
     SettingSpec(
-        "web_max_body_mb", 128, "int", "Maximale Anfragegroesse (MB)", section="web",
+        "web_max_body_mb", 128, "int", "Maximale Anfragegröße (MB)", section="web",
         minimum=1, maximum=8192,
     ),
     *directory.SETTINGS,
@@ -134,7 +148,7 @@ def create_base_app(
     #: Wortmarke, ohne Zeile darunter; die Marke selbst zeigen beide
     #: Anwendungen.
     auth_tagline: str = "",
-    app_version: str = "2.1.0",
+    app_version: str = "2.7.4",
     built_in_trusted_keys: tuple[str, ...] = (),
     enable_license: bool = True,
     template_folder: str | None = None,
@@ -146,6 +160,10 @@ def create_base_app(
         static_folder=static_folder or "static",
         static_url_path="/assets",
     )
+    # Umlaute bleiben Umlaute -- auch in JSON. Flask wuerde sonst nach ASCII
+    # ausweichen ("ü"), und genau darin stehen die Flash-Meldungen in der
+    # Seite: eine Meldung mit "ue" war lesbar, eine mit "ü" wurde zu Zahlen.
+    app.json.ensure_ascii = False
 
     # Templates und Design-System des Kerns liegen im Paket ``tesm_core`` und
     # werden ueber einen eigenen Blueprint bereitgestellt. Dadurch kann jede
@@ -163,6 +181,10 @@ def create_base_app(
     config.data_dir.mkdir(parents=True, exist_ok=True)
     config.log_dir.mkdir(parents=True, exist_ok=True)
 
+    # Die Groessengrenze einer Anfrage kommt aus der Einstellung, nicht aus
+    # der Konfiguration beim Start.
+    app.request_class = uploads.UploadLimitRequest
+
     app.config.update(
         SECRET_KEY=load_or_create_secret_key(config.secret_key_file),
         # site_key statt app_key: Cookies unterscheiden keine Ports. Zwei
@@ -172,6 +194,9 @@ def create_base_app(
         SESSION_COOKIE_HTTPONLY=True,
         SESSION_COOKIE_SECURE=config.security.cookie_secure,
         SESSION_COOKIE_SAMESITE=config.security.cookie_samesite,
+        # Nur die aeussere Schranke aus der Umgebung. Die eigentliche Grenze
+        # steht in der Einstellung und wird pro Anfrage gelesen (uploads.py) --
+        # sonst braeuchte jede Aenderung einen Neustart aller Arbeiter.
         MAX_CONTENT_LENGTH=config.security.max_content_length,
         JSON_SORT_KEYS=False,
         TRAP_HTTP_EXCEPTIONS=False,
@@ -222,12 +247,21 @@ def create_base_app(
             wert = 0
         return wert if wert > 0 else config.security.session_idle_minutes
 
+    def _gesamtdauer(conn: Any) -> int:
+        """Gesamtdauer aus den Einstellungen -- ueber dieselbe offene Verbindung."""
+        try:
+            wert = int(settings.get(conn, "session_absolute_hours") or 0)
+        except (TypeError, ValueError):
+            wert = 0
+        return wert if wert > 0 else config.security.session_absolute_hours
+
     app.session_interface = SqliteSessionInterface(
         database,
         cookie_name=app.config["SESSION_COOKIE_NAME"],
         idle_minutes=config.security.session_idle_minutes,
         absolute_hours=config.security.session_absolute_hours,
         idle_lookup=_leerlauf,
+        absolute_lookup=_gesamtdauer,
     )
 
     # -- Schema und Startzustand ------------------------------------------ #
@@ -328,6 +362,26 @@ def create_base_app(
     # -- Fehlerseiten ------------------------------------------------------ #
     @app.errorhandler(HTTPException)
     def _http_error(error: HTTPException):  # type: ignore[no-untyped-def]
+        if error.code == 404:
+            # Vor der Fehlerseite: war das eine Adresse aus der Zeit vor 2.5.0?
+            # Erst hier gefragt, damit die Tabelle nie eine bestehende Route
+            # verdeckt -- auf dem Lizenzserver ist /lizenz/<ticket> echt.
+            ziel = legacy_urls.neue_adresse(request.path)
+            if ziel is not None:
+                parameter = legacy_urls.neue_parameter(request.args.to_dict(flat=True))
+                if parameter:
+                    ziel = ziel + "?" + urlencode(parameter)
+                return redirect(ziel)
+        if error.code == 413:
+            # "Request Entity Too Large" allein hilft niemandem weiter: die
+            # Zahl steht in einer Einstellung, und wer hochlaedt, soll sie
+            # sehen. Vorher stand hier nur der nackte Status.
+            grenze = uploads.limit_mb()
+            error.description = (
+                f"Diese Datei ist größer als erlaubt. Zurzeit sind {grenze} MB je Upload "
+                "eingestellt; ändern kann das ein Administrator unter "
+                '"Einstellungen -> Webserver und TLS".'
+            )
         if _wants_json():
             return {
                 "error": error.name,
@@ -381,7 +435,7 @@ def create_base_app(
     with app.app_context():
         trash_views.register_core_providers()
 
-    app.add_url_rule("/gesundheit", "health", _health, methods=["GET"])
+    app.add_url_rule("/health", "health", _health, methods=["GET"])
 
     return app
 

packages/tesm-core/src/tesm_core/audit.py

@@ -133,14 +133,14 @@ def verify_chain(conn: sqlite3.Connection, *, limit: int | None = None) -> dict[
                 "ok": False,
                 "checked": checked,
                 "broken_at": data["id"],
-                "reason": "Vorgaenger-Hash passt nicht -- eine Zeile wurde entfernt oder eingefuegt.",
+                "reason": "Vorgänger-Hash passt nicht – eine Zeile wurde entfernt oder eingefügt.",
             }
         if compute_hash(str(data["prev_hash"]), data) != data["hash"]:
             return {
                 "ok": False,
                 "checked": checked,
                 "broken_at": data["id"],
-                "reason": "Zeileninhalt passt nicht zum gespeicherten Hash -- Eintrag geaendert.",
+                "reason": "Zeileninhalt passt nicht zum gespeicherten Hash | Eintrag geändert.",
             }
         expected_prev = str(data["hash"])
         checked += 1

packages/tesm-core/src/tesm_core/auth/directory.py

@@ -59,20 +59,20 @@ SETTINGS: tuple[SettingSpec, ...] = (
         section="ldap",
         choices=(("ldaps", "LDAPS (Port 636)"), ("starttls", "StartTLS (Port 389)"), ("none", "Unverschluesselt")),
     ),
-    SettingSpec("ldap_verify_cert", True, "bool", "Serverzertifikat pruefen", section="ldap"),
+    SettingSpec("ldap_verify_cert", True, "bool", "Serverzertifikat prüfen", section="ldap"),
     SettingSpec("ldap_ca_file", "", "str", "CA-Zertifikat (Pfad)", section="ldap"),
     SettingSpec(
         "ldap_allow_insecure",
         False,
         "bool",
-        "Unverschluesselte Verbindung ausdruecklich erlauben",
-        hint="Nur fuer Testumgebungen. Das Passwort geht dabei im Klartext ueber das Netz.",
+        "Unverschlüsselte Verbindung ausdrücklich erlauben",
+        hint="Nur für Testumgebungen. Das Passwort geht dabei im Klartext über das Netz.",
         section="ldap",
     ),
     SettingSpec("ldap_base_dn", "", "str", "Basis-DN (leer = automatisch)", section="ldap"),
     SettingSpec("ldap_user_attribute", "sAMAccountName", "str", "Anmeldeattribut", section="ldap"),
     SettingSpec("ldap_email_attribute", "userPrincipalName", "str", "E-Mail-Attribut", section="ldap"),
-    SettingSpec("ldap_group_sync", True, "bool", "Gruppen aus dem Verzeichnis uebernehmen", section="ldap"),
+    SettingSpec("ldap_group_sync", True, "bool", "Gruppen aus dem Verzeichnis übernehmen", section="ldap"),
     SettingSpec("ldap_timeout", 8, "int", "Zeitlimit (Sekunden)", section="ldap", minimum=1, maximum=60),
 )
 
@@ -123,7 +123,7 @@ def bind_credentials(conn: sqlite3.Connection) -> tuple[str, str]:
     try:
         secret = core().keystore.decrypt(encrypted, aad=AAD_LDAP_BIND)
     except Exception:  # noqa: BLE001 - Schluessel gewechselt/Datei kaputt
-        logger.error("Bind-Passwort des Verzeichnisdienstes konnte nicht entschluesselt werden")
+        logger.error("Bind-Passwort des Verzeichnisdienstes konnte nicht entschlüsselt werden")
         return str(row.get("username") or ""), ""
     return str(row.get("username") or ""), secret
 
@@ -182,7 +182,7 @@ def _connect(config: dict[str, Any], user: str, password: str):
     security = str(config["ldap_security"])
     if security == "none" and not config["ldap_allow_insecure"]:
         raise PermissionError(
-            "Unverschluesselte Verzeichnisverbindungen sind deaktiviert. "
+            "Unverschlüsselte Verzeichnisverbindungen sind deaktiviert. "
             "Nutzen Sie LDAPS oder StartTLS."
         )
     connection = Connection(
@@ -249,9 +249,9 @@ def authenticate(conn: sqlite3.Connection, username: str, password: str) -> Dire
     bind_user, bind_password = bind_credentials(conn)
     warnings: list[str] = []
     if str(config["ldap_security"]) == "none":
-        warnings.append("Unverschluesselte Verzeichnisverbindung in Benutzung")
+        warnings.append("Unverschlüsselte Verzeichnisverbindung in Benutzung")
     if not config["ldap_verify_cert"]:
-        warnings.append("Serverzertifikat des Verzeichnisdienstes wird nicht geprueft")
+        warnings.append("Serverzertifikat des Verzeichnisdienstes wird nicht geprüft")
 
     try:
         service_conn, bound = _connect(config, bind_user, bind_password)
@@ -359,7 +359,7 @@ def _resolve_groups(connection: Any, base: str, user_dn: str) -> tuple[str, ...]
         )
         return tuple(str(entry.entry_dn) for entry in connection.entries)
     except Exception as exc:  # noqa: BLE001
-        logger.warning("Gruppenaufloesung fehlgeschlagen: %s", exc)
+        logger.warning("Gruppenauflösung fehlgeschlagen: %s", exc)
         return ()
 
 

packages/tesm-core/src/tesm_core/auth/models.py

@@ -220,6 +220,37 @@ def login_required(view: Callable[..., Any]) -> Callable[..., Any]:
     return wrapper
 
 
+def _verlangt_wiederanmeldung(permission: str) -> bool:
+    """Fragt das Rechtemodell -- ausserhalb einer Anwendung nie."""
+    try:
+        from ..extension import core
+
+        return bool(core().permissions.verlangt_wiederanmeldung(permission))
+    except Exception:  # noqa: BLE001 - ohne Modell keine zusaetzliche Huerde
+        return False
+
+
+def _wiederanmeldung_frisch() -> bool:
+    from .service import reauth_is_fresh  # zyklischen Import vermeiden
+
+    return reauth_is_fresh()
+
+
+def _bitte_bestaetigen(permission: str) -> Any:
+    """Zur Passwortbestaetigung schicken -- oder es einem Skript sagen.
+
+    Ein Aufruf per fetch bekaeme sonst die Anmeldeseite als Antwort und wuesste
+    nichts damit anzufangen.
+    """
+    if is_automatic(request) or (
+        request.accept_mimetypes.accept_json and not request.accept_mimetypes.accept_html
+    ):
+        abort(403, description="Bitte bestätigen Sie zur Sicherheit Ihr Passwort.")
+    session["_after_reauth"] = request.full_path if request.query_string else request.path
+    flash("Bitte bestätigen Sie zur Sicherheit Ihr Passwort.", "info")
+    return redirect(url_for("auth.reauth"))
+
+
 def permission_required(*permissions: str, mode: str = "all") -> Callable[..., Any]:
     """Erzwingt Rechte serverseitig.
 
@@ -237,7 +268,15 @@ def permission_required(*permissions: str, mode: str = "all") -> Callable[..., A
                 else current_user.has(*permissions)
             )
             if not ok:
-                return _deny("Fuer diese Seite fehlt Ihnen die Berechtigung.")
+                return _deny("Für diese Seite fehlt Ihnen die Berechtigung.")
+            # Geheimnisse und Exporte verlangen eine frische Bestaetigung --
+            # das steht im Rechtemodell und wird deshalb hier abgefragt, nicht
+            # in jeder Route einzeln. Vorher hing es daran, dass jemand an den
+            # Dekorator dachte: dieselbe Lizenz herunterzuladen fragte nach,
+            # sie per Mail zu verschicken nicht.
+            heikel = [p for p in permissions if _verlangt_wiederanmeldung(p)]
+            if heikel and not _wiederanmeldung_frisch():
+                return _bitte_bestaetigen(heikel[0])
             return view(*args, **kwargs)
 
         wrapper._required_permissions = permissions  # type: ignore[attr-defined]
@@ -279,7 +318,7 @@ def reauth_required(view: Callable[..., Any]) -> Callable[..., Any]:
             return _deny("Anmeldung erforderlich.")
         if not reauth_is_fresh():
             session["_after_reauth"] = request.full_path if request.query_string else request.path
-            flash("Bitte bestaetigen Sie zur Sicherheit Ihr Passwort.", "info")
+            flash("Bitte bestätigen Sie zur Sicherheit Ihr Passwort.", "info")
             return redirect(url_for("auth.reauth"))
         return view(*args, **kwargs)
 

packages/tesm-core/src/tesm_core/auth/routes.py

@@ -66,7 +66,7 @@ def login():
     )
 
 
-@bp.route("/login/zweiter-faktor", methods=["GET", "POST"])
+@bp.route("/login/second-factor", methods=["GET", "POST"])
 def second_factor():
     conn = db()
     user_row = service.pending_totp_user(conn)
@@ -116,7 +116,7 @@ def logout_get():
     return redirect(url_for("auth.login"))
 
 
-@bp.route("/bestaetigen", methods=["GET", "POST"])
+@bp.route("/confirm", methods=["GET", "POST"])
 @login_required
 def reauth():
     target = _safe_next(session.get("_after_reauth"))

packages/tesm-core/src/tesm_core/auth/service.py

@@ -151,7 +151,7 @@ def authenticate(
     if ip_verdict.blocked:
         return AuthOutcome(
             "rate_limited",
-            "Zu viele Anmeldeversuche von dieser Adresse. Bitte spaeter erneut versuchen.",
+            "Zu viele Anmeldeversuche von dieser Adresse. Bitte später erneut versuchen.",
             retry_after=ip_verdict.retry_after_seconds,
         )
 
@@ -165,7 +165,7 @@ def authenticate(
     if user_verdict.blocked:
         return AuthOutcome(
             "rate_limited",
-            "Dieses Konto ist nach mehreren Fehlversuchen voruebergehend gesperrt.",
+            "Dieses Konto ist nach mehreren Fehlversuchen vorübergehend gesperrt.",
             retry_after=user_verdict.retry_after_seconds,
         )
 
@@ -248,7 +248,7 @@ def _verify_credentials(
         return AuthOutcome(
             "directory_unavailable",
             "Der Verzeichnisdienst ist derzeit nicht erreichbar. "
-            "Bitte versuchen Sie es spaeter erneut.",
+            "Bitte versuchen Sie es später erneut.",
         )
     if result.status != "ok" or result.profile is None:
         return AuthOutcome("invalid", GENERIC_FAILURE)
@@ -257,6 +257,24 @@ def _verify_credentials(
     return AuthOutcome("ok", user_row=user_row, group_dns=result.profile.group_dns)
 
 
+
+def _ist_erstanmeldung(user_row: dict[str, Any]) -> bool:
+    """Meldet sich dieses Konto zum ersten Mal ueberhaupt an?
+
+    Das Aenderungsprotokoll soll Aenderungen zeigen. Eine taegliche Anmeldung
+    ist keine -- sie erzeugte aber jedes Mal eine Zeile und schob damit echte
+    Eintraege aus dem Blickfeld. Interessant ist genau die erste: mit ihr
+    entsteht das Konto aus dem Verzeichnisdienst und betritt jemand die
+    Anwendung, der vorher nicht darin war.
+
+    Nicht betroffen: fehlgeschlagene Anmeldungen und Sperren. Die stehen
+    weiterhin **jedes Mal** im Protokoll -- dort liegt der sicherheitsrelevante
+    Teil, und Haeufung ist dort das Signal. Wer wann zuletzt angemeldet war,
+    steht ausserdem unveraendert am Konto und in der Sitzungsuebersicht.
+    """
+    return not str(user_row.get("last_login_at") or "").strip()
+
+
 def complete_login(
     conn: sqlite3.Connection,
     user_row: dict[str, Any],
@@ -275,21 +293,26 @@ def complete_login(
     """
     from ..security import csrf
 
+    # Vor dem UPDATE lesen -- danach steht ueberall ein Zeitstempel.
+    erstanmeldung = _ist_erstanmeldung(user_row)
+
     with core().database.transaction(conn):
         session_store.rotate(conn, session, reason="login")  # type: ignore[arg-type]
         conn.execute(
             "UPDATE users SET last_login_at=? WHERE id=?", (_iso(_now()), user_row["id"])
         )
-        audit.log(
-            conn,
-            actor=str(user_row["username"]),
-            actor_id=int(user_row["id"]),
-            action="auth.login",
-            target=str(user_row["username"]),
-            detail=f"Quelle: {user_row.get('auth_source') or 'local'}",
-            ip=ip,
-            request_id=getattr(g, "request_id", ""),
-        )
+        if erstanmeldung:
+            audit.log(
+                conn,
+                actor=str(user_row["username"]),
+                actor_id=int(user_row["id"]),
+                action="auth.first_login",
+                target=str(user_row["username"]),
+                detail=f"Erste Anmeldung | Quelle: {user_row.get('auth_source') or 'local'}",
+                ip=ip,
+                request_id=getattr(g, "request_id", ""),
+                severity="notice",
+            )
 
     session.clear()
     session[SESSION_USER_KEY] = int(user_row["id"])

packages/tesm-core/src/tesm_core/cli_web.py

@@ -83,7 +83,7 @@ def run_web_setup(app: Any, extension: Any, args: argparse.Namespace) -> int:
             port = getattr(args, flag, None)
             if port:
                 if not 1 <= int(port) <= 65535:
-                    print(f"Ungueltiger Port: {port}", file=sys.stderr)
+                    print(f"Ungültiger Port: {port}", file=sys.stderr)
                     return 2
                 values[key] = int(port)
 
@@ -93,11 +93,11 @@ def run_web_setup(app: Any, extension: Any, args: argparse.Namespace) -> int:
 
         # -- Zertifikat --------------------------------------------------- #
         config = _config_from_settings(extension, conn)
-        cert: dict[str, Any] = {"ok": True, "message": "Zertifikat unveraendert."}
+        cert: dict[str, Any] = {"ok": True, "message": "Zertifikat unverändert."}
 
         if args.acme:
             if sysops is None or not sysops.available:
-                print("Der Systemhelfer ist nicht verfuegbar.", file=sys.stderr)
+                print("Der Systemhelfer ist nicht verfügbar.", file=sys.stderr)
                 return 2
             cert = webserver.request_certificate(
                 sysops,
@@ -118,7 +118,7 @@ def run_web_setup(app: Any, extension: Any, args: argparse.Namespace) -> int:
 
         if args.self_signed and not args.acme:
             if sysops is None or not sysops.available:
-                print("Der Systemhelfer ist nicht verfuegbar.", file=sys.stderr)
+                print("Der Systemhelfer ist nicht verfügbar.", file=sys.stderr)
                 return 2
             suggested = webserver.local_names()
             cert = webserver.create_self_signed(
@@ -144,7 +144,7 @@ def run_web_setup(app: Any, extension: Any, args: argparse.Namespace) -> int:
         if args.https:
             if not (config.cert_path and config.key_path):
                 print(
-                    "HTTPS verlangt Zertifikat und Schluessel -- bitte --self-signed "
+                    "HTTPS verlangt Zertifikat und Schlüssel – bitte --self-signed "
                     "oder --acme angeben.",
                     file=sys.stderr,
                 )
@@ -172,7 +172,7 @@ def run_web_setup(app: Any, extension: Any, args: argparse.Namespace) -> int:
             return 0
 
         if sysops is None or not sysops.available:
-            print("Der Systemhelfer ist nicht verfuegbar.", file=sys.stderr)
+            print("Der Systemhelfer ist nicht verfügbar.", file=sys.stderr)
             return 2
         result = webserver.apply_config(sysops, rendered)
         print(result["message"])
@@ -194,7 +194,7 @@ def add_web_setup(sub: Any, runner: Any) -> None:
         help="nginx und TLS einrichten (Port 80/443)",
         description=(
             "Setzt die Webserver-Einstellungen und erzeugt daraus die nginx-Site. "
-            "Die Datei wird immer vollstaendig neu geschrieben -- eine von Hand "
+            "Die Datei wird immer vollständig neu geschrieben – eine von Hand "
             "bearbeitete Site-Datei gibt es in diesem Projekt bewusst nicht."
         ),
     )
@@ -207,20 +207,20 @@ def add_web_setup(sub: Any, runner: Any) -> None:
     parser.add_argument(
         "--acme",
         action="store_true",
-        help="Zertifikat per Let's Encrypt anfordern (Domain muss oeffentlich zeigen)",
+        help="Zertifikat per Let's Encrypt anfordern (Domain muss öffentlich zeigen)",
     )
-    parser.add_argument("--domain", help="Oeffentlicher Name dieser Installation")
-    parser.add_argument("--acme-email", help="Kontaktadresse fuer Let's Encrypt")
+    parser.add_argument("--domain", help="Öffentlicher Name dieser Installation")
+    parser.add_argument("--acme-email", help="Kontaktadresse für Let's Encrypt")
     parser.add_argument("--hsts", action="store_true", help="HSTS-Header setzen")
     parser.add_argument(
         "--no-redirect",
         action="store_true",
         help="Port 80 nicht auf HTTPS umleiten (Sonderfall)",
     )
-    parser.add_argument("--max-body-mb", type=int, help="Obergrenze fuer Uploads")
+    parser.add_argument("--max-body-mb", type=int, help="Obergrenze für Uploads")
     parser.add_argument("--http-port", type=int, help="Abweichender HTTP-Port (Standard 80)")
     parser.add_argument("--https-port", type=int, help="Abweichender HTTPS-Port (Standard 443)")
-    parser.add_argument("--apply", action="store_true", help="nginx schreiben, pruefen, neu laden")
+    parser.add_argument("--apply", action="store_true", help="nginx schreiben, prüfen, neu laden")
     parser.add_argument(
         "--print-config", action="store_true", help="Nur die erzeugte Datei ausgeben"
     )

packages/tesm-core/src/tesm_core/config.py

@@ -175,11 +175,11 @@ def load_core_config(
 
     bind = (_env(env_prefix, "BIND") or default_bind).strip()
     if not re.fullmatch(r"[0-9A-Za-z_.\[\]:-]{1,80}:\d{1,5}", bind):
-        raise ValueError(f"Ungueltige Bind-Adresse: {bind!r}")
+        raise ValueError(f"Ungültige Bind-Adresse: {bind!r}")
 
     site_key = (_env(env_prefix, "SITE_KEY") or app_key).strip().lower()
     if not re.fullmatch(r"[a-z0-9][a-z0-9-]{0,39}", site_key):
-        raise ValueError(f"Ungueltiger SITE_KEY: {site_key!r}")
+        raise ValueError(f"Ungültiger SITE_KEY: {site_key!r}")
 
     return CoreConfig(
         app_key=app_key,

packages/tesm-core/src/tesm_core/db.py

@@ -80,8 +80,8 @@ class Database:
         """Oeffnet eine neue Verbindung. Nicht aufrufen, solange eine Transaktion laeuft."""
         if self._depth() > 0:
             raise NestedConnectionError(
-                "Es laeuft bereits eine Schreibtransaktion auf dieser Datenbank. "
-                "Reiche die bestehende Verbindung durch, statt eine neue zu oeffnen "
+                "Es läuft bereits eine Schreibtransaktion auf dieser Datenbank. "
+                "Reiche die bestehende Verbindung durch, statt eine neue zu öffnen "
                 "(sonst blockiert SQLite sich selbst)."
             )
         return self._raw_connect()
@@ -119,6 +119,29 @@ class Database:
         finally:
             conn.close()
 
+    @contextmanager
+    def dauerhaft(self, conn: sqlite3.Connection) -> Iterator[sqlite3.Connection]:
+        """Fuer Schreibvorgaenge, die einen Stromausfall ueberstehen muessen.
+
+        Im Alltag laeuft die Datenbank mit ``synchronous=NORMAL``: schnell, und
+        bei einem Stromausfall gehen hoechstens die letzten Sekunden verloren --
+        die Datei bleibt heil. Fuer einen Messwert ist das genau richtig.
+
+        Fuer eine Unterschrift nicht. Dort liegt die Datei anschliessend auf der
+        Freigabe, und fehlte der Eintrag dazu, waere sie "unbekannt" statt
+        nachweisbar. Ein fsync kostet ein paar Millisekunden -- bei ein paar
+        Unterschriften am Tag ist das keine Diskussion wert.
+
+        Umschliesst die Transaktion, nicht umgekehrt: ``PRAGMA synchronous``
+        wirkt auf den naechsten Commit, und gesetzt werden kann es nur
+        ausserhalb einer laufenden Transaktion.
+        """
+        conn.execute("PRAGMA synchronous=FULL")
+        try:
+            yield conn
+        finally:
+            conn.execute("PRAGMA synchronous=NORMAL")
+
     # ------------------------------------------------------------------ #
     # Transaktionen
     # ------------------------------------------------------------------ #

packages/tesm-core/src/tesm_core/extension.py

@@ -79,7 +79,7 @@ def core(app: Flask | None = None) -> TesmCore:
     try:
         return target.extensions["tesm"]  # type: ignore[return-value]
     except KeyError as exc:  # pragma: no cover - Programmierfehler
-        raise RuntimeError("tesm_core ist fuer diese Anwendung nicht initialisiert") from exc
+        raise RuntimeError("tesm_core ist für diese Anwendung nicht initialisiert") from exc
 
 
 def db() -> sqlite3.Connection:

packages/tesm-core/src/tesm_core/keystore.py

@@ -78,7 +78,7 @@ def check_private_file(path: Path) -> list[str]:
     except OSError:
         return problems
     if mode & (stat.S_IRGRP | stat.S_IROTH | stat.S_IWGRP | stat.S_IWOTH):
-        problems.append(f"{path} ist fuer Gruppe/Andere lesbar oder schreibbar (erwartet 0600)")
+        problems.append(f"{path} ist für Gruppe/Andere lesbar oder schreibbar (erwartet 0600)")
     return problems
 
 
@@ -110,11 +110,11 @@ class Keystore:
                     created_at=str(entry.get("created_at", "")),
                 )
                 if len(key.material) != _KEY_BYTES:
-                    raise ValueError(f"Schluessel {key.key_id} hat die falsche Laenge")
+                    raise ValueError(f"Schlüssel {key.key_id} hat die falsche Länge")
                 self._keys[key.key_id] = key
             self._active = str(raw.get("active") or "")
             if self._active not in self._keys:
-                raise ValueError("Aktiver Schluessel fehlt im Schluesselbund")
+                raise ValueError("Aktiver Schlüssel fehlt im Schlüsselbund")
             return
         self._active = "1"
         self._keys = {
@@ -160,7 +160,7 @@ class Keystore:
     def drop_key(self, key_id: str) -> None:
         """Entfernt einen alten Schluessel -- erst nach vollstaendiger Neuverschluesselung."""
         if key_id == self._active:
-            raise ValueError("Der aktive Schluessel kann nicht entfernt werden")
+            raise ValueError("Der aktive Schlüssel kann nicht entfernt werden")
         self._keys.pop(key_id, None)
         self._persist()
 
@@ -183,14 +183,14 @@ class Keystore:
             raise DecryptionError(f"Unbekannte Chiffrat-Version: {prefix!r}")
         key = self._keys.get(key_id)
         if key is None:
-            raise DecryptionError(f"Schluessel {key_id} ist nicht im Schluesselbund")
+            raise DecryptionError(f"Schlüssel {key_id} ist nicht im Schlüsselbund")
         try:
             plain = AESGCM(key.material).decrypt(
                 _b64d(nonce_b64), _b64d(ct_b64), aad.encode("utf-8")
             )
         except (InvalidTag, ValueError) as exc:
             raise DecryptionError(
-                "Chiffrat konnte nicht entschluesselt werden (falscher Schluessel, "
+                "Chiffrat konnte nicht entschlüsselt werden (falscher Schlüssel, "
                 "manipulierte Daten oder falscher Verwendungszweck)"
             ) from exc
         return plain.decode("utf-8")

packages/tesm-core/src/tesm_core/legacy_urls.py

@@ -0,0 +1,242 @@
+"""Alte, deutsche Adressen auf die neuen englischen umlenken.
+
+Mit 2.5.0 folgen die Adressen der Navigation und sind englisch:
+``/monitoring/host-keys`` statt ``/hostschluessel``. Das ist eine gute
+Aenderung und eine unangenehme zugleich -- Lesezeichen, offene Browsertabs und
+ein Link in einer Mail zeigen weiter auf die alte Adresse. Ein offener Tab ist
+dabei der unangenehmste Fall: die Statusuebersicht fragt alle 20 Sekunden ihre
+Kacheln ab und bekam nach dem Update jedes Mal einen 404.
+
+Deshalb diese Tabelle. Sie greift **nur, wenn sonst ein 404 herauskaeme** --
+also nie vor einer bestehenden Route. Das ist keine Feinheit: auf dem
+Lizenzserver ist ``/lizenz/<ticket>`` eine echte, weiterhin gueltige Adresse
+(sie steht in verschickten Mails), waehrend dieselbe Wurzel in TESM zur
+Lizenzseite fuehrte. Wer zuerst das Routing fragt, muss sich nicht zwischen
+beidem entscheiden.
+
+Die Tabelle ist bewusst vollstaendig und nicht nur auf Wurzeln gekuerzt: eine
+Umleitung von ``/dateifreigaben/x/vorschau`` auf eine Uebersichtsseite waere
+zwar kein 404 mehr, aber auch nicht das, was jemand angeklickt hat.
+"""
+
+from __future__ import annotations
+
+from typing import Mapping
+
+#: Alte Wurzel -> (neue Wurzel, Uebersetzung der Segmente darunter).
+WURZELN: dict[str, tuple[str, Mapping[str, str]]] = {
+    "/dateifreigaben": (
+        "/fileshares",
+        {
+            "herunterladen": "download",
+            "vorschau": "preview",
+            "hochladen": "upload",
+            "formular": "form",
+            "ordner": "folder",
+            "umbenennen": "rename",
+            "loeschen": "delete",
+            "freigeben": "release",
+            "zuordnungen": "mappings",
+        },
+    ),
+    "/hostschluessel": (
+        "/monitoring/host-keys",
+        {"pruefen": "probe", "freigeben": "trust", "verwerfen": "forget", "verwaist": "orphaned"},
+    ),
+    "/zugangsdaten": (
+        "/monitoring/credentials",
+        {"neu": "new", "loeschen": "delete", "anzeigen": "reveal"},
+    ),
+    "/switche": (
+        "/monitoring/switches",
+        {
+            "neu": "new",
+            "loeschen": "delete",
+            "hostkey": "host-key",
+            "pruefen": "probe",
+            "freigeben": "trust",
+            "verwerfen": "forget",
+            "kommando": "command",
+            "konsole": "console",
+        },
+    ),
+    "/clients": (
+        "/monitoring/clients",
+        {
+            "neu": "new",
+            "aktiv": "active",
+            "loeschen": "delete",
+            "neustart": "restart",
+            "hostkey": "host-key",
+            "pruefen": "probe",
+            "freigeben": "trust",
+            "verwerfen": "forget",
+            "konsole": "console",
+        },
+    ),
+    "/wartung": (
+        "/maintenance",
+        {
+            "paket-nachinstallieren": "install-package",
+            "auftrag": "job",
+            "ausgabe": "output",
+            "aktualisieren": "update",
+            "neustarten": "restart",
+        },
+    ),
+    "/protokolle": (
+        "/logs",
+        {
+            "kea": "dhcp",
+            "neustarts": "restarts",
+            "laufend": "live",
+            "inhalt": "content",
+            "verlauf": "history",
+            "datei": "file",
+            "archiv": "archive",
+            "archiv-export": "archive-export",
+            "archiv-loeschen": "archive-delete",
+            "aenderungen": "audit",
+        },
+    ),
+    "/verwaltung": (
+        "/administration",
+        {
+            "benutzer": "users",
+            "neu": "new",
+            "loeschen": "delete",
+            "sitzungen-beenden": "end-sessions",
+            "verzeichnis-suche": "directory-search",
+            "verzeichnis-uebernehmen": "directory-import",
+            "gruppen": "groups",
+            "vorlage-anwenden": "apply-preset",
+            "sitzungen": "sessions",
+            "beenden": "end",
+        },
+    ),
+    "/einstellungen": (
+        "/administration",
+        {
+            "zeitzone": "timezone",
+            "pruefung-jetzt": "check-now",
+            "netzwerk": "network",
+            "bestaetigen": "confirm",
+            "webserver": "web",
+            "uebernehmen": "apply",
+            "zertifikat": "certificate",
+            "selbstsigniert": "self-signed",
+            "verzeichnisdienst": "directory",
+            "gruppensuche": "group-search",
+            "zuordnung": "mapping",
+            "loeschen": "delete",
+            "anbieter": "vendor",
+            "logo-entfernen": "remove-logo",
+        },
+    ),
+    "/sicherung": (
+        "/administration/backup",
+        {"vorschau": "preview", "uebernehmen": "apply", "verwerfen": "discard"},
+    ),
+    "/papierkorb": (
+        "/administration/trash",
+        {"wiederherstellen": "restore", "endgueltig-loeschen": "purge", "leeren": "empty"},
+    ),
+    "/diagnose": (
+        "/administration/diagnostics",
+        {"aufraeumen": "cleanup", "schluessel-rotieren": "rotate-keys"},
+    ),
+    "/eigene-lizenz": (
+        "/own-license",
+        {
+            "einspielen": "install",
+            "aktivieren": "activate",
+            "deaktivieren": "deactivate",
+            "offline-antwort": "offline-response",
+            "signaturschluessel": "signing-key",
+        },
+    ),
+    "/lizenzen": (
+        "/licenses",
+        {
+            "aus-ticket": "from-ticket",
+            "datei": "file",
+            "neu-signieren": "resign",
+            "widerrufen": "revoke",
+            "loeschen": "delete",
+            "versenden": "send",
+            "sub-lizenzserver": "sub-servers",
+        },
+    ),
+    "/lizenz": (
+        "/administration/license",
+        {
+            "einspielen": "install",
+            "aktivieren": "activate",
+            "deaktivieren": "deactivate",
+            "offline-antwort": "offline-response",
+            "serverzertifikat": "server-certificate",
+            "aussteller": "issuer",
+            "entfernen": "remove",
+        },
+    ),
+    "/kunden": ("/customers", {"neu": "new", "loeschen": "delete"}),
+    "/konto": (
+        "/account",
+        {
+            "stammdaten": "profile",
+            "profilbild": "avatar",
+            "sicherheit": "security",
+            "passwort": "password",
+            "zwei-faktor": "two-factor",
+            "starten": "start",
+            "bestaetigen": "confirm",
+            "deaktivieren": "disable",
+            "codes-erneuern": "recovery-codes",
+            "sitzungen": "sessions",
+            "beenden": "end",
+            "alle-beenden": "end-all",
+        },
+    ),
+    "/uebersicht": ("/overview", {"kacheln": "tiles"}),
+    "/gesundheit": ("/health", {}),
+    "/bestaetigen": ("/confirm", {}),
+}
+
+#: Abfrageparameter, die mit umbenannt wurden.
+PARAMETER = {
+    "freigabe": "share",
+    "pfad": "path",
+    "aktion": "action",
+    "benutzer": "actor",
+    "stufe": "severity",
+    "seite": "page",
+    "methode": "method",
+    "kunde": "customer",
+    "freischalten": "unlocked",
+}
+
+
+#: Wurzeln, unter denen eine unbekannte Unterseite **nicht** umgelenkt wird.
+#: ``/lizenz/<ticket>`` ist auf dem Lizenzserver eine echte Adresse; ein
+#: abgelaufenes oder falsches Ticket gehoert dort auf die Fehlerseite und nicht
+#: in die Verwaltung.
+STRENG = {"/lizenz"}
+
+
+def neue_adresse(pfad: str) -> str | None:
+    """Uebersetzt eine alte Adresse -- oder ``None``, wenn es keine ist."""
+    for alt, (neu, segmente) in WURZELN.items():
+        if pfad != alt and not pfad.startswith(alt + "/"):
+            continue
+        rest = pfad[len(alt) :]
+        teile = rest.split("/")
+        if alt in STRENG:
+            erstes = next((teil for teil in teile if teil), "")
+            if erstes and erstes not in segmente:
+                return None
+        return neu + "/".join(segmente.get(teil, teil) for teil in teile)
+    return None
+
+
+def neue_parameter(args: Mapping[str, str]) -> dict[str, str]:
+    return {PARAMETER.get(name, name): wert for name, wert in args.items()}

packages/tesm-core/src/tesm_core/licensing_client.py

@@ -68,10 +68,10 @@ API_PATHS = {
 #: die einzige Wahrheit -- Templates lesen sie, Routen erzwingen sie.
 LICENSED_FEATURES: dict[str, str] = {
     "directory": "Verzeichnisanmeldung (LDAP/AD) konfigurieren",
-    "nginx": "Webserver-Einstellungen aendern",
+    "nginx": "Webserver-Einstellungen ändern",
     "export": "Daten exportieren",
-    "trash_restore": "Papierkorb wiederherstellen und endgueltig loeschen",
-    "monitor_interval": "Pruefintervall der Ueberwachung aendern",
+    "trash_restore": "Papierkorb wiederherstellen und endgültig löschen",
+    "monitor_interval": "Prüfintervall der Überwachung ändern",
     "auto_poe_restart": "Automatischer PoE-Neustart bei Ausfall",
 }
 
@@ -85,7 +85,7 @@ def describe_transport_error(exc: BaseException, endpoint: str) -> str:
     """
     text = str(exc)
     if "CERTIFICATE_VERIFY_FAILED" in text or "certificate verify failed" in text:
-        detail = "Das Zertifikat konnte nicht geprueft werden"
+        detail = "Das Zertifikat konnte nicht geprüft werden"
         if "self-signed" in text or "self signed" in text:
             detail = "Der Lizenzserver benutzt ein selbstsigniertes Zertifikat"
         return (
@@ -94,7 +94,7 @@ def describe_transport_error(exc: BaseException, endpoint: str) -> str:
             "einer anerkannten Stelle."
         )
     if "Name or service not known" in text or "nodename nor servname" in text:
-        return f"Der Name im Endpunkt ({endpoint}) laesst sich nicht aufloesen."
+        return f"Der Name im Endpunkt ({endpoint}) lässt sich nicht auflösen."
     if "Connection refused" in text:
         return f"{endpoint} nimmt keine Verbindung an."
     if "timed out" in text or "timeout" in text.lower():
@@ -257,8 +257,8 @@ class LicenseManager:
     def require(self, feature: str) -> None:
         if not self.feature_allowed(feature):
             raise LicenseError(
-                f"{LICENSED_FEATURES.get(feature, feature)} ist ohne gueltige, "
-                "aktivierte Lizenz nicht moeglich."
+                f"{LICENSED_FEATURES.get(feature, feature)} ist ohne gültige, "
+                "aktivierte Lizenz nicht möglich."
             )
 
     # ------------------------------------------------------------------ #
@@ -284,7 +284,7 @@ class LicenseManager:
         try:
             payload = json.loads(text)
         except ValueError as exc:
-            raise LicenseError("Die Datei ist kein gueltiges JSON.") from exc
+            raise LicenseError("Die Datei ist kein gültiges JSON.") from exc
 
         try:
             document, client_key = lic.split_bundle(payload)
@@ -294,20 +294,20 @@ class LicenseManager:
         try:
             lic.verify_license(document)  # innere Konsistenz
         except lic.LicensingError as exc:
-            raise LicenseError(f"Die Lizenzdatei ist ungueltig: {exc}") from exc
+            raise LicenseError(f"Die Lizenzdatei ist ungültig: {exc}") from exc
 
         master_pubkey = str(document.get("master_pubkey") or "")
         known = self.trusted_keys(conn)
         if known and master_pubkey not in set(known) and not allow_new_issuer:
             raise LicenseError(
                 "Diese Lizenz wurde von einem anderen Lizenzserver ausgestellt "
-                f"(Schluessel {lic.key_id(master_pubkey)}). Ein Administrator muss den "
-                "Wechsel des Ausstellers ausdruecklich bestaetigen."
+                f"(Schlüssel {lic.key_id(master_pubkey)}). Ein Administrator muss den "
+                "Wechsel des Ausstellers ausdrücklich bestätigen."
             )
 
         if not client_key and not self.key_path.is_file():
             raise LicenseError(
-                "Der Datei fehlt der Client-Schluessel. Bitte das vollstaendige "
+                "Der Datei fehlt der Client-Schlüssel. Bitte das vollständige "
                 "Lizenz-Bundle des Lizenzservers verwenden."
             )
 
@@ -332,7 +332,7 @@ class LicenseManager:
                 actor=actor,
                 action="license.issuer_pinned",
                 target=lic.key_id(master_pubkey),
-                detail="Trust on first use" if not known else "Aussteller-Wechsel bestaetigt",
+                detail="Trust on first use" if not known else "Aussteller-Wechsel bestätigt",
                 severity="notice",
             )
 
@@ -397,11 +397,11 @@ class LicenseManager:
         self, action: str, *, hostname: str = "", report: dict[str, Any] | None = None
     ) -> dict[str, Any]:
         if not self._state.valid:
-            raise LicenseError("Es ist keine gueltige Lizenz installiert.")
+            raise LicenseError("Es ist keine gültige Lizenz installiert.")
         key = self.client_key()
         if not key:
             raise LicenseError(
-                "Der Client-Schluessel dieser Lizenz fehlt. Bitte die Lizenzdatei erneut importieren."
+                "Der Client-Schlüssel dieser Lizenz fehlt. Bitte die Lizenzdatei erneut importieren."
             )
         return lic.build_client_request(
             action, self._state.document, key, hostname=hostname, report=report
@@ -442,8 +442,8 @@ class LicenseManager:
                 )
         else:
             reason = (
-                "In dieser Lizenz ist kein Lizenzserver hinterlegt -- sie kann sich nur "
-                "ueber den Offline-Weg aktivieren."
+                "In dieser Lizenz ist kein Lizenzserver hinterlegt – sie kann sich nur "
+                "über den Offline-Weg aktivieren."
             )
 
         # Offline-Weg: Anfrage merken -- **mit** dem Code. Zwischen Anfrage und
@@ -475,7 +475,7 @@ class LicenseManager:
             "code": code,
             "message": (
                 (reason + " " if reason else "")
-                + "Der Offline-Weg steht offen: uebermitteln Sie den angezeigten Code an "
+                + "Der Offline-Weg steht offen: übermitteln Sie den angezeigten Code an "
                 "Ihren Ansprechpartner und tragen Sie die Antwort hier ein."
             ),
         }
@@ -527,7 +527,7 @@ class LicenseManager:
                 current_seq=current_seq,
             )
         except lic.LicensingError as exc:
-            raise LicenseError(f"Die Antwort des Lizenzservers ist nicht gueltig: {exc}") from exc
+            raise LicenseError(f"Die Antwort des Lizenzservers ist nicht gültig: {exc}") from exc
 
         status = str(response.get("status") or "")
         detail = str(response.get("detail") or "")
@@ -597,7 +597,7 @@ class LicenseManager:
                 actor=actor,
             )
             self.settings.set(conn, SETTING_HEARTBEAT_ERROR, "", actor=actor)
-            message = "Verbindung zum Lizenzserver bestaetigt."
+            message = "Verbindung zum Lizenzserver bestätigt."
 
         self.settings.set(conn, SETTING_PENDING, "", actor=actor)
         # Ein erfolgreicher Heartbeat laeuft alle paar Minuten und ist kein
@@ -648,7 +648,7 @@ class LicenseManager:
         url: str, payload: dict[str, Any], *, timeout: int, ca_pem: str = ""
     ) -> dict[str, Any]:
         if not url.startswith(("https://", "http://")):
-            raise ValueError("Ungueltiger Endpunkt")
+            raise ValueError("Ungültiger Endpunkt")
         data = json.dumps(payload).encode("utf-8")
         request = urllib.request.Request(  # noqa: S310 - Schema oben geprueft
             url,
@@ -748,7 +748,7 @@ class LicenseManager:
             }
         if not state.valid:
             return {
-                "label": "Lizenz ungueltig",
+                "label": "Lizenz ungültig",
                 "css_class": "status-pill--danger",
                 "dot": "1",
                 "dot_class": "status-pill__dot--pulse",
@@ -773,29 +773,29 @@ class LicenseManager:
                 "dot": "1",
                 "dot_class": "status-pill__dot--pulse",
                 "title": (
-                    "Die Kulanzfrist laeuft noch, Funktionen bleiben vorerst verfuegbar."
+                    "Die Kulanzfrist läuft noch, Funktionen bleiben vorerst verfügbar."
                     if status.grace_active
                     else "Lizenzpflichtige Funktionen sind abgeschaltet."
                 ),
             }
         if status.expiring_soon:
             return {
-                "label": f"Lizenz laeuft in {status.days_left} Tagen ab",
+                "label": f"Lizenz läuft in {status.days_left} Tagen ab",
                 "css_class": "status-pill--warning",
                 "dot": "1",
                 "dot_class": "status-pill__dot--pulse",
-                "title": "Bitte rechtzeitig verlaengern.",
+                "title": "Bitte rechtzeitig verlängern.",
             }
         # Zwischen der Warnschwelle und 90 Tagen: gruen, rein als Hinweis. Wer
         # eine Verlaengerung im Voraus plant, will das Datum sehen, ohne dass es
         # nach einem Problem aussieht.
         if status.days_left is not None and 0 < status.days_left <= EXPIRY_HINT_DAYS:
             return {
-                "label": f"Lizenz laeuft in {status.days_left} Tagen ab",
+                "label": f"Lizenz läuft in {status.days_left} Tagen ab",
                 "css_class": "",
                 "dot": "1",
                 "dot_class": "",
-                "title": "Nur ein Hinweis -- es ist nichts eingeschraenkt.",
+                "title": "Nur ein Hinweis – es ist nichts eingeschränkt.",
             }
         if state.last_heartbeat_at:
             try:
@@ -809,6 +809,6 @@ class LicenseManager:
                     "css_class": "status-pill--warning",
                     "dot": "1",
                     "dot_class": "",
-                    "title": "Rein informativ -- es wird nichts abgeschaltet.",
+                    "title": "Rein informativ – es wird nichts abgeschaltet.",
                 }
         return None

packages/tesm-core/src/tesm_core/logging_setup.py

@@ -94,7 +94,7 @@ def init_app(app: Flask, *, log_dir: Path, debug: bool, json_logs: bool = False)
             except OSError:
                 pass
     except OSError as exc:  # pragma: no cover - z. B. fehlende Rechte
-        root.warning("Konnte app.log nicht oeffnen: %s", exc)
+        root.warning("Konnte app.log nicht öffnen: %s", exc)
 
     # Zugriffsprotokoll separat: eine Zeile pro Anfrage, ohne Stacktraces.
     access = logging.getLogger(ACCESS_LOGGER)

packages/tesm-core/src/tesm_core/migrations.py

@@ -176,9 +176,9 @@ class MigrationRunner:
                 if record is not None:
                     if record["checksum"] != migration.checksum:
                         logger.warning(
-                            "Migration %s/%s (%s) wurde nachtraeglich geaendert "
-                            "(Pruefsumme %s != %s). Bereits angewendete Migrationen werden "
-                            "nicht erneut ausgefuehrt -- neue Aenderungen brauchen eine neue "
+                            "Migration %s/%s (%s) wurde nachträglich geändert "
+                            "(Prüfsumme %s != %s). Bereits angewendete Migrationen werden "
+                            "nicht erneut ausgeführt – neue Änderungen brauchen eine neue "
                             "Versionsnummer.",
                             component,
                             migration.version,
@@ -210,7 +210,7 @@ class MigrationRunner:
                         raise
                     logger.error(
                         "Migration %s/%s (%s) konnte wegen bestehender Altdaten nicht "
-                        "angewendet werden. Der Start laeuft weiter; die Daten muessen "
+                        "angewendet werden. Der Start läuft weiter; die Daten müssen "
                         "manuell bereinigt werden.",
                         component,
                         migration.version,

packages/tesm-core/src/tesm_core/rbac/common.py

@@ -19,7 +19,7 @@ USERS = Resource(
     actions=(A.VIEW, A.CREATE, A.EDIT, A.DELETE),
     hint="Konten anlegen, sperren, Gruppen zuordnen",
     action_hints={
-        A.EDIT: "Stammdaten, Sperre und Gruppenzuordnung aendern.",
+        A.EDIT: "Stammdaten, Sperre und Gruppenzuordnung ändern.",
         A.DELETE: "Konto in den Papierkorb legen (Verzeichniskonten sofort entfernen).",
     },
 )
@@ -30,7 +30,7 @@ GROUPS = Resource(
     actions=(A.VIEW, A.CREATE, A.EDIT, A.DELETE),
     hint="Rechtematrix pflegen",
     action_hints={
-        A.EDIT: "Rechte vergeben -- nur Rechte, die man selbst besitzt.",
+        A.EDIT: "Rechte vergeben – nur Rechte, die man selbst besitzt.",
     },
 )
 
@@ -39,7 +39,7 @@ SETTINGS_SYSTEM = Resource(
     label="Systemeinstellungen",
     actions=(A.VIEW, A.EDIT, A.EXECUTE),
     hint="Hostname, Zeitzone, Protokollrotation, Navigation",
-    action_hints={A.EXECUTE: "Systemaktionen ausloesen (Dienste, Netzwerk uebernehmen)."},
+    action_hints={A.EXECUTE: "Systemaktionen auslösen (Dienste, Netzwerk übernehmen)."},
 )
 
 SETTINGS_LICENSE = Resource(
@@ -55,7 +55,7 @@ SETTINGS_DIRECTORY = Resource(
     actions=(A.VIEW, A.EDIT, A.EXECUTE, A.SECRETS),
     hint="Anbindung und Gruppen-Zuordnung",
     action_hints={
-        A.EXECUTE: "Verbindungstest ausfuehren.",
+        A.EXECUTE: "Verbindungstest ausführen.",
         A.SECRETS: "Bind-Passwort des Dienstkontos setzen.",
     },
 )
@@ -65,7 +65,7 @@ SETTINGS_WEB = Resource(
     label="Webserver und TLS",
     actions=(A.VIEW, A.EDIT, A.EXECUTE),
     hint="Domain, Zertifikat, HSTS",
-    action_hints={A.EXECUTE: "Konfiguration uebernehmen, Zertifikat anfordern."},
+    action_hints={A.EXECUTE: "Konfiguration übernehmen, Zertifikat anfordern."},
 )
 
 SETTINGS_NETWORK = Resource(
@@ -77,13 +77,13 @@ SETTINGS_NETWORK = Resource(
 
 BACKUP = Resource(
     key="backup",
-    label="Sicherung und Uebertragung",
+    label="Sicherung und Übertragung",
     actions=(A.VIEW, A.EXECUTE, A.EXPORT, A.SECRETS),
-    hint="Verschluesselter Export und Import",
+    hint="Verschlüsselter Export und Import",
     action_hints={
         A.EXECUTE: "Eine Sicherung einspielen.",
         A.EXPORT: "Sicherung erzeugen und herunterladen.",
-        A.SECRETS: "Zugangsdaten in die Sicherung einschliessen.",
+        A.SECRETS: "Zugangsdaten in die Sicherung einschließen.",
     },
 )
 
@@ -91,10 +91,10 @@ TRASH = Resource(
     key="trash",
     label="Papierkorb",
     actions=(A.VIEW, A.EDIT, A.DELETE),
-    hint="Geloeschtes wiederherstellen oder endgueltig entfernen",
+    hint="Gelöschtes wiederherstellen oder endgültig entfernen",
     action_hints={
-        A.EDIT: "Eintraege wiederherstellen.",
-        A.DELETE: "Eintraege endgueltig entfernen.",
+        A.EDIT: "Einträge wiederherstellen.",
+        A.DELETE: "Einträge endgültig entfernen.",
     },
 )
 
@@ -102,7 +102,7 @@ DIAGNOSTICS = Resource(
     key="diagnostics",
     label="Diagnose",
     actions=(A.VIEW,),
-    hint="Schemastand, Protokollintegritaet, Schluesselrechte",
+    hint="Schemastand, Protokollintegrität, Schlüsselrechte",
 )
 
 LOGS_LIVE = Resource(
@@ -121,9 +121,9 @@ LOGS_HISTORY = Resource(
 
 LOGS_AUDIT = Resource(
     key="logs_audit",
-    label="Aenderungsprotokoll",
+    label="Änderungsprotokoll",
     actions=(A.VIEW, A.EXPORT),
-    hint="Wer hat wann was geaendert",
+    hint="Wer hat wann was geändert",
 )
 
 

packages/tesm-core/src/tesm_core/rbac/model.py

@@ -42,16 +42,16 @@ class Action(str, Enum):
 
 #: Kuerzel und Erklaerung je Aktion -- Kopfzeile der Rechtematrix.
 ACTION_META: dict[Action, tuple[str, str, str]] = {
-    Action.VIEW: ("R", "Ansehen", "Datensaetze und Seiten dieses Bereichs lesen."),
-    Action.CREATE: ("C", "Anlegen", "Neue Datensaetze erstellen."),
-    Action.EDIT: ("U", "Bearbeiten", "Bestehende Datensaetze aendern -- ohne Loeschen."),
-    Action.DELETE: ("D", "Loeschen", "Datensaetze loeschen bzw. endgueltig entfernen."),
-    Action.EXECUTE: ("X", "Ausfuehren", "Aktionen ausloesen (Neustart, Dienste, Jobs, Import)."),
+    Action.VIEW: ("R", "Ansehen", "Datensätze und Seiten dieses Bereichs lesen."),
+    Action.CREATE: ("C", "Anlegen", "Neue Datensätze erstellen."),
+    Action.EDIT: ("U", "Bearbeiten", "Bestehende Datensätze ändern – ohne Löschen."),
+    Action.DELETE: ("D", "Loeschen", "Datensätze löschen bzw. endgültig entfernen."),
+    Action.EXECUTE: ("X", "Ausfuehren", "Aktionen auslösen (Neustart, Dienste, Jobs, Import)."),
     Action.EXPORT: ("E", "Exportieren", "Daten aus dem System heraustragen (Datei-Download)."),
     Action.SECRETS: (
         "S",
         "Geheimnisse",
-        "Passwoerter und Schluessel im Klartext sehen oder mitnehmen.",
+        "Passwörter und Schlüssel im Klartext sehen oder mitnehmen.",
     ),
 }
 
@@ -74,6 +74,11 @@ class Resource:
     hint: str = ""
     #: Abweichende Erklaerung einzelner Aktionen (z. B. was "Ausfuehren" hier meint).
     action_hints: Mapping[Action, str] = field(default_factory=dict)
+    #: Aktionen, die hier **keine** frische Passwortbestaetigung verlangen,
+    #: obwohl sie in SENSITIVE_ACTIONS stehen. Bewusst hier und nicht als
+    #: stilles Weglassen in der Route: eine Ausnahme von einer
+    #: Sicherheitsregel gehoert dorthin, wo man sie sieht und begruenden muss.
+    ohne_wiederanmeldung: tuple[Action, ...] = ()
 
     def permission(self, action: Action) -> str:
         return f"{self.key}.{action.value}"
@@ -127,18 +132,18 @@ class PermissionTree:
         seen_keys: set[str] = set()
         for area in self.areas:
             if area.key in seen_keys:
-                raise ValueError(f"Doppelter Bereichsschluessel: {area.key}")
+                raise ValueError(f"Doppelter Bereichsschlüssel: {area.key}")
             seen_keys.add(area.key)
             self._by_key[area.key] = area
             self._all.append(area.view_key)
             for resource in area.resources:
                 if resource.key in seen_keys:
-                    raise ValueError(f"Doppelter Ressourcenschluessel: {resource.key}")
+                    raise ValueError(f"Doppelter Ressourcenschlüssel: {resource.key}")
                 seen_keys.add(resource.key)
                 if Action.VIEW not in resource.actions:
                     raise ValueError(
-                        f"Ressource {resource.key} muss die Aktion 'view' anbieten -- "
-                        "sie ist Voraussetzung fuer jede andere Aktion."
+                        f"Ressource {resource.key} muss die Aktion 'view' anbieten – "
+                        "sie ist Voraussetzung für jede andere Aktion."
                     )
                 self._resources[resource.key] = (area, resource)
                 for permission in resource.permissions():
@@ -159,6 +164,25 @@ class PermissionTree:
     def resource(self, key: str) -> tuple[Area, Resource] | None:
         return self._resources.get(key)
 
+    def verlangt_wiederanmeldung(self, permission: str) -> bool:
+        """Braucht dieses Recht eine frische Passwortbestaetigung?
+
+        Die Antwort steht im Modell (``SENSITIVE_ACTIONS``) und nicht in der
+        Route -- sonst vergisst sie die naechste, die dazukommt.
+        """
+        resource_key, _, action_value = permission.rpartition(".")
+        entry = self._resources.get(resource_key)
+        if entry is None:
+            return False
+        _, resource = entry
+        try:
+            action = Action(action_value)
+        except ValueError:
+            return False
+        if action in resource.ohne_wiederanmeldung:
+            return False
+        return action in SENSITIVE_ACTIONS
+
     def label_for(self, permission: str) -> str:
         """Menschenlesbare Beschreibung eines Rechteschluessels -- fuer Audit-Logs."""
         if permission.endswith(".view") and permission[:-5] in self._by_key:

packages/tesm-core/src/tesm_core/rbac/service.py

@@ -132,7 +132,7 @@ def guard_no_amplification(
         labels = ", ".join(tree.label_for(p) for p in missing[:6])
         more = "" if len(missing) <= 6 else f" (und {len(missing) - 6} weitere)"
         raise PermissionDenied(
-            f"Sie koennen kein {what} vergeben, das Sie selbst nicht besitzen: {labels}{more}."
+            f"Sie können kein {what} vergeben, das Sie selbst nicht besitzen: {labels}{more}."
         )
 
 
@@ -160,7 +160,7 @@ def create_group(
         if existing["deleted_at"]:
             raise ValidationError(
                 f"Eine Gruppe namens {clean_name!r} liegt im Papierkorb. "
-                "Stellen Sie sie wieder her oder loeschen Sie sie endgueltig."
+                "Stellen Sie sie wieder her oder löschen Sie sie endgültig."
             )
         raise ValidationError(f"Eine Gruppe namens {clean_name!r} existiert bereits.")
 
@@ -205,7 +205,7 @@ def update_group(
 
     if name is not None and name.strip() != group.name:
         if group.is_system:
-            raise PermissionDenied("Systemgruppen koennen nicht umbenannt werden.")
+            raise PermissionDenied("Systemgruppen können nicht umbenannt werden.")
         clean = name.strip()
         if not clean:
             raise ValidationError("Der Gruppenname darf nicht leer sein.")
@@ -224,13 +224,13 @@ def update_group(
             "UPDATE groups SET description=?, updated_at=? WHERE id=?",
             (description.strip(), _now(), group_id),
         )
-        changes.append("Beschreibung geaendert")
+        changes.append("Beschreibung geändert")
 
     if permissions is not None:
         if group.is_system and not unlock_system:
             raise PermissionDenied(
                 "Die Rechte dieser Systemgruppe sind gesperrt. "
-                "Sie muessen sie zuerst ausdruecklich freischalten."
+                "Sie müssen sie zuerst ausdrücklich freischalten."
             )
         wanted = tree.sanitize(permissions)
         added = sorted(set(wanted) - set(group.permissions))
@@ -240,7 +240,7 @@ def update_group(
             _write_permissions(conn, group_id, wanted)
             conn.execute("UPDATE groups SET updated_at=? WHERE id=?", (_now(), group_id))
             if added:
-                changes.append("Rechte hinzugefuegt: " + ", ".join(tree.label_for(p) for p in added))
+                changes.append("Rechte hinzugefügt: " + ", ".join(tree.label_for(p) for p in added))
             if removed:
                 changes.append("Rechte entfernt: " + ", ".join(tree.label_for(p) for p in removed))
 
@@ -252,7 +252,7 @@ def soft_delete_group(conn: sqlite3.Connection, group_id: int) -> None:
     if group is None:
         raise ValidationError("Diese Gruppe existiert nicht.")
     if group.is_system:
-        raise PermissionDenied("Systemgruppen koennen nicht geloescht werden.")
+        raise PermissionDenied("Systemgruppen können nicht gelöscht werden.")
     conn.execute("UPDATE groups SET deleted_at=? WHERE id=?", (_now(), group_id))
 
 
@@ -410,7 +410,7 @@ def guard_target_account(actor: Any, target: dict[str, Any]) -> None:
     """Ein Administratorkonto darf nur ein echter Administrator anfassen."""
     if bool(target.get("is_admin")) and not getattr(actor, "is_admin", False):
         raise PermissionDenied(
-            "Administratorkonten koennen nur von Administratoren bearbeitet werden."
+            "Administratorkonten können nur von Administratoren bearbeitet werden."
         )
 
 
@@ -420,8 +420,8 @@ def guard_last_admin(conn: sqlite3.Connection, user_id: int, *, action: str) ->
         return
     if count_active_admins(conn, exclude_id=user_id) == 0:
         raise PermissionDenied(
-            f"{action} nicht moeglich: es muss mindestens ein entsperrtes "
-            "Administratorkonto uebrig bleiben."
+            f"{action} nicht möglich: es muss mindestens ein entsperrtes "
+            "Administratorkonto übrig bleiben."
         )
 
 
@@ -482,12 +482,12 @@ def create_user(
         if existing["deleted_at"]:
             raise ValidationError(
                 f"Der Benutzername {clean!r} liegt im Papierkorb. Stellen Sie das Konto "
-                "wieder her oder loeschen Sie es endgueltig."
+                "wieder her oder löschen Sie es endgültig."
             )
         raise ValidationError(f"Der Benutzername {clean!r} ist bereits vergeben.")
 
     if is_admin and not getattr(actor, "is_admin", False):
-        raise PermissionDenied("Nur Administratoren koennen weitere Administratoren anlegen.")
+        raise PermissionDenied("Nur Administratoren können weitere Administratoren anlegen.")
 
     if auth_source == "local":
         problems = policy.check(password, username=clean)
@@ -552,7 +552,7 @@ def update_user(
         # ueberschrieben -- die Bearbeitung waere eine Illusion.
         raise ValidationError(
             "Name und E-Mail eines Verzeichniskontos werden bei jeder Anmeldung "
-            "aus dem Verzeichnis uebernommen und koennen hier nicht geaendert werden."
+            "aus dem Verzeichnis übernommen und können hier nicht geändert werden."
         )
 
     fields: dict[str, Any] = {}
@@ -563,13 +563,13 @@ def update_user(
     ):
         if value is not None and value.strip() != str(target.get(column) or ""):
             fields[column] = value.strip()
-            changes.append(f"{column} geaendert")
+            changes.append(f"{column} geändert")
 
     if is_admin is not None and bool(is_admin) != bool(target["is_admin"]):
         if not getattr(actor, "is_admin", False):
-            raise PermissionDenied("Das Admin-Kennzeichen kann nur ein Administrator aendern.")
+            raise PermissionDenied("Das Admin-Kennzeichen kann nur ein Administrator ändern.")
         if int(target["id"]) == int(getattr(actor, "id", 0)):
-            raise PermissionDenied("Sie koennen Ihr eigenes Admin-Kennzeichen nicht aendern.")
+            raise PermissionDenied("Sie können Ihr eigenes Admin-Kennzeichen nicht ändern.")
         if not is_admin:
             guard_last_admin(conn, user_id, action="Herabstufen")
         fields["is_admin"] = int(bool(is_admin))
@@ -577,7 +577,7 @@ def update_user(
 
     if is_locked is not None and bool(is_locked) != bool(target["is_locked"]):
         if int(target["id"]) == int(getattr(actor, "id", 0)):
-            raise PermissionDenied("Sie koennen Ihr eigenes Konto nicht sperren.")
+            raise PermissionDenied("Sie können Ihr eigenes Konto nicht sperren.")
         if is_locked:
             guard_last_admin(conn, user_id, action="Sperren")
         fields["is_locked"] = int(bool(is_locked))
@@ -595,7 +595,7 @@ def update_user(
         after = {int(gid) for gid in group_ids}
         if before != after:
             set_user_groups(conn, user_id, sorted(after), actor=actor, tree=tree)
-            changes.append("Gruppenzuordnung geaendert")
+            changes.append("Gruppenzuordnung geändert")
 
     return changes
 
@@ -613,7 +613,7 @@ def set_password(
         raise ValidationError("Dieses Konto existiert nicht.")
     if str(row.get("auth_source")) == "ldap":
         raise ValidationError(
-            "Verzeichniskonten haben hier kein Passwort -- es wird im Verzeichnisdienst gepflegt."
+            "Verzeichniskonten haben hier kein Passwort – es wird im Verzeichnisdienst gepflegt."
         )
     problems = policy.check(new_password, username=str(row["username"]))
     if problems:
@@ -631,7 +631,7 @@ def soft_delete_user(conn: sqlite3.Connection, user_id: int, *, actor: Any) -> s
         raise ValidationError("Dieses Konto existiert nicht (mehr).")
     guard_target_account(actor, target)
     if int(target["id"]) == int(getattr(actor, "id", 0)):
-        raise PermissionDenied("Sie koennen Ihr eigenes Konto nicht loeschen.")
+        raise PermissionDenied("Sie können Ihr eigenes Konto nicht löschen.")
     guard_last_admin(conn, user_id, action="Loeschen")
 
     if str(target.get("auth_source")) == "ldap":

packages/tesm-core/src/tesm_core/security/csrf.py

@@ -112,7 +112,7 @@ def protect() -> None:
     if not expected or not provided:
         abort(403, description="Das Sicherheitstoken des Formulars fehlt. Bitte Seite neu laden.")
     if not hmac.compare_digest(str(expected), str(provided)):
-        abort(403, description="Das Sicherheitstoken des Formulars ist ungueltig. Bitte Seite neu laden.")
+        abort(403, description="Das Sicherheitstoken des Formulars ist ungültig. Bitte Seite neu laden.")
 
 
 def exempt(view):

packages/tesm-core/src/tesm_core/security/passwords.py

@@ -65,10 +65,10 @@ class PasswordPolicy:
         if classes < self.require_classes:
             problems.append(
                 f"Mindestens {self.require_classes} verschiedene Zeichenarten "
-                "(Klein-/Grossbuchstaben, Ziffern, Sonderzeichen)."
+                "(Klein-/Großbuchstaben, Ziffern, Sonderzeichen)."
             )
         if normalized.lower() in _FORBIDDEN:
-            problems.append("Dieses Passwort ist zu haeufig und damit unsicher.")
+            problems.append("Dieses Passwort ist zu häufig und damit unsicher.")
         if username and len(username) >= 3 and username.lower() in normalized.lower():
             problems.append("Das Passwort darf den Benutzernamen nicht enthalten.")
         if len(set(normalized)) <= 3 and normalized:

packages/tesm-core/src/tesm_core/security/sessions.py

@@ -163,6 +163,7 @@ class SqliteSessionInterface(SessionInterface):
         idle_minutes: int,
         absolute_hours: int,
         idle_lookup: Any = None,
+        absolute_lookup: Any = None,
     ) -> None:
         self.database = database
         self.cookie_name = cookie_name
@@ -172,6 +173,16 @@ class SqliteSessionInterface(SessionInterface):
         #: Zeit zur Laufzeit einstellbar, ohne den Dienst neu zu starten -- und
         #: ohne eine zweite Datenbankverbindung, denn sie bekommt die offene.
         self._idle_lookup = idle_lookup
+        self._absolute_lookup = absolute_lookup
+
+    def _absolute(self, conn: Any) -> int:
+        """Gesamtdauer in Stunden -- einstellbar wie die Leerlaufgrenze."""
+        if self._absolute_lookup is None:
+            return self.absolute_hours
+        try:
+            return int(self._absolute_lookup(conn)) or self.absolute_hours
+        except Exception:  # pragma: no cover - Einstellung unlesbar
+            return self.absolute_hours
 
     def _idle(self, conn: Any) -> int:
         if self._idle_lookup is None:
@@ -280,7 +291,10 @@ class SqliteSessionInterface(SessionInterface):
         payload = json.dumps(dict(session), separators=(",", ":"), sort_keys=True)
         with self.database.session() as conn, self.database.transaction(conn):
             if session.new or not session.sid:
-                session.sid = secrets.token_urlsafe(SESSION_ID_BYTES)
+                # Eine vorhandene ID nicht wegwerfen: nach einem Wechsel beim
+                # Anmelden steht sie schon, und andere haben sie sich gemerkt.
+                if not session.sid:
+                    session.sid = secrets.token_urlsafe(SESSION_ID_BYTES)
                 conn.execute(
                     "INSERT INTO user_sessions "
                     "(id, user_id, created_at, last_seen_at, idle_expires_at, "
@@ -292,7 +306,7 @@ class SqliteSessionInterface(SessionInterface):
                         _iso(now),
                         _iso(now),
                         _iso(now + timedelta(minutes=self._idle(conn))),
-                        _iso(now + timedelta(hours=self.absolute_hours)),
+                        _iso(now + timedelta(hours=self._absolute(conn))),
                         session.get("_ip", ""),
                         session.get("_ua", ""),
                         payload,
@@ -371,7 +385,12 @@ def rotate(conn: sqlite3.Connection, session: ServerSession, *, reason: str = "p
             "UPDATE user_sessions SET revoked_at=?, revoked_reason=? WHERE id=?",
             (_iso(_now()), reason, old_sid),
         )
-    session.sid = ""
+    # Die neue ID entsteht **jetzt** und nicht erst beim Speichern der Antwort.
+    # Zwischen beidem laufen die Anmeldehaken, und einer davon bindet die
+    # Dateifreigaben ein und schreibt sich die Sitzung dazu. Mit einer leeren
+    # Sitzung hielt der Aufraeumer diese Einbindungen fuer verwaist und loeste
+    # sie binnen Minuten wieder.
+    session.sid = secrets.token_urlsafe(SESSION_ID_BYTES)
     session.new = True
     session.modified = True
     return old_sid

packages/tesm-core/src/tesm_core/static/tesm_core/css/components.css

@@ -685,7 +685,10 @@
   .modal__sub { font-size: var(--fs-xs); color: var(--text-faint); margin-top: 2px; }
   /* Eine Datei-Vorschau soll die ganze Flaeche des Dialogs nutzen; der
      uebliche Innenabstand des Dialogkoerpers wuerde sie einrahmen. */
-  .modal__body--flush { padding: 0; max-height: none; }
+  /* Zwei Klassen am selben Element: diese hier muss gewinnen, obwohl
+     .modal__body weiter unten steht. Mit der doppelten Klasse haengt das
+     nicht mehr an der Reihenfolge im Stylesheet. */
+  .modal__body.modal__body--flush { padding: 0; max-height: none; overflow: visible; }
   .modal__caption {
     padding: 0 var(--sp-5) var(--sp-2);
     color: var(--text-muted);
@@ -702,6 +705,174 @@
        darunter. --surface-0 gibt es nicht, der Rahmen blieb durchsichtig. */
     background: var(--surface-1);
   }
+
+  /* -- Betrachter: Bild, PDF, Rahmen ------------------------------------- */
+  /* Eine feste Hoehe fuer alle drei Anzeigen: sonst springt der Dialog beim
+     Wechsel zwischen Foto und PDF. */
+  .viewer {
+    position: relative;
+    display: flex;
+    flex-direction: column;
+    /* Was der Dialog uebrig laesst: Kopf, Dateiname und Fusszeile brauchen
+       zusammen rund 190 Pixel. Ein fester Anteil der Fensterhoehe schob die
+       Zoomleiste auf kleinen Fenstern unter den Rand. */
+    height: min(calc(100dvh - 240px), 760px);
+    min-height: 220px;
+    background: var(--surface-1);
+  }
+  /* Hochkant -- Tablet oder Monitor im Hochformat -- gibt es unter dem Dialog
+     viel Platz, den die Obergrenze verschenkt. Beim Ausfuellen eines
+     Formulars zaehlt jede sichtbare Zeile, also nehmen wir dort die Hoehe,
+     die da ist. Der Rest (Kopf, Dateiname, Fusszeile) braucht rund 200 Pixel;
+     die 240 lassen etwas Luft. */
+  @media (orientation: portrait) {
+    .viewer {
+      height: calc(100dvh - 240px);
+    }
+  }
+  .viewer > .file-preview {
+    flex: 1;
+    height: auto;
+  }
+  .viewer__stage {
+    position: relative;
+    flex: 1;
+    /* Ohne min-height waechst die Buehne mit dem Bild, und dessen
+       max-height:100% haengt dann an sich selbst: ein 4032x3024-Foto stand
+       36 Pixel ueber den Rand hinaus. */
+    min-height: 0;
+    display: flex;
+    align-items: center;
+    justify-content: center;
+    overflow: hidden;
+    /* Die Seite darf nicht mitwandern, wenn im Bild geschoben wird. */
+    touch-action: none;
+    cursor: zoom-in;
+  }
+  .viewer__stage--gezogen {
+    cursor: grab;
+  }
+  .viewer__img {
+    /* Der Ausgangszustand ist "passt in die Flaeche" -- genau das fehlte:
+       ein Foto vom iPad ist 4032 Pixel breit und wurde im Rahmen 1:1
+       gezeigt, also als Ausschnitt aus der Mitte. */
+    max-width: 100%;
+    max-height: 100%;
+    /* Zoomen soll nicht unscharf wirken, solange nicht vergroessert wird. */
+    transform-origin: center center;
+    will-change: transform;
+    user-select: none;
+    -webkit-user-drag: none;
+  }
+  /* pdf.js verlangt einen absolut positionierten, scrollenden Behaelter --
+     der liegt deshalb *innen*. Aussen ein gewoehnlicher Flex-Kasten, damit
+     Zoomleiste und Speicherzeile ihren Platz behalten. Vorher rechnete der
+     Bereich mit "bottom: var(--sp-10)", also mit genau einer Leiste; die
+     zweite Zeile lag dann unter dem Dialogrand. */
+  .viewer__pdf {
+    position: relative;
+    flex: 1;
+    min-height: 0;
+    /* Ein PDF ist weisses Papier. pdf.js malt Formularfelder mit Systemfarben
+       und ueberlaesst Ankreuzfelder dem Browser -- im dunklen Design heisst
+       CanvasText weiss, und die Haken waren auf dem Papier unsichtbar. Fuer
+       diesen Ausschnitt gilt deshalb immer das helle Schema. */
+    color-scheme: light;
+  }
+  /* pdf.js rechnet fuer die Seite mit dem Standard "content-box": ihr
+     9-Pixel-Rahmen liegt *ausserhalb* der angegebenen Breite. Unser globales
+     "border-box" rechnete ihn hinein -- die Leinwand wurde 18 Pixel schmaler
+     als die Anmerkungsebene, und die Formularfelder wanderten nach rechts
+     unten, immer weiter je weiter unten sie lagen. */
+  .viewer__pdf .pdfViewer .page {
+    box-sizing: content-box;
+  }
+  .viewer__pdfscroll {
+    position: absolute;
+    inset: 0;
+    overflow: auto;
+    -webkit-overflow-scrolling: touch;
+  }
+  .viewer__bar {
+    display: flex;
+    align-items: center;
+    gap: var(--sp-2);
+    padding: var(--sp-2) var(--sp-4);
+    border-top: 1px solid var(--border);
+    background: var(--surface-2, var(--surface-1));
+  }
+  .viewer__hint {
+    margin-inline-start: auto;
+  }
+  /* Bildfeld eines Formulars: der Kasten zeigt das gewaehlte Foto, die
+     Schaltflaeche liegt darin. Acrobats eigener Knopf tut im Browser nichts --
+     das hier ist der Ersatz. */
+  .viewer__bildfeld [data-viewer-bildvorschau] {
+    position: absolute;
+    inset: 0;
+    width: 100%;
+    height: 100%;
+    object-fit: contain;
+    background: #fff;
+  }
+  .viewer__bildwahl {
+    position: absolute;
+    inset: auto 0 4px 0;
+    display: flex;
+    justify-content: center;
+    cursor: pointer;
+  }
+  .viewer__bildwahl > span {
+    padding: 4px 10px;
+    border-radius: var(--r-sm, 6px);
+    background: var(--accent);
+    color: #fff;
+    font-size: var(--fs-xs);
+    font-weight: 600;
+    box-shadow: var(--shadow-sm, 0 1px 3px rgb(0 0 0 / 0.3));
+  }
+  .viewer__bildfeld--belegt .viewer__bildwahl > span {
+    opacity: 0.85;
+  }
+  .viewer__save {
+    display: flex;
+    flex-wrap: wrap;
+    align-items: flex-end;
+    gap: var(--sp-3);
+    padding: var(--sp-3) var(--sp-4);
+    border-top: 1px solid var(--border);
+    background: var(--surface-2, var(--surface-1));
+  }
+  .viewer__save .viewer__feld {
+    flex: 1 1 12rem;
+    margin: 0;
+  }
+  /* Die Entscheidung steht rechts und der Haken darueber: er gehoert zum
+     Speichern, nicht zu den Feldern davor. */
+  .viewer__saveaktionen {
+    margin-left: auto;
+    display: flex;
+    flex-direction: column;
+    align-items: flex-end;
+    gap: var(--sp-2);
+  }
+  .viewer__saveknoepfe {
+    display: flex;
+    gap: var(--sp-2);
+  }
+  /* Nach "gibt es schon": der Haken ist die Antwort -- also faellt er auf. */
+  .viewer__saveaktionen .check.is-gefragt {
+    outline: 2px solid var(--accent);
+    outline-offset: 3px;
+    border-radius: var(--r-xs);
+  }
+  /* Eigener Name: ".field--inline" gibt es schon und steht dort fuer
+     "waagerecht" -- diese Regel haette sie app-weit umgestellt. */
+  .viewer__feld {
+    display: flex;
+    flex-direction: column;
+    gap: 2px;
+  }
   /* Der Dateiname ist ein Knopf (er oeffnet die Vorschau), soll aber wie ein
      Link aussehen -- ein Knopf mit Rahmen mitten in einer Tabellenzeile waere
      unruhig. */
@@ -1163,3 +1334,309 @@
     .hide-sm { display: none !important; }
   }
 }
+
+/* -- Sortierbare Liste (Navigationsreihenfolge) --------------------------- */
+/* Symbol und Beschriftung stehen in einer Zeile -- so wie im Menue selbst.
+   Vorher brach die Beschriftung unter das Symbol, und die Liste sah aus wie
+   etwas anderes als das, was sie sortiert. */
+
+.reorder {
+  list-style: none;
+  margin: 0;
+  padding: 0;
+  display: flex;
+  flex-direction: column;
+  gap: 4px;
+}
+
+.reorder__row {
+  display: flex;
+  align-items: center;
+  gap: 10px;
+  padding: 6px 10px;
+  border: 1px solid var(--border);
+  border-radius: var(--r-sm);
+  background: var(--surface-2);
+  cursor: grab;
+}
+
+.reorder__row > .flex-1 {
+  display: flex;
+  align-items: center;
+  gap: 8px;
+  white-space: nowrap;
+  overflow: hidden;
+  text-overflow: ellipsis;
+}
+
+.reorder__row.is-dragging {
+  opacity: 0.5;
+}
+
+.reorder__grip {
+  color: var(--text-muted);
+  display: inline-flex;
+}
+
+.reorder__pos {
+  min-width: 1.6em;
+  text-align: right;
+  font-variant-numeric: tabular-nums;
+  color: var(--text-muted);
+  font-size: var(--fs-xs);
+}
+
+.reorder__moves {
+  display: inline-flex;
+  gap: 2px;
+}
+
+.reorder__group {
+  list-style: none;
+}
+
+.reorder--child {
+  margin: 4px 0 4px 28px;
+}
+
+.reorder--child .reorder__row {
+  background: transparent;
+  border-style: dashed;
+}
+
+/* -- Unterschrift --------------------------------------------------------- */
+/* Die Zeichenflaeche braucht "touch-action: none": sonst scrollt ein iPad die
+   Seite, statt einen Strich zu zeichnen -- und es sieht aus, als reagierte das
+   Feld nicht. */
+
+.viewer__sign {
+  display: flex;
+  flex-direction: column;
+  gap: 8px;
+  padding: 10px 12px;
+  border-top: 1px solid var(--border);
+  background: var(--surface-2);
+}
+
+.viewer__signfelder {
+  display: flex;
+  gap: 10px;
+  flex-wrap: wrap;
+}
+
+.viewer__signpad {
+  width: 100%;
+  height: 160px;
+  border: 1px dashed var(--border-strong, var(--border));
+  border-radius: var(--r-sm);
+  background: #fff;
+  touch-action: none;
+  cursor: crosshair;
+}
+
+.viewer__signaktionen {
+  display: flex;
+  align-items: center;
+  gap: 8px;
+  justify-content: flex-end;
+  flex-wrap: wrap;
+}
+
+.viewer__pdfscroll--setzen {
+  cursor: crosshair;
+}
+
+.viewer__pdfscroll--setzen .page {
+  outline: 2px dashed var(--accent, #c8791f);
+  outline-offset: -2px;
+}
+
+/* Die gesetzte Unterschrift liegt auf der Seite -- in Prozent, damit sie beim
+   Zoomen an ihrer Stelle bleibt. Sie nimmt Zeiger an: verschieben mit dem
+   Block, Groesse mit dem Griff unten rechts, entfernen mit dem Kreuz.
+   "touch-action: none" ist auf dem iPad die Bedingung dafuer, dass ein Finger
+   zieht statt die Seite zu scrollen. */
+.viewer__unterschrift {
+  position: absolute;
+  z-index: 3;
+  cursor: grab;
+  touch-action: none;
+  container-type: inline-size;
+  border: 1px dashed transparent;
+}
+
+.viewer__unterschrift:hover,
+.viewer__unterschrift.is-fassend {
+  border-color: var(--accent);
+  cursor: grabbing;
+}
+
+.viewer__unterschrift img {
+  display: block;
+  width: 100%;
+  pointer-events: none;
+}
+
+/* Dieselbe Rechnung wie im PDF (Breite durch 18): auf dem Schirm steht, was
+   spaeter in der Datei steht. */
+/* "width: max-content": der Strich ist so lang wie der Text darunter -- so
+   wie im PDF. Waere er so breit wie der Block, zeigte die Vorschau etwas
+   anderes als die Datei. */
+.viewer__unterschrifttext {
+  font-size: 5.6cqw;
+  line-height: 1.15;
+  color: #111;
+  border-top: 1px solid rgba(0, 0, 0, 0.85);
+  padding-top: 1px;
+  pointer-events: none;
+  white-space: nowrap;
+  width: max-content;
+}
+
+.viewer__unterschriftgriff,
+.viewer__unterschriftweg {
+  position: absolute;
+  width: 16px;
+  height: 16px;
+  padding: 0;
+  border: 1px solid var(--accent);
+  border-radius: 3px;
+  background: var(--surface-1);
+  color: var(--accent);
+  font-size: 11px;
+  line-height: 1;
+  opacity: 0;
+  cursor: nwse-resize;
+}
+
+.viewer__unterschriftweg {
+  cursor: pointer;
+  top: -8px;
+  right: -8px;
+}
+
+.viewer__unterschriftgriff {
+  right: -8px;
+  bottom: -8px;
+}
+
+.viewer__unterschrift:hover .viewer__unterschriftgriff,
+.viewer__unterschrift:hover .viewer__unterschriftweg,
+.viewer__unterschrift.is-fassend .viewer__unterschriftgriff {
+  opacity: 1;
+}
+
+/* Auf einem Tastbildschirm gibt es kein "hover" -- dort stehen die Knoepfe
+   immer, sonst kaeme man nie an sie heran. */
+@media (hover: none) {
+  .viewer__unterschriftgriff,
+  .viewer__unterschriftweg {
+    opacity: 1;
+  }
+}
+
+/* -- Ergebnis der Signaturpruefung ---------------------------------------- */
+/* Der Schleier liegt ueber der Seite und nimmt keine Klicks an: ein
+   unterschriebenes Dokument ist flach, aber bei einem Irrtum soll die
+   Kennzeichnung nicht auch noch die Bedienung blockieren. */
+
+.viewer__pdf--unveraendert {
+  box-shadow: inset 0 0 0 3px var(--success);
+}
+
+.viewer__pdf--unveraendert::after,
+.viewer__pdf--veraendert::after {
+  content: "";
+  position: absolute;
+  inset: 0;
+  pointer-events: none;
+  z-index: 4;
+}
+
+.viewer__pdf--unveraendert::after {
+  background: rgba(47, 158, 68, 0.1);
+}
+
+.viewer__pdf--veraendert {
+  box-shadow: inset 0 0 0 3px var(--danger);
+}
+
+.viewer__pdf--veraendert::after {
+  background: rgba(201, 42, 42, 0.08);
+}
+
+.viewer__pruefung {
+  margin: 0;
+  padding: 6px 12px;
+  font-size: var(--fs-xs);
+  border-top: 1px solid var(--border);
+}
+
+.viewer__pruefung--gut {
+  color: var(--success);
+  background: rgba(47, 158, 68, 0.12);
+}
+
+.viewer__pruefung--schlecht {
+  color: var(--danger);
+  background: rgba(201, 42, 42, 0.12);
+}
+
+/* -- Tabelle, die schmal zu Bloecken wird -------------------------------- */
+/* Eine Protokollzeile besteht aus sieben Angaben, von denen eine lang ist:
+   das Detail. Auf einem breiten Schirm passt das nebeneinander. Wird es eng,
+   ist eine Spalte von zwei Zentimetern fuer eine Pruefsumme keine Loesung --
+   dann steht jede Angabe auf ihrer eigenen Zeile, beschriftet. */
+
+.table--stapelbar .td--detail {
+  /* Zeilenumbrueche aus dem Eintrag bleiben stehen: die Pruefsumme steht
+     unter dem lesbaren Teil, nicht mitten darin. Und ein Hash ohne Trennstelle
+     darf notfalls hart umbrechen. */
+  white-space: pre-line;
+  overflow-wrap: anywhere;
+  max-width: 52ch;
+}
+
+@media (max-width: 1100px) {
+  .table--stapelbar thead {
+    display: none;
+  }
+
+  .table--stapelbar,
+  .table--stapelbar tbody,
+  .table--stapelbar tr,
+  .table--stapelbar td {
+    display: block;
+    width: auto;
+  }
+
+  .table--stapelbar tr {
+    padding: var(--sp-3) 0;
+    border-bottom: 1px solid var(--border);
+  }
+
+  .table--stapelbar td {
+    display: grid;
+    grid-template-columns: 8.5rem 1fr;
+    gap: var(--sp-2);
+    align-items: baseline;
+    border: 0;
+    padding: 2px var(--sp-3);
+    white-space: normal;
+  }
+
+  .table--stapelbar td::before {
+    content: attr(data-spalte);
+    color: var(--text-muted);
+    font-size: var(--fs-xs);
+  }
+
+  .table--stapelbar .td--detail {
+    max-width: none;
+  }
+
+  /* Leere Zellen brauchen keine Zeile. */
+  .table--stapelbar td:empty {
+    display: none;
+  }
+}

packages/tesm-core/src/tesm_core/static/tesm_core/js/app.js

@@ -109,7 +109,7 @@ export function showToast(message, type = "info", { timeout = 6000 } = {}) {
   const close = document.createElement("button");
   close.type = "button";
   close.className = "toast__close";
-  close.setAttribute("aria-label", "Meldung schliessen");
+  close.setAttribute("aria-label", "Meldung schließen");
   close.textContent = "×";
   toast.append(body, close);
   toastStack.appendChild(toast);
@@ -293,7 +293,7 @@ function initConfirmations() {
       event.preventDefault();
       event.stopPropagation();
       pending = trigger;
-      titleNode.textContent = trigger.dataset.confirmTitle || "Bitte bestaetigen";
+      titleNode.textContent = trigger.dataset.confirmTitle || "Bitte bestätigen";
       textNode.textContent = trigger.dataset.confirm;
       okButton.textContent = trigger.dataset.confirmOk || "Fortfahren";
       okButton.className = `btn btn--${trigger.dataset.confirmStyle || "danger"}`;
@@ -497,14 +497,14 @@ function initAutoRefresh() {
       nameField.value = entry.name || "";
       dnField.value = entry.dn || "";
       results.hidden = true;
-      show(`Uebernommen: ${entry.name || entry.dn}`);
+      show(`Übernommen: ${entry.name || entry.dn}`);
     };
 
     const search = async () => {
       const term = query.value.trim();
       if (term.length < 2) { show("Bitte mindestens zwei Zeichen eingeben."); return; }
       button.disabled = true;
-      show("Suche laeuft ...");
+      show("Suche läuft ...");
       results.innerHTML = "";
       try {
         const url = `${picker.dataset.searchUrl}?q=${encodeURIComponent(term)}`;
@@ -532,10 +532,10 @@ function initAutoRefresh() {
           results.appendChild(row);
         });
         results.hidden = false;
-        show(`${entries.length} Treffer -- zum Uebernehmen anklicken.`);
+        show(`${entries.length} Treffer – zum Übernehmen anklicken.`);
       } catch (error) {
         results.hidden = true;
-        show("Die Suche ist fehlgeschlagen. Laeuft die Verbindung zum Verzeichnis?");
+        show("Die Suche ist fehlgeschlagen. Läuft die Verbindung zum Verzeichnis?");
       } finally {
         button.disabled = false;
       }
@@ -720,7 +720,7 @@ function initClipboard() {
         timeout: 2500,
       });
     } catch {
-      showToast("Kopieren nicht moeglich -- bitte manuell markieren.", "warning");
+      showToast("Kopieren nicht möglich – bitte manuell markieren.", "warning");
     }
   });
 }
@@ -856,6 +856,81 @@ function initTileFilters() {
   });
 }
 
+/* -- Reihenfolge aendern -------------------------------------------------- */
+
+/**
+ * Eine Liste, deren Reihenfolge man aendern kann -- ohne Bibliothek.
+ *
+ * Die Reihenfolge steckt in der Reihenfolge der versteckten Felder: das
+ * Formular schickt sie als wiederholtes Feld, und der Server liest sie als
+ * Liste. Verschiebt man einen Eintrag, verschiebt sich das Feld mit ihm.
+ *
+ * Zwei Wege, weil es zwei Arten von Geraeten gibt: Ziehen mit der Maus und
+ * zwei Knoepfe je Zeile. Die Knoepfe sind nicht die Notloesung -- auf einem
+ * Tablet sind sie der einzige Weg, der zuverlaessig funktioniert, und mit der
+ * Tastatur ebenso.
+ */
+function initReorder() {
+  $$('[data-behavior="reorder"]').forEach((liste) => {
+    // Nur die eigenen Zeilen: Gruppen enthalten wiederum eine sortierbare
+    // Liste, und deren Zeilen gehoeren der inneren Liste, nicht dieser.
+    const zeilen = () => Array.from(liste.querySelectorAll(":scope > [data-reorder-item]"));
+
+    const nummerieren = () => {
+      zeilen().forEach((zeile, index) => {
+        const nummer = zeile.querySelector("[data-reorder-position-text]");
+        if (nummer) nummer.textContent = String(index + 1);
+        const hoch = zeile.querySelector('[data-reorder-move="up"]');
+        const runter = zeile.querySelector('[data-reorder-move="down"]');
+        if (hoch) hoch.disabled = index === 0;
+        if (runter) runter.disabled = index === zeilen().length - 1;
+      });
+    };
+
+    liste.addEventListener("click", (event) => {
+      const knopf = event.target.closest("[data-reorder-move]");
+      if (!knopf) return;
+      const zeile = knopf.closest("[data-reorder-item]");
+      if (!zeile || zeile.parentElement !== liste) return;
+      event.preventDefault();
+      if (knopf.dataset.reorderMove === "up") {
+        const davor = zeile.previousElementSibling;
+        if (davor) liste.insertBefore(zeile, davor);
+      } else {
+        const danach = zeile.nextElementSibling;
+        if (danach) liste.insertBefore(danach, zeile);
+      }
+      nummerieren();
+      zeile.querySelector(`[data-reorder-move="${knopf.dataset.reorderMove}"]`)?.focus();
+    });
+
+    let gezogen = null;
+    liste.addEventListener("dragstart", (event) => {
+      const zeile = event.target.closest("[data-reorder-item]");
+      if (!zeile || zeile.parentElement !== liste) return;
+      gezogen = zeile;
+      gezogen.classList.add("is-dragging");
+      if (event.dataTransfer) event.dataTransfer.effectAllowed = "move";
+    });
+    liste.addEventListener("dragend", () => {
+      if (gezogen) gezogen.classList.remove("is-dragging");
+      gezogen = null;
+      nummerieren();
+    });
+    liste.addEventListener("dragover", (event) => {
+      if (!gezogen) return;
+      event.preventDefault();
+      const ziel = event.target.closest("[data-reorder-item]");
+      if (!ziel || ziel === gezogen || ziel.parentElement !== liste) return;
+      const kasten = ziel.getBoundingClientRect();
+      const obereHaelfte = event.clientY < kasten.top + kasten.height / 2;
+      liste.insertBefore(gezogen, obereHaelfte ? ziel : ziel.nextElementSibling);
+    });
+
+    nummerieren();
+  });
+}
+
 /* -- Start ---------------------------------------------------------------- */
 
 /**
@@ -893,8 +968,23 @@ function boot() {
   initPalette();
   initSubmitGuards();
   initTileFilters();
+  initReorder();
   initLogTails();
   unsavedGuard.init();
+  initViewer();
+}
+
+/* Der Dateibetrachter kommt nur auf Seiten mit Vorschau -- und er zieht bei
+   einem PDF noch pdf.js nach. Beides erst dann, wenn es gebraucht wird. */
+function initViewer() {
+  if (!document.querySelector("[data-viewer]")) return;
+  // Dieselbe Version wie diese Datei: app.js wird als ".../app.js?v=<Zeit>"
+  // eingebunden, und nginx liefert /core-assets/ mit "expires 7d". Ohne das
+  // Anhaengsel bliebe der alte Betrachter nach einem Update im Cache liegen.
+  const version = new URL(import.meta.url).search;
+  import(`./viewer.js${version}`)
+    .then((modul) => modul.initFilePreview())
+    .catch((fehler) => console.error("Dateibetrachter", fehler));
 }
 
 if (document.readyState === "loading") {

packages/tesm-core/src/tesm_core/static/tesm_core/vendor/pdfjs/HERKUNFT.txt

@@ -0,0 +1,11 @@
+pdf.js 4.10.38 -- https://github.com/mozilla/pdf.js
+Aus dem npm-Paket pdfjs-dist; nur build/pdf.min.mjs, build/pdf.worker.min.mjs,
+web/pdf_viewer.mjs, web/pdf_viewer.css, web/images und standard_fonts.
+Apache-2.0, siehe LICENSE.
+
+Die drei Skriptdateien sind von .mjs auf .js umbenannt: die mime.types von
+nginx kennen .mjs nicht, und mit application/octet-stream lehnt jeder Browser
+ein Modul ab. Der Inhalt ist unveraendert.
+
+Warum eingebettet und nicht von einem CDN: TESM laeuft in abgeschotteten
+Netzen. Was die Oberflaeche braucht, muss im Paket liegen.

packages/tesm-core/src/tesm_core/static/tesm_core/vendor/pdfjs/LICENSE

@@ -0,0 +1,177 @@
+
+                                 Apache License
+                           Version 2.0, January 2004
+                        http://www.apache.org/licenses/
+
+   TERMS AND CONDITIONS FOR USE, REPRODUCTION, AND DISTRIBUTION
+
+   1. Definitions.
+
+      "License" shall mean the terms and conditions for use, reproduction,
+      and distribution as defined by Sections 1 through 9 of this document.
+
+      "Licensor" shall mean the copyright owner or entity authorized by
+      the copyright owner that is granting the License.
+
+      "Legal Entity" shall mean the union of the acting entity and all
+      other entities that control, are controlled by, or are under common
+      control with that entity. For the purposes of this definition,
+      "control" means (i) the power, direct or indirect, to cause the
+      direction or management of such entity, whether by contract or
+      otherwise, or (ii) ownership of fifty percent (50%) or more of the
+      outstanding shares, or (iii) beneficial ownership of such entity.
+
+      "You" (or "Your") shall mean an individual or Legal Entity
+      exercising permissions granted by this License.
+
+      "Source" form shall mean the preferred form for making modifications,
+      including but not limited to software source code, documentation
+      source, and configuration files.
+
+      "Object" form shall mean any form resulting from mechanical
+      transformation or translation of a Source form, including but
+      not limited to compiled object code, generated documentation,
+      and conversions to other media types.
+
+      "Work" shall mean the work of authorship, whether in Source or
+      Object form, made available under the License, as indicated by a
+      copyright notice that is included in or attached to the work
+      (an example is provided in the Appendix below).
+
+      "Derivative Works" shall mean any work, whether in Source or Object
+      form, that is based on (or derived from) the Work and for which the
+      editorial revisions, annotations, elaborations, or other modifications
+      represent, as a whole, an original work of authorship. For the purposes
+      of this License, Derivative Works shall not include works that remain
+      separable from, or merely link (or bind by name) to the interfaces of,
+      the Work and Derivative Works thereof.
+
+      "Contribution" shall mean any work of authorship, including
+      the original version of the Work and any modifications or additions
+      to that Work or Derivative Works thereof, that is intentionally
+      submitted to Licensor for inclusion in the Work by the copyright owner
+      or by an individual or Legal Entity authorized to submit on behalf of
+      the copyright owner. For the purposes of this definition, "submitted"
+      means any form of electronic, verbal, or written communication sent
+      to the Licensor or its representatives, including but not limited to
+      communication on electronic mailing lists, source code control systems,
+      and issue tracking systems that are managed by, or on behalf of, the
+      Licensor for the purpose of discussing and improving the Work, but
+      excluding communication that is conspicuously marked or otherwise
+      designated in writing by the copyright owner as "Not a Contribution."
+
+      "Contributor" shall mean Licensor and any individual or Legal Entity
+      on behalf of whom a Contribution has been received by Licensor and
+      subsequently incorporated within the Work.
+
+   2. Grant of Copyright License. Subject to the terms and conditions of
+      this License, each Contributor hereby grants to You a perpetual,
+      worldwide, non-exclusive, no-charge, royalty-free, irrevocable
+      copyright license to reproduce, prepare Derivative Works of,
+      publicly display, publicly perform, sublicense, and distribute the
+      Work and such Derivative Works in Source or Object form.
+
+   3. Grant of Patent License. Subject to the terms and conditions of
+      this License, each Contributor hereby grants to You a perpetual,
+      worldwide, non-exclusive, no-charge, royalty-free, irrevocable
+      (except as stated in this section) patent license to make, have made,
+      use, offer to sell, sell, import, and otherwise transfer the Work,
+      where such license applies only to those patent claims licensable
+      by such Contributor that are necessarily infringed by their
+      Contribution(s) alone or by combination of their Contribution(s)
+      with the Work to which such Contribution(s) was submitted. If You
+      institute patent litigation against any entity (including a
+      cross-claim or counterclaim in a lawsuit) alleging that the Work
+      or a Contribution incorporated within the Work constitutes direct
+      or contributory patent infringement, then any patent licenses
+      granted to You under this License for that Work shall terminate
+      as of the date such litigation is filed.
+
+   4. Redistribution. You may reproduce and distribute copies of the
+      Work or Derivative Works thereof in any medium, with or without
+      modifications, and in Source or Object form, provided that You
+      meet the following conditions:
+
+      (a) You must give any other recipients of the Work or
+          Derivative Works a copy of this License; and
+
+      (b) You must cause any modified files to carry prominent notices
+          stating that You changed the files; and
+
+      (c) You must retain, in the Source form of any Derivative Works
+          that You distribute, all copyright, patent, trademark, and
+          attribution notices from the Source form of the Work,
+          excluding those notices that do not pertain to any part of
+          the Derivative Works; and
+
+      (d) If the Work includes a "NOTICE" text file as part of its
+          distribution, then any Derivative Works that You distribute must
+          include a readable copy of the attribution notices contained
+          within such NOTICE file, excluding those notices that do not
+          pertain to any part of the Derivative Works, in at least one
+          of the following places: within a NOTICE text file distributed
+          as part of the Derivative Works; within the Source form or
+          documentation, if provided along with the Derivative Works; or,
+          within a display generated by the Derivative Works, if and
+          wherever such third-party notices normally appear. The contents
+          of the NOTICE file are for informational purposes only and
+          do not modify the License. You may add Your own attribution
+          notices within Derivative Works that You distribute, alongside
+          or as an addendum to the NOTICE text from the Work, provided
+          that such additional attribution notices cannot be construed
+          as modifying the License.
+
+      You may add Your own copyright statement to Your modifications and
+      may provide additional or different license terms and conditions
+      for use, reproduction, or distribution of Your modifications, or
+      for any such Derivative Works as a whole, provided Your use,
+      reproduction, and distribution of the Work otherwise complies with
+      the conditions stated in this License.
+
+   5. Submission of Contributions. Unless You explicitly state otherwise,
+      any Contribution intentionally submitted for inclusion in the Work
+      by You to the Licensor shall be under the terms and conditions of
+      this License, without any additional terms or conditions.
+      Notwithstanding the above, nothing herein shall supersede or modify
+      the terms of any separate license agreement you may have executed
+      with Licensor regarding such Contributions.
+
+   6. Trademarks. This License does not grant permission to use the trade
+      names, trademarks, service marks, or product names of the Licensor,
+      except as required for reasonable and customary use in describing the
+      origin of the Work and reproducing the content of the NOTICE file.
+
+   7. Disclaimer of Warranty. Unless required by applicable law or
+      agreed to in writing, Licensor provides the Work (and each
+      Contributor provides its Contributions) on an "AS IS" BASIS,
+      WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND, either express or
+      implied, including, without limitation, any warranties or conditions
+      of TITLE, NON-INFRINGEMENT, MERCHANTABILITY, or FITNESS FOR A
+      PARTICULAR PURPOSE. You are solely responsible for determining the
+      appropriateness of using or redistributing the Work and assume any
+      risks associated with Your exercise of permissions under this License.
+
+   8. Limitation of Liability. In no event and under no legal theory,
+      whether in tort (including negligence), contract, or otherwise,
+      unless required by applicable law (such as deliberate and grossly
+      negligent acts) or agreed to in writing, shall any Contributor be
+      liable to You for damages, including any direct, indirect, special,
+      incidental, or consequential damages of any character arising as a
+      result of this License or out of the use or inability to use the
+      Work (including but not limited to damages for loss of goodwill,
+      work stoppage, computer failure or malfunction, or any and all
+      other commercial damages or losses), even if such Contributor
+      has been advised of the possibility of such damages.
+
+   9. Accepting Warranty or Additional Liability. While redistributing
+      the Work or Derivative Works thereof, You may choose to offer,
+      and charge a fee for, acceptance of support, warranty, indemnity,
+      or other liability obligations and/or rights consistent with this
+      License. However, in accepting such obligations, You may act only
+      on Your own behalf and on Your sole responsibility, not on behalf
+      of any other Contributor, and only if You agree to indemnify,
+      defend, and hold each Contributor harmless for any liability
+      incurred by, or claims asserted against, such Contributor by reason
+      of your accepting any such warranty or additional liability.
+
+   END OF TERMS AND CONDITIONS

packages/tesm-core/src/tesm_core/static/tesm_core/vendor/pdfjs/VERSION

@@ -0,0 +1 @@
+4.10.38

packages/tesm-core/src/tesm_core/static/tesm_core/vendor/pdfjs/images/altText_add.svg

@@ -0,0 +1,3 @@
+<svg width="12" height="13" viewBox="0 0 12 13" fill="none" xmlns="http://www.w3.org/2000/svg">
+   <path d="M5.375 7.625V11.875C5.375 12.0408 5.44085 12.1997 5.55806 12.3169C5.67527 12.4342 5.83424 12.5 6 12.5C6.16576 12.5 6.32473 12.4342 6.44194 12.3169C6.55915 12.1997 6.625 12.0408 6.625 11.875V7.625L7.125 7.125H11.375C11.5408 7.125 11.6997 7.05915 11.8169 6.94194C11.9342 6.82473 12 6.66576 12 6.5C12 6.33424 11.9342 6.17527 11.8169 6.05806C11.6997 5.94085 11.5408 5.875 11.375 5.875H7.125L6.625 5.375V1.125C6.625 0.95924 6.55915 0.800269 6.44194 0.683058C6.32473 0.565848 6.16576 0.5 6 0.5C5.83424 0.5 5.67527 0.565848 5.55806 0.683058C5.44085 0.800269 5.375 0.95924 5.375 1.125V5.375L4.875 5.875H0.625C0.45924 5.875 0.300269 5.94085 0.183058 6.05806C0.065848 6.17527 0 6.33424 0 6.5C0 6.66576 0.065848 6.82473 0.183058 6.94194C0.300269 7.05915 0.45924 7.125 0.625 7.125H4.762L5.375 7.625Z" fill="black"/>
+</svg> 

packages/tesm-core/src/tesm_core/static/tesm_core/vendor/pdfjs/images/altText_disclaimer.svg

@@ -0,0 +1,3 @@
+<svg width="17" height="16" viewBox="0 0 17 16" fill="none" xmlns="http://www.w3.org/2000/svg">
+<path fill-rule="evenodd" clip-rule="evenodd" d="M3.49073 1.3015L3.30873 2.1505C3.29349 2.22246 3.25769 2.28844 3.20568 2.34045C3.15368 2.39246 3.08769 2.42826 3.01573 2.4435L2.16673 2.6255C1.76473 2.7125 1.76473 3.2865 2.16673 3.3725L3.01573 3.5555C3.08769 3.57074 3.15368 3.60654 3.20568 3.65855C3.25769 3.71056 3.29349 3.77654 3.30873 3.8485L3.49073 4.6975C3.57773 5.0995 4.15173 5.0995 4.23773 4.6975L4.42073 3.8485C4.43598 3.77654 4.47177 3.71056 4.52378 3.65855C4.57579 3.60654 4.64178 3.57074 4.71373 3.5555L5.56173 3.3725C5.96373 3.2855 5.96373 2.7115 5.56173 2.6255L4.71273 2.4435C4.64083 2.42814 4.57491 2.3923 4.52292 2.34031C4.47093 2.28832 4.43509 2.2224 4.41973 2.1505L4.23773 1.3015C4.15073 0.8995 3.57673 0.8995 3.49073 1.3015ZM10.8647 13.9995C10.4853 14.0056 10.1158 13.8782 9.82067 13.6397C9.52553 13.4013 9.32347 13.0667 9.24973 12.6945L8.89273 11.0275C8.83676 10.7687 8.70738 10.5316 8.52009 10.3445C8.3328 10.1574 8.09554 10.0282 7.83673 9.9725L6.16973 9.6155C5.38873 9.4465 4.86473 8.7975 4.86473 7.9995C4.86473 7.2015 5.38873 6.5525 6.16973 6.3845L7.83673 6.0275C8.09551 5.97135 8.33267 5.84193 8.51992 5.65468C8.70716 5.46744 8.83658 5.23028 8.89273 4.9715L9.25073 3.3045C9.41773 2.5235 10.0667 1.9995 10.8647 1.9995C11.6627 1.9995 12.3117 2.5235 12.4797 3.3045L12.8367 4.9715C12.9507 5.4995 13.3647 5.9135 13.8927 6.0265L15.5597 6.3835C16.3407 6.5525 16.8647 7.2015 16.8647 7.9995C16.8647 8.7975 16.3407 9.4465 15.5597 9.6145L13.8927 9.9715C13.6337 10.0275 13.3963 10.157 13.209 10.3445C13.0217 10.5319 12.8925 10.7694 12.8367 11.0285L12.4787 12.6945C12.4054 13.0667 12.2036 13.4014 11.9086 13.6399C11.6135 13.8784 11.2441 14.0057 10.8647 13.9995ZM10.8647 3.2495C10.7667 3.2495 10.5337 3.2795 10.4727 3.5655L10.1147 5.2335C10.0081 5.72777 9.76116 6.18082 9.40361 6.53837C9.04606 6.89593 8.59301 7.14283 8.09873 7.2495L6.43173 7.6065C6.14573 7.6685 6.11473 7.9015 6.11473 7.9995C6.11473 8.0975 6.14573 8.3305 6.43173 8.3925L8.09873 8.7495C8.59301 8.85617 9.04606 9.10307 9.40361 9.46062C9.76116 9.81817 10.0081 10.2712 10.1147 10.7655L10.4727 12.4335C10.5337 12.7195 10.7667 12.7495 10.8647 12.7495C10.9627 12.7495 11.1957 12.7195 11.2567 12.4335L11.6147 10.7665C11.7212 10.272 11.9681 9.81878 12.3256 9.46103C12.6832 9.10329 13.1363 8.85624 13.6307 8.7495L15.2977 8.3925C15.5837 8.3305 15.6147 8.0975 15.6147 7.9995C15.6147 7.9015 15.5837 7.6685 15.2977 7.6065L13.6307 7.2495C13.1365 7.14283 12.6834 6.89593 12.3259 6.53837C11.9683 6.18082 11.7214 5.72777 11.6147 5.2335L11.2567 3.5655C11.1957 3.2795 10.9627 3.2495 10.8647 3.2495ZM3.30873 12.1505L3.49073 11.3015C3.57673 10.8995 4.15073 10.8995 4.23773 11.3015L4.41973 12.1505C4.43509 12.2224 4.47093 12.2883 4.52292 12.3403C4.57491 12.3923 4.64083 12.4281 4.71273 12.4435L5.56173 12.6255C5.96373 12.7115 5.96373 13.2855 5.56173 13.3725L4.71273 13.5545C4.64083 13.5699 4.57491 13.6057 4.52292 13.6577C4.47093 13.7097 4.43509 13.7756 4.41973 13.8475L4.23773 14.6965C4.15173 15.0985 3.57773 15.0985 3.49073 14.6965L3.30873 13.8475C3.29337 13.7756 3.25754 13.7097 3.20555 13.6577C3.15356 13.6057 3.08764 13.5699 3.01573 13.5545L2.16673 13.3725C1.76473 13.2865 1.76473 12.7125 2.16673 12.6255L3.01573 12.4435C3.08769 12.4283 3.15368 12.3925 3.20568 12.3405C3.25769 12.2884 3.29349 12.2225 3.30873 12.1505Z" fill="black"/>
+</svg>

packages/tesm-core/src/tesm_core/static/tesm_core/vendor/pdfjs/images/altText_done.svg

@@ -0,0 +1,3 @@
+<svg width="12" height="13" viewBox="0 0 12 13" fill="none" xmlns="http://www.w3.org/2000/svg">
+  <path d="M6 0.5C5.21207 0.5 4.43185 0.655195 3.7039 0.956723C2.97595 1.25825 2.31451 1.70021 1.75736 2.25736C1.20021 2.81451 0.758251 3.47595 0.456723 4.2039C0.155195 4.93185 0 5.71207 0 6.5C0 7.28793 0.155195 8.06815 0.456723 8.7961C0.758251 9.52405 1.20021 10.1855 1.75736 10.7426C2.31451 11.2998 2.97595 11.7417 3.7039 12.0433C4.43185 12.3448 5.21207 12.5 6 12.5C7.5913 12.5 9.11742 11.8679 10.2426 10.7426C11.3679 9.61742 12 8.0913 12 6.5C12 4.9087 11.3679 3.38258 10.2426 2.25736C9.11742 1.13214 7.5913 0.5 6 0.5ZM5.06 8.9L2.9464 6.7856C2.85273 6.69171 2.80018 6.56446 2.80033 6.43183C2.80048 6.29921 2.85331 6.17207 2.9472 6.0784C3.04109 5.98473 3.16834 5.93218 3.30097 5.93233C3.43359 5.93248 3.56073 5.98531 3.6544 6.0792L5.3112 7.7368L8.3464 4.7008C8.44109 4.6109 8.56715 4.56153 8.69771 4.56322C8.82827 4.56492 8.95301 4.61754 9.04534 4.70986C9.13766 4.80219 9.19028 4.92693 9.19198 5.05749C9.19367 5.18805 9.1443 5.31411 9.0544 5.4088L5.5624 8.9H5.06Z" fill="#FBFBFE"/>
+</svg> 

packages/tesm-core/src/tesm_core/static/tesm_core/vendor/pdfjs/images/altText_spinner.svg

@@ -0,0 +1,30 @@
+<!-- This Source Code Form is subject to the terms of the Mozilla Public
+   - License, v. 2.0. If a copy of the MPL was not distributed with this
+   - file, You can obtain one at http://mozilla.org/MPL/2.0/. -->
+<svg xmlns="http://www.w3.org/2000/svg" viewBox="0 0 16 16" width="16" height="16">
+  <style>
+    @media not (prefers-reduced-motion) {
+      @keyframes loadingRotate {
+        from { rotate: 0; } to { rotate: 360deg }
+      }
+      #circle-arrows {
+        animation: loadingRotate 1.8s linear infinite;
+        transform-origin: 50% 50%;
+      }
+      #hourglass {
+        display: none;
+      }
+    }
+
+    @media (prefers-reduced-motion) {
+      #circle-arrows {
+        display: none;
+      }
+    }
+  </style>
+  <path id="circle-arrows" d="M9 5.528c0 .42.508.63.804.333l2.528-2.528a.47.47 0 0 0 0-.666L9.805.14A.471.471 0 0 0 9 .472v1.866A5.756 5.756 0 0 0 2.25 8c0 .942.232 1.83.635 2.615l1.143-1.143A4.208 4.208 0 0 1 3.75 8 4.254 4.254 0 0 1 8 3.75c.345 0 .68.042 1 .122v1.656zM7 10.472v1.656c.32.08.655.122 1 .122A4.254 4.254 0 0 0 12.25 8c0-.52-.107-1.013-.279-1.474l1.143-1.143c.404.786.636 1.674.636 2.617A5.756 5.756 0 0 1 7 13.662v1.866a.47.47 0 0 1-.804.333l-2.528-2.528a.47.47 0 0 1 0-.666l2.528-2.528a.47.47 0 0 1 .804.333z"/>
+  <g id="hourglass">
+    <path d="M13,1 C13.5522847,1 14,1.44771525 14,2 C14,2.55228475 13.5522847,3 13,3 L12.9854217,2.99990801 C12.9950817,3.16495885 13,3.33173274 13,3.5 C13,5.24679885 10.9877318,6.01090495 10.9877318,8.0017538 C10.9877318,9.99260264 13,10.7536922 13,12.5 C13,12.6686079 12.9950617,12.8357163 12.985363,13.0010943 L13,13 C13.5522847,13 14,13.4477153 14,14 C14,14.5522847 13.5522847,15 13,15 L3,15 C2.44771525,15 2,14.5522847 2,14 C2,13.4477153 2.44771525,13 3,13 L3.01463704,13.0010943 C3.00493827,12.8357163 3,12.6686079 3,12.5 C3,10.7536922 4.9877318,9.99260264 5,8.0017538 C5.0122682,6.01090495 3,5.24679885 3,3.5 C3,3.33173274 3.00491834,3.16495885 3.01457832,2.99990801 L3,3 C2.44771525,3 2,2.55228475 2,2 C2,1.44771525 2.44771525,1 3,1 L13,1 Z M10.987,3 L5.012,3 L5.00308914,3.24815712 C5.00103707,3.33163368 5,3.4155948 5,3.5 C5,5.36125069 6.99153646,6.01774089 6.99153646,8.0017538 C6.99153646,9.98576671 5,10.6393737 5,12.5 L5.00307746,12.7513676 L5.01222201,12.9998392 L5.60191711,12.9988344 L6.0425138,12.2959826 C7.02362731,10.7653275 7.67612271,10 8,10 C8.37014547,10 9.16950644,10.9996115 10.3980829,12.9988344 L10.987778,12.9998392 C10.9958674,12.8352104 11,12.66849 11,12.5 C11,10.6393737 8.98689779,10.0147381 8.98689779,8.0017538 C8.98689779,5.98876953 11,5.36125069 11,3.5 L10.9969109,3.24815712 L10.987,3 Z"/>
+    <path d="M6,4 L10,4 C8.95166016,6 8.28499349,7 8,7 C7.71500651,7 7.04833984,6 6,4 Z"/>
+  </g>
+</svg>

packages/tesm-core/src/tesm_core/static/tesm_core/vendor/pdfjs/images/altText_warning.svg

@@ -0,0 +1,3 @@
+<svg width="17" height="16" viewBox="0 0 17 16" fill="none" xmlns="http://www.w3.org/2000/svg">
+    <path fill-rule="evenodd" clip-rule="evenodd" d="M8.78182 2.63903C8.58882 2.28803 8.25782 2.25003 8.12482 2.25003C7.99019 2.24847 7.85771 2.28393 7.74185 2.35253C7.62599 2.42113 7.5312 2.52023 7.46782 2.63903L1.97082 12.639C1.90673 12.7528 1.87406 12.8816 1.87617 13.0122C1.87828 13.1427 1.91509 13.2704 1.98282 13.382C2.04798 13.4951 2.14207 13.5888 2.25543 13.6535C2.36879 13.7182 2.49732 13.7515 2.62782 13.75H13.6218C13.7523 13.7515 13.8809 13.7182 13.9942 13.6535C14.1076 13.5888 14.2017 13.4951 14.2668 13.382C14.3346 13.2704 14.3714 13.1427 14.3735 13.0122C14.3756 12.8816 14.3429 12.7528 14.2788 12.639L8.78182 2.63903ZM6.37282 2.03703C6.75182 1.34603 7.43882 1.00003 8.12482 1.00003C8.48341 0.997985 8.83583 1.09326 9.14454 1.2757C9.45325 1.45814 9.70668 1.72092 9.87782 2.03603L15.3748 12.036C16.1078 13.369 15.1438 15 13.6228 15H2.62782C1.10682 15 0.141823 13.37 0.875823 12.037L6.37282 2.03703ZM8.74982 9.06203C8.74982 9.22779 8.68397 9.38676 8.56676 9.50397C8.44955 9.62118 8.29058 9.68703 8.12482 9.68703C7.95906 9.68703 7.80009 9.62118 7.68288 9.50397C7.56566 9.38676 7.49982 9.22779 7.49982 9.06203V5.62503C7.49982 5.45927 7.56566 5.3003 7.68288 5.18309C7.80009 5.06588 7.95906 5.00003 8.12482 5.00003C8.29058 5.00003 8.44955 5.06588 8.56676 5.18309C8.68397 5.3003 8.74982 5.45927 8.74982 5.62503V9.06203ZM7.74982 12L7.49982 11.75V11L7.74982 10.75H8.49982L8.74982 11V11.75L8.49982 12H7.74982Z" fill="black"/>
+</svg>

packages/tesm-core/src/tesm_core/static/tesm_core/vendor/pdfjs/images/annotation-check.svg

@@ -0,0 +1,11 @@
+<?xml version="1.0" encoding="UTF-8" standalone="no"?>
+<svg
+   xmlns="http://www.w3.org/2000/svg"
+   width="40"
+   height="40"
+   viewBox="0 0 40 40">
+  <path
+     d="M 1.5006714,23.536225 6.8925879,18.994244 14.585721,26.037937 34.019683,4.5410479 38.499329,9.2235032 14.585721,35.458952 z"
+     id="path4"
+     style="fill:#ffff00;fill-opacity:1;stroke:#000000;stroke-width:1.25402856;stroke-opacity:1" />
+</svg>

packages/tesm-core/src/tesm_core/static/tesm_core/vendor/pdfjs/images/annotation-comment.svg

@@ -0,0 +1,16 @@
+<?xml version="1.0" encoding="UTF-8" standalone="no"?>
+<svg
+   xmlns="http://www.w3.org/2000/svg"
+   height="40"
+   width="40"
+   viewBox="0 0 40 40">
+  <rect
+     style="fill:#ffff00;fill-opacity:1;fill-rule:evenodd;stroke:#000000;stroke-width:1;stroke-miterlimit:4;stroke-opacity:1;stroke-dasharray:none"
+     width="33.76017"
+     height="33.76017"
+     x="3.119915"
+     y="3.119915" />
+  <path
+     d="m 20.677967,8.54499 c -7.342801,0 -13.295293,4.954293 -13.295293,11.065751 0,2.088793 0.3647173,3.484376 1.575539,5.150563 L 6.0267418,31.45501 13.560595,29.011117 c 2.221262,1.387962 4.125932,1.665377 7.117372,1.665377 7.3428,0 13.295291,-4.954295 13.295291,-11.065753 0,-6.111458 -5.952491,-11.065751 -13.295291,-11.065751 z"
+     style="fill:#ffffff;fill-opacity:1;stroke:#000000;stroke-width:0.93031836;stroke-miterlimit:4;stroke-opacity:1;stroke-dasharray:none"/>
+</svg>

packages/tesm-core/src/tesm_core/static/tesm_core/vendor/pdfjs/images/annotation-help.svg

@@ -0,0 +1,26 @@
+<?xml version="1.0" encoding="UTF-8" standalone="no"?>
+<svg
+   xmlns="http://www.w3.org/2000/svg"
+   width="40"
+   height="40"
+   viewBox="0 0 40 40">
+  <g
+     transform="translate(0,-60)"
+     id="layer1">
+    <rect
+       width="36.460953"
+       height="34.805603"
+       x="1.7695236"
+       y="62.597198"
+       style="fill:#ffff00;fill-opacity:1;fill-rule:evenodd;stroke:#000000;stroke-width:1.30826771;stroke-opacity:1" />
+    <g
+       transform="matrix(0.88763677,0,0,0.88763677,2.2472646,8.9890584)">
+      <path
+         d="M 20,64.526342 C 11.454135,64.526342 4.5263421,71.454135 4.5263421,80 4.5263421,88.545865 11.454135,95.473658 20,95.473658 28.545865,95.473658 35.473658,88.545865 35.473658,80 35.473658,71.454135 28.545865,64.526342 20,64.526342 z m -0.408738,9.488564 c 3.527079,0 6.393832,2.84061 6.393832,6.335441 0,3.494831 -2.866753,6.335441 -6.393832,6.335441 -3.527079,0 -6.393832,-2.84061 -6.393832,-6.335441 0,-3.494831 2.866753,-6.335441 6.393832,-6.335441 z"
+         style="fill:#ffffff;fill-opacity:1;fill-rule:nonzero;stroke:#000000;stroke-width:1.02768445;stroke-miterlimit:4;stroke-opacity:1;stroke-dasharray:none" />
+      <path
+         d="m 7.2335209,71.819938 4.9702591,4.161823 c -1.679956,2.581606 -1.443939,6.069592 0.159325,8.677725 l -5.1263071,3.424463 c 0.67516,1.231452 3.0166401,3.547686 4.2331971,4.194757 l 3.907728,-4.567277 c 2.541952,1.45975 5.730694,1.392161 8.438683,-0.12614 l 3.469517,6.108336 c 1.129779,-0.44367 4.742234,-3.449633 5.416358,-5.003859 l -5.46204,-4.415541 c 1.44319,-2.424098 1.651175,-5.267515 0.557303,-7.748623 l 5.903195,-3.833951 C 33.14257,71.704996 30.616217,69.018606 29.02952,67.99296 l -4.118813,4.981678 C 22.411934,71.205099 18.900853,70.937534 16.041319,72.32916 l -3.595408,-5.322091 c -1.345962,0.579488 -4.1293881,2.921233 -5.2123901,4.812869 z m 8.1010311,3.426672 c 2.75284,-2.446266 6.769149,-2.144694 9.048998,0.420874 2.279848,2.56557 2.113919,6.596919 -0.638924,9.043185 -2.752841,2.446267 -6.775754,2.13726 -9.055604,-0.428308 -2.279851,-2.565568 -2.107313,-6.589485 0.64553,-9.035751 z"
+         style="fill:#000000;fill-opacity:1;stroke:none" />
+    </g>
+  </g>
+</svg>

packages/tesm-core/src/tesm_core/static/tesm_core/vendor/pdfjs/images/annotation-insert.svg

@@ -0,0 +1,10 @@
+<?xml version="1.0" encoding="UTF-8" standalone="no"?>
+<svg
+   xmlns="http://www.w3.org/2000/svg"
+   width="64"
+   height="64"
+   viewBox="0 0 64 64">
+  <path
+     d="M 32.003143,1.4044602 57.432701,62.632577 6.5672991,62.627924 z"
+     style="fill:#ffff00;fill-opacity:0.94117647;fill-rule:nonzero;stroke:#000000;stroke-width:1.00493038;stroke-miterlimit:4;stroke-opacity:1;stroke-dasharray:none" />
+</svg>

packages/tesm-core/src/tesm_core/static/tesm_core/vendor/pdfjs/images/annotation-key.svg

@@ -0,0 +1,11 @@
+<?xml version="1.0" encoding="UTF-8" standalone="no"?>
+<svg
+   xmlns="http://www.w3.org/2000/svg"
+   width="64"
+   height="64"
+   viewBox="0 0 64 64">
+  <path
+     d="M 25.470843,9.4933766 C 25.30219,12.141818 30.139101,14.445969 34.704831,13.529144 40.62635,12.541995 41.398833,7.3856498 35.97505,5.777863 31.400921,4.1549155 25.157674,6.5445892 25.470843,9.4933766 z M 4.5246282,17.652051 C 4.068249,11.832873 9.2742983,5.9270407 18.437379,3.0977088 29.751911,-0.87185184 45.495663,1.4008022 53.603953,7.1104009 c 9.275765,6.1889221 7.158128,16.2079421 -3.171076,21.5939521 -1.784316,1.635815 -6.380222,1.21421 -7.068351,3.186186 -1.04003,0.972427 -1.288046,2.050158 -1.232864,3.168203 1.015111,2.000108 -3.831548,1.633216 -3.270553,3.759574 0.589477,5.264544 -0.179276,10.53738 -0.362842,15.806257 -0.492006,2.184998 1.163456,4.574232 -0.734888,6.610642 -2.482919,2.325184 -7.30604,2.189143 -9.193497,-0.274767 -2.733688,-1.740626 -8.254447,-3.615254 -6.104247,-6.339626 3.468112,-1.708686 -2.116197,-3.449897 0.431242,-5.080274 5.058402,-1.39256 -2.393215,-2.304318 -0.146889,-4.334645 3.069198,-0.977415 2.056986,-2.518352 -0.219121,-3.540397 1.876567,-1.807151 1.484149,-4.868919 -2.565455,-5.942205 0.150866,-1.805474 2.905737,-4.136876 -1.679967,-5.20493 C 10.260902,27.882167 4.6872697,22.95045 4.5245945,17.652051 z"
+     id="path604"
+     style="fill:#ffff00;fill-opacity:1;stroke:#000000;stroke-width:1.72665179;stroke-opacity:1" />
+</svg>

packages/tesm-core/src/tesm_core/static/tesm_core/vendor/pdfjs/images/annotation-newparagraph.svg

@@ -0,0 +1,11 @@
+<?xml version="1.0" encoding="UTF-8" standalone="no"?>
+<svg
+   xmlns="http://www.w3.org/2000/svg"
+   width="64"
+   height="64"
+   viewBox="0 0 64 64">
+  <path
+     d="M 32.003143,10.913072 57.432701,53.086929 6.567299,53.083723 z"
+     id="path2985"
+     style="fill:#ffff00;fill-opacity:0.94117647;fill-rule:nonzero;stroke:#000000;stroke-width:0.83403099;stroke-miterlimit:4;stroke-opacity:1;stroke-dasharray:none" />
+</svg>

packages/tesm-core/src/tesm_core/static/tesm_core/vendor/pdfjs/images/annotation-noicon.svg

@@ -0,0 +1,7 @@
+<?xml version="1.0" encoding="UTF-8" standalone="no"?>
+<svg
+   xmlns="http://www.w3.org/2000/svg"
+   width="40"
+   height="40"
+   viewBox="0 0 40 40">
+</svg>

packages/tesm-core/src/tesm_core/static/tesm_core/vendor/pdfjs/images/annotation-note.svg

@@ -0,0 +1,42 @@
+<?xml version="1.0" encoding="UTF-8" standalone="no"?>
+<svg
+   xmlns="http://www.w3.org/2000/svg"
+   width="40"
+   height="40"
+   viewBox="0 0 40 40">
+  <rect
+     width="36.075428"
+     height="31.096582"
+     x="1.962286"
+     y="4.4517088"
+     id="rect4"
+     style="fill:#ffff00;fill-opacity:1;fill-rule:evenodd;stroke:#000000;stroke-width:1.23004246;stroke-opacity:1" />
+  <rect
+     width="27.96859"
+     height="1.5012145"
+     x="6.0157046"
+     y="10.285"
+     id="rect6"
+     style="fill:#000000;fill-opacity:1;stroke:none" />
+  <rect
+     width="27.96859"
+     height="0.85783684"
+     x="6.0157056"
+     y="23.21689"
+     id="rect8"
+     style="fill:#000000;fill-opacity:1;stroke:none" />
+  <rect
+     width="27.96859"
+     height="0.85783684"
+     x="5.8130345"
+     y="28.964394"
+     id="rect10"
+     style="fill:#000000;fill-opacity:1;stroke:none" />
+  <rect
+     width="27.96859"
+     height="0.85783684"
+     x="6.0157046"
+     y="17.426493"
+     id="rect12"
+     style="fill:#000000;fill-opacity:1;stroke:none" />
+</svg>

packages/tesm-core/src/tesm_core/static/tesm_core/vendor/pdfjs/images/annotation-paperclip.svg

@@ -0,0 +1,6 @@
+<!-- This Source Code Form is subject to the terms of the Mozilla Public
+   - License, v. 2.0. If a copy of the MPL was not distributed with this
+   - file, You can obtain one at http://mozilla.org/MPL/2.0/. -->
+<svg xmlns="http://www.w3.org/2000/svg" viewBox="0 0 16 16" height="40" width="40">
+  <path d="M9 3.5a1.5 1.5 0 0 0-3-.001v7.95C6 12.83 7.12 14 8.5 14s2.5-1.17 2.5-2.55V5.5a.5.5 0 0 1 1 0v6.03C11.955 13.427 10.405 15 8.5 15S5.044 13.426 5 11.53V3.5a2.5 2.5 0 0 1 5 0v7.003a1.5 1.5 0 0 1-3-.003v-5a.5.5 0 0 1 1 0v5a.5.5 0 0 0 1 0Z"/>
+</svg>

packages/tesm-core/src/tesm_core/static/tesm_core/vendor/pdfjs/images/annotation-paragraph.svg

@@ -0,0 +1,16 @@
+<?xml version="1.0" encoding="UTF-8" standalone="no"?>
+<svg
+   xmlns="http://www.w3.org/2000/svg"
+   width="40"
+   height="40"
+   viewBox="0 0 40 40">
+  <rect
+     width="33.76017"
+     height="33.76017"
+     x="3.119915"
+     y="3.119915"
+     style="fill:#ffff00;fill-opacity:1;fill-rule:evenodd;stroke:#000000;stroke-width:1;stroke-miterlimit:4;stroke-opacity:1;stroke-dasharray:none" />
+  <path
+     d="m 17.692678,34.50206 0,-16.182224 c -1.930515,-0.103225 -3.455824,-0.730383 -4.57593,-1.881473 -1.12011,-1.151067 -1.680164,-2.619596 -1.680164,-4.405591 0,-1.992435 0.621995,-3.5796849 1.865988,-4.7617553 1.243989,-1.1820288 3.06352,-1.7730536 5.458598,-1.7730764 l 9.802246,0 0,2.6789711 -2.229895,0 0,26.3251486 -2.632515,0 0,-26.3251486 -3.45324,0 0,26.3251486 z"
+     style="font-size:29.42051125px;font-style:normal;font-variant:normal;font-weight:normal;font-stretch:normal;text-align:start;line-height:125%;letter-spacing:0px;word-spacing:0px;writing-mode:lr-tb;text-anchor:start;fill:#ffffff;fill-opacity:1;stroke:#000000;stroke-width:1.07795751;stroke-opacity:1;font-family:Arial;-inkscape-font-specification:Arial" />
+</svg>

packages/tesm-core/src/tesm_core/static/tesm_core/vendor/pdfjs/images/annotation-pushpin.svg

@@ -0,0 +1,7 @@
+<!-- This Source Code Form is subject to the terms of the Mozilla Public
+   - License, v. 2.0. If a copy of the MPL was not distributed with this
+   - file, You can obtain one at http://mozilla.org/MPL/2.0/. -->
+<svg xmlns="http://www.w3.org/2000/svg" viewBox="0 0 16 16" height="40" width="40">
+  <path d="M8.156 12.5a.99.99 0 0 0 .707-.294l.523-2.574L10.5 8.499l1.058-1.04 2.65-.601a.996.996 0 0 0 0-1.414l-3.657-3.658a.996.996 0 0 0-1.414 0l-.523 2.576L7.5 5.499 6.442 6.535l-2.65.6a.996.996 0 0 0 0 1.413l3.657 3.658a.999.999 0 0 0 .707.295z"/>
+  <path d="M9.842.996c-.386 0-.77.146-1.06.44a.5.5 0 0 0-.136.251l-.492 2.43-1.008 1.03-.953.933-2.511.566a.5.5 0 0 0-.243.133 1.505 1.505 0 0 0-.002 2.123l1.477 1.477-2.768 2.767a.5.5 0 0 0 0 .707.5.5 0 0 0 .708 0l2.767-2.767 1.475 1.474a1.494 1.494 0 0 0 2.123-.002.5.5 0 0 0 .135-.254l.492-2.427 1.008-1.024.953-.937 2.511-.57a.5.5 0 0 0 .243-.132c.586-.58.583-1.543.002-2.125l-3.659-3.656A1.501 1.501 0 0 0 9.842.996Zm.05 1.025a.394.394 0 0 1 .305.12l3.658 3.657c.18.18.141.432.002.627l-2.41.545a.5.5 0 0 0-.24.131L10.15 8.142a.5.5 0 0 0-.007.006L9.029 9.283a.5.5 0 0 0-.133.25l-.48 2.36c-.082.053-.165.109-.26.109a.492.492 0 0 1-.353-.149L4.145 8.195c-.18-.18-.141-.432-.002-.627l2.41-.545a.5.5 0 0 0 .238-.13L7.85 5.857a.5.5 0 0 0 .007-.008l1.114-1.138a.5.5 0 0 0 .133-.25l.472-2.323a.619.619 0 0 1 .317-.117Z"/>
+</svg>

packages/tesm-core/src/tesm_core/static/tesm_core/vendor/pdfjs/images/cursor-editorFreeHighlight.svg

@@ -0,0 +1,6 @@
+<svg width="18" height="19" viewBox="0 0 18 19" fill="none" xmlns="http://www.w3.org/2000/svg">
+<path fill-rule="evenodd" clip-rule="evenodd" d="M12.2 3.09C12.28 3.01 12.43 3 12.43 3C12.48 3 12.58 3.02 12.66 3.1L14.45 4.89C14.58 5.02 14.58 5.22 14.45 5.35L11.7713 8.02872L9.51628 5.77372L12.2 3.09ZM13.2658 5.12L11.7713 6.6145L10.9305 5.77372L12.425 4.27921L13.2658 5.12Z" fill="#FBFBFE"/>
+<path fill-rule="evenodd" clip-rule="evenodd" d="M5.98 9.32L8.23 11.57L10.7106 9.08938L8.45562 6.83438L5.98 9.31V9.32ZM8.23 10.1558L9.29641 9.08938L8.45562 8.24859L7.38921 9.315L8.23 10.1558Z" fill="#FBFBFE"/>
+<path fill-rule="evenodd" clip-rule="evenodd" d="M10.1526 13.1816L16.2125 7.1217C16.7576 6.58919 17.05 5.8707 17.05 5.12C17.05 4.36931 16.7576 3.65084 16.2126 3.11834L14.4317 1.33747C13.8992 0.79242 13.1807 0.5 12.43 0.5C11.6643 0.5 10.9529 0.812929 10.4329 1.33289L3.68289 8.08289C3.04127 8.72452 3.00459 9.75075 3.57288 10.4363L1.29187 12.7239C1.09186 12.9245 0.990263 13.1957 1.0007 13.4685L1 14.5C0.447715 14.5 0 14.9477 0 15.5V17.5C0 18.0523 0.447715 18.5 1 18.5H16C16.5523 18.5 17 18.0523 17 17.5V15.5C17 14.9477 16.5523 14.5 16 14.5H10.2325C9.83594 14.5 9.39953 13.9347 10.1526 13.1816ZM4.39 9.85L4.9807 10.4407L2.39762 13.0312H6.63877L7.10501 12.565L7.57125 13.0312H8.88875L15.51 6.41C15.86 6.07 16.05 5.61 16.05 5.12C16.05 4.63 15.86 4.17 15.51 3.83L13.72 2.04C13.38 1.69 12.92 1.5 12.43 1.5C11.94 1.5 11.48 1.7 11.14 2.04L4.39 8.79C4.1 9.08 4.1 9.56 4.39 9.85ZM16 17.5V15.5H1V17.5H16Z" fill="#FBFBFE"/>
+<path d="M15.1616 6.05136L15.1616 6.05132L15.1564 6.05645L8.40645 12.8064C8.35915 12.8537 8.29589 12.88 8.23 12.88C8.16411 12.88 8.10085 12.8537 8.05355 12.8064L7.45857 12.2115L7.10501 11.8579L6.75146 12.2115L6.03289 12.93H3.20465L5.33477 10.7937L5.6873 10.4402L5.33426 10.0871L4.74355 9.49645C4.64882 9.40171 4.64882 9.23829 4.74355 9.14355L11.4936 2.39355C11.7436 2.14354 12.0779 2 12.43 2C12.7883 2 13.1179 2.13776 13.3614 2.38839L13.3613 2.38843L13.3664 2.39355L15.1564 4.18355L15.1564 4.18359L15.1616 4.18864C15.4122 4.43211 15.55 4.76166 15.55 5.12C15.55 5.47834 15.4122 5.80789 15.1616 6.05136ZM7.87645 11.9236L8.23 12.2771L8.58355 11.9236L11.0642 9.44293L11.4177 9.08938L11.0642 8.73582L8.80918 6.48082L8.45562 6.12727L8.10207 6.48082L5.62645 8.95645L5.48 9.10289V9.31V9.32V9.52711L5.62645 9.67355L7.87645 11.9236ZM11.4177 8.38227L11.7713 8.73582L12.1248 8.38227L14.8036 5.70355C15.1288 5.37829 15.1288 4.86171 14.8036 4.53645L13.0136 2.74645C12.8186 2.55146 12.5792 2.5 12.43 2.5H12.4134L12.3967 2.50111L12.43 3C12.3967 2.50111 12.3966 2.50112 12.3965 2.50112L12.3963 2.50114L12.3957 2.50117L12.3947 2.50125L12.3924 2.50142L12.387 2.50184L12.3732 2.50311C12.3628 2.50416 12.3498 2.50567 12.3346 2.50784C12.3049 2.51208 12.2642 2.51925 12.2178 2.53146C12.1396 2.55202 11.9797 2.60317 11.8464 2.73645L9.16273 5.42016L8.80918 5.77372L9.16273 6.12727L11.4177 8.38227ZM1.5 16H15.5V17H1.5V16Z" stroke="#15141A"/>
+</svg>

packages/tesm-core/src/tesm_core/static/tesm_core/vendor/pdfjs/images/cursor-editorFreeText.svg

@@ -0,0 +1,3 @@
+<svg width="16" height="16" viewBox="0 0 16 16" fill="none" xmlns="http://www.w3.org/2000/svg">
+<path d="M12 2.75H12.5V2.25V1V0.5H12H10.358C9.91165 0.5 9.47731 0.625661 9.09989 0.860442L9.09886 0.861087L8 1.54837L6.89997 0.860979L6.89911 0.860443C6.5218 0.625734 6.08748 0.5 5.642 0.5H4H3.5V1V2.25V2.75H4H5.642C5.66478 2.75 5.6885 2.75641 5.71008 2.76968C5.71023 2.76977 5.71038 2.76986 5.71053 2.76995L6.817 3.461C6.81704 3.46103 6.81709 3.46105 6.81713 3.46108C6.81713 3.46108 6.81713 3.46108 6.81714 3.46109C6.8552 3.48494 6.876 3.52285 6.876 3.567V8V12.433C6.876 12.4771 6.85523 12.515 6.81722 12.5389C6.81715 12.5389 6.81707 12.539 6.817 12.539L5.70953 13.23C5.70941 13.2301 5.70929 13.2302 5.70917 13.2303C5.68723 13.2438 5.6644 13.25 5.641 13.25H4H3.5V13.75V15V15.5H4H5.642C6.08835 15.5 6.52269 15.3743 6.90011 15.1396L6.90086 15.1391L8 14.4526L9.10003 15.14L9.10089 15.1406C9.47831 15.3753 9.91265 15.501 10.359 15.501H12H12.5V15.001V13.751V13.251H12H10.358C10.3352 13.251 10.3115 13.2446 10.2899 13.2313C10.2897 13.2312 10.2896 13.2311 10.2895 13.231L9.183 12.54C9.18298 12.54 9.18295 12.54 9.18293 12.54C9.18291 12.5399 9.18288 12.5399 9.18286 12.5399C9.14615 12.5169 9.125 12.4797 9.125 12.434V8V3.567C9.125 3.52266 9.14603 3.48441 9.18364 3.4606C9.18377 3.46052 9.1839 3.46043 9.18404 3.46035L10.2895 2.76995C10.2896 2.76985 10.2898 2.76975 10.2899 2.76966C10.3119 2.75619 10.3346 2.75 10.358 2.75H12Z" fill="black" stroke="white"/>
+</svg>

packages/tesm-core/src/tesm_core/static/tesm_core/vendor/pdfjs/images/cursor-editorInk.svg

@@ -0,0 +1,4 @@
+<svg width="16" height="16" viewBox="0 0 16 16" fill="none" xmlns="http://www.w3.org/2000/svg">
+<path d="M0.0189877 13.6645L0.612989 10.4635C0.687989 10.0545 0.884989 9.6805 1.18099 9.3825L9.98199 0.5805C10.756 -0.1925 12.015 -0.1945 12.792 0.5805L14.42 2.2085C15.194 2.9835 15.194 4.2435 14.42 5.0185L5.61599 13.8215C5.31999 14.1165 4.94599 14.3125 4.53799 14.3875L1.33599 14.9815C1.26599 14.9935 1.19799 15.0005 1.12999 15.0005C0.832989 15.0005 0.544988 14.8835 0.330988 14.6695C0.0679874 14.4055 -0.0490122 14.0305 0.0189877 13.6645Z" fill="white"/>
+<path d="M0.0189877 13.6645L0.612989 10.4635C0.687989 10.0545 0.884989 9.6805 1.18099 9.3825L9.98199 0.5805C10.756 -0.1925 12.015 -0.1945 12.792 0.5805L14.42 2.2085C15.194 2.9835 15.194 4.2435 14.42 5.0185L5.61599 13.8215C5.31999 14.1165 4.94599 14.3125 4.53799 14.3875L1.33599 14.9815C1.26599 14.9935 1.19799 15.0005 1.12999 15.0005C0.832989 15.0005 0.544988 14.8835 0.330988 14.6695C0.0679874 14.4055 -0.0490122 14.0305 0.0189877 13.6645ZM12.472 5.1965L13.632 4.0365L13.631 3.1885L11.811 1.3675L10.963 1.3685L9.80299 2.5285L12.472 5.1965ZM4.31099 13.1585C4.47099 13.1285 4.61799 13.0515 4.73399 12.9345L11.587 6.0815L8.91899 3.4135L2.06599 10.2655C1.94899 10.3835 1.87199 10.5305 1.84099 10.6915L1.36699 13.2485L1.75199 13.6335L4.31099 13.1585Z" fill="black"/>
+</svg>

packages/tesm-core/src/tesm_core/static/tesm_core/vendor/pdfjs/images/cursor-editorTextHighlight.svg

@@ -0,0 +1,8 @@
+<svg width="29" height="32" viewBox="0 0 29 32" fill="none" xmlns="http://www.w3.org/2000/svg">
+<path d="M28 16.75C28.2761 16.75 28.5 16.5261 28.5 16.25V15C28.5 14.7239 28.2761 14.5 28 14.5H26.358C25.9117 14.5 25.4773 14.6257 25.0999 14.8604L25.0989 14.8611L24 15.5484L22.9 14.861L22.8991 14.8604C22.5218 14.6257 22.0875 14.5 21.642 14.5H20C19.7239 14.5 19.5 14.7239 19.5 15V16.25C19.5 16.5261 19.7239 16.75 20 16.75H21.642C21.6648 16.75 21.6885 16.7564 21.7101 16.7697C21.7102 16.7698 21.7104 16.7699 21.7105 16.77L22.817 17.461C22.817 17.461 22.8171 17.4611 22.8171 17.4611C22.8171 17.4611 22.8171 17.4611 22.8171 17.4611C22.8552 17.4849 22.876 17.5229 22.876 17.567V22.625V27.683C22.876 27.7271 22.8552 27.765 22.8172 27.7889C22.8171 27.7889 22.8171 27.789 22.817 27.789L21.7095 28.48C21.7094 28.4801 21.7093 28.4802 21.7092 28.4803C21.6872 28.4938 21.6644 28.5 21.641 28.5H20C19.7239 28.5 19.5 28.7239 19.5 29V30.25C19.5 30.5261 19.7239 30.75 20 30.75H21.642C22.0883 30.75 22.5227 30.6243 22.9001 30.3896L22.9009 30.3891L24 29.7026L25.1 30.39L25.1009 30.3906C25.4783 30.6253 25.9127 30.751 26.359 30.751H28C28.2761 30.751 28.5 30.5271 28.5 30.251V29.001C28.5 28.7249 28.2761 28.501 28 28.501H26.358C26.3352 28.501 26.3115 28.4946 26.2899 28.4813C26.2897 28.4812 26.2896 28.4811 26.2895 28.481L25.183 27.79C25.183 27.79 25.183 27.79 25.1829 27.79C25.1829 27.7899 25.1829 27.7899 25.1829 27.7899C25.1462 27.7669 25.125 27.7297 25.125 27.684V22.625V17.567C25.125 17.5227 25.146 17.4844 25.1836 17.4606C25.1838 17.4605 25.1839 17.4604 25.184 17.4603L26.2895 16.77C26.2896 16.7699 26.2898 16.7698 26.2899 16.7697C26.3119 16.7562 26.3346 16.75 26.358 16.75H28Z" fill="black" stroke="#FBFBFE" stroke-linejoin="round"/>
+<path d="M24.625 17.567C24.625 17.35 24.735 17.152 24.918 17.037L26.026 16.345C26.126 16.283 26.24 16.25 26.358 16.25H28V15H26.358C26.006 15 25.663 15.099 25.364 15.285L24.256 15.978C24.161 16.037 24.081 16.113 24 16.187C23.918 16.113 23.839 16.037 23.744 15.978L22.635 15.285C22.336 15.099 21.993 15 21.642 15H20V16.25H21.642C21.759 16.25 21.874 16.283 21.974 16.345L23.082 17.037C23.266 17.152 23.376 17.35 23.376 17.567V22.625V27.683C23.376 27.9 23.266 28.098 23.082 28.213L21.973 28.905C21.873 28.967 21.759 29 21.641 29H20V30.25H21.642C21.994 30.25 22.337 30.151 22.636 29.965L23.744 29.273C23.84 29.213 23.919 29.137 24 29.064C24.081 29.137 24.161 29.213 24.256 29.273L25.365 29.966C25.664 30.152 26.007 30.251 26.359 30.251H28V29.001H26.358C26.241 29.001 26.126 28.968 26.026 28.906L24.918 28.214C24.734 28.099 24.625 27.901 24.625 27.684V22.625V17.567Z" fill="black"/>
+<path fill-rule="evenodd" clip-rule="evenodd" d="M12.2 2.59C12.28 2.51 12.43 2.5 12.43 2.5C12.48 2.5 12.58 2.52 12.66 2.6L14.45 4.39C14.58 4.52 14.58 4.72 14.45 4.85L11.7713 7.52872L9.51628 5.27372L12.2 2.59ZM13.2658 4.62L11.7713 6.1145L10.9305 5.27372L12.425 3.77921L13.2658 4.62Z" fill="#FBFBFE"/>
+<path fill-rule="evenodd" clip-rule="evenodd" d="M5.98 8.82L8.23 11.07L10.7106 8.58938L8.45562 6.33438L5.98 8.81V8.82ZM8.23 9.65579L9.29641 8.58938L8.45562 7.74859L7.38921 8.815L8.23 9.65579Z" fill="#FBFBFE"/>
+<path fill-rule="evenodd" clip-rule="evenodd" d="M10.1526 12.6816L16.2125 6.6217C16.7576 6.08919 17.05 5.3707 17.05 4.62C17.05 3.86931 16.7576 3.15084 16.2126 2.61834L14.4317 0.837474C13.8992 0.29242 13.1807 0 12.43 0C11.6643 0 10.9529 0.312929 10.4329 0.832893L3.68289 7.58289C3.04127 8.22452 3.00459 9.25075 3.57288 9.93634L1.29187 12.2239C1.09186 12.4245 0.990263 12.6957 1.0007 12.9685L1 14C0.447715 14 0 14.4477 0 15V17C0 17.5523 0.447715 18 1 18H16C16.5523 18 17 17.5523 17 17V15C17 14.4477 16.5523 14 16 14H10.2325C9.83594 14 9.39953 13.4347 10.1526 12.6816ZM4.39 9.35L4.9807 9.9407L2.39762 12.5312H6.63877L7.10501 12.065L7.57125 12.5312H8.88875L15.51 5.91C15.86 5.57 16.05 5.11 16.05 4.62C16.05 4.13 15.86 3.67 15.51 3.33L13.72 1.54C13.38 1.19 12.92 1 12.43 1C11.94 1 11.48 1.2 11.14 1.54L4.39 8.29C4.1 8.58 4.1 9.06 4.39 9.35ZM16 17V15H1V17H16Z" fill="#FBFBFE"/>
+<path d="M15.1616 5.55136L15.1616 5.55132L15.1564 5.55645L8.40645 12.3064C8.35915 12.3537 8.29589 12.38 8.23 12.38C8.16411 12.38 8.10085 12.3537 8.05355 12.3064L7.45857 11.7115L7.10501 11.3579L6.75146 11.7115L6.03289 12.43H3.20465L5.33477 10.2937L5.6873 9.94019L5.33426 9.58715L4.74355 8.99645C4.64882 8.90171 4.64882 8.73829 4.74355 8.64355L11.4936 1.89355C11.7436 1.64354 12.0779 1.5 12.43 1.5C12.7883 1.5 13.1179 1.63776 13.3614 1.88839L13.3613 1.88843L13.3664 1.89355L15.1564 3.68355L15.1564 3.68359L15.1616 3.68864C15.4122 3.93211 15.55 4.26166 15.55 4.62C15.55 4.97834 15.4122 5.30789 15.1616 5.55136ZM5.48 8.82V9.02711L5.62645 9.17355L7.87645 11.4236L8.23 11.7771L8.58355 11.4236L11.0642 8.94293L11.4177 8.58938L11.0642 8.23582L8.80918 5.98082L8.45562 5.62727L8.10207 5.98082L5.62645 8.45645L5.48 8.60289V8.81V8.82ZM11.4177 7.88227L11.7713 8.23582L12.1248 7.88227L14.8036 5.20355C15.1288 4.87829 15.1288 4.36171 14.8036 4.03645L13.0136 2.24645C12.8186 2.05146 12.5792 2 12.43 2H12.4134L12.3967 2.00111L12.43 2.5C12.3967 2.00111 12.3966 2.00112 12.3965 2.00112L12.3963 2.00114L12.3957 2.00117L12.3947 2.00125L12.3924 2.00142L12.387 2.00184L12.3732 2.00311C12.3628 2.00416 12.3498 2.00567 12.3346 2.00784C12.3049 2.01208 12.2642 2.01925 12.2178 2.03146C12.1396 2.05202 11.9797 2.10317 11.8464 2.23645L9.16273 4.92016L8.80918 5.27372L9.16273 5.62727L11.4177 7.88227ZM1.5 16.5V15.5H15.5V16.5H1.5Z" stroke="#15141A"/>
+</svg>

packages/tesm-core/src/tesm_core/static/tesm_core/vendor/pdfjs/images/editor-toolbar-delete.svg

@@ -0,0 +1,5 @@
+<svg width="16" height="16" viewBox="0 0 16 16" fill="none" xmlns="http://www.w3.org/2000/svg">
+    <path fill-rule="evenodd" clip-rule="evenodd"
+        d="M11 3H13.6C14 3 14.3 3.3 14.3 3.6C14.3 3.9 14 4.2 13.7 4.2H13.3V14C13.3 15.1 12.4 16 11.3 16H4.80005C3.70005 16 2.80005 15.1 2.80005 14V4.2H2.40005C2.00005 4.2 1.80005 4 1.80005 3.6C1.80005 3.2 2.00005 3 2.40005 3H5.00005V2C5.00005 0.9 5.90005 0 7.00005 0H9.00005C10.1 0 11 0.9 11 2V3ZM6.90005 1.2L6.30005 1.8V3H9.80005V1.8L9.20005 1.2H6.90005ZM11.4 14.7L12 14.1V4.2H4.00005V14.1L4.60005 14.7H11.4ZM7.00005 12.4C7.00005 12.7 6.70005 13 6.40005 13C6.10005 13 5.80005 12.7 5.80005 12.4V7.6C5.70005 7.3 6.00005 7 6.40005 7C6.80005 7 7.00005 7.3 7.00005 7.6V12.4ZM10.2001 12.4C10.2001 12.7 9.90006 13 9.60006 13C9.30006 13 9.00006 12.7 9.00006 12.4V7.6C9.00006 7.3 9.30006 7 9.60006 7C9.90006 7 10.2001 7.3 10.2001 7.6V12.4Z"
+        fill="black" />
+</svg>

packages/tesm-core/src/tesm_core/static/tesm_core/vendor/pdfjs/images/messageBar_closingButton.svg

@@ -0,0 +1,3 @@
+<svg width="16" height="16" viewBox="0 0 16 16" fill="none" xmlns="http://www.w3.org/2000/svg">
+    <path d="M7.85822 8.84922L4.85322 11.8542C4.75891 11.9453 4.63261 11.9957 4.50151 11.9946C4.37042 11.9934 4.24501 11.9408 4.15231 11.8481C4.0596 11.7554 4.00702 11.63 4.00588 11.4989C4.00474 11.3678 4.05514 11.2415 4.14622 11.1472L7.15122 8.14222V7.85922L4.14622 4.85322C4.05514 4.75891 4.00474 4.63261 4.00588 4.50151C4.00702 4.37042 4.0596 4.24501 4.15231 4.15231C4.24501 4.0596 4.37042 4.00702 4.50151 4.00588C4.63261 4.00474 4.75891 4.05514 4.85322 4.14622L7.85822 7.15122H8.14122L11.1462 4.14622C11.2405 4.05514 11.3668 4.00474 11.4979 4.00588C11.629 4.00702 11.7544 4.0596 11.8471 4.15231C11.9398 4.24501 11.9924 4.37042 11.9936 4.50151C11.9947 4.63261 11.9443 4.75891 11.8532 4.85322L8.84822 7.85922V8.14222L11.8532 11.1472C11.9443 11.2415 11.9947 11.3678 11.9936 11.4989C11.9924 11.63 11.9398 11.7554 11.8471 11.8481C11.7544 11.9408 11.629 11.9934 11.4979 11.9946C11.3668 11.9957 11.2405 11.9453 11.1462 11.8542L8.14122 8.84922L8.14222 8.85022L7.85822 8.84922Z" fill="black"/>
+</svg>

packages/tesm-core/src/tesm_core/static/tesm_core/vendor/pdfjs/images/messageBar_warning.svg

@@ -0,0 +1,3 @@
+<svg width="16" height="16" viewBox="0 0 16 16" fill="none" xmlns="http://www.w3.org/2000/svg">
+    <path d="M14.8748 12.037L9.37782 2.037C8.99682 1.346 8.31082 1 7.62482 1C6.93882 1 6.25282 1.346 5.87282 2.037L0.375823 12.037C-0.358177 13.37 0.606823 15 2.12782 15H13.1228C14.6428 15 15.6078 13.37 14.8748 12.037ZM8.24982 11.75L7.99982 12H7.24982L6.99982 11.75V11L7.24982 10.75H7.99982L8.24982 11V11.75ZM8.24982 9.062C8.24982 9.22776 8.18398 9.38673 8.06677 9.50394C7.94955 9.62115 7.79058 9.687 7.62482 9.687C7.45906 9.687 7.30009 9.62115 7.18288 9.50394C7.06567 9.38673 6.99982 9.22776 6.99982 9.062V5.625C6.99982 5.45924 7.06567 5.30027 7.18288 5.18306C7.30009 5.06585 7.45906 5 7.62482 5C7.79058 5 7.94955 5.06585 8.06677 5.18306C8.18398 5.30027 8.24982 5.45924 8.24982 5.625V9.062Z" fill="black"/>
+</svg>

packages/tesm-core/src/tesm_core/static/tesm_core/vendor/pdfjs/images/secondaryToolbarButton-documentProperties.svg

@@ -0,0 +1,3 @@
+<svg width="16" height="16" viewBox="0 0 16 16" fill="none" xmlns="http://www.w3.org/2000/svg">
+<path d="M8 1.5C4.41015 1.5 1.5 4.41015 1.5 8C1.5 11.5899 4.41015 14.5 8 14.5C11.5899 14.5 14.5 11.5899 14.5 8C14.5 4.41015 11.5899 1.5 8 1.5ZM0 8C0 3.58172 3.58172 0 8 0C12.4183 0 16 3.58172 16 8C16 12.4183 12.4183 16 8 16C3.58172 16 0 12.4183 0 8ZM8.75 4V5.5H7.25V4H8.75ZM8.75 12V7H7.25V12H8.75Z" fill="black"/>
+</svg>

packages/tesm-core/src/tesm_core/static/tesm_core/vendor/pdfjs/images/toolbarButton-editorHighlight.svg

@@ -0,0 +1,6 @@
+<svg width="17" height="16" viewBox="0 0 17 16" fill="none" xmlns="http://www.w3.org/2000/svg">
+    <g>
+      <path fill-rule="evenodd" clip-rule="evenodd" d="M7.10918 11.66C7.24918 11.8 7.43918 11.88 7.63918 11.88C7.83918 11.88 8.02918 11.8 8.16918 11.66L14.9192 4.91C15.2692 4.57 15.4592 4.11 15.4592 3.62C15.4592 3.13 15.2692 2.67 14.9192 2.33L13.1292 0.54C12.7892 0.19 12.3292 0 11.8392 0C11.3492 0 10.8892 0.2 10.5492 0.54L3.79918 7.29C3.50918 7.58 3.50918 8.06 3.79918 8.35L4.38988 8.9407L1.40918 11.93H5.64918L6.51419 11.065L7.10918 11.66ZM7.63918 10.07L5.38918 7.82V7.81L7.8648 5.33438L10.1198 7.58938L7.63918 10.07ZM11.1805 6.52872L13.8592 3.85C13.9892 3.72 13.9892 3.52 13.8592 3.39L12.0692 1.6C11.9892 1.52 11.8892 1.5 11.8392 1.5C11.8392 1.5 11.6892 1.51 11.6092 1.59L8.92546 4.27372L11.1805 6.52872Z" fill="#000"/>
+      <path d="M0.40918 14H15.4092V16H0.40918V14Z" fill="#000"/>
+    </g>
+  </svg>

packages/tesm-core/src/tesm_core/static/tesm_core/vendor/pdfjs/images/toolbarButton-menuArrow.svg

@@ -0,0 +1,3 @@
+<svg width="16" height="16" viewBox="0 0 16 16" fill="none" xmlns="http://www.w3.org/2000/svg">
+<path d="M8.23336 10.4664L11.8474 6.85339C11.894 6.8071 11.931 6.75203 11.9563 6.69136C11.9816 6.63069 11.9946 6.56562 11.9946 6.49989C11.9946 6.43417 11.9816 6.3691 11.9563 6.30843C11.931 6.24776 11.894 6.19269 11.8474 6.14639C11.7536 6.05266 11.6264 6 11.4939 6C11.3613 6 11.2341 6.05266 11.1404 6.14639L7.99236 9.29339L4.84736 6.14739C4.75305 6.05631 4.62675 6.00592 4.49566 6.00706C4.36456 6.0082 4.23915 6.06078 4.14645 6.15348C4.05374 6.24619 4.00116 6.37159 4.00002 6.50269C3.99888 6.63379 4.04928 6.76009 4.14036 6.85439L7.75236 10.4674L8.23336 10.4664Z" fill="black"/>
+</svg>

packages/tesm-core/src/tesm_core/static/tesm_core/vendor/pdfjs/pdf.min.js

@@ -0,0 +1,21 @@
+/**
+ * @licstart The following is the entire license notice for the
+ * JavaScript code in this page
+ *
+ * Copyright 2024 Mozilla Foundation
+ *
+ * Licensed under the Apache License, Version 2.0 (the "License");
+ * you may not use this file except in compliance with the License.
+ * You may obtain a copy of the License at
+ *
+ *     http://www.apache.org/licenses/LICENSE-2.0
+ *
+ * Unless required by applicable law or agreed to in writing, software
+ * distributed under the License is distributed on an "AS IS" BASIS,
+ * WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND, either express or implied.
+ * See the License for the specific language governing permissions and
+ * limitations under the License.
+ *
+ * @licend The above is the entire license notice for the
+ * JavaScript code in this page
+ */var t={d:(e,i)=>{for(var s in i)t.o(i,s)&&!t.o(e,s)&&Object.defineProperty(e,s,{enumerable:!0,get:i[s]})},o:(t,e)=>Object.prototype.hasOwnProperty.call(t,e)},__webpack_exports__ = globalThis.pdfjsLib = {};t.d(__webpack_exports__,{AbortException:()=>AbortException,AnnotationEditorLayer:()=>AnnotationEditorLayer,AnnotationEditorParamsType:()=>m,AnnotationEditorType:()=>g,AnnotationEditorUIManager:()=>AnnotationEditorUIManager,AnnotationLayer:()=>AnnotationLayer,AnnotationMode:()=>p,ColorPicker:()=>ColorPicker,DOMSVGFactory:()=>DOMSVGFactory,DrawLayer:()=>DrawLayer,FeatureTest:()=>util_FeatureTest,GlobalWorkerOptions:()=>GlobalWorkerOptions,ImageKind:()=>_,InvalidPDFException:()=>InvalidPDFException,MissingPDFException:()=>MissingPDFException,OPS:()=>X,OutputScale:()=>OutputScale,PDFDataRangeTransport:()=>PDFDataRangeTransport,PDFDateString:()=>PDFDateString,PDFWorker:()=>PDFWorker,PasswordResponses:()=>K,PermissionFlag:()=>f,PixelsPerInch:()=>PixelsPerInch,RenderingCancelledException:()=>RenderingCancelledException,TextLayer:()=>TextLayer,TouchManager:()=>TouchManager,UnexpectedResponseException:()=>UnexpectedResponseException,Util:()=>Util,VerbosityLevel:()=>q,XfaLayer:()=>XfaLayer,build:()=>Nt,createValidAbsoluteUrl:()=>createValidAbsoluteUrl,fetchData:()=>fetchData,getDocument:()=>getDocument,getFilenameFromUrl:()=>getFilenameFromUrl,getPdfFilenameFromUrl:()=>getPdfFilenameFromUrl,getXfaPageViewport:()=>getXfaPageViewport,isDataScheme:()=>isDataScheme,isPdfFile:()=>isPdfFile,noContextMenu:()=>noContextMenu,normalizeUnicode:()=>normalizeUnicode,setLayerDimensions:()=>setLayerDimensions,shadow:()=>shadow,stopEvent:()=>stopEvent,version:()=>Ot});const e=!("object"!=typeof process||process+""!="[object process]"||process.versions.nw||process.versions.electron&&process.type&&"browser"!==process.type),i=[1,0,0,1,0,0],s=[.001,0,0,.001,0,0],n=1.35,a=1,r=2,o=4,l=16,h=32,d=64,c=128,u=256,p={DISABLE:0,ENABLE:1,ENABLE_FORMS:2,ENABLE_STORAGE:3},g={DISABLE:-1,NONE:0,FREETEXT:3,HIGHLIGHT:9,STAMP:13,INK:15},m={RESIZE:1,CREATE:2,FREETEXT_SIZE:11,FREETEXT_COLOR:12,FREETEXT_OPACITY:13,INK_COLOR:21,INK_THICKNESS:22,INK_OPACITY:23,HIGHLIGHT_COLOR:31,HIGHLIGHT_DEFAULT_COLOR:32,HIGHLIGHT_THICKNESS:33,HIGHLIGHT_FREE:34,HIGHLIGHT_SHOW_ALL:35,DRAW_STEP:41},f={PRINT:4,MODIFY_CONTENTS:8,COPY:16,MODIFY_ANNOTATIONS:32,FILL_INTERACTIVE_FORMS:256,COPY_FOR_ACCESSIBILITY:512,ASSEMBLE:1024,PRINT_HIGH_QUALITY:2048},b=0,A=1,w=2,v=3,y=3,x=4,_={GRAYSCALE_1BPP:1,RGB_24BPP:2,RGBA_32BPP:3},E=1,S=2,C=3,T=4,M=5,P=6,D=7,k=8,R=9,I=10,F=11,L=12,O=13,N=14,B=15,H=16,z=17,U=20,G=1,$=2,V=3,j=4,W=5,q={ERRORS:0,WARNINGS:1,INFOS:5},X={dependency:1,setLineWidth:2,setLineCap:3,setLineJoin:4,setMiterLimit:5,setDash:6,setRenderingIntent:7,setFlatness:8,setGState:9,save:10,restore:11,transform:12,moveTo:13,lineTo:14,curveTo:15,curveTo2:16,curveTo3:17,closePath:18,rectangle:19,stroke:20,closeStroke:21,fill:22,eoFill:23,fillStroke:24,eoFillStroke:25,closeFillStroke:26,closeEOFillStroke:27,endPath:28,clip:29,eoClip:30,beginText:31,endText:32,setCharSpacing:33,setWordSpacing:34,setHScale:35,setLeading:36,setFont:37,setTextRenderingMode:38,setTextRise:39,moveText:40,setLeadingMoveText:41,setTextMatrix:42,nextLine:43,showText:44,showSpacedText:45,nextLineShowText:46,nextLineSetSpacingShowText:47,setCharWidth:48,setCharWidthAndBounds:49,setStrokeColorSpace:50,setFillColorSpace:51,setStrokeColor:52,setStrokeColorN:53,setFillColor:54,setFillColorN:55,setStrokeGray:56,setFillGray:57,setStrokeRGBColor:58,setFillRGBColor:59,setStrokeCMYKColor:60,setFillCMYKColor:61,shadingFill:62,beginInlineImage:63,beginImageData:64,endInlineImage:65,paintXObject:66,markPoint:67,markPointProps:68,beginMarkedContent:69,beginMarkedContentProps:70,endMarkedContent:71,beginCompat:72,endCompat:73,paintFormXObjectBegin:74,paintFormXObjectEnd:75,beginGroup:76,endGroup:77,beginAnnotation:80,endAnnotation:81,paintImageMaskXObject:83,paintImageMaskXObjectGroup:84,paintImageXObject:85,paintInlineImageXObject:86,paintInlineImageXObjectGroup:87,paintImageXObjectRepeat:88,paintImageMaskXObjectRepeat:89,paintSolidColorImageMask:90,constructPath:91,setStrokeTransparent:92,setFillTransparent:93},K={NEED_PASSWORD:1,INCORRECT_PASSWORD:2};let Y=q.WARNINGS;function setVerbosityLevel(t){Number.isInteger(t)&&(Y=t)}function getVerbosityLevel(){return Y}function info(t){Y>=q.INFOS&&console.log(`Info: ${t}`)}function warn(t){Y>=q.WARNINGS&&console.log(`Warning: ${t}`)}function unreachable(t){throw new Error(t)}function assert(t,e){t||unreachable(e)}function createValidAbsoluteUrl(t,e=null,i=null){if(!t)return null;try{if(i&&"string"==typeof t){if(i.addDefaultProtocol&&t.startsWith("www.")){const e=t.match(/\./g);e?.length>=2&&(t=`http://${t}`)}if(i.tryConvertEncoding)try{t=function stringToUTF8String(t){return decodeURIComponent(escape(t))}(t)}catch{}}const s=e?new URL(t,e):new URL(t);if(function _isValidProtocol(t){switch(t?.protocol){case"http:":case"https:":case"ftp:":case"mailto:":case"tel:":return!0;default:Line truncated

packages/tesm-core/src/tesm_core/static/tesm_core/vendor/pdfjs/pdf.worker.min.js

@@ -0,0 +1,21 @@
+/**
+ * @licstart The following is the entire license notice for the
+ * JavaScript code in this page
+ *
+ * Copyright 2024 Mozilla Foundation
+ *
+ * Licensed under the Apache License, Version 2.0 (the "License");
+ * you may not use this file except in compliance with the License.
+ * You may obtain a copy of the License at
+ *
+ *     http://www.apache.org/licenses/LICENSE-2.0
+ *
+ * Unless required by applicable law or agreed to in writing, software
+ * distributed under the License is distributed on an "AS IS" BASIS,
+ * WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND, either express or implied.
+ * See the License for the specific language governing permissions and
+ * limitations under the License.
+ *
+ * @licend The above is the entire license notice for the
+ * JavaScript code in this page
+ */var e={d:(t,i)=>{for(var a in i)e.o(i,a)&&!e.o(t,a)&&Object.defineProperty(t,a,{enumerable:!0,get:i[a]})},o:(e,t)=>Object.prototype.hasOwnProperty.call(e,t)},__webpack_exports__ = globalThis.pdfjsWorker = {};e.d(__webpack_exports__,{WorkerMessageHandler:()=>WorkerMessageHandler});const t=!("object"!=typeof process||process+""!="[object process]"||process.versions.nw||process.versions.electron&&process.type&&"browser"!==process.type),i=[1,0,0,1,0,0],a=[.001,0,0,.001,0,0],s=1.35,r=.35,n=.25925925925925924,g=1,o=2,c=4,C=8,h=16,l=64,Q=128,E=256,u="pdfjs_internal_editor_",d=3,f=9,p=13,m=15,y={PRINT:4,MODIFY_CONTENTS:8,COPY:16,MODIFY_ANNOTATIONS:32,FILL_INTERACTIVE_FORMS:256,COPY_FOR_ACCESSIBILITY:512,ASSEMBLE:1024,PRINT_HIGH_QUALITY:2048},w=0,D=4,b=1,F=2,S=3,k=1,R=2,N=3,G=4,M=5,U=6,x=7,L=8,H=9,J=10,Y=11,v=12,K=13,T=14,q=15,O=16,W=17,j=20,X="Group",Z="R",V=1,z=2,_=4,$=16,AA=32,eA=128,tA=512,iA=1,aA=2,sA=4096,rA=8192,nA=32768,gA=65536,oA=131072,IA=1048576,cA=2097152,CA=8388608,hA=16777216,lA=1,BA=2,QA=3,EA=4,uA=5,dA={E:"Mouse Enter",X:"Mouse Exit",D:"Mouse Down",U:"Mouse Up",Fo:"Focus",Bl:"Blur",PO:"PageOpen",PC:"PageClose",PV:"PageVisible",PI:"PageInvisible",K:"Keystroke",F:"Format",V:"Validate",C:"Calculate"},fA={WC:"WillClose",WS:"WillSave",DS:"DidSave",WP:"WillPrint",DP:"DidPrint"},pA={O:"PageOpen",C:"PageClose"},mA=1,yA=5,wA=1,DA=2,bA=3,FA=4,SA=5,kA=6,RA=7,NA=8,GA=9,MA=10,UA=11,xA=12,LA=13,HA=14,JA=15,YA=16,vA=17,KA=18,TA=19,qA=20,OA=21,PA=22,WA=23,jA=24,XA=25,ZA=26,VA=27,zA=28,_A=29,$A=30,Ae=31,ee=32,te=33,ie=34,ae=35,se=36,re=37,ne=38,ge=39,oe=40,Ie=41,ce=42,Ce=43,he=44,le=45,Be=46,Qe=47,Ee=48,ue=49,de=50,fe=51,pe=52,me=53,ye=54,we=55,De=56,be=57,Fe=58,Se=59,ke=60,Re=61,Ne=62,Ge=63,Me=64,Ue=65,xe=66,Le=67,He=68,Je=69,Ye=70,ve=71,Ke=72,Te=73,qe=74,Oe=75,Pe=76,We=77,je=80,Xe=81,Ze=83,Ve=84,ze=85,_e=86,$e=87,At=88,et=89,tt=90,it=91,at=92,st=93,rt=1,nt=2;let gt=mA;function getVerbosityLevel(){return gt}function info(e){gt>=yA&&console.log(`Info: ${e}`)}function warn(e){gt>=mA&&console.log(`Warning: ${e}`)}function unreachable(e){throw new Error(e)}function assert(e,t){e||unreachable(t)}function createValidAbsoluteUrl(e,t=null,i=null){if(!e)return null;try{if(i&&"string"==typeof e){if(i.addDefaultProtocol&&e.startsWith("www.")){const t=e.match(/\./g);t?.length>=2&&(e=`http://${e}`)}if(i.tryConvertEncoding)try{e=stringToUTF8String(e)}catch{}}const a=t?new URL(e,t):new URL(e);if(function _isValidProtocol(e){switch(e?.protocol){case"http:":case"https:":case"ftp:":case"mailto:":case"tel:":return!0;default:return!1}}(a))return a}catch{}return null}function shadow(e,t,i,a=!1){Object.defineProperty(e,t,{value:i,enumerable:!a,configurable:!0,writable:!1});return i}const ot=function BaseExceptionClosure(){function BaseException(e,t){this.message=e;this.name=t}BaseException.prototype=new Error;BaseException.constructor=BaseException;return BaseException}();class PasswordException extends ot{constructor(e,t){super(e,"PasswordException");this.code=t}}class UnknownErrorException extends ot{constructor(e,t){super(e,"UnknownErrorException");this.details=t}}class InvalidPDFException extends ot{constructor(e){super(e,"InvalidPDFException")}}class MissingPDFException extends ot{constructor(e){super(e,"MissingPDFException")}}class UnexpectedResponseException extends ot{constructor(e,t){super(e,"UnexpectedResponseException");this.status=t}}class FormatError extends ot{constructor(e){super(e,"FormatError")}}class AbortException extends ot{constructor(e){super(e,"AbortException")}}function bytesToString(e){"object"==typeof e&&void 0!==e?.length||unreachable("Invalid argument for bytesToString");const t=e.length,i=8192;if(t<i)return String.fromCharCode.apply(null,e);const a=[];for(let s=0;s<t;s+=i){const r=Math.min(s+i,t),n=e.subarray(s,r);a.push(String.fromCharCode.apply(null,n))}return a.join("")}function stringToBytes(e){"string"!=typeof e&&unreachable("Invalid argument for stringToBytes");const t=e.length,i=new Uint8Array(t);for(let a=0;a<t;++a)i[a]=255&e.charCodeAt(a);return i}function string32(e){return String.fromCharCode(e>>24&255,e>>16&255,e>>8&255,255&e)}function objectSize(e){return Object.keys(e).length}class FeatureTest{static get isLittleEndian(){return shadow(this,"isLittleEndian",function isLittleEndian(){const e=new Uint8Array(4);e[0]=1;return 1===new Uint32Array(e.buffer,0,1)[0]}())}static get isEvalSupported(){return shadow(this,"isEvalSupported",function isEvalSupported(){try{new Function("");return!0}catch{return!1}}())}static get isOffscreenCanvasSupported(){return shadow(this,"isOffscreenCanvasSupported","undefined"!=typeof OffscreenCanvas)}static get isImageDecoderSupported(){return shadow(this,"isImageDecoderSupported","undefined"!=typeof ImageDecoder)}static get platform(){return"undefined"!=typeof navigator&&"string"==typeof navigator?.platform?shadow(this,"platform",{isMac:navigator.platform.includes("Mac"),isWindows:navigator.platform.includes("Win"),isFirefox:"string"==typeof navigator?.userAgent&&navLine truncated