test: fakeKEKProvider/fakeKEK-Dopplung in testutil-Pakete konsolidiert

Fable-Review auf Code-Dopplung (P1). Byteidentische Test-Doubles, die
unabhaengig in vielen *_test.go-Dateien dupliziert waren, je Modul in
ein neues internal/testutil-Paket gezogen (Go-Modulgrenzen verhindern
ein gemeinsames Paket ueber dms/archive/connect hinweg):

- dms/internal/testutil.FakeKEKProvider: 14 Dateien (thumbnail,
  versioningapi, documentapi, pdfsign, docmerge, pdfconvert, export,
  watchfolder, downloadapi, malwarescan, uploadapi, versioning,
  migrationdocument, upload) + 2 weitere Nutzstellen ohne eigene
  Typdefinition (versioning/diff_test.go, uploadapi/int19_...).
  dms/internal/crypto/service_test.go NICHT angefasst -- eigene
  Call-Counting-Variante, keine echte Dopplung.
- archive/internal/testutil.FakeKEKProvider: backup + objectbackup
  (tenant-keyed Map-Variante, von der dms-Variante verschieden).
- connect/internal/testutil.FakeKEK: 7 Dateien (backupconnector,
  credential, contracttest, connectorsetupapi, webhooksub x2,
  m365connector). connect/internal/crypto/envelope_test.go NICHT
  angefasst -- einziges Vorkommen, keine Dopplung.

fakeUsageReporter/fakeVerifier bewusst NICHT konsolidiert: bei Pruefung
stellten sich die meisten Vorkommen als inhaltlich verschiedene
Varianten heraus (unterschiedliche Felder/Fehlerpfade), keine echte
Kopie. Die eine echte Dopplung (archive/workflow moduleadapter) liegt
ueber einer Modulgrenze, nicht ohne neue Shared-Library loesbar.

go build/vet/test (-p 1) sauber in allen betroffenen Paketen von dms,
archive, connect auf Testhost 131.

Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>

.gitea/workflows/ai-pflichttest-gate.yml

@@ -4,7 +4,6 @@ on:
   pull_request:
     paths:
       - "ai/**"
-      - "common/**"
 
 jobs:
   pflichttest-gate:

.gitea/workflows/archive-pflichttest-gate.yml

@@ -4,7 +4,6 @@ on:
   pull_request:
     paths:
       - "archive/**"
-      - "common/**"
 
 jobs:
   pflichttest-gate:

.gitea/workflows/mail-pflichttest-gate.yml

@@ -4,7 +4,6 @@ on:
   pull_request:
     paths:
       - "mail/**"
-      - "common/**"
 
 jobs:
   pflichttest-gate:

.gitea/workflows/workflow-pflichttest-gate.yml

@@ -4,7 +4,6 @@ on:
   pull_request:
     paths:
       - "workflow/**"
-      - "common/**"
 
 jobs:
   pflichttest-gate:

PRODUKTARCHITEKTUR.md

@@ -64,8 +64,6 @@ Kein Modul kopiert die Daten eines anderen — stattdessen ein wiederkehrendes *
 
 Gemeinsamer Nenner aller drei: **Referenz statt Kopie, Adapter statt Direktkopplung.**
 
-Go-`internal/`-Pakete sind zwischen den Modulen nicht sichtbar; identische Querschnittspakete werden deshalb im geteilten Modul `common/` gehalten (per `replace` in den `go.mod` eingebunden, keine eigenen Abhängigkeiten außer der Standardbibliothek). Pilot: `common/httpclient`, `common/apierror`. Fachlich verschiedene Pakete (`audittrail`, `cutoverstage`, `crypto`) bleiben modul-lokal.
-
 Dasselbe Prinzip gilt auch innerhalb eines Moduls, auf Code-Ebene: Hauptdateien/Entry-Points bleiben klein, Fachlogik wandert in eigene Module. Vor einer neuen Funktions-/Modul-Datei wird geprüft, ob dieselbe Funktionalität nicht schon woanders existiert (auch modulübergreifend, z. B. in Core) — keine doppelten Funktionsdateien. Das eigene Kanban-Planungswerkzeug wurde nach genau diesem Muster korrigiert (sieben `kanban.html` enthielten identisches JS/CSS als Volltext-Duplikat, damals in `_shared/kanban.js`/`kanban.css` ausgelagert) — die Boards selbst sind inzwischen komplett aus dem Repo entfernt (Ticket-Historie liegt in der Gitea-PR-Historie), das Prinzip "keine doppelten Funktionsdateien" gilt unverändert für den eigentlichen NEXARCH-Code.
 
 ## 6. Technische Architektur (Kurzfassung, Details in eigenen Dokumenten)

ai/cmd/ai-app/main.go

@@ -41,9 +41,9 @@ import (
 	"gitea.perlbach24.de/scripte/nexarch/ai/internal/semanticsearchapi"
 	"gitea.perlbach24.de/scripte/nexarch/ai/internal/summarize"
 	"gitea.perlbach24.de/scripte/nexarch/ai/internal/summaryapi"
+	"gitea.perlbach24.de/scripte/nexarch/ai/internal/tenantregistryclient"
 	"gitea.perlbach24.de/scripte/nexarch/ai/internal/threadsummarize"
 	"gitea.perlbach24.de/scripte/nexarch/ai/internal/vectorindex"
-	"gitea.perlbach24.de/scripte/nexarch/common/tenantregistryclient"
 )
 
 const workerPollInterval = 2 * time.Second

ai/go.mod

@@ -13,7 +13,3 @@ require (
 	golang.org/x/sync v0.17.0 // indirect
 	golang.org/x/text v0.29.0 // indirect
 )
-
-require gitea.perlbach24.de/scripte/nexarch/common v0.0.0
-
-replace gitea.perlbach24.de/scripte/nexarch/common => ../common

ai/internal/auditclient/auditclient.go

@@ -0,0 +1,72 @@
+// Package auditclient ist ein schlanker HTTP-Client fuer Core AUD-08
+// (internal/audit, POST /audit/ingest). AI ist ein physisch getrenntes
+// Go-Modul und kann Cores internal/audit daher nicht direkt importieren -
+// nur ueber dessen HTTP-Schnittstelle. Gleiches Muster wie
+// connect/internal/auditclient (ENG-06) und archive/internal/auditclient.
+package auditclient
+
+import (
+	"bytes"
+	"context"
+	"encoding/json"
+	"fmt"
+	"net/http"
+
+	"gitea.perlbach24.de/scripte/nexarch/ai/internal/httpclient"
+)
+
+type Client struct {
+	BaseURL      string
+	ServiceToken string
+	HTTPClient   *http.Client
+}
+
+func New(baseURL, serviceToken string) *Client {
+	return &Client{BaseURL: baseURL, ServiceToken: serviceToken, HTTPClient: httpclient.Default()}
+}
+
+type ingestRequest struct {
+	TenantSlug string         `json:"tenant_slug"`
+	Actor      string         `json:"actor"`
+	Action     string         `json:"action"`
+	Target     string         `json:"target"`
+	Metadata   map[string]any `json:"metadata"`
+}
+
+// Ingest meldet EIN Audit-Ereignis an Core. Absichtlich keine
+// Update-/Delete-Methode: der Ingest-Endpunkt (AUD-08) ruft denselben
+// alleinigen, anfuegenden Schreibpfad wie core-interne Aufrufer auf
+// (audit.Log.Record), gegen den Core selbst per Datenbank-Trigger jede
+// nachtraegliche Aenderung/Loeschung verweigert (AUD-02).
+func (c *Client) Ingest(ctx context.Context, tenantSlug, actor, action, target string, metadata map[string]any) error {
+	body, err := json.Marshal(ingestRequest{
+		TenantSlug: tenantSlug, Actor: actor, Action: action, Target: target, Metadata: metadata,
+	})
+	if err != nil {
+		return fmt.Errorf("auditclient: request kodieren: %w", err)
+	}
+	req, err := http.NewRequestWithContext(ctx, http.MethodPost, c.BaseURL+"/audit/ingest", bytes.NewReader(body))
+	if err != nil {
+		return fmt.Errorf("auditclient: request bauen: %w", err)
+	}
+	req.Header.Set("Content-Type", "application/json")
+	req.Header.Set("X-Service-Token", c.ServiceToken)
+
+	resp, err := c.httpClient().Do(req)
+	if err != nil {
+		return fmt.Errorf("auditclient: aufruf fehlgeschlagen: %w", err)
+	}
+	defer func() { _ = resp.Body.Close() }()
+
+	if resp.StatusCode != http.StatusAccepted {
+		return fmt.Errorf("auditclient: unerwarteter status %d", resp.StatusCode)
+	}
+	return nil
+}
+
+func (c *Client) httpClient() *http.Client {
+	if c.HTTPClient != nil {
+		return c.HTTPClient
+	}
+	return httpclient.Default()
+}

ai/internal/auditclient/auditclient_test.go

@@ -0,0 +1,48 @@
+package auditclient
+
+import (
+	"context"
+	"encoding/json"
+	"net/http"
+	"net/http/httptest"
+	"testing"
+)
+
+func TestIngest_SendsExpectedRequest(t *testing.T) {
+	var gotToken string
+	var gotBody ingestRequest
+	srv := httptest.NewServer(http.HandlerFunc(func(w http.ResponseWriter, r *http.Request) {
+		gotToken = r.Header.Get("X-Service-Token")
+		_ = json.NewDecoder(r.Body).Decode(&gotBody)
+		w.WriteHeader(http.StatusAccepted)
+	}))
+	defer srv.Close()
+
+	c := New(srv.URL, "test-token")
+	err := c.Ingest(context.Background(), "tenant_a", "svc:ai", "ai.decision.classify", "doc:1",
+		map[string]any{"model": "llama3", "prompt_version": 2})
+	if err != nil {
+		t.Fatalf("Ingest: %v", err)
+	}
+	if gotToken != "test-token" {
+		t.Errorf("token = %q, want test-token", gotToken)
+	}
+	if gotBody.Action != "ai.decision.classify" || gotBody.Target != "doc:1" {
+		t.Errorf("unerwarteter request: %+v", gotBody)
+	}
+	if gotBody.Metadata["model"] != "llama3" {
+		t.Errorf("metadata.model = %v, want llama3", gotBody.Metadata["model"])
+	}
+}
+
+func TestIngest_UnexpectedStatusIsError(t *testing.T) {
+	srv := httptest.NewServer(http.HandlerFunc(func(w http.ResponseWriter, r *http.Request) {
+		http.Error(w, "zugriff verweigert", http.StatusForbidden)
+	}))
+	defer srv.Close()
+
+	c := New(srv.URL, "test-token")
+	if err := c.Ingest(context.Background(), "tenant_a", "svc:ai", "ai.decision.classify", "doc:1", nil); err == nil {
+		t.Fatal("erwartet fehler bei status 403, habe nil")
+	}
+}

ai/internal/classify/classify_test.go

@@ -9,11 +9,11 @@ import (
 	"strings"
 	"testing"
 
+	"gitea.perlbach24.de/scripte/nexarch/ai/internal/auditclient"
 	"gitea.perlbach24.de/scripte/nexarch/ai/internal/decisionaudit"
 	"gitea.perlbach24.de/scripte/nexarch/ai/internal/provider"
 	"gitea.perlbach24.de/scripte/nexarch/ai/internal/provider/mock"
 	"gitea.perlbach24.de/scripte/nexarch/ai/internal/provider/ollama"
-	"gitea.perlbach24.de/scripte/nexarch/common/auditclient"
 )
 
 var testSchema = Schema{Categories: []string{"rechnung", "vertrag", "kuendigung"}}

ai/internal/decisionaudit/decisionaudit.go

@@ -8,7 +8,7 @@ import (
 	"context"
 	"fmt"
 
-	"gitea.perlbach24.de/scripte/nexarch/common/auditclient"
+	"gitea.perlbach24.de/scripte/nexarch/ai/internal/auditclient"
 )
 
 // Decision ist eine einzelne, abgeschlossene KI-gestuetzte Entscheidung

ai/internal/decisionaudit/decisionaudit_test.go

@@ -7,7 +7,7 @@ import (
 	"net/http/httptest"
 	"testing"
 
-	"gitea.perlbach24.de/scripte/nexarch/common/auditclient"
+	"gitea.perlbach24.de/scripte/nexarch/ai/internal/auditclient"
 )
 
 type recordedRequest struct {

ai/internal/docchat/docchat_qa08_loadtest_test.go

@@ -7,10 +7,10 @@ import (
 	"testing"
 	"time"
 
+	"gitea.perlbach24.de/scripte/nexarch/ai/internal/loadtest"
 	"gitea.perlbach24.de/scripte/nexarch/ai/internal/provider"
 	"gitea.perlbach24.de/scripte/nexarch/ai/internal/provider/ollama"
 	"gitea.perlbach24.de/scripte/nexarch/ai/internal/semanticsearch"
-	"gitea.perlbach24.de/scripte/nexarch/common/loadtest"
 )
 
 // QA-08 Pruefung 1 (AK1): echte parallele Chat-Anfragen gegen den realen,

ai/internal/docchatapi/docchatapi.go

@@ -12,8 +12,8 @@ import (
 
 	"gitea.perlbach24.de/scripte/nexarch/ai/internal/docchat"
 	"gitea.perlbach24.de/scripte/nexarch/ai/internal/semanticsearch"
+	"gitea.perlbach24.de/scripte/nexarch/ai/internal/svcauth"
 	"gitea.perlbach24.de/scripte/nexarch/ai/internal/vectorindex"
-	"gitea.perlbach24.de/scripte/nexarch/common/svcauth"
 )
 
 type Server struct {

ai/internal/extractapi/extractapi.go

@@ -15,7 +15,7 @@ import (
 
 	"gitea.perlbach24.de/scripte/nexarch/ai/internal/extractvalidate"
 	"gitea.perlbach24.de/scripte/nexarch/ai/internal/invoiceextract"
-	"gitea.perlbach24.de/scripte/nexarch/common/svcauth"
+	"gitea.perlbach24.de/scripte/nexarch/ai/internal/svcauth"
 )
 
 type Server struct {

ai/internal/extractconfirmapi/extractconfirmapi.go

@@ -15,7 +15,7 @@ import (
 
 	"gitea.perlbach24.de/scripte/nexarch/ai/internal/extractmapping"
 	"gitea.perlbach24.de/scripte/nexarch/ai/internal/metadatapushclient"
-	"gitea.perlbach24.de/scripte/nexarch/common/svcauth"
+	"gitea.perlbach24.de/scripte/nexarch/ai/internal/svcauth"
 )
 
 type Server struct {

ai/internal/httpclient/httpclient.go

@@ -0,0 +1,25 @@
+// Package httpclient liefert den HTTP-Client fuer ausgehende Dienstaufrufe
+// (Kopie des Musters aus connect/internal/httpclient, ENG-06): Zeitlimit
+// statt endlosem Warten, keine Weiterleitungen (ein Service-Token wuerde
+// sonst an das Weiterleitungsziel mitgesendet).
+package httpclient
+
+import (
+	"net/http"
+	"time"
+)
+
+const DefaultTimeout = 15 * time.Second
+
+var shared = New(DefaultTimeout)
+
+func Default() *http.Client { return shared }
+
+func New(timeout time.Duration) *http.Client {
+	return &http.Client{
+		Timeout: timeout,
+		CheckRedirect: func(*http.Request, []*http.Request) error {
+			return http.ErrUseLastResponse
+		},
+	}
+}

ai/internal/httpclient/httpclient_test.go

@@ -0,0 +1,29 @@
+package httpclient
+
+import (
+	"net/http"
+	"net/http/httptest"
+	"testing"
+)
+
+func TestNew_DoesNotFollowRedirects(t *testing.T) {
+	target := httptest.NewServer(http.HandlerFunc(func(w http.ResponseWriter, r *http.Request) {
+		t.Fatal("weiterleitungsziel haette nie erreicht werden duerfen")
+	}))
+	defer target.Close()
+
+	redirector := httptest.NewServer(http.HandlerFunc(func(w http.ResponseWriter, r *http.Request) {
+		http.Redirect(w, r, target.URL, http.StatusFound)
+	}))
+	defer redirector.Close()
+
+	resp, err := Default().Get(redirector.URL)
+	if err != nil {
+		t.Fatalf("Get: %v", err)
+	}
+	defer resp.Body.Close()
+
+	if resp.StatusCode != http.StatusFound {
+		t.Fatalf("status = %d, want %d (keine weiterleitung gefolgt)", resp.StatusCode, http.StatusFound)
+	}
+}

ai/internal/loadtest/loadtest.go

@@ -0,0 +1,138 @@
+// Package loadtest implementiert die fuer QA-07/QA-08 gemeinsam genutzte
+// Last- und Leistungsmessung: parallele Sessions ausfuehren, Latenzen
+// aufzeichnen, Durchsatz bestimmen. k6/vegeta sind auf diesem Rechner nicht
+// installierbar (Projektregel: keine zusaetzlichen Toolchains/Dienste
+// installieren) — echter Ersatz ohne externe Abhaengigkeit: reale
+// nebenlaeufige Aufrufe ueber die Go-Standardbibliothek, gegen den echten,
+// in dieser Sitzung gebauten Code. Eigenstaendige Kopie aus
+// mail/internal/loadtest, da Go-Module keine internal/-Pakete teilen.
+package loadtest
+
+import (
+	"context"
+	"os"
+	"runtime"
+	"sort"
+	"strconv"
+	"strings"
+	"sync"
+	"time"
+)
+
+// Result fasst Latenz- und Durchsatzwerte eines Lasttest-Laufs zusammen.
+type Result struct {
+	Protocol    string
+	Concurrency int
+	Sessions    int
+	Errors      int
+	Duration    time.Duration
+	Latencies   []time.Duration // aufsteigend sortiert
+}
+
+// Throughput liefert Sessions pro Sekunde über die Gesamtlaufzeit.
+func (r Result) Throughput() float64 {
+	if r.Duration <= 0 {
+		return 0
+	}
+	return float64(r.Sessions) / r.Duration.Seconds()
+}
+
+// Percentile liefert die Latenz am p-ten Perzentil (0.0–1.0).
+func (r Result) Percentile(p float64) time.Duration {
+	if len(r.Latencies) == 0 {
+		return 0
+	}
+	idx := int(p * float64(len(r.Latencies)-1))
+	if idx < 0 {
+		idx = 0
+	}
+	if idx >= len(r.Latencies) {
+		idx = len(r.Latencies) - 1
+	}
+	return r.Latencies[idx]
+}
+
+// Max liefert die höchste gemessene Latenz.
+func (r Result) Max() time.Duration {
+	if len(r.Latencies) == 0 {
+		return 0
+	}
+	return r.Latencies[len(r.Latencies)-1]
+}
+
+// Run führt totalSessions Sessions über maximal concurrency parallele
+// Worker aus und misst je Session die Latenz von sessionFunc.
+func Run(ctx context.Context, protocol string, concurrency, totalSessions int, sessionFunc func(ctx context.Context) error) Result {
+	var mu sync.Mutex
+	latencies := make([]time.Duration, 0, totalSessions)
+	errCount := 0
+
+	sem := make(chan struct{}, concurrency)
+	var wg sync.WaitGroup
+	start := time.Now()
+	for i := 0; i < totalSessions; i++ {
+		sem <- struct{}{}
+		wg.Add(1)
+		go func() {
+			defer wg.Done()
+			defer func() { <-sem }()
+			t0 := time.Now()
+			err := sessionFunc(ctx)
+			elapsed := time.Since(t0)
+			mu.Lock()
+			latencies = append(latencies, elapsed)
+			if err != nil {
+				errCount++
+			}
+			mu.Unlock()
+		}()
+	}
+	wg.Wait()
+	duration := time.Since(start)
+
+	sort.Slice(latencies, func(i, j int) bool { return latencies[i] < latencies[j] })
+	return Result{
+		Protocol:    protocol,
+		Concurrency: concurrency,
+		Sessions:    totalSessions,
+		Errors:      errCount,
+		Duration:    duration,
+		Latencies:   latencies,
+	}
+}
+
+// ResourceSample ist eine Momentaufnahme des Ressourcenverbrauchs DIESES
+// Prozesses: Heap über die Go-Runtime, kumulierte CPU-Zeit über
+// /proc/self/stat (Linux, kein externes Werkzeug nötig).
+type ResourceSample struct {
+	HeapAllocBytes uint64
+	CPUTimeSeconds float64
+}
+
+func SampleResources() ResourceSample {
+	var m runtime.MemStats
+	runtime.ReadMemStats(&m)
+	return ResourceSample{HeapAllocBytes: m.HeapAlloc, CPUTimeSeconds: readSelfCPUTimeSeconds()}
+}
+
+// readSelfCPUTimeSeconds liefert die kumulierte User+System-CPU-Zeit dieses
+// Prozesses in Sekunden. Liefert 0, wenn /proc/self/stat nicht lesbar ist
+// (z. B. auf Nicht-Linux-Systemen) — Aufrufer behandeln das als "keine
+// CPU-Messung verfügbar", kein harter Fehler.
+func readSelfCPUTimeSeconds() float64 {
+	data, err := os.ReadFile("/proc/self/stat")
+	if err != nil {
+		return 0
+	}
+	fields := strings.Fields(string(data))
+	if len(fields) < 15 {
+		return 0
+	}
+	utime, err1 := strconv.ParseFloat(fields[13], 64)
+	stime, err2 := strconv.ParseFloat(fields[14], 64)
+	if err1 != nil || err2 != nil {
+		return 0
+	}
+	const clockTicksPerSecond = 100 // Linux-Standard-USER_HZ
+	return (utime + stime) / clockTicksPerSecond
+}

ai/internal/metadatapushclient/metadatapushclient.go

@@ -15,7 +15,7 @@ import (
 	"net/url"
 	"sort"
 
-	"gitea.perlbach24.de/scripte/nexarch/common/httpclient"
+	"gitea.perlbach24.de/scripte/nexarch/ai/internal/httpclient"
 )
 
 type Client struct {

ai/internal/moduletypeapi/moduletypeapi.go

@@ -10,7 +10,7 @@ import (
 	"net/http"
 
 	"gitea.perlbach24.de/scripte/nexarch/ai/internal/moduletype"
-	"gitea.perlbach24.de/scripte/nexarch/common/svcauth"
+	"gitea.perlbach24.de/scripte/nexarch/ai/internal/svcauth"
 )
 
 type Server struct {

ai/internal/pflichttestgate/gate.go

@@ -18,7 +18,6 @@ import (
 // TESTSTRATEGIE-AI.md Abschnitt 3.
 var sensitivePathPatterns = []*regexp.Regexp{
 	regexp.MustCompile(`(^|/)ai/internal/svcauth/`),
-	regexp.MustCompile(`(^|/)common/svcauth/`),
 	regexp.MustCompile(`(^|/)ai/internal/tenantfeature/`),
 	regexp.MustCompile(`(^|/)ai/internal/semanticsearch/`),
 	regexp.MustCompile(`(^|/)ai/internal/semanticsearchapi/`),

ai/internal/qa05gate/qa05gate_test.go

@@ -16,6 +16,7 @@ import (
 
 	"github.com/jackc/pgx/v5/pgxpool"
 
+	"gitea.perlbach24.de/scripte/nexarch/ai/internal/auditclient"
 	"gitea.perlbach24.de/scripte/nexarch/ai/internal/decisionaudit"
 	"gitea.perlbach24.de/scripte/nexarch/ai/internal/migrate"
 	"gitea.perlbach24.de/scripte/nexarch/ai/internal/provider"
@@ -24,7 +25,6 @@ import (
 	"gitea.perlbach24.de/scripte/nexarch/ai/internal/residency"
 	"gitea.perlbach24.de/scripte/nexarch/ai/internal/tenantfeature"
 	"gitea.perlbach24.de/scripte/nexarch/ai/internal/testdb"
-	"gitea.perlbach24.de/scripte/nexarch/common/auditclient"
 )
 
 // realPool liefert einen frischen, migrierten Pool auf der Wegwerf-DB aus

ai/internal/queue/queue_loadtest_test.go

@@ -8,8 +8,8 @@ import (
 	"time"
 
 	"gitea.perlbach24.de/scripte/nexarch/ai/internal/limits"
+	"gitea.perlbach24.de/scripte/nexarch/ai/internal/loadtest"
 	"gitea.perlbach24.de/scripte/nexarch/ai/internal/provider"
-	"gitea.perlbach24.de/scripte/nexarch/common/loadtest"
 )
 
 // QA-08 Pruefung 2 (AK2): realistische parallele Klassifizierungs-/

ai/internal/residencyapi/residencyapi.go

@@ -9,7 +9,7 @@ import (
 	"net/http"
 
 	"gitea.perlbach24.de/scripte/nexarch/ai/internal/residency"
-	"gitea.perlbach24.de/scripte/nexarch/common/svcauth"
+	"gitea.perlbach24.de/scripte/nexarch/ai/internal/svcauth"
 )
 
 type Server struct {

ai/internal/routingsuggestapi/routingsuggestapi.go

@@ -13,7 +13,7 @@ import (
 
 	"gitea.perlbach24.de/scripte/nexarch/ai/internal/historysuggest"
 	"gitea.perlbach24.de/scripte/nexarch/ai/internal/routingfeedback"
-	"gitea.perlbach24.de/scripte/nexarch/common/svcauth"
+	"gitea.perlbach24.de/scripte/nexarch/ai/internal/svcauth"
 )
 
 type Server struct {

ai/internal/semanticsearchapi/semanticsearchapi.go

@@ -10,7 +10,7 @@ import (
 	"net/http"
 
 	"gitea.perlbach24.de/scripte/nexarch/ai/internal/semanticsearch"
-	"gitea.perlbach24.de/scripte/nexarch/common/svcauth"
+	"gitea.perlbach24.de/scripte/nexarch/ai/internal/svcauth"
 )
 
 type Server struct {

ai/internal/summaryapi/summaryapi.go

@@ -10,8 +10,8 @@ import (
 	"net/http"
 
 	"gitea.perlbach24.de/scripte/nexarch/ai/internal/summarize"
+	"gitea.perlbach24.de/scripte/nexarch/ai/internal/svcauth"
 	"gitea.perlbach24.de/scripte/nexarch/ai/internal/threadsummarize"
-	"gitea.perlbach24.de/scripte/nexarch/common/svcauth"
 )
 
 type Server struct {

ai/internal/svcauth/svcauth.go

@@ -0,0 +1,20 @@
+// Package svcauth vergleicht Service-Token in konstanter Zeit (eigene Kopie
+// je Modul, siehe workflow/internal/svcauth — Go-Module teilen keine
+// internal/-Pakete über Modulgrenzen; Lehre aus RET-14/F-08: Schutz beim
+// ersten Entwurf einbauen statt nachzuruesten).
+package svcauth
+
+import (
+	"crypto/sha256"
+	"crypto/subtle"
+)
+
+// Equal vergleicht die SHA-256-Werte beider Eingaben in konstanter Zeit.
+// Ein leeres erwartetes Token stimmt nie.
+func Equal(got, want string) bool {
+	if want == "" {
+		return false
+	}
+	g, w := sha256.Sum256([]byte(got)), sha256.Sum256([]byte(want))
+	return subtle.ConstantTimeCompare(g[:], w[:]) == 1
+}

archive/cmd/compliance-api/main.go

@@ -12,9 +12,9 @@ import (
 	"github.com/jackc/pgx/v5/pgxpool"
 
 	"gitea.perlbach24.de/scripte/nexarch/archive/internal/complianceapi"
+	"gitea.perlbach24.de/scripte/nexarch/archive/internal/httpharden"
 	"gitea.perlbach24.de/scripte/nexarch/archive/internal/rbacclient"
 	"gitea.perlbach24.de/scripte/nexarch/archive/internal/retentionapi"
-	"gitea.perlbach24.de/scripte/nexarch/common/httpharden"
 )
 
 func main() {

archive/cmd/kennzahlen-api/main.go

@@ -10,10 +10,10 @@ import (
 
 	"github.com/jackc/pgx/v5/pgxpool"
 
+	"gitea.perlbach24.de/scripte/nexarch/archive/internal/httpharden"
 	"gitea.perlbach24.de/scripte/nexarch/archive/internal/kennzahlenapi"
 	"gitea.perlbach24.de/scripte/nexarch/archive/internal/rbacclient"
 	"gitea.perlbach24.de/scripte/nexarch/archive/internal/retentionapi"
-	"gitea.perlbach24.de/scripte/nexarch/common/httpharden"
 )
 
 func main() {

archive/cmd/moduleadapter-api/main.go

@@ -13,10 +13,10 @@ import (
 
 	"github.com/jackc/pgx/v5/pgxpool"
 
+	"gitea.perlbach24.de/scripte/nexarch/archive/internal/httpharden"
 	"gitea.perlbach24.de/scripte/nexarch/archive/internal/legalholdapi"
 	"gitea.perlbach24.de/scripte/nexarch/archive/internal/moduleadapter"
 	"gitea.perlbach24.de/scripte/nexarch/archive/internal/tenantregistryclient"
-	"gitea.perlbach24.de/scripte/nexarch/common/httpharden"
 )
 
 func main() {

archive/cmd/restoretest-metrics/main.go

@@ -10,8 +10,8 @@ import (
 	"net/http"
 	"os"
 
+	"gitea.perlbach24.de/scripte/nexarch/archive/internal/httpharden"
 	"gitea.perlbach24.de/scripte/nexarch/archive/internal/restoretest"
-	"gitea.perlbach24.de/scripte/nexarch/common/httpharden"
 )
 
 func main() {

archive/cmd/retention-api/main.go

@@ -13,9 +13,9 @@ import (
 
 	"github.com/jackc/pgx/v5/pgxpool"
 
+	"gitea.perlbach24.de/scripte/nexarch/archive/internal/httpharden"
 	"gitea.perlbach24.de/scripte/nexarch/archive/internal/rbacclient"
 	"gitea.perlbach24.de/scripte/nexarch/archive/internal/retentionapi"
-	"gitea.perlbach24.de/scripte/nexarch/common/httpharden"
 )
 
 func main() {

archive/cmd/scrub-metrics/main.go

@@ -14,8 +14,8 @@ import (
 
 	"github.com/jackc/pgx/v5/pgxpool"
 
+	"gitea.perlbach24.de/scripte/nexarch/archive/internal/httpharden"
 	"gitea.perlbach24.de/scripte/nexarch/archive/internal/scrub"
-	"gitea.perlbach24.de/scripte/nexarch/common/httpharden"
 )
 
 func main() {

archive/go.mod

@@ -13,7 +13,3 @@ require (
 	golang.org/x/sync v0.22.0 // indirect
 	golang.org/x/text v0.41.0 // indirect
 )
-
-require gitea.perlbach24.de/scripte/nexarch/common v0.0.0
-
-replace gitea.perlbach24.de/scripte/nexarch/common => ../common

archive/internal/archtest/errorleak_test.go

@@ -33,7 +33,7 @@ func moduleRoot(t *testing.T) string {
 // Antwort bzw. der rohe ListenAndServe-Aufruf genau die erlaubte
 // Implementierung der Regel selbst ist (API-20/API-21), kein Verstoss.
 // Das Archive-Modul hat keine weiteren, physisch verschachtelten Go-Module.
-var exempt = []string{"internal/httpharden"}
+var exempt = []string{"internal/apierror", "internal/httpharden"}
 
 // TestNoErrorTextLeaksIntoHTTPResponses ist Akzeptanzkriterium 1: kein
 // err.Error() direkt in einer HTTP-Antwort, ausser ueber apierror.

archive/internal/auditclient/auditclient.go

@@ -0,0 +1,70 @@
+// Package auditclient ist ein schlanker HTTP-Client für Core AUD-08
+// (internal/audit, POST /audit/ingest). Archive ist ein physisch
+// getrenntes Go-Modul und kann Cores internal/audit daher nicht direkt
+// importieren — nur über dessen HTTP-Schnittstelle. Gleiches Muster wie
+// archive/internal/notifyclient (CFG-05).
+package auditclient
+
+import (
+	"bytes"
+	"context"
+	"encoding/json"
+	"fmt"
+	"gitea.perlbach24.de/scripte/nexarch/archive/internal/httpclient"
+	"net/http"
+)
+
+type Client struct {
+	BaseURL      string
+	ServiceToken string
+	HTTPClient   *http.Client
+}
+
+func New(baseURL, serviceToken string) *Client {
+	return &Client{BaseURL: baseURL, ServiceToken: serviceToken, HTTPClient: httpclient.Default()}
+}
+
+type ingestRequest struct {
+	TenantSlug string         `json:"tenant_slug"`
+	Actor      string         `json:"actor"`
+	Action     string         `json:"action"`
+	Target     string         `json:"target"`
+	Metadata   map[string]any `json:"metadata"`
+}
+
+// Ingest meldet EIN Audit-Ereignis an Core. Jeder Fehler (Transport,
+// Timeout, unerwarteter Status) wird als Fehler zurückgegeben — der
+// Aufrufer entscheidet, ob/wie er das nachbehandelt (siehe
+// archive/internal/audittrail für den outage-toleranten Wrapper).
+func (c *Client) Ingest(ctx context.Context, tenantSlug, actor, action, target string, metadata map[string]any) error {
+	body, err := json.Marshal(ingestRequest{
+		TenantSlug: tenantSlug, Actor: actor, Action: action, Target: target, Metadata: metadata,
+	})
+	if err != nil {
+		return fmt.Errorf("auditclient: request kodieren: %w", err)
+	}
+	req, err := http.NewRequestWithContext(ctx, http.MethodPost, c.BaseURL+"/audit/ingest", bytes.NewReader(body))
+	if err != nil {
+		return fmt.Errorf("auditclient: request bauen: %w", err)
+	}
+	req.Header.Set("Content-Type", "application/json")
+	req.Header.Set("X-Service-Token", c.ServiceToken)
+
+	resp, err := c.httpClient().Do(req)
+	if err != nil {
+		return fmt.Errorf("auditclient: aufruf fehlgeschlagen: %w", err)
+	}
+	defer func() { _ = resp.Body.Close() }()
+
+	if resp.StatusCode != http.StatusAccepted {
+		return fmt.Errorf("auditclient: unerwarteter status %d", resp.StatusCode)
+	}
+	return nil
+}
+
+func (c *Client) httpClient() *http.Client {
+	if c.HTTPClient != nil {
+		return c.HTTPClient
+	}
+	return httpclient.Default()
+}

archive/internal/audittrail/audittrail.go

@@ -20,7 +20,7 @@ import (
 
 	"github.com/jackc/pgx/v5/pgxpool"
 
-	"gitea.perlbach24.de/scripte/nexarch/common/auditclient"
+	"gitea.perlbach24.de/scripte/nexarch/archive/internal/auditclient"
 )
 
 type Recorder struct {

archive/internal/audittrail/audittrail_test.go

@@ -11,7 +11,7 @@ import (
 
 	"github.com/jackc/pgx/v5/pgxpool"
 
-	"gitea.perlbach24.de/scripte/nexarch/common/auditclient"
+	"gitea.perlbach24.de/scripte/nexarch/archive/internal/auditclient"
 )
 
 func setupOutboxTest(t *testing.T) *pgxpool.Pool {

archive/internal/backup/encryption_test.go

@@ -3,32 +3,16 @@ package backup
 import (
 	"bytes"
 	"context"
-	"errors"
 	"os"
 	"path/filepath"
 	"testing"
 	"time"
+
+	"gitea.perlbach24.de/scripte/nexarch/archive/internal/testutil"
 )
 
-// fakeKEKProvider liefert deterministische, tenant-spezifische KEKs für
-// Tests, ohne einen echten Core-API-10-Aufruf zu brauchen.
-type fakeKEKProvider struct {
-	keks map[string][]byte
-}
-
-func newFakeKEKProvider() *fakeKEKProvider {
-	return &fakeKEKProvider{keks: map[string][]byte{
-		"mandant-a": bytes.Repeat([]byte{0xAA}, 32),
-		"mandant-b": bytes.Repeat([]byte{0xBB}, 32),
-	}}
-}
-
-func (f *fakeKEKProvider) TenantKEK(ctx context.Context, tenantSlug string) ([]byte, error) {
-	kek, ok := f.keks[tenantSlug]
-	if !ok {
-		return nil, errors.New("fakeKEKProvider: unbekannter mandant")
-	}
-	return kek, nil
+func newFakeKEKProvider() *testutil.FakeKEKProvider {
+	return testutil.NewFakeKEKProvider()
 }
 
 // TestEncryptGeneration_RemovesPlaintextReadability ist Prüfung 1 (BAK-09):

archive/internal/ediscovery/ediscovery_test.go

@@ -13,9 +13,9 @@ import (
 	"strings"
 	"testing"
 
+	"gitea.perlbach24.de/scripte/nexarch/archive/internal/auditclient"
 	"gitea.perlbach24.de/scripte/nexarch/archive/internal/audittrail"
 	"gitea.perlbach24.de/scripte/nexarch/archive/internal/referenceset"
-	"gitea.perlbach24.de/scripte/nexarch/common/auditclient"
 
 	"github.com/jackc/pgx/v5/pgxpool"
 )

archive/internal/ediscoveryhttp/ediscoveryhttp.go

@@ -14,7 +14,7 @@ import (
 	"net/url"
 
 	"gitea.perlbach24.de/scripte/nexarch/archive/internal/ediscovery"
-	"gitea.perlbach24.de/scripte/nexarch/common/httpclient"
+	"gitea.perlbach24.de/scripte/nexarch/archive/internal/httpclient"
 )
 
 const ModuleTypeDMSDocument = "dms_document"

archive/internal/httpclient/httpclient_test.go

@@ -57,22 +57,15 @@ func TestClientDoesNotFollowRedirects(t *testing.T) {
 	}
 }
 
-// Architekturtest: im Produktivcode der Module, die dieses Paket nutzen, gibt
-// es keine Aufrufe ueber den Standard-Client ohne Zeitlimit.
+// Architekturtest: im Produktivcode dieses Moduls gibt es keine Aufrufe ueber
+// den Standard-Client ohne Zeitlimit.
 func TestNoUnboundedDefaultClientInProductionCode(t *testing.T) {
-	repoRoot, err := filepath.Abs(filepath.Join("..", ".."))
+	root, err := filepath.Abs(filepath.Join("..", ".."))
 	if err != nil {
 		t.Fatal(err)
 	}
-	for _, mod := range []string{"common", "dms", "mail", "archive"} {
-		scanNoDefaultClient(t, repoRoot, filepath.Join(repoRoot, mod))
-	}
-}
-
-func scanNoDefaultClient(t *testing.T, repoRoot, root string) {
-	t.Helper()
 	forbidden := regexp.MustCompile(`http\.DefaultClient|http\.(Get|Post|Head|PostForm)\(`)
-	err := filepath.WalkDir(root, func(path string, d fs.DirEntry, err error) error {
+	err = filepath.WalkDir(root, func(path string, d fs.DirEntry, err error) error {
 		if err != nil {
 			return err
 		}
@@ -94,7 +87,7 @@ func scanNoDefaultClient(t *testing.T, repoRoot, root string) {
 				continue
 			}
 			if forbidden.MatchString(line) {
-				rel, _ := filepath.Rel(repoRoot, path)
+				rel, _ := filepath.Rel(root, path)
 				t.Errorf("%s:%d nutzt den Standard-Client ohne Zeitlimit: %s", rel, i+1, strings.TrimSpace(line))
 			}
 		}

archive/internal/httpharden/harden.go

@@ -0,0 +1,116 @@
+// Package httpharden liefert gehaertete http.Server-Grundeinstellungen
+// (Timeouts, Header-Limit) und ein Body-Limit fuer alle Dienste (QA-15 F-05).
+// Dieselbe Datei existiert in archive/internal/httpharden und
+// dms/internal/httpharden, weil die Module getrennte go.mod-Dateien haben.
+package httpharden
+
+import (
+	"log"
+	"net/http"
+	"os"
+	"strconv"
+	"time"
+
+	"gitea.perlbach24.de/scripte/nexarch/archive/internal/apierror"
+)
+
+const (
+	DefaultReadHeaderTimeout = 10 * time.Second
+	DefaultReadTimeout       = 30 * time.Second
+	DefaultWriteTimeout      = 60 * time.Second
+	DefaultIdleTimeout       = 120 * time.Second
+	DefaultMaxHeaderBytes    = 1 << 20
+	DefaultMaxBodyBytes      = 1 << 20
+
+	EnvReadHeaderTimeout = "NEXARCH_HTTP_READ_HEADER_TIMEOUT_SECONDS"
+	EnvReadTimeout       = "NEXARCH_HTTP_READ_TIMEOUT_SECONDS"
+	EnvWriteTimeout      = "NEXARCH_HTTP_WRITE_TIMEOUT_SECONDS"
+	EnvIdleTimeout       = "NEXARCH_HTTP_IDLE_TIMEOUT_SECONDS"
+	EnvMaxBodyBytes      = "NEXARCH_HTTP_MAX_BODY_BYTES"
+)
+
+// Options weicht vom Standard ab. Nullwerte bedeuten Standard bzw. Env-Wert;
+// StreamingBodies/StreamingResponses setzen ReadTimeout/WriteTimeout auf 0
+// (unbegrenzt), damit lange Uploads und Downloads nicht abbrechen. Schutz
+// gegen langsame Header bleibt ueber ReadHeaderTimeout und IdleTimeout.
+type Options struct {
+	StreamingBodies    bool
+	StreamingResponses bool
+}
+
+func envSeconds(name string, def time.Duration) time.Duration {
+	v := os.Getenv(name)
+	if v == "" {
+		return def
+	}
+	n, err := strconv.Atoi(v)
+	if err != nil || n < 1 || n > 3600 {
+		log.Fatalf("%s muss eine ganze Zahl zwischen 1 und 3600 sein, war %q", name, v)
+	}
+	return time.Duration(n) * time.Second
+}
+
+// MaxBodyBytes liest die Body-Obergrenze (Standard 1 MiB, Env
+// NEXARCH_HTTP_MAX_BODY_BYTES, 1 KiB bis 1 GiB).
+func MaxBodyBytes() int64 {
+	v := os.Getenv(EnvMaxBodyBytes)
+	if v == "" {
+		return DefaultMaxBodyBytes
+	}
+	n, err := strconv.ParseInt(v, 10, 64)
+	if err != nil || n < 1<<10 || n > 1<<30 {
+		log.Fatalf("%s muss zwischen 1024 und 1073741824 liegen, war %q", EnvMaxBodyBytes, v)
+	}
+	return n
+}
+
+// NewServer baut einen http.Server mit gehaerteten Timeouts.
+func NewServer(addr string, h http.Handler, opt Options) *http.Server {
+	s := &http.Server{
+		Addr:              addr,
+		Handler:           h,
+		ReadHeaderTimeout: envSeconds(EnvReadHeaderTimeout, DefaultReadHeaderTimeout),
+		ReadTimeout:       envSeconds(EnvReadTimeout, DefaultReadTimeout),
+		WriteTimeout:      envSeconds(EnvWriteTimeout, DefaultWriteTimeout),
+		IdleTimeout:       envSeconds(EnvIdleTimeout, DefaultIdleTimeout),
+		MaxHeaderBytes:    DefaultMaxHeaderBytes,
+	}
+	if opt.StreamingBodies {
+		s.ReadTimeout = 0
+	}
+	if opt.StreamingResponses {
+		s.WriteTimeout = 0
+	}
+	return s
+}
+
+// ListenAndServe ersetzt http.ListenAndServe: JSON-API mit Body-Limit und
+// (QA-15 F-14) apierror.Normalize aussen um jeden Handler — 5xx-Antworten
+// verlieren dadurch automatisch jeden Interna-Text (Datenbank-/Pfadfehler),
+// unabhaengig davon, was der einzelne Handler geschrieben hat.
+func ListenAndServe(addr string, h http.Handler) error {
+	return NewServer(addr, apierror.Normalize(LimitBody(MaxBodyBytes(), h)), Options{}).ListenAndServe()
+}
+
+// ListenAndServeStreaming fuer Dienste mit grossen Uploads/Downloads: keine
+// globale Body-Grenze und keine Lese-/Schreib-Gesamtzeit, nur Header-Timeout.
+func ListenAndServeStreaming(addr string, h http.Handler) error {
+	return NewServer(addr, apierror.Normalize(h), Options{StreamingBodies: true, StreamingResponses: true}).ListenAndServe()
+}
+
+// LimitBody begrenzt Request-Bodies. Ein Content-Length ueber dem Limit wird
+// vor dem Handler mit 413 abgewiesen, chunked Bodies ueber MaxBytesReader.
+func LimitBody(max int64, next http.Handler) http.Handler {
+	return http.HandlerFunc(func(w http.ResponseWriter, r *http.Request) {
+		if r.ContentLength > max {
+			w.Header().Set("Content-Type", "application/json")
+			w.WriteHeader(http.StatusRequestEntityTooLarge)
+			_, _ = w.Write([]byte(`{"error":{"code":"payload_too_large","message":"Anfrage zu gross"}}`))
+			return
+		}
+		if r.Body != nil && r.Body != http.NoBody {
+			r.Body = http.MaxBytesReader(w, r.Body, max)
+		}
+		next.ServeHTTP(w, r)
+	})
+}

archive/internal/kekclient/kekclient.go

@@ -11,7 +11,7 @@ import (
 	"encoding/base64"
 	"encoding/json"
 	"fmt"
-	"gitea.perlbach24.de/scripte/nexarch/common/httpclient"
+	"gitea.perlbach24.de/scripte/nexarch/archive/internal/httpclient"
 	"net/http"
 	"net/url"
 )

archive/internal/legalholdapi/legalholdapi.go

@@ -12,7 +12,7 @@ import (
 
 	"github.com/jackc/pgx/v5/pgxpool"
 
-	"gitea.perlbach24.de/scripte/nexarch/common/svcauth"
+	"gitea.perlbach24.de/scripte/nexarch/archive/internal/svcauth"
 )
 
 const (

archive/internal/moduleadapter/handler.go

@@ -7,7 +7,7 @@ import (
 
 	"github.com/jackc/pgx/v5/pgxpool"
 
-	"gitea.perlbach24.de/scripte/nexarch/common/svcauth"
+	"gitea.perlbach24.de/scripte/nexarch/archive/internal/svcauth"
 )
 
 const (

archive/internal/notifyclient/notifyclient.go

@@ -10,7 +10,7 @@ import (
 	"context"
 	"encoding/json"
 	"fmt"
-	"gitea.perlbach24.de/scripte/nexarch/common/httpclient"
+	"gitea.perlbach24.de/scripte/nexarch/archive/internal/httpclient"
 	"net/http"
 )
 

archive/internal/objectbackup/kek_password_test.go

@@ -2,37 +2,15 @@ package objectbackup
 
 import (
 	"context"
-	"errors"
 	"os"
 	"path/filepath"
 	"testing"
+
+	"gitea.perlbach24.de/scripte/nexarch/archive/internal/testutil"
 )
 
-type fakeKEKProvider struct {
-	keks map[string][]byte
-}
-
-func (f *fakeKEKProvider) TenantKEK(ctx context.Context, tenantSlug string) ([]byte, error) {
-	kek, ok := f.keks[tenantSlug]
-	if !ok {
-		return nil, errors.New("fakeKEKProvider: unbekannter mandant")
-	}
-	return kek, nil
-}
-
-func newFakeKEKProvider() *fakeKEKProvider {
-	return &fakeKEKProvider{keks: map[string][]byte{
-		"mandant-a": bytesOf(0xAA),
-		"mandant-b": bytesOf(0xBB),
-	}}
-}
-
-func bytesOf(b byte) []byte {
-	out := make([]byte, 32)
-	for i := range out {
-		out[i] = b
-	}
-	return out
+func newFakeKEKProvider() *testutil.FakeKEKProvider {
+	return testutil.NewFakeKEKProvider()
 }
 
 // TestTenantEncryptedConfig_BackupAndRestore ist Pruefung 2 (BAK-09):

archive/internal/rbacclient/rbacclient.go

@@ -11,7 +11,7 @@ import (
 	"encoding/json"
 	"errors"
 	"fmt"
-	"gitea.perlbach24.de/scripte/nexarch/common/httpclient"
+	"gitea.perlbach24.de/scripte/nexarch/archive/internal/httpclient"
 	"net/http"
 )
 

archive/internal/tenantregistryclient/tenantregistryclient.go

@@ -8,7 +8,7 @@ package tenantregistryclient
 import (
 	"context"
 	"fmt"
-	"gitea.perlbach24.de/scripte/nexarch/common/httpclient"
+	"gitea.perlbach24.de/scripte/nexarch/archive/internal/httpclient"
 	"net/http"
 	"net/url"
 )

archive/internal/testutil/kekfake.go

@@ -0,0 +1,32 @@
+// Package testutil buendelt Test-Doubles, die identisch in mehreren
+// archive/internal-Paketen dupliziert waren (Fable-Review auf Code-Dopplung).
+package testutil
+
+import (
+	"bytes"
+	"context"
+	"errors"
+)
+
+// FakeKEKProvider liefert deterministische, tenant-spezifische KEKs fuer
+// Tests, ohne einen echten Core-API-10-Aufruf zu brauchen.
+type FakeKEKProvider struct {
+	Keks map[string][]byte
+}
+
+// NewFakeKEKProvider liefert einen FakeKEKProvider mit den beiden in
+// Tests ueblichen Mandanten "mandant-a"/"mandant-b" vorbefuellt.
+func NewFakeKEKProvider() *FakeKEKProvider {
+	return &FakeKEKProvider{Keks: map[string][]byte{
+		"mandant-a": bytes.Repeat([]byte{0xAA}, 32),
+		"mandant-b": bytes.Repeat([]byte{0xBB}, 32),
+	}}
+}
+
+func (f *FakeKEKProvider) TenantKEK(ctx context.Context, tenantSlug string) ([]byte, error) {
+	kek, ok := f.Keks[tenantSlug]
+	if !ok {
+		return nil, errors.New("fakeKEKProvider: unbekannter mandant")
+	}
+	return kek, nil
+}

cmd/account-api/main.go

@@ -17,10 +17,10 @@ import (
 
 	"github.com/jackc/pgx/v5/pgxpool"
 
-	"gitea.perlbach24.de/scripte/nexarch/common/httpharden"
 	"gitea.perlbach24.de/scripte/nexarch/internal/audit"
 	"gitea.perlbach24.de/scripte/nexarch/internal/auth"
 	"gitea.perlbach24.de/scripte/nexarch/internal/authtoken"
+	"gitea.perlbach24.de/scripte/nexarch/internal/httpharden"
 	"gitea.perlbach24.de/scripte/nexarch/internal/lockout"
 	"gitea.perlbach24.de/scripte/nexarch/internal/moduletoken"
 	"gitea.perlbach24.de/scripte/nexarch/internal/rbac"

cmd/auditlog-devserver/main.go

@@ -18,10 +18,10 @@ import (
 	"net/http"
 	"os"
 
-	"gitea.perlbach24.de/scripte/nexarch/common/httpharden"
 	"gitea.perlbach24.de/scripte/nexarch/internal/audit"
 	"gitea.perlbach24.de/scripte/nexarch/internal/auditadmin"
 	"gitea.perlbach24.de/scripte/nexarch/internal/db"
+	"gitea.perlbach24.de/scripte/nexarch/internal/httpharden"
 	"gitea.perlbach24.de/scripte/nexarch/internal/svcauth"
 )
 

cmd/core/main.go

@@ -5,10 +5,10 @@ import (
 	"log"
 	"net/http"
 
-	"gitea.perlbach24.de/scripte/nexarch/common/httpharden"
 	"gitea.perlbach24.de/scripte/nexarch/internal/audit"
 	"gitea.perlbach24.de/scripte/nexarch/internal/config"
 	"gitea.perlbach24.de/scripte/nexarch/internal/db"
+	"gitea.perlbach24.de/scripte/nexarch/internal/httpharden"
 	"gitea.perlbach24.de/scripte/nexarch/internal/moduledirectory"
 	"gitea.perlbach24.de/scripte/nexarch/internal/svcauth"
 	"gitea.perlbach24.de/scripte/nexarch/internal/tenant"

cmd/kek-api/main.go

@@ -13,8 +13,8 @@ import (
 
 	"github.com/jackc/pgx/v5/pgxpool"
 
-	"gitea.perlbach24.de/scripte/nexarch/common/httpharden"
 	"gitea.perlbach24.de/scripte/nexarch/internal/flag"
+	"gitea.perlbach24.de/scripte/nexarch/internal/httpharden"
 	"gitea.perlbach24.de/scripte/nexarch/internal/kek"
 	"gitea.perlbach24.de/scripte/nexarch/internal/moduleregistry"
 	"gitea.perlbach24.de/scripte/nexarch/internal/tenant"

cmd/licadmin-devserver/main.go

@@ -16,10 +16,10 @@ import (
 	"os"
 	"time"
 
-	"gitea.perlbach24.de/scripte/nexarch/common/httpharden"
 	"gitea.perlbach24.de/scripte/nexarch/internal/adminapi"
 	"gitea.perlbach24.de/scripte/nexarch/internal/db"
 	"gitea.perlbach24.de/scripte/nexarch/internal/flag"
+	"gitea.perlbach24.de/scripte/nexarch/internal/httpharden"
 	"gitea.perlbach24.de/scripte/nexarch/internal/license"
 	"gitea.perlbach24.de/scripte/nexarch/internal/svcauth"
 	"gitea.perlbach24.de/scripte/nexarch/internal/usage"

cmd/metrics-devserver/main.go

@@ -10,8 +10,8 @@ import (
 	"net/http"
 	"os"
 
-	"gitea.perlbach24.de/scripte/nexarch/common/httpharden"
 	"gitea.perlbach24.de/scripte/nexarch/internal/db"
+	"gitea.perlbach24.de/scripte/nexarch/internal/httpharden"
 	"gitea.perlbach24.de/scripte/nexarch/internal/metrics"
 )
 

cmd/notify-api/main.go

@@ -12,7 +12,7 @@ import (
 
 	"github.com/jackc/pgx/v5/pgxpool"
 
-	"gitea.perlbach24.de/scripte/nexarch/common/httpharden"
+	"gitea.perlbach24.de/scripte/nexarch/internal/httpharden"
 	"gitea.perlbach24.de/scripte/nexarch/internal/notify"
 	"gitea.perlbach24.de/scripte/nexarch/internal/notifyapi"
 	"gitea.perlbach24.de/scripte/nexarch/internal/notifyprefs"

cmd/notifyprefs-api/main.go

@@ -18,8 +18,8 @@ import (
 
 	"github.com/jackc/pgx/v5/pgxpool"
 
-	"gitea.perlbach24.de/scripte/nexarch/common/httpharden"
 	"gitea.perlbach24.de/scripte/nexarch/internal/auth"
+	"gitea.perlbach24.de/scripte/nexarch/internal/httpharden"
 	"gitea.perlbach24.de/scripte/nexarch/internal/moduletrust"
 	"gitea.perlbach24.de/scripte/nexarch/internal/notifyprefs"
 )

cmd/policy-api/main.go

@@ -15,8 +15,8 @@ import (
 
 	"github.com/jackc/pgx/v5/pgxpool"
 
-	"gitea.perlbach24.de/scripte/nexarch/common/httpharden"
 	"gitea.perlbach24.de/scripte/nexarch/internal/flag"
+	"gitea.perlbach24.de/scripte/nexarch/internal/httpharden"
 	"gitea.perlbach24.de/scripte/nexarch/internal/policy"
 	"gitea.perlbach24.de/scripte/nexarch/internal/policyapi"
 )

cmd/rbac-admin-api/main.go

@@ -18,8 +18,8 @@ import (
 
 	"github.com/jackc/pgx/v5/pgxpool"
 
-	"gitea.perlbach24.de/scripte/nexarch/common/httpharden"
 	"gitea.perlbach24.de/scripte/nexarch/internal/auth"
+	"gitea.perlbach24.de/scripte/nexarch/internal/httpharden"
 	"gitea.perlbach24.de/scripte/nexarch/internal/moduletrust"
 	"gitea.perlbach24.de/scripte/nexarch/internal/rbac"
 )

cmd/resync-api/main.go

@@ -13,9 +13,9 @@ import (
 
 	"github.com/jackc/pgx/v5/pgxpool"
 
-	"gitea.perlbach24.de/scripte/nexarch/common/httpharden"
 	"gitea.perlbach24.de/scripte/nexarch/internal/audit"
 	"gitea.perlbach24.de/scripte/nexarch/internal/flag"
+	"gitea.perlbach24.de/scripte/nexarch/internal/httpharden"
 	"gitea.perlbach24.de/scripte/nexarch/internal/moduleregistry"
 	"gitea.perlbach24.de/scripte/nexarch/internal/resync"
 	"gitea.perlbach24.de/scripte/nexarch/internal/usage"

cmd/secheaders-devserver/main.go

@@ -10,7 +10,7 @@ import (
 	"net/http"
 	"os"
 
-	"gitea.perlbach24.de/scripte/nexarch/common/httpharden"
+	"gitea.perlbach24.de/scripte/nexarch/internal/httpharden"
 	"gitea.perlbach24.de/scripte/nexarch/internal/secheaders"
 )
 

cmd/statuspage-devserver/main.go

@@ -11,8 +11,8 @@ import (
 	"strconv"
 	"time"
 
-	"gitea.perlbach24.de/scripte/nexarch/common/httpharden"
 	"gitea.perlbach24.de/scripte/nexarch/internal/db"
+	"gitea.perlbach24.de/scripte/nexarch/internal/httpharden"
 	"gitea.perlbach24.de/scripte/nexarch/internal/statuspage"
 )
 

cmd/tenantadmin-devserver/main.go

@@ -12,9 +12,9 @@ import (
 	"net/http"
 	"os"
 
-	"gitea.perlbach24.de/scripte/nexarch/common/httpharden"
 	"gitea.perlbach24.de/scripte/nexarch/internal/audit"
 	"gitea.perlbach24.de/scripte/nexarch/internal/db"
+	"gitea.perlbach24.de/scripte/nexarch/internal/httpharden"
 	"gitea.perlbach24.de/scripte/nexarch/internal/svcauth"
 	"gitea.perlbach24.de/scripte/nexarch/internal/tenant"
 	"gitea.perlbach24.de/scripte/nexarch/internal/tenantadmin"

common/go.mod

@@ -1,3 +0,0 @@
-module gitea.perlbach24.de/scripte/nexarch/common
-
-go 1.25.0

connect/go.mod

@@ -13,7 +13,3 @@ require (
 	golang.org/x/sync v0.17.0 // indirect
 	golang.org/x/text v0.29.0 // indirect
 )
-
-require gitea.perlbach24.de/scripte/nexarch/common v0.0.0
-
-replace gitea.perlbach24.de/scripte/nexarch/common => ../common

connect/internal/archiveclient/archiveclient.go

@@ -12,7 +12,7 @@ import (
 	"fmt"
 	"net/http"
 
-	"gitea.perlbach24.de/scripte/nexarch/common/httpclient"
+	"gitea.perlbach24.de/scripte/nexarch/connect/internal/httpclient"
 )
 
 type Client struct {

connect/internal/auditclient/auditclient.go

@@ -12,7 +12,7 @@ import (
 	"fmt"
 	"net/http"
 
-	"gitea.perlbach24.de/scripte/nexarch/common/httpclient"
+	"gitea.perlbach24.de/scripte/nexarch/connect/internal/httpclient"
 )
 
 type Client struct {

connect/internal/audittrail/audittrail.go

@@ -19,7 +19,7 @@ import (
 
 	"github.com/jackc/pgx/v5/pgxpool"
 
-	"gitea.perlbach24.de/scripte/nexarch/common/auditclient"
+	"gitea.perlbach24.de/scripte/nexarch/connect/internal/auditclient"
 )
 
 type Recorder struct {

connect/internal/audittrail/audittrail_test.go

@@ -11,7 +11,7 @@ import (
 
 	"github.com/jackc/pgx/v5/pgxpool"
 
-	"gitea.perlbach24.de/scripte/nexarch/common/auditclient"
+	"gitea.perlbach24.de/scripte/nexarch/connect/internal/auditclient"
 )
 
 func setupOutboxTest(t *testing.T) *pgxpool.Pool {

connect/internal/backupconnector/backupconnector.go

@@ -26,8 +26,8 @@ import (
 	"strings"
 	"time"
 
-	"gitea.perlbach24.de/scripte/nexarch/common/httpclient"
 	"gitea.perlbach24.de/scripte/nexarch/connect/internal/crypto"
+	"gitea.perlbach24.de/scripte/nexarch/connect/internal/httpclient"
 	"gitea.perlbach24.de/scripte/nexarch/connect/internal/registry"
 )
 

connect/internal/backupconnector/backupconnector_test.go

@@ -20,18 +20,15 @@ import (
 	"gitea.perlbach24.de/scripte/nexarch/connect/internal/registry"
 	"gitea.perlbach24.de/scripte/nexarch/connect/internal/syncjob"
 	"gitea.perlbach24.de/scripte/nexarch/connect/internal/testdb"
+	"gitea.perlbach24.de/scripte/nexarch/connect/internal/testutil"
 )
 
-type fakeKEK struct{ key []byte }
-
-func (f *fakeKEK) TenantKEK(_ context.Context, _ string) ([]byte, error) { return f.key, nil }
-
-func newTestKEK() *fakeKEK {
+func newTestKEK() *testutil.FakeKEK {
 	key := make([]byte, crypto.KEKSize)
 	for i := range key {
 		key[i] = byte(i + 7)
 	}
-	return &fakeKEK{key: key}
+	return &testutil.FakeKEK{KEK: key}
 }
 
 // mockS3 is a minimal S3-compatible test double: it requires a well-formed
@@ -170,7 +167,7 @@ func TestClient_ExportIsEncryptedInTransit(t *testing.T) {
 		t.Fatalf("decrypted = %q, want %q", opened, plaintext)
 	}
 
-	wrongKEK := &fakeKEK{key: make([]byte, crypto.KEKSize)}
+	wrongKEK := &testutil.FakeKEK{KEK: make([]byte, crypto.KEKSize)}
 	wrongSvc := crypto.NewService(wrongKEK)
 	if _, err := wrongSvc.Open(context.Background(), "acme", &crypto.Sealed{
 		Ciphertext: env.Ciphertext, WrappedDEK: env.WrappedDEK,

connect/internal/connectorsetupapi/connectorsetupapi_test.go

@@ -18,14 +18,9 @@ import (
 	"gitea.perlbach24.de/scripte/nexarch/connect/internal/fieldmapping"
 	"gitea.perlbach24.de/scripte/nexarch/connect/internal/migrate"
 	"gitea.perlbach24.de/scripte/nexarch/connect/internal/testdb"
+	"gitea.perlbach24.de/scripte/nexarch/connect/internal/testutil"
 )
 
-type fakeKEK struct{ kek []byte }
-
-func (f *fakeKEK) TenantKEK(ctx context.Context, tenantSlug string) ([]byte, error) {
-	return f.kek, nil
-}
-
 func newTestServer(t *testing.T) *http.ServeMux {
 	t.Helper()
 	dsn := os.Getenv("TEST_TENANT_DSN")
@@ -44,7 +39,7 @@ func newTestServer(t *testing.T) *http.ServeMux {
 	if _, err := migrate.Up(context.Background(), pool, migrations); err != nil {
 		t.Fatalf("migrationen anwenden: %v", err)
 	}
-	cryptoSvc := connectcrypto.NewService(&fakeKEK{kek: bytes.Repeat([]byte{0x11}, connectcrypto.KEKSize)})
+	cryptoSvc := connectcrypto.NewService(&testutil.FakeKEK{KEK: bytes.Repeat([]byte{0x11}, connectcrypto.KEKSize)})
 	s := NewServer(credential.NewStore(pool, cryptoSvc), fieldmapping.NewStore(pool))
 	mux := http.NewServeMux()
 	s.RegisterRoutes(mux)

connect/internal/contracttest/contracttest_test.go

@@ -16,6 +16,7 @@ import (
 	connectcrypto "gitea.perlbach24.de/scripte/nexarch/connect/internal/crypto"
 	"gitea.perlbach24.de/scripte/nexarch/connect/internal/migrate"
 	"gitea.perlbach24.de/scripte/nexarch/connect/internal/testdb"
+	"gitea.perlbach24.de/scripte/nexarch/connect/internal/testutil"
 	"gitea.perlbach24.de/scripte/nexarch/connect/internal/webhookclient"
 	"gitea.perlbach24.de/scripte/nexarch/connect/internal/webhooksub"
 )
@@ -165,9 +166,6 @@ func TestContract_DeliverySignatureHeader_MatchesDocumentedName(t *testing.T) {
 	}
 }
 
-type fakeKEK struct{ kek []byte }
-
-func (f *fakeKEK) TenantKEK(context.Context, string) ([]byte, error) { return f.kek, nil }
 
 // fakeCoreWebhookAPI reicht fuer Vertrag 4 aus, um ein echtes, von Connect
 // generiertes Geheimnis an Core "weiterzugeben" -- dasselbe, ausdruecklich
@@ -221,7 +219,7 @@ func setupDeliveryContractTest(t *testing.T) deliveryContractEnv {
 	fakeCore, coreSecret := newFakeCoreForDeliveryContract()
 	t.Cleanup(fakeCore.Close)
 
-	cryptoSvc := connectcrypto.NewService(&fakeKEK{kek: make([]byte, connectcrypto.KEKSize)})
+	cryptoSvc := connectcrypto.NewService(&testutil.FakeKEK{KEK: make([]byte, connectcrypto.KEKSize)})
 	mgr := webhooksub.NewManager(pool, cryptoSvc, webhookclient.New(fakeCore.URL, "svc-token-test"), "https://connect.example.test/connector-webhooks/deliveries")
 	return deliveryContractEnv{Manager: mgr, FakeCore: fakeCore, coreSecret: coreSecret}
 }

connect/internal/credential/credential_test.go

@@ -13,20 +13,15 @@ import (
 
 	"github.com/jackc/pgx/v5/pgxpool"
 
-	"gitea.perlbach24.de/scripte/nexarch/common/auditclient"
+	"gitea.perlbach24.de/scripte/nexarch/connect/internal/auditclient"
 	"gitea.perlbach24.de/scripte/nexarch/connect/internal/audittrail"
 	"gitea.perlbach24.de/scripte/nexarch/connect/internal/credential"
 	connectcrypto "gitea.perlbach24.de/scripte/nexarch/connect/internal/crypto"
 	"gitea.perlbach24.de/scripte/nexarch/connect/internal/migrate"
 	"gitea.perlbach24.de/scripte/nexarch/connect/internal/testdb"
+	"gitea.perlbach24.de/scripte/nexarch/connect/internal/testutil"
 )
 
-type fakeKEK struct{ kek []byte }
-
-func (f *fakeKEK) TenantKEK(ctx context.Context, tenantSlug string) ([]byte, error) {
-	return f.kek, nil
-}
-
 func setup(t *testing.T) (*credential.Store, *pgxpool.Pool) {
 	t.Helper()
 	dsn := os.Getenv("TEST_TENANT_DSN")
@@ -44,7 +39,7 @@ func setup(t *testing.T) (*credential.Store, *pgxpool.Pool) {
 		t.Fatalf("migrationen anwenden: %v", err)
 	}
 
-	cryptoSvc := connectcrypto.NewService(&fakeKEK{kek: bytes.Repeat([]byte{0x11}, connectcrypto.KEKSize)})
+	cryptoSvc := connectcrypto.NewService(&testutil.FakeKEK{KEK: bytes.Repeat([]byte{0x11}, connectcrypto.KEKSize)})
 	store := credential.NewStore(pool, cryptoSvc)
 	return store, pool
 }
@@ -119,7 +114,7 @@ func TestStore_WrongKeyFailsClosed(t *testing.T) {
 		t.Fatalf("put: %v", err)
 	}
 
-	wrongKEK := connectcrypto.NewService(&fakeKEK{kek: bytes.Repeat([]byte{0x22}, connectcrypto.KEKSize)})
+	wrongKEK := connectcrypto.NewService(&testutil.FakeKEK{KEK: bytes.Repeat([]byte{0x22}, connectcrypto.KEKSize)})
 	wrongStore := credential.NewStore(pool, wrongKEK)
 	if _, _, _, err := wrongStore.Get(ctx, ref); !errors.Is(err, connectcrypto.ErrDecryptFailed) {
 		t.Fatalf("erwartet ErrDecryptFailed, habe %v", err)

connect/internal/crmconnector/crmconnector.go

@@ -14,8 +14,8 @@ import (
 	"io"
 	"net/http"
 
-	"gitea.perlbach24.de/scripte/nexarch/common/httpclient"
 	"gitea.perlbach24.de/scripte/nexarch/connect/internal/credential"
+	"gitea.perlbach24.de/scripte/nexarch/connect/internal/httpclient"
 	"gitea.perlbach24.de/scripte/nexarch/connect/internal/registry"
 )
 

connect/internal/crypto/kekprovider.go

@@ -13,7 +13,7 @@ import (
 	"net/http"
 	"net/url"
 
-	"gitea.perlbach24.de/scripte/nexarch/common/httpclient"
+	"gitea.perlbach24.de/scripte/nexarch/connect/internal/httpclient"
 )
 
 // tenantKEKResponse mirrors Core internal/kek.tenantKEKResponse (JSON

connect/internal/erpconnector/erpconnector.go

@@ -14,8 +14,8 @@ import (
 	"io"
 	"net/http"
 
-	"gitea.perlbach24.de/scripte/nexarch/common/httpclient"
 	"gitea.perlbach24.de/scripte/nexarch/connect/internal/credential"
+	"gitea.perlbach24.de/scripte/nexarch/connect/internal/httpclient"
 	"gitea.perlbach24.de/scripte/nexarch/connect/internal/registry"
 )
 

connect/internal/httpclient/httpclient.go

@@ -0,0 +1,25 @@
+// Package httpclient liefert den HTTP-Client fuer ausgehende Dienstaufrufe
+// (Muster aus archive/internal/httpclient, QA-15 F-11): Zeitlimit statt
+// endlosem Warten, keine Weiterleitungen (ein Service-Token wuerde sonst an
+// das Weiterleitungsziel mitgesendet).
+package httpclient
+
+import (
+	"net/http"
+	"time"
+)
+
+const DefaultTimeout = 15 * time.Second
+
+var shared = New(DefaultTimeout)
+
+func Default() *http.Client { return shared }
+
+func New(timeout time.Duration) *http.Client {
+	return &http.Client{
+		Timeout: timeout,
+		CheckRedirect: func(*http.Request, []*http.Request) error {
+			return http.ErrUseLastResponse
+		},
+	}
+}

connect/internal/httpclient/httpclient_test.go

@@ -0,0 +1,54 @@
+package httpclient
+
+import (
+	"net/http"
+	"net/http/httptest"
+	"strings"
+	"testing"
+	"time"
+)
+
+func TestDefaultHasTimeout(t *testing.T) {
+	if Default().Timeout != DefaultTimeout || DefaultTimeout <= 0 {
+		t.Fatalf("timeout = %s", Default().Timeout)
+	}
+}
+
+func TestClientGivesUpOnHangingServer(t *testing.T) {
+	release := make(chan struct{})
+	srv := httptest.NewServer(http.HandlerFunc(func(w http.ResponseWriter, r *http.Request) { <-release }))
+	defer srv.Close()
+	defer close(release)
+
+	start := time.Now()
+	resp, err := New(200 * time.Millisecond).Get(srv.URL)
+	if err == nil {
+		_ = resp.Body.Close()
+		t.Fatal("kein fehler bei haengendem server")
+	}
+	if elapsed := time.Since(start); elapsed > 5*time.Second {
+		t.Fatalf("aufruf dauerte %s", elapsed)
+	}
+}
+
+func TestClientDoesNotFollowRedirects(t *testing.T) {
+	target := httptest.NewServer(http.HandlerFunc(func(w http.ResponseWriter, r *http.Request) {
+		t.Error("weiterleitungsziel wurde aufgerufen (Service-Token-Leck)")
+	}))
+	defer target.Close()
+	redirector := httptest.NewServer(http.HandlerFunc(func(w http.ResponseWriter, r *http.Request) {
+		http.Redirect(w, r, target.URL, http.StatusTemporaryRedirect)
+	}))
+	defer redirector.Close()
+
+	req, _ := http.NewRequest(http.MethodPost, redirector.URL, strings.NewReader("x"))
+	req.Header.Set("X-Service-Token", "geheim")
+	resp, err := Default().Do(req)
+	if err != nil {
+		t.Fatalf("do: %v", err)
+	}
+	defer func() { _ = resp.Body.Close() }()
+	if resp.StatusCode != http.StatusTemporaryRedirect {
+		t.Fatalf("status = %d, erwartet 307", resp.StatusCode)
+	}
+}

connect/internal/m365connector/m365connector.go

@@ -18,8 +18,8 @@ import (
 	"strings"
 	"time"
 
-	"gitea.perlbach24.de/scripte/nexarch/common/httpclient"
 	"gitea.perlbach24.de/scripte/nexarch/connect/internal/credential"
+	"gitea.perlbach24.de/scripte/nexarch/connect/internal/httpclient"
 	"gitea.perlbach24.de/scripte/nexarch/connect/internal/registry"
 )
 

connect/internal/m365connector/m365connector_test.go

@@ -16,14 +16,9 @@ import (
 	"gitea.perlbach24.de/scripte/nexarch/connect/internal/migrate"
 	"gitea.perlbach24.de/scripte/nexarch/connect/internal/testcorpus"
 	"gitea.perlbach24.de/scripte/nexarch/connect/internal/testdb"
+	"gitea.perlbach24.de/scripte/nexarch/connect/internal/testutil"
 )
 
-type fakeKEK struct{ kek []byte }
-
-func (f *fakeKEK) TenantKEK(ctx context.Context, tenantSlug string) ([]byte, error) {
-	return f.kek, nil
-}
-
 func setupCredentialStore(t *testing.T) *credential.Store {
 	t.Helper()
 	dsn := os.Getenv("TEST_TENANT_DSN")
@@ -41,7 +36,7 @@ func setupCredentialStore(t *testing.T) *credential.Store {
 		t.Fatalf("migrationen anwenden: %v", err)
 	}
 
-	cryptoSvc := connectcrypto.NewService(&fakeKEK{kek: make([]byte, connectcrypto.KEKSize)})
+	cryptoSvc := connectcrypto.NewService(&testutil.FakeKEK{KEK: make([]byte, connectcrypto.KEKSize)})
 	return credential.NewStore(pool, cryptoSvc)
 }
 

connect/internal/statusapi/statusapi.go

@@ -11,7 +11,7 @@ import (
 	"net/http"
 	"time"
 
-	"gitea.perlbach24.de/scripte/nexarch/common/policyclient"
+	"gitea.perlbach24.de/scripte/nexarch/connect/internal/policyclient"
 	"gitea.perlbach24.de/scripte/nexarch/connect/internal/syncjob"
 )
 

connect/internal/statusapi/statusapi_policy_test.go

@@ -6,7 +6,7 @@ import (
 	"net/http/httptest"
 	"testing"
 
-	"gitea.perlbach24.de/scripte/nexarch/common/policyclient"
+	"gitea.perlbach24.de/scripte/nexarch/connect/internal/policyclient"
 )
 
 // newFakePolicyAPI steht fuer Core's echten POST /authorize-Vertrag (nimmt

connect/internal/syncjob/qa02_fault_injection_test.go

@@ -9,7 +9,7 @@ import (
 	"testing"
 	"time"
 
-	"gitea.perlbach24.de/scripte/nexarch/common/auditclient"
+	"gitea.perlbach24.de/scripte/nexarch/connect/internal/auditclient"
 	"gitea.perlbach24.de/scripte/nexarch/connect/internal/audittrail"
 	"gitea.perlbach24.de/scripte/nexarch/connect/internal/credential"
 	"gitea.perlbach24.de/scripte/nexarch/connect/internal/erpconnector"

connect/internal/syncjob/syncjob_test.go

@@ -13,7 +13,7 @@ import (
 
 	"github.com/jackc/pgx/v5/pgxpool"
 
-	"gitea.perlbach24.de/scripte/nexarch/common/auditclient"
+	"gitea.perlbach24.de/scripte/nexarch/connect/internal/auditclient"
 	"gitea.perlbach24.de/scripte/nexarch/connect/internal/audittrail"
 	"gitea.perlbach24.de/scripte/nexarch/connect/internal/migrate"
 	"gitea.perlbach24.de/scripte/nexarch/connect/internal/testdb"