docs: PROGRESS/ROADMAP – Runde 4 (UI, Animationen, Lesebestätigung, LiveKit, Markdown)

Co-Authored-By: Claude Opus 5.5 <[email protected]>

ROADMAP.md

@@ -129,9 +129,11 @@ Punkte abhaken (`[x]`), wenn erledigt UND in `PROGRESS.md` protokolliert.
       PROGRESS.md 2026-07-04). `POST /api/livekit-token` läuft live in `server.py`
       (whoami-Auth, stdlib-HS256-Minting aus `livekit.yaml`), headless geprüft
       (401/400/413/200, JWT-Signatur unabhängig gegen `livekit.yaml` gültig, Identität =
-      geprüfte user_id). **Offen:** Client-Umstellung (`livekit_token.dart`/
-      `livekit_call_manager.dart`) + Secret-Rotation – beides PC/Gerät (heiliger
-      Call-Pfad), siehe `docs/LIVEKIT_TOKEN_MIGRATION.md`.
+      geprüfte user_id). **Client umgestellt 2026-10-07 (756486d):** kein Secret
+      mehr in der App, echter LiveKit-Beitritt mit Testkonto grün
+      (`integration_test/livekit_token_connect_test.dart`). **Offen:** Anruftest
+      auf dem Handy, danach Secret-Rotation durch Bernd (erst wenn alle Geräte die
+      neue Version haben), siehe `docs/LIVEKIT_TOKEN_MIGRATION.md`.
 - [ ] **SICHERHEIT: geleakte Secrets rotieren + aus dem Client holen** (Fable-5-Review (k),
       PROGRESS.md 2026-07-04). Das Gitea-Repo ist öffentlich (`private:false`), und es lagen
       vier aktive Secrets drin – teils schon bereinigt (release.ps1, Admin-Doku), aber:
@@ -140,6 +142,7 @@ Punkte abhaken (`[x]`), wenn erledigt UND in `PROGRESS.md` protokolliert.
         `apiSecret`, Giphy-Key. Alte jeweils widerrufen.
       - **LiveKit-Token server-seitig minten:** kleiner Token-Endpoint auf dem Pi, damit
         `apiSecret` aus `lib/core/livekit_token.dart` verschwindet (App holt nur das JWT).
+        **Client-Teil ERLEDIGT 2026-10-07** (Secret aus dem Code; Rotation steht noch aus).
         **Umsetzungsplan liegt fertig in `docs/LIVEKIT_TOKEN_MIGRATION.md`** (2026-07-04,
         gegen Code + Pi-Konfig geschrieben) – braucht echten Call-Test auf einem Gerät.
       - **E2EE-Diagnose-Upload: ERLEDIGT (2026-07-04).** Der Dashboard-Server auf dem Pi
@@ -303,11 +306,14 @@ lassen, ohne dass andere Module angefasst werden müssen.
         (libwebrtc #142) ist auch in 1.6.2+hotfix.4 NICHT enthalten
         (Changelog geprüft 2026-10-07) → Dummy-PeerConnection-Workaround
         bleibt nötig.
-      - Android-Build: Gradle 8.13 → 8.14.3 ERLEDIGT (2026-10-07). Offen: Umstieg auf
-        „Built-in Kotlin“ (Flutter kündigt Build-Fehler für das Kotlin-Plugin an;
-        betrifft auch Plugins wie flutter_webrtc/livekit_client).
-      - `flutter_markdown` ist eingestellt (pub: „replaced by
-        flutter_markdown_plus“) → umstellen (Markdown-Vorschau im Dokument-Viewer).
+      - Android-Build: Gradle 8.13 → 8.14.3 ERLEDIGT (2026-10-07). „Built-in Kotlin“
+        **bewusst noch nicht** (Entscheidung 2026-10-07): AGP bleibt 8.11; die vom
+        Flutter-Migrator gesetzten Flags `android.builtInKotlin=false` /
+        `android.newDsl=false` halten den Build stabil. Umstieg erst zusammen mit
+        AGP 9 und wenn flutter_webrtc, livekit_client, media_kit & Co. ihn
+        unterstützen – vorher Release-APK + Anruftest.
+      - ERLEDIGT 2026-10-07 (0ad06e3): `flutter_markdown` → `flutter_markdown_plus`
+        (Rendertest `test/document_markdown_test.dart`).
 
 ## M3 – Calls: Logik, UI & Audio (Discord als Referenz)