From edf6f430df5694c69d13de0aef313235ce6a3a5f Mon Sep 17 00:00:00 2001
From: sysops <sysops@LenovoT14Gen5>
Date: Wed, 5 Aug 2026 21:31:14 +0200
Subject: [PATCH] fix: Cert-Renewal-Handler kann /etc/ssl/archivmail nicht
 beschreiben (systemd-Sandbox)
MIME-Version: 1.0
Content-Type: text/plain; charset=UTF-8
Content-Transfer-Encoding: 8bit

ProtectSystem=strict + ReadOnlyPaths=.../etc/ssl/archivmail blockierte den
Cert-Handler (internal/api/cert_handlers.go) beim Erstellen/Erneuern von
Zertifikaten mit "read-only file system" — Fehler kam vom systemd-Namespace,
nicht von einem echten ro-Mount oder Owner-Problem. SSL_DIR gehört in
ReadWritePaths statt ReadOnlyPaths, da die Anwendung dort aktiv schreibt.

Fix im Unit-Generator in update.sh, nicht nur manuell am Server, da die
Unit bei jedem Deploy neu geschrieben wird.

Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_019j28kGcaJAhBnrYX34hGdt
---
 features/PROJ-79-dependency-major-upgrades.md | 8 +++++++-
 update.sh                                     | 4 ++--
 2 files changed, 9 insertions(+), 3 deletions(-)

diff --git a/features/PROJ-79-dependency-major-upgrades.md b/features/PROJ-79-dependency-major-upgrades.md
index a2ecf70..0ae36bc 100644
--- a/features/PROJ-79-dependency-major-upgrades.md
+++ b/features/PROJ-79-dependency-major-upgrades.md
@@ -247,7 +247,13 @@ diese. Die Map-Instanz wird nie neu zugewiesen, Verhalten unverändert.
 
 Verifikation: `npm run lint` → **0 Probleme**; `npx tsc --noEmit` →
 **0 Fehler**; `npm run build` → **erfolgreich**, alle 14 Routen generiert.
-Kein Live-Test auf 131/132 — steht noch aus.
+
+Lint-Fix + 30 Findings deployed auf 132 und 131 am 2026-08-05. Beide
+Deploys via `update.sh` (Backend + Frontend Build erfolgreich), Backend ✓
+läuft / Frontend ✓ läuft auf beiden Servern bestätigt. Health-Check
+(`/api/health` → `{"status":"ok"}`) und Kernrouten `/`, `/search`,
+`/admin/login` → alle HTTP 200 auf beiden Servern gegen den echten
+laufenden Dienst geprüft.
 
 ## Acceptance Criteria
 
diff --git a/update.sh b/update.sh
index ef0d666..8573071 100755
--- a/update.sh
+++ b/update.sh
@@ -363,8 +363,8 @@ StandardError=journal
 SyslogIdentifier=archivmail
 NoNewPrivileges=false
 ProtectSystem=strict
-ReadWritePaths=${STORE_DIR} ${LOG_DIR}
-ReadOnlyPaths=${CONFIG_DIR} ${SSL_DIR}
+ReadWritePaths=${STORE_DIR} ${LOG_DIR} ${SSL_DIR}
+ReadOnlyPaths=${CONFIG_DIR}
 
 [Install]
 WantedBy=multi-user.target