Release 0.2.0

docs/ACCEPTANCE.md

@@ -39,3 +39,30 @@
 - Ein zusätzlicher Python-Playwright-Lauf: nicht gestartet, weil das optionale
   Python-Modul `playwright` nicht installiert war. Die projektgebundene
   TypeScript-Playwright-Suite lief stattdessen vollständig erfolgreich.
+
+## Etappe 2
+
+| Kriterium                       | Nachweis                                                                            | Stand                 |
+| ------------------------------- | ----------------------------------------------------------------------------------- | --------------------- |
+| Erstadmin danach geschlossen    | Browser-Setup sowie wiederholter Service-Aufruf geprüft; Seed enthält kein Konto    | erfüllt am 21.10.2026 |
+| Login, Logout und lokales HTTP  | Browserablauf; `HttpOnly`, `SameSite=Lax`, ohne `Secure` bei expliziter HTTP-Origin | erfüllt am 21.10.2026 |
+| Einladung und Reset             | lokale Outbox bis Kontoaktivierung und neuem Login im Browser durchlaufen           | erfüllt am 21.10.2026 |
+| Einmalige und abgelaufene Links | Verhaltenstests für Wiederverwendung und Ablauf von Einladung und Reset             | erfüllt am 21.10.2026 |
+| Direkte Admin-Aktion verweigert | Thekencrew-POST auf Einladungsaction liefert 403                                    | erfüllt am 21.10.2026 |
+| Sperrung entzieht Zugriff       | aktive Thekencrew-Sitzung wird gelöscht und beim nächsten Request abgewiesen        | erfüllt am 21.10.2026 |
+| Keine echte Mail ungefragt      | Browser- und Verhaltenstests nutzen ausschließlich temporäre lokale Outbox          | erfüllt am 21.10.2026 |
+| Echter SMTP-Versand             | nicht ausgeführt, keine Zugangsdaten bereitgestellt                                 | offen                 |
+
+## Ausgeführte Prüfungen Etappe 2
+
+- `npm run lint`: erfolgreich
+- `npm run check`: 0 Fehler und 0 Warnungen
+- `npm test`: 9 Auth-, Migrations-, Mail- und Dauer-Verhaltenstests erfolgreich
+- `npm run build`: erfolgreich mit `@sveltejs/adapter-node`
+- `npm run test:e2e`: 9 von 9 Browsertests erfolgreich; Erstadmin,
+  Login/Logout, fremder Origin, Einladung, direkte Rollenprüfung, Sperrung,
+  Reset sowie bestehende responsive Arbeitsansichten geprüft
+- Lokale Outbox in isolierten temporären Verzeichnissen geprüft
+- Lokaler Produktionsserver der Browsertests über HTTP gestartet; Healthcheck
+  und Migration vor Start erfolgreich
+- `bash -n start.sh`: erfolgreich