docs: Dashboard bleibt Heimnetz-only (Bernd Nr. 3) – ROADMAP-Punkt geschlossen, Doku nachgezogen, Nr.-4-Vermerk am Secrets-Punkt

Co-Authored-By: Claude Fable 5 <noreply@anthropic.com>

ROADMAP.md

@@ -60,8 +60,9 @@ Punkte abhaken (`[x]`), wenn erledigt UND in `PROGRESS.md` protokolliert.
 - [x] Geräte-/Sessionverwaltung in den Einstellungen: bereits vorhanden
       (`_SessionsSection` in `settings_modal.dart` – Liste, Umbenennen, Verifizieren
       per SAS/QR, Abmelden, Massen-Abmeldung mit Passwort-Reauth)
-- [ ] **SICHERHEIT: Dashboard-Admin-Endpoints – akutes Loch mit Interims-Gate
-      geschlossen (2026-07-04), Fernzugriffs-Entscheidung offen** (Fable-5-Review (o)).
+- [x] **SICHERHEIT: Dashboard-Admin-Endpoints – ERLEDIGT: Loch geschlossen,
+      Heimnetz-only ist laut Bernd der Endzustand** (Fable-5-Review (o);
+      Entscheidung `ANTWORTEN_BERND.md` Nr. 3, 2026-07-05).
       `server.py` nimmt `/api/ban`, `/api/unban`, `/api/toggle-registration`,
       `/api/create-invite`, `/api/run-stats` jetzt NUR noch aus Heimnetz/localhost an
       (Socket-IP + Cloudflare-Header-Check); Fremde aus dem Internet bekommen 403.
@@ -93,8 +94,13 @@ Punkte abhaken (`[x]`), wenn erledigt UND in `PROGRESS.md` protokolliert.
       verifiziert inkl. 500-Beweis.
       Zusatz (Fable-5-Review (u), 2026-07-04): (t)-Fix gegengelesen – korrekt,
       kein Befund; die server.py-Härtungskette ist damit KONVERGIERT (alle
-      verbliebenen `str(e)`-Antworten LAN-gegated, absichtlich). Offen bleibt an
-      diesem Punkt NUR noch Bernds Fernzugriffs-Entscheidung A/B.
+      verbliebenen `str(e)`-Antworten LAN-gegated, absichtlich).
+      **Abschluss (2026-07-05, `ANTWORTEN_BERND.md` Nr. 3): KEIN Fernzugriff
+      gewünscht – die A/B-Frage ist GESCHLOSSEN, das Heimnetz-Gate ist der
+      Endzustand (unterwegs nutzt Bernd WireGuard). Die Restrisiken des Gates
+      (öffentliche Nutzerlisten-Ansicht, theoretisches LAN-CSRF) sind bewusst
+      akzeptiert und in `docs/DASHBOARD_AUTH_HARDENING.md` dokumentiert.
+      Nicht weiter daran arbeiten.**
 - [x] **LiveKit-Token-Route server-seitig gebaut + verifiziert** (Fable-5-Review (n),
       PROGRESS.md 2026-07-04). `POST /api/livekit-token` läuft live in `server.py`
       (whoami-Auth, stdlib-HS256-Minting aus `livekit.yaml`), headless geprüft
@@ -121,6 +127,10 @@ Punkte abhaken (`[x]`), wenn erledigt UND in `PROGRESS.md` protokolliert.
         Client umgestellt und verifiziert (neuer Token 200, alter Admin-Token 403). Der
         Admin-Token selbst muss trotzdem noch rotiert werden (steht oben, Bernds Sache).
       - Optional: Git-History-Rewrite (Bernds Entscheidung, Repo ist auch Backup).
+      - **Stand 2026-07-05 (`ANTWORTEN_BERND.md` Nr. 4): Rotation und
+        History-Rewrite ruhen BEWUSST – beides bleibt Bernds manuelle Sache,
+        NICHT vom Autopilot anstoßen oder nachfragen. Der Punkt bleibt nur als
+        Merkposten offen; Autopilot-bearbeitbar ist hier nichts mehr.**
       - **ACHTUNG bei „Repo einfach privat schalten":** Der In-App-Updater
         (`lib/core/update_checker.dart`) holt Releases **anonym** über die öffentliche
         Gitea-API (`/api/v1/repos/steggi/pyramid/releases`). Repo privat = Utas App