Release Notes

• Papierkorb für Magazine, Serien, Ausgaben und Kontaktvorgänge
• Wiederherstellen und endgültiges Löschen mit Rechteprüfung
• Magazin-Löschung erhält zugehörige Serien/Ausgaben als gemeinsam wiederherstellbaren Löschvorgang
• Änderungsprotokoll speichert bei zentralen Änderungen Vorher-/Nachher-Zustände
• Audit-Metadaten mit Request-ID und pseudonymisiertem IP-Hash
• Gelöschte Inhalte werden in Suche, Sammlung und öffentlichen Ansichten ausgeblendet

Sammlungsassistent & Datenqualität:
• Neuer Sammlungsassistent zeigt unvollständige Serien, nahezu vollständige Serien und konkret fehlende Ausgaben.
• Neues Datenqualitäts-Center findet fehlende Cover/Datumsangaben, defekte Cover-Dateien, Jahr-/Datumswidersprüche, mögliche Dubletten und plausible Nummernlücken in Serien.
• Problematische Ausgaben lassen sich direkt aus dem Datenqualitäts-Center in der Bearbeitung öffnen.
• Backup-Automation ist als sichere, standardmäßig deaktivierte Wartungsfunktion vorbereitet. Nach Aktivierung erzeugt der CLI-Wartungslauf Backups, prüft sie automatisch und wendet eine tägliche/wöchentliche/monatliche Aufbewahrung an.
• Systemstatus, Hilfe und PWA wurden auf 2.8.0 erweitert.

Systemstatus & mobile Administration:
• Warnungen und Fehler werden im Systemstatus jetzt zusätzlich oben als Handlungsbedarf angezeigt und nicht mehr zwischen OK-Prüfungen versteckt.
• Die vollständige Prüfliste sortiert Fehler und Warnungen vor den OK-Meldungen.
• Warnungen heißen sichtbar „WARNUNG“ statt nur „Hinweis“.
• Die aktive Registerkarte der Administration wird hervorgehoben und auf Mobilgeräten automatisch in die Mitte der horizontalen Navigation gescrollt.
• Die mobile Admin-Navigation erhält eine ruhigere, besser erkennbare Scroll-Darstellung.

Produktionsbetrieb:
• Neuer Systemstatus prüft PHP-Erweiterungen, HTTPS, privaten Storage, Backups, Datenintegrität und Admin-MFA.
• Backups liegen in privatem Storage, erhalten Prüfsummen/Manifest und können im Adminbereich geprüft werden.
• CSV-Import verarbeitet ungültige Datumswerte robust; Datumsbereiche wie 01.-03.10.2008 blockieren keine komplette Zeile mehr.
• Suche berücksichtigt jetzt Serien.
• Kontaktvorgänge erhalten Zuweisung, interne Notizen und eine bessere Suche.
• Medienbibliothek besitzt eine eigene Berechtigung statt pauschalem Adminzugriff.
• Zusätzlicher CLI-Test tests/production_readiness.php sowie Produktions- und Restore-Dokumentation.

- TOTP-Zwei-Faktor-Authentifizierung für Administratorkonten
- Wiederherstellungscodes für MFA
- Sicherheits-Dashboard mit Session-, MFA- und Login-Kennzahlen
- Automatisierte Authorization-Selbsttests für kritische Zugriffspfade
- 30-Tage-Anmeldung für Administratoren deaktiviert

Sicherheit:
• Neue Passwörter verwenden Argon2id, sofern die PHP-Installation es unterstützt; bestehende Hashes werden bei erfolgreicher Anmeldung schrittweise neu gehasht.
• Passwortlänge auf 15 bis 128 Zeichen gehärtet.
• Login-Schutz verwendet gestaffelte Verzögerungen plus IP-Limit, ohne dass blockierte Versuche die Sperre endlos verlängern.
• Passwort-Reset ist pro Konto und IP rate-limitiert.
• Logout ist nur noch per POST mit CSRF-Schutz möglich.
• Sicherheitsheader ergänzt: HSTS über HTTPS, no-referrer, nosniff, DENY-Framing, Permissions-Policy und eine kompatible CSP-Basis.

Sicherheit:
• Serverseitig verwaltete Sitzungen mit Idle- und absolutem Timeout.
• Administrator-Sitzungen laufen nach 30 Minuten Inaktivität bzw. spätestens nach 8 Stunden ab; Herausgeber nach 1/12 Stunden; normale Benutzer nach 2/24 Stunden.
• Passwort- und E-Mail-Änderungen verlangen eine erneute Passwortbestätigung und rotieren die Sitzung.
• Passwortänderungen und Passwort-Reset widerrufen bestehende Sitzungen und 30-Tage-Tokens.
• Neue Geräte-/Sitzungsverwaltung ermöglicht das gezielte Abmelden einzelner oder aller anderen Sitzungen.

Sicherheit:
• Admin-Aktionen werden jetzt unabhängig von der aufgerufenen Seite serverseitig auf die erforderliche Capability geprüft.
• Unbekannte Admin-Aktionen werden standardmäßig verweigert (deny by default).
• Das alte users.role-Feld ist keine Autorisierungsquelle mehr; Rollen und Rechte laufen ausschließlich über das zentrale Rollenmodell.
• Die Such-API ist nur noch nach Anmeldung erreichbar.
• Nachrichten-Anhänge werden in privaten Storage verschoben und ausschließlich nach Berechtigungsprüfung ausgeliefert.

Neu:
• Nachrichten aus der öffentlichen Kontaktseite werden zusätzlich dauerhaft als Kontaktvorgang im Adminbereich gespeichert.
• E-Mail-Adresse, Betreff, Nachricht, Referenznummer und – bei angemeldeten Nutzern – der Nickname sind im Vorgang sichtbar.
• Direkte Kontaktanfragen und über die Kontakt-API übernommene Vorgänge werden gemeinsam unter Admin → Kontaktvorgänge angezeigt.
• Der Bearbeitungsstatus kann weiterhin auf Neu, In Bearbeitung, Warten auf Antwort, Beantwortet, Erledigt oder Archiviert gesetzt werden.

Verbessert:
• Eine Kontaktanfrage geht auch dann nicht verloren, wenn die E-Mail-Benachrichtigung vorübergehend fehlschlägt.

Neu:
• Geschützte Kontakt-API für die Übergabe von Vorgängen aus lukas2006.de.
• Externe Anfragen erhalten eine eigene FanzineDB-Vorgangsnummer und behalten die ursprüngliche Referenz.
• Adminbereich für externe Kontaktvorgänge und API-Protokoll.
• API-Token kann erzeugt, erneuert und die Schnittstelle separat aktiviert werden.

Sicherheit:
• API-Token wird ausschließlich als SHA-256-Hash gespeichert.
• Doppelte Übergaben mit derselben Quellreferenz erzeugen keinen zweiten Vorgang.

Behoben:
• CSV-Import erkennt automatisch Komma, Semikolon oder Tabulator als Trennzeichen
• Die Spalte Serie wird dadurch auch bei komma-getrennten CSV-Dateien korrekt zugeordnet
• Datumswerte wie 29.01.2008 werden automatisch in das Datenbankformat umgewandelt
• Importvorschau verwendet dasselbe erkannte Trennzeichen wie der eigentliche Import

Behoben:
• CSV-Dateien werden direkt nach der Auswahl serverseitig zwischengespeichert
• Android-/Chrome-Fehler ERR_UPLOAD_FILE_CHANGED wird dadurch umgangen
• Importvorschau wird aus der zwischengespeicherten Datei erzeugt
• Serienzuordnung und automatisches Anlegen fehlender Serien bleiben erhalten

Verbessert:
• Desktop-Kopfleiste bleibt vollständig sichtbar und kann bei wenig Platz sauber umbrechen
• CSV-Import unterstützt jetzt die Spalte Serie
• Bestehende Serien werden automatisch anhand des Namens erkannt
• Fehlende Serien können beim Import automatisch angelegt werden
• Neue Importvorschau für die ersten CSV-Zeilen

Geändert:
• Die öffentliche Seite heißt jetzt Magazine & Bezugsquellen
• Magazine und Herausgeber werden ausschließlich neutral dargestellt
• Öffentliche Status- und Zustimmungskennzeichnungen wurden entfernt
• Neue neutrale Angaben für Website, Shop, PDF-Angebot und Veröffentlichungsstatus
• Verwaltungsdaten zu Kontaktwegen und Nutzungsrechten bleiben ausschließlich intern
• Bestehende öffentliche Texte, Hilfeinhalte und Release Notes wurden sprachlich vereinheitlicht

Geändert:
• Startseite und Sammlung sind nur noch nach der Anmeldung erreichbar
• Suche, Magazine, Profile und sämtliche internen Bereiche sind vor öffentlichen Zugriffen geschützt
• Öffentlich bleiben: Über FanzineDB, Impressum, Datenschutz, Kontakt, Für Herausgeber, Fanzine einreichen, Magazine & Bezugsquellen und Release Notes
• Anmeldung, Registrierung und Passwort-Zurücksetzen bleiben technisch erreichbar
• Dynamische Seiten werden nicht mehr im PWA-Seitencache gespeichert

Behoben:
• Das Fragezeichen öffnet die seitenspezifische Hilfe jetzt zuverlässig
• Die Hilfe verwendet ein natives Dialogfenster und ist nicht mehr vom zwischengespeicherten JavaScript abhängig
• Schließen über Verstanden, das Kreuz, Escape oder einen Klick außerhalb des Fensters
• Hilfe-Center bleibt direkt aus dem Dialog erreichbar

Neu:
• Fortlaufende Hilfe über ein Fragezeichen auf allen wichtigen Seiten
• Seitenspezifische Erklärungen für Suche, Sammlung, Magazine, Favoriten, Benachrichtigungen, Freunde, Kontakt und Fanzine einreichen
• Eigene Hilfetexte für die Verwaltungsseiten
• Neues Hilfe-Center mit Übersicht aller Erklärungen
• Willkommens-Assistent kann weiterhin jederzeit neu gestartet werden

Neu:
• Willkommens-Assistent erklärt jetzt die einzelnen Bereiche von FanzineDB
• Eigene Schritte für Suche, Sammlung, Magazinseiten, Favoriten, Benachrichtigungen und Freunde
• Kontaktseite und Fanzine einreichen wurden ergänzt
• Direkte Schaltflächen öffnen die jeweils erklärte Seite
• Assistent kann jederzeit übersprungen und im Profil erneut gestartet werden

Behoben:
• Update-Dateien liegen direkt im Hauptverzeichnis und überschreiben die Installation korrekt
• Versionsanzeige wurde auf 2.3.1 aktualisiert
• Release Notes für den Willkommens-Assistenten werden zuverlässig angelegt
• Willkommens-Assistent erscheint beim ersten Login und kann im Profil erneut geöffnet werden

Neu:
• Kurzer Willkommens-Assistent beim ersten Login
• Einführung in Magazine, Sammlung, Abonnements und Freunde
• Assistent kann unter Profil erneut geöffnet werden
• Eigener Abschluss-Hinweis für Beta-Tester

Behoben:
• Serien, Partner, Rechtliches, CSV-Import, E-Mails, Protokoll und Backups sind wieder erreichbar.
• Fehlende Adminansichten wurden wiederhergestellt.
• Routen und Rechteprüfungen wurden vereinheitlicht.

• Verbesserte und sichere Fehlermeldungen bei der Anmeldung
• Eindeutige Fehler-ID bei fehlgeschlagenen Anmeldungen
• Neues Anmeldeprotokoll für Administratoren
• Erkennung von Konten im Papierkorb und zu vielen Fehlversuchen
• Technische Loginfehler werden nachvollziehbar protokolliert

• Passwort-Reset auf ein robustes Ein-Token-Verfahren umgestellt
• Keine Abhängigkeit mehr von der separaten Reset-Token-Tabelle
• Alte Reset-Verfahren werden automatisch bereinigt
• Hinweis gegen veraltete Browser-Autofill-Passwörter ergänzt
• Login- und Reset-Ablauf weiter abgesichert

• Release-Notes-Listen werden mit echten Zeilenumbrüchen dargestellt
• Fehlerhafte Anzeige von Backslash-n-Zeichen im Eintrag 2.2.4 korrigiert
• Versionsnummer in Footer und System auf 2.2.5 vereinheitlicht
• PWA-Cache aktualisiert

• Neuer einmalig verwendbarer Passwort-Reset-Link
• Reset-Link ist zwei Stunden gültig
• Gültigkeitsprüfung bereits vor Anzeige des Formulars
• Passwortbestätigung ergänzt
• Verständlichere Fehlermeldungen
• Alte Reset-Links werden bei einer neuen Anforderung ungültig

Verbessert:
• Der vollständige Name FanzineDB bleibt im Desktop-Header sichtbar.
• Logo, Abstände und Headerhöhe wurden kompakter gestaltet.
• Bei wenig Platz scrollt die Desktop-Navigation horizontal, statt den Projektnamen abzuschneiden.
• Der Theme-Schalter ist sauber ausgerichtet.

Verbessert:
• Das mobile Mehr-Menü wurde deutlich aufgeräumt.
• Über FanzineDB, Impressum, Datenschutz, Kontakt, Für Herausgeber, Fanzine einreichen, Magazine & Bezugsquellen sowie Release Notes sind weiterhin im Footer erreichbar, werden aber nicht mehr doppelt im mobilen Menü angezeigt.
• Im mobilen Menü bleiben nur zentrale Konto- und App-Funktionen wie Profil, Freunde, Nachrichten, Benachrichtigungen, Herausgeberbereich, Administration, Medienbibliothek, Farbschema, App-Installation und Abmelden.

Behoben:
• Freundschaftsanfragen können jetzt auch an Nutzer mit privatem Profil gesendet werden.
• Private Nutzer sind ausschließlich über die gezielte Nickname-Suche auffindbar, sofern sie Freundschaftsanfragen erlauben.
• Private Profildaten und Sammlungen bleiben bis zur Freigabe verborgen.
• Serverseitige Berechtigungsprüfung für Freundschaftsanfragen bleibt aktiv.

Datenschutz:
• Es gibt weiterhin kein öffentliches Nutzerverzeichnis.
• Wer Freundschaftsanfragen deaktiviert, ist über die Freunde-Suche nicht kontaktierbar.

Neu:
• Optionale öffentliche Profilseiten mit teilbarem Profil-Link.
• Freunde-Funktion mit Anfragen, Annahme, Ablehnung, Entfernen und Blockieren.
• Freunde finden über die Nickname-Suche – ohne öffentliches Nutzerverzeichnis.
• Separate Privatsphäre-Einstellungen für öffentliche Besucher und Freunde.
• Öffentliche beziehungsweise für Freunde erfasste Sammlungsansicht.
• Favoriten und Sammlungsstatistiken können gezielt erfasst werden.

Datenschutz:
• E-Mail-Adressen, Rollen, Nachrichten und interne Daten bleiben immer unsichtbar.

Neu:
• Die Testoption auf der Seite Fanzine einreichen ist nur noch für Administratoren und Beta-Tester sichtbar.
• Die Standardrolle Beta-Tester wird automatisch angelegt.

Sicherheit:
• Die Testkennzeichnung wird serverseitig geprüft und kann von anderen Nutzern nicht durch manipulierte Formulardaten gesetzt werden.

Neu:
• Die Testkennzeichnung ist direkt in beiden öffentlichen Formularen auf der Seite Fanzine einreichen verfügbar.
• Testeinreichungen benötigen keine Aktivierung im Adminbereich.

Geändert:
• Die separaten Testmodus-Einstellungen und Test-Erstellen-Buttons im Adminbereich wurden entfernt.
• Testanfragen bleiben in der Administration klar gekennzeichnet und filterbar.
• Test-E-Mails werden an die normale FanzineDB-Kontaktadresse gesendet.

Neu:
• Testkennzeichnung direkt in den normalen Herausgeber- und Community-Formularen.
• Testanfragen erhalten TEST-Referenznummern und deutlich gekennzeichnete E-Mails.
• Filter für echte Anfragen und Testanfragen in der Administration.

Verbessert:
• Der öffentliche Menüpunkt heißt jetzt Fanzine einreichen.
• Testanfragen werden an den konfigurierten Testempfänger gesendet und können nicht als Magazin übernommen werden.

Neu:
• Anfragen können in einen Papierkorb verschoben und wiederhergestellt werden.
• Endgültiges Löschen von Anfragen inklusive personenbezogener Formulardaten.
• Testanfragen für Herausgeber und Community können direkt im Adminbereich erzeugt werden.
• Testanfragen sind klar gekennzeichnet und können gesammelt gelöscht werden.

Verbessert:
• Eigener Papierkorb-Filter in der Anfragenverwaltung.
• Testmodus-Einstellungen für Test-E-Mails und Testempfänger.