chore: release v1.2.2

AGENTS.md

@@ -0,0 +1,271 @@
+# Arbeitsanweisung für Agenten
+
+Diese Datei gilt für das gesamte Repository. Lies sie vor Änderungen am Projekt vollständig.
+
+## Release-Grundsätze
+
+- Veröffentliche nur, wenn der Benutzer das Release ausdrücklich freigegeben hat.
+- Verwende Semantic Versioning mit führendem `v`, beispielsweise `v1.2.2`.
+- Bestehende Tags und veröffentlichte Versions-Images werden niemals verschoben, überschrieben oder erneut verwendet.
+- `compose.yml` bleibt auf eine konkrete Version gepinnt. Verwende dort nicht `stable`.
+- Veröffentliche genau zwei Registry-Tags: die konkrete Version und `stable`.
+- Ein Release muss weiterhin `linux/amd64` und `linux/arm64` enthalten.
+- Verändere oder lösche beim Release keine Datenbank-, Daten- oder Secret-Volumes.
+- Gib niemals Git-, Registry-, Hetzner- oder Pi-hole-Zugangsdaten in Befehlsausgaben, URLs, Commits oder Release Notes aus.
+- Verwende kein Force-Push und keine destruktiven Git-Befehle.
+
+## Ziele
+
+- Quell-Repository: `https://git.j-mahler.de/admin/hetzner-api-dyndns-records-webinterface.git`
+- Container-Image: `git.j-mahler.de/admin/domain-control-webinterface-prod`
+- Release-Workflow: `.gitea/workflows/release.yml`
+- Deployment: `compose.yml`, standardmäßig Port `9090`
+- Healthcheck: `http://127.0.0.1:9090/healthz`
+
+## 1. Release-Kandidaten prüfen
+
+Arbeite nur auf `main`. Prüfe zuerst den vollständigen Zustand und erhalte alle vorhandenen Benutzeränderungen:
+
+```bash
+git status --short --branch
+git diff --stat
+git diff --check
+git remote -v
+git tag --sort=-v:refname | head
+```
+
+Kontrolliere den tatsächlichen Diff. Stage oder committe keine fremden oder sachfremden Änderungen. Falls Frontend-Dateien geändert wurden, erhöhe in `internal/web/templates/layout.html` die Cache-Version beider Assets gemeinsam, beispielsweise von `features-14` auf `features-15`.
+
+## 2. Version anheben
+
+Lege eine noch nicht vorhandene Version fest. Für reine Fehler- und UI-Korrekturen wird normalerweise die Patch-Version erhöht.
+
+Ersetze die bisherige Version mindestens an diesen Stellen:
+
+- `compose.yml`
+- Image-Beispiel in `README.md`
+
+Danach dürfen diese Dateien die vorherige Version nicht mehr enthalten. Setze `PREVIOUS` auf die tatsächlich vorherige Version:
+
+```bash
+PREVIOUS=v1.2.1
+if grep -n "$PREVIOUS" README.md compose.yml; then
+  echo "Alte Version $PREVIOUS ist noch eingetragen." >&2
+  exit 1
+fi
+docker compose -f compose.yml config --quiet
+git diff --check
+```
+
+## 3. Pflichtprüfungen vor dem Tag
+
+JavaScript und Compose:
+
+```bash
+node --check internal/web/static/app.js
+docker compose -f compose.yml config --quiet
+git diff --check
+```
+
+Go-Quelltext formatieren, falls Go-Dateien geändert wurden. Formatiere nur bewusst geänderte Dateien, bei Bedarf ebenfalls im Container:
+
+```bash
+docker run --rm \
+  -v "$PWD":/src \
+  -w /src golang:1.25.12-alpine \
+  gofmt -w PFAD/ZUR/GEAENDERTEN_DATEI.go
+```
+
+Das Projekt wird in einem Go-Container geprüft, weil auf dem Host nicht zwingend Go installiert ist:
+
+```bash
+docker run --rm \
+  -v "$PWD":/src \
+  -v /tmp/dyndns-go-mod:/go/pkg/mod \
+  -v /tmp/dyndns-go-build:/root/.cache/go-build \
+  -w /src golang:1.25.12-alpine \
+  sh -c 'apk add --no-cache build-base >/dev/null && go vet ./... && go test -race -count=1 ./...'
+```
+
+Bei Abhängigkeits-, Kryptografie-, Authentifizierungs- oder sonstigen Sicherheitsänderungen zusätzlich:
+
+```bash
+docker run --rm \
+  -v "$PWD":/src \
+  -v /tmp/dyndns-go-mod:/go/pkg/mod \
+  -v /tmp/dyndns-go-build:/root/.cache/go-build \
+  -w /src golang:1.25.12-alpine \
+  sh -c 'apk add --no-cache build-base >/dev/null && go run golang.org/x/vuln/cmd/govulncheck@latest ./...'
+```
+
+Bei einem Fehler wird nicht getaggt oder veröffentlicht. Behebe den Fehler und beginne die finalen Prüfungen erneut.
+
+## 4. Commit, Tag und Git-Push
+
+Stage nur die geprüften Dateien und kontrolliere den Index:
+
+```bash
+git add DATEI1 DATEI2
+git diff --cached --check
+git diff --cached --stat
+git diff --cached
+```
+
+Erstelle einen sachlichen Commit und einen annotierten Tag:
+
+```bash
+git commit -m "fix: kurze Beschreibung"
+git tag -a vX.Y.Z -m "Release vX.Y.Z"
+git show --no-patch --format=fuller vX.Y.Z
+```
+
+Pushe Branch und Tag atomar, damit nicht nur einer von beiden veröffentlicht wird:
+
+```bash
+git push --atomic origin main refs/tags/vX.Y.Z
+```
+
+Prüfe anschließend, dass Remote-Branch und aufgelöster Tag auf denselben Release-Commit zeigen:
+
+```bash
+git ls-remote origin refs/heads/main refs/tags/vX.Y.Z 'refs/tags/vX.Y.Z^{}'
+```
+
+## 5. Container-Image veröffentlichen
+
+Ein `v*`-Tag startet den Gitea-Workflow. Prüfe zuerst in Gitea, ob der Run tatsächlich läuft und erfolgreich endet. Wenn der Workflow erfolgreich ist, darf nicht zusätzlich manuell in dieselben Tags gepusht werden.
+
+### Bekannter Gitea-Runner-Zustand
+
+Stand 13.07.2026 ist kein Gitea-Actions-Runner aktiv. Die Runs bleiben auf `queued`. Der übliche Cancel-Endpunkt ist in dieser Gitea-Version nicht vorhanden; das Löschen wartender Runs antwortete mit HTTP 400. Verändere deshalb nicht direkt die Gitea-Datenbank. Prüfe den Zustand bei jedem Release neu.
+
+Bevor später ein Runner aktiviert wird, müssen die alten wartenden Release-Runs in Gitea bereinigt werden. Andernfalls könnten sie veraltete Images erneut als `stable` veröffentlichen.
+
+### Manueller Multi-Arch-Fallback
+
+Melde Docker vorab interaktiv an, falls noch keine Registry-Anmeldung besteht:
+
+```bash
+docker login git.j-mahler.de
+```
+
+Gib den Token nur über die verdeckte Passwortabfrage ein. Der Token benötigt mindestens Paket-Schreibzugriff.
+
+Prüfe den vorhandenen Builder:
+
+```bash
+docker buildx inspect domain-control-release-builder --bootstrap
+```
+
+Falls er nicht existiert:
+
+```bash
+docker buildx create --name domain-control-release-builder --driver docker-container --use
+docker buildx inspect domain-control-release-builder --bootstrap
+```
+
+Falls `linux/arm64` nicht unter `Platforms` erscheint, registriere einmalig die ARM64-Emulation:
+
+```bash
+docker run --privileged --rm tonistiigi/binfmt:qemu-v10.0.4-56 --install arm64
+docker buildx inspect domain-control-release-builder --bootstrap
+```
+
+Setze Version und Commit bewusst und prüfe beide Werte vor dem Build:
+
+```bash
+VERSION=vX.Y.Z
+REVISION="$(git rev-parse HEAD)"
+printf 'Version: %s\nCommit:  %s\n' "$VERSION" "$REVISION"
+```
+
+Baue und pushe anschließend beide Plattformen in einem gemeinsamen Manifest:
+
+```bash
+docker buildx build \
+  --builder domain-control-release-builder \
+  --platform linux/amd64,linux/arm64 \
+  --tag "git.j-mahler.de/admin/domain-control-webinterface-prod:$VERSION" \
+  --tag "git.j-mahler.de/admin/domain-control-webinterface-prod:stable" \
+  --label org.opencontainers.image.source=https://git.j-mahler.de/admin/hetzner-api-dyndns-records-webinterface \
+  --label "org.opencontainers.image.revision=$REVISION" \
+  --label "org.opencontainers.image.version=$VERSION" \
+  --provenance=false \
+  --push .
+```
+
+Der emulierte ARM64-Build mit CGO und SQLite kann etwa acht Minuten lang ohne neue Ausgabe rechnen. Nicht allein deshalb abbrechen. Prüfe bei Zweifeln, ob der BuildKit-Container CPU verwendet.
+
+## 6. Registry verifizieren
+
+Prüfe sowohl die konkrete Version als auch `stable`:
+
+```bash
+docker buildx imagetools inspect "git.j-mahler.de/admin/domain-control-webinterface-prod:$VERSION"
+docker buildx imagetools inspect git.j-mahler.de/admin/domain-control-webinterface-prod:stable
+```
+
+Beide Ausgaben müssen denselben Manifest-Digest und genau diese Plattformen zeigen:
+
+- `linux/amd64`
+- `linux/arm64`
+
+Ein erfolgreicher Build ohne diese Manifestprüfung gilt nicht als abgeschlossenes Release.
+
+## 7. Gitea-Releaseeintrag
+
+Lege für den neuen Tag einen veröffentlichten, nicht als Entwurf und nicht als Pre-Release markierten Gitea-Releaseeintrag an.
+
+Die Release Notes enthalten mindestens:
+
+- kurze, benutzerverständliche Änderungen seit der vorherigen Version
+- vollständigen Image-Namen mit Version
+- `linux/amd64` und `linux/arm64`
+
+Nutze vorhandene Anmeldedaten sicher über Gitea UI oder API. Schreibe Tokens niemals in die URL oder die Release Notes. Lies den erzeugten Eintrag anschließend zurück und kontrolliere Tag, Titel und Beschreibung.
+
+## 8. Laufenden Container auf das Release umstellen
+
+Erst nach erfolgreicher Registry-Prüfung:
+
+```bash
+docker compose pull
+docker compose up -d --force-recreate
+```
+
+Das Compose verwendet dieselben benannten Daten- und Secret-Volumes. Erstelle sie nicht neu und lösche sie nicht.
+
+Prüfe abschließend:
+
+```bash
+docker compose ps
+docker inspect --format 'image={{.Config.Image}} digest={{.Image}} health={{if .State.Health}}{{.State.Health.Status}}{{end}} readonly={{.HostConfig.ReadonlyRootfs}} user={{.Config.User}}' hetzner-api-dyndns-records-webinterface-dyndns-1
+docker image inspect --format '{{json .RepoDigests}}' "git.j-mahler.de/admin/domain-control-webinterface-prod:$VERSION"
+curl --silent --show-error --fail http://127.0.0.1:9090/healthz
+docker logs --tail 80 hetzner-api-dyndns-records-webinterface-dyndns-1
+git status --short --branch
+```
+
+Erwartet werden:
+
+- Containerstatus `healthy`
+- Image-Name mit der konkreten Version, nicht mit einem lokalen Testtag
+- schreibgeschütztes Root-Dateisystem
+- Benutzer `dyndns:dyndns`
+- Registry-Digest identisch mit dem zuvor geprüften Versionsmanifest
+- HTTP-Antwort `ok`
+- sauberer und mit `origin/main` synchroner Git-Arbeitsbaum
+
+## Abschlussmeldung
+
+Melde dem Benutzer kompakt:
+
+- Version und Commit
+- Link zum Gitea-Release
+- veröffentlichte Tags
+- Manifest-Digest und Plattformen
+- bestandene Prüfungen
+- Healthstatus des laufenden Containers
+- einen weiterhin bestehenden Runner- oder Infrastrukturhinweis
+
+Ein Git-Tag allein, ein nur lokal gebautes Image oder ein lediglich gestarteter Workflow ist kein abgeschlossenes Release.

README.md

@@ -25,7 +25,7 @@ Beim ersten Start werden Datenbank und Verschlüsselungsschlüssel automatisch i
 ```yaml
 services:
   dyndns:
-    image: git.j-mahler.de/admin/domain-control-webinterface-prod:v1.2.1
+    image: git.j-mahler.de/admin/domain-control-webinterface-prod:v1.2.2
     restart: unless-stopped
     ports:
       - "9090:8080"

compose.yml

@@ -1,6 +1,6 @@
 services:
   dyndns:
-    image: git.j-mahler.de/admin/domain-control-webinterface-prod:v1.2.1
+    image: git.j-mahler.de/admin/domain-control-webinterface-prod:v1.2.2
     restart: unless-stopped
     ports:
       - "9090:8080"

internal/pihole/client.go

@@ -71,7 +71,11 @@ func New(rawURL string, insecureTLS bool) (*Client, error) {
 }
 
 func normalizeBaseURL(raw string) (string, error) {
-	parsed, err := url.Parse(strings.TrimSpace(raw))
+	raw = strings.TrimSpace(raw)
+	if address := net.ParseIP(raw); address != nil && address.To4() != nil {
+		raw = "http://" + raw
+	}
+	parsed, err := url.Parse(raw)
 	if err != nil || parsed.Host == "" || (parsed.Scheme != "http" && parsed.Scheme != "https") {
 		return "", errors.New("Pi-hole-Adresse muss eine vollständige HTTP- oder HTTPS-URL sein")
 	}

internal/pihole/client_test.go

@@ -101,6 +101,10 @@ func TestNewValidatesAndNormalizesPiHoleURL(t *testing.T) {
 	if err != nil || client.BaseURL() != "http://pihole.local/custom/api" {
 		t.Fatalf("custom path not normalized: %q err=%v", client.BaseURL(), err)
 	}
+	client, err = New("10.0.20.100", false)
+	if err != nil || client.BaseURL() != "http://10.0.20.100/api" {
+		t.Fatalf("bare IPv4 address not normalized: %q err=%v", client.BaseURL(), err)
+	}
 	for _, invalid := range []string{"pi.hole", "ftp://pi.hole", "https://user:pass@pi.hole", "https://pi.hole?sid=secret"} {
 		if _, err := New(invalid, false); err == nil {
 			t.Errorf("invalid URL accepted: %s", invalid)

internal/web/server_test.go

@@ -317,7 +317,7 @@ func TestPiHolePageRendersConnectionAndLocalDNSControls(t *testing.T) {
 		t.Fatalf("render Pi-hole page: %v", err)
 	}
 	body := rendered.String()
-	for _, expected := range []string{`href="/pihole"`, `aria-current="page"`, `action="/pihole/7/records"`, `action="/pihole/7/records/update"`, `action="/pihole/7/records/archive"`, `action="/pihole/7/records/restore"`, `action="/pihole/7/records/delete"`, `action="/pihole/7/remove"`, `action="/pihole/7/delete"`, `action="/pihole/7/save"`, `action="/pihole/7/password"`, `name="active"`, `name="link_id" value="11"`, `name="insecure_tls"`, `data-dirty-form`, `data-dirty-submit disabled aria-disabled="true"`, `data-scroll-page-end`, `Anwendungspasswort anzeigen`, `Passwort entschlüsseln`, `Nur aus der WebUI entfernen`, `Anwendungspasswort`, `nas.lan`, `old.lan`, `192.168.1.20`} {
+	for _, expected := range []string{`href="/pihole"`, `aria-current="page"`, `action="/pihole/7/records"`, `action="/pihole/7/records/update"`, `action="/pihole/7/records/archive"`, `action="/pihole/7/records/restore"`, `action="/pihole/7/records/delete"`, `action="/pihole/7/remove"`, `action="/pihole/7/delete"`, `action="/pihole/7/save"`, `action="/pihole/7/password"`, `name="active"`, `name="link_id" value="11"`, `name="insecure_tls"`, `name="base_url" type="text"`, `data-dirty-form`, `data-dirty-submit disabled aria-disabled="true"`, `data-scroll-page-end`, `Anwendungspasswort anzeigen`, `Passwort entschlüsseln`, `Nur aus der WebUI entfernen`, `Anwendungspasswort`, `nas.lan`, `old.lan`, `192.168.1.20`} {
 		if !strings.Contains(body, expected) {
 			t.Errorf("Pi-hole page is missing %q", expected)
 		}
@@ -359,7 +359,7 @@ func TestPiHoleDisconnectedPageCentersConnectFormWithoutEmptyState(t *testing.T)
 		t.Fatalf("render disconnected Pi-hole page: %v", err)
 	}
 	body := rendered.String()
-	for _, expected := range []string{`class="pihole-connect-stage"`, `class="form-panel pihole-connect-panel"`, `action="/pihole/connect"`} {
+	for _, expected := range []string{`class="pihole-connect-stage"`, `class="form-panel pihole-connect-panel"`, `action="/pihole/connect"`, `name="base_url" type="text"`, `10.0.20.100 oder https://pi.hole`} {
 		if !strings.Contains(body, expected) {
 			t.Errorf("disconnected Pi-hole page is missing %q", expected)
 		}

internal/web/templates/layout.html

@@ -6,8 +6,8 @@
   <meta name="viewport" content="width=device-width, initial-scale=1">
   <meta name="color-scheme" content="light">
   <title>{{.Title}} · DNS Control</title>
-  <link rel="stylesheet" href="/static/styles.css?v=features-14">
+  <link rel="stylesheet" href="/static/styles.css?v=features-15">
-  <script src="/static/app.js?v=features-14" defer></script>
+  <script src="/static/app.js?v=features-15" defer></script>
 </head>
 <body class="page-{{.Page}}">
   <a class="skip-link" href="#main">Zum Inhalt springen</a>

internal/web/templates/pihole.html

@@ -69,7 +69,7 @@
   </article>
   <article class="panel" id="pihole-connection"><div class="panel-heading"><div><span class="section-label pihole-kicker">API-Zugang</span><h2>Verbindung verwalten</h2></div><span class="status-pill {{if $view.FetchError}}status-bad{{else}}pihole-status-pill{{end}}">{{if $view.FetchError}}Nicht erreichbar{{else}}Verbunden{{end}}</span></div>
     <p class="panel-description">Das Anwendungspasswort bleibt verschlüsselt und standardmäßig verborgen. Eine Anzeige erfordert erneut dein Admin-Passwort.</p>
-    <form action="/pihole/{{$integration.ID}}/save" method="post" class="stacked-form" data-dirty-form><input type="hidden" name="csrf" value="{{.CSRF}}"><label>Pi-hole-Adresse <input name="base_url" type="url" value="{{$integration.BaseURL}}" required><small>Basis-URL oder vollständiger <code>/api</code>-Pfad.</small></label><label>Neues Anwendungspasswort <input name="password" type="password" autocomplete="new-password"><small>Leer lassen, um das gespeicherte Passwort beizubehalten.</small></label><label class="switch pihole-switch"><input type="checkbox" name="insecure_tls" {{if $integration.InsecureTLS}}checked{{end}}><span></span> TLS-Zertifikat nicht prüfen</label><button class="button button-pihole" type="submit" data-dirty-submit disabled aria-disabled="true">Verbindung prüfen und speichern</button></form>
+    <form action="/pihole/{{$integration.ID}}/save" method="post" class="stacked-form" data-dirty-form><input type="hidden" name="csrf" value="{{.CSRF}}"><label>Pi-hole-Adresse <input name="base_url" type="text" inputmode="url" autocapitalize="none" spellcheck="false" value="{{$integration.BaseURL}}" required><small>IPv4-Adresse oder Basis-URL; <code>/api</code> wird automatisch ergänzt.</small></label><label>Neues Anwendungspasswort <input name="password" type="password" autocomplete="new-password"><small>Leer lassen, um das gespeicherte Passwort beizubehalten.</small></label><label class="switch pihole-switch"><input type="checkbox" name="insecure_tls" {{if $integration.InsecureTLS}}checked{{end}}><span></span> TLS-Zertifikat nicht prüfen</label><button class="button button-pihole" type="submit" data-dirty-submit disabled aria-disabled="true">Verbindung prüfen und speichern</button></form>
     <div class="panel-divider"></div>
     <details><summary class="button button-quiet">Anwendungspasswort anzeigen</summary><form action="/pihole/{{$integration.ID}}/password" method="post" class="stacked-form inset-form"><input type="hidden" name="csrf" value="{{$.CSRF}}"><label>Admin-Passwort <input type="password" name="password" autocomplete="current-password" required></label><button class="button button-danger-soft" type="submit">Passwort entschlüsseln</button></form></details>
     <div class="panel-divider"></div>
@@ -82,7 +82,7 @@
   <div class="form-panel pihole-connect-panel" id="pihole-connect">
     <div class="panel-heading"><div><span class="section-label pihole-kicker">API-Verbindung</span><h2 id="pihole-connect-title">Pi-hole verbinden</h2></div><span class="pihole-api-badge">API v6</span></div>
     <p class="panel-description">Verwende ein eigenes Pi-hole-Anwendungspasswort. Es wird mit dem Master-Key dieser Anwendung verschlüsselt.</p>
-    <form action="/pihole/connect" method="post" class="stacked-form"><input type="hidden" name="csrf" value="{{.CSRF}}"><label>Pi-hole-Adresse <input name="base_url" type="url" placeholder="https://pi.hole" required><small><code>/api</code> wird automatisch ergänzt.</small></label><label>Anwendungspasswort <input name="password" type="password" autocomplete="new-password" required><small>Keinen Session-Token eintragen.</small></label><label class="switch pihole-switch"><input type="checkbox" name="insecure_tls"><span></span> TLS-Zertifikat nicht prüfen</label><div class="warning-box">Nur für ein selbstsigniertes Zertifikat in einem vertrauenswürdigen internen Netz verwenden. Bei HTTP wird das Passwort auf dem Netzwerkweg unverschlüsselt übertragen.</div><button class="button button-pihole" type="submit">Verbindung testen und speichern</button></form>
+    <form action="/pihole/connect" method="post" class="stacked-form"><input type="hidden" name="csrf" value="{{.CSRF}}"><label>Pi-hole-Adresse <input name="base_url" type="text" inputmode="url" autocapitalize="none" spellcheck="false" placeholder="10.0.20.100 oder https://pi.hole" required><small>IPv4-Adressen werden automatisch über HTTP verbunden; <code>/api</code> wird ergänzt.</small></label><label>Anwendungspasswort <input name="password" type="password" autocomplete="new-password" required><small>Keinen Session-Token eintragen.</small></label><label class="switch pihole-switch"><input type="checkbox" name="insecure_tls"><span></span> TLS-Zertifikat nicht prüfen</label><div class="warning-box">Nur für ein selbstsigniertes Zertifikat in einem vertrauenswürdigen internen Netz verwenden. Bei HTTP wird das Passwort auf dem Netzwerkweg unverschlüsselt übertragen.</div><button class="button button-pihole" type="submit">Verbindung testen und speichern</button></form>
   </div>
 </section>
 {{end}}