Release 0.2.0

docs/DECISIONS.md

@@ -94,3 +94,44 @@ Der Fundus erscheint auf dem Desktop als kompakte Liste und auf kleinen
 Bildschirmen als Kartenfolge. Vorschau- und Schreibschutzinformationen sind in
 einem nativen, tastaturbedienbaren `details`-Element gebündelt. Diese
 Darstellungsentscheidung ändert weder Datenmodell noch Funktionsumfang.
+
+## D-008: Widerrufbare Datenbanksitzungen und Argon2id
+
+Sendewerk verwendet Datenbanksitzungen statt JWT. SvelteKit empfiehlt diesen
+Ansatz, wenn sofortiger Widerruf wichtiger als eine zusätzliche Datenbankabfrage
+ist. Ein zufälliges Sitzungstoken liegt nur als SHA-256-Hash in SQLite; der
+Browser erhält es als `HttpOnly`-, `SameSite=Lax`-Cookie. Nutzerstatus und Rolle
+werden bei jedem Request erneut verbunden. Lokal erlaubt eine explizite
+`http:`-Origin Cookies ohne `Secure`, bei `https:` wird `Secure` gesetzt.
+
+Passwörter hasht `@node-rs/argon2` 2.2.2 mit Argon2id und den dokumentierten
+Paketparametern. Zufallstokens und SHA-256 stammen aus `node:crypto`; eigene
+Kryptoprimitive werden nicht implementiert.
+
+Quellen:
+
+- <https://svelte.dev/docs/kit/auth>
+- <https://svelte.dev/docs/kit/hooks>
+- <https://github.com/napi-rs/node-rs/tree/main/packages/argon2>
+
+## D-009: Form-Actions, geschlossenes Setup und Rollenprüfung
+
+Alle Auth-Schreibvorgänge verwenden POST-Form-Actions beziehungsweise einen
+POST-Endpunkt. SvelteKits gleichursprüngliche Formularprüfung bleibt aktiv. Der
+Erstadmin erfordert ein mindestens 32 Zeichen langes Betreiber-Setup-Token und
+eine transaktional geprüfte leere Nutzertabelle. Danach bleibt `/setup`
+geschlossen. Barkeeper-Rechte werden in jeder Verwaltungsaktion erneut geprüft;
+UI-Sichtbarkeit ist keine Sicherheitsgrenze.
+
+Quelle: <https://svelte.dev/docs/kit/form-actions>
+
+## D-010: Lokale Mail-Outbox als sichere Vorgabe
+
+Der Mailmodus ist standardmäßig `local` und schreibt Einladungs-/Resetnachrichten
+in einen konfigurierten persistenten Pfad. Dadurch wird lokal keine echte Mail
+ungefragt versandt. Nur die explizite Auswahl `smtp` initialisiert Nodemailer;
+bei SMTP sind Host und Absender verpflichtend. Outbox-Dateien sind private
+Geheimnisträger und werden weder versioniert noch über eine Route ausgeliefert.
+
+Nodemailer 10.1.7 unterstützt Node 20 oder neuer und ist MIT-0-lizenziert.
+Quelle: <https://github.com/nodemailer/nodemailer>