security: KRITISCH – Dashboard-Admin-Endpoints ohne Auth (Review-Befund o)

Fable-5-Review (n)+(o) beim Gegenlesen von server.py auf dem Pi:

(o) KRITISCH: /api/ban, /api/unban, /api/toggle-registration, /api/create-invite,
/api/run-stats sind über https://dashboard.steggi-matrix.work oeffentlich
erreichbar und pruefen KEINEN Token (per curl belegt: App-eigene 400-Antwort
ueber die oeffentliche URL). Fremde koennten Uta sperren oder offene
Registrierung aktivieren; Hostname ist ueber CT-Logs auffindbar. Nicht blind
gefixt (jede Auth-Ergaenzung legt Bernds Dashboard bis zur Token-Eingabe lahm
-> kein Aussperren). Fertiger Plan mit zwei Wegen (Cloudflare Access / DASH_TOKEN)
in docs/DASHBOARD_AUTH_HARDENING.md, ROADMAP M0 dringend, wartet auf Bernds Wahl.

(n) LiveKit-Token-Route POST /api/livekit-token wurde von einer abgebrochenen
Session bereits live in server.py gebaut (unprotokolliert). Geprueft + headless
verifiziert (401/400/413/200, JWT-Signatur unabhaengig gegen livekit.yaml
gueltig, Identitaet = gepruefte user_id). Server-Seite des M0-LiveKit-Punkts
erledigt; Client-Umstellung + Rotation bleiben PC/Geraet (heiliger Call-Pfad).

Co-Authored-By: Claude Fable 5 <noreply@anthropic.com>

CHANGES.md

@@ -1236,3 +1236,10 @@
 2026-07-04 04:30 [Edit] /home/steggi/matrix/server.py
 2026-07-04 04:31 [Edit] /home/steggi/pyramid/PROGRESS.md
 2026-07-04 04:32 [Edit] /home/steggi/pyramid/PROGRESS.md
+2026-07-04 04:33 [Edit] /home/steggi/matrix/server.py
+2026-07-04 04:33 [Edit] /home/steggi/matrix/server.py
+2026-07-04 04:33 [Edit] /home/steggi/matrix/server.py
+2026-07-04 08:42 [Write] /home/steggi/pyramid/docs/DASHBOARD_AUTH_HARDENING.md
+2026-07-04 08:42 [Edit] /home/steggi/pyramid/PROGRESS.md
+2026-07-04 08:43 [Edit] /home/steggi/pyramid/PROGRESS.md
+2026-07-04 08:43 [Edit] /home/steggi/pyramid/ROADMAP.md