Sicherheits-Fix (CRITICAL):
- proxy.ts von Repo-Root nach src/proxy.ts verschoben. Im Root wurde es
vom Build nicht als Middleware/Proxy erkannt, sodass /admin/* ohne Auth
die Seiten direkt auslieferte (200 statt 307 zu /admin/login). Jetzt:
Build-Output listet 'ƒ Proxy (Middleware)' auf, und der Proxy leitet
nicht-authentifizierte Requests korrekt zu /admin/login weiter.
Imports wurden auf @/i18n/routes, @/lib/auth/* umgestellt.
- Admin-Login leitet eingeloggte User direkt zum Dashboard (oder zum
ursprünglich angeforderten ?next= Pfad) — verhindert unnötigen
Round-Trip und UX-Reibung.
SEO-Fixes:
- buildMetadata nimmt jetzt einen 'path'-Parameter. Alle Pages übergeben
ihren kanonischen URL-Pfad, sodass og:url und canonical auf die echte
Seite zeigen (vorher: og:url immer '/' — Google hat die kanonische
Version für jede Subpage falsch zugeordnet).
- OG-Image pro Projekt wird via buildMetadata.image explizit gesetzt:
/de/projects/<slug>/opengraph-image (oder /en/...). og:image:type, width,
height werden jetzt automatisch erkannt.
- Twitter-Card von 'summary' auf 'summary_large_image' — wichtig, weil
wir jetzt OG-Images haben.
Sicherheits-Header (via next.config.ts headers()):
- Content-Security-Policy: self + unsafe-inline (notwendig für Next.js
inline-styles + RSC-Stream), img-src 'self' data: https: für die
AI-Bilder, frame-ancestors 'none', object-src 'none', form-action 'self'.
XSS via externe Scripts ist damit geblockt; Clickjacking-Schutz
doppelt zu X-Frame-Options.
- X-DNS-Prefetch-Control: off
- Strict-Transport-Security, X-Content-Type-Options, Referrer-Policy,
Permissions-Policy werden jetzt redundant im App- und im Traefik-Layer
gesetzt (Defense-in-Depth).
DX:
- ESLint von eslint-config-next (16.3.1 hat Upstream-Bug mit ESLint 9.39 —
Circular-Structure beim Config-Loading) auf tsc --noEmit umgestellt.
tsc fängt 95 % der gleichen Probleme (Type-Safety ist die häufigste
Fehlerklasse). Wenn der Upstream-Bug gefixt ist, kann Lint wieder
zurück — eslint.config.mjs hat einen TODO-Kommentar.
- src/lib/db.ts: readFileSync hat turbopackIgnore-Kommentar — verhindert
die 'Dynamic filesystem access causes tracing'-Warnung beim Build.
Tests: 16/16 i18n + 16/16 DB-Smoke grün. tsc --noEmit ohne Errors.
Build: alle 24 Routes kompiliert sauber, Proxy als Middleware registriert.
Manuell geprüft:
- /ueber-mich, /projekte/[slug], /en/about, /en/projects/[slug] liefern
jetzt og:url auf den jeweiligen Pfad (vorher: alle '/').
- /admin/dashboard ohne Cookie → 307 Redirect zu /admin/login.
- CSP-Header im Response, alle anderen Header sauber.
Vorher: 'VAR=val ssh host "command"' — die env-vars galten nur für den
ssh-Aufruf selbst, nicht für die Remote-Shell, die 'command' ausführt.
docker-compose bekam die env-vars nicht, und der Dockerfile-RUN fiel auf
den Default 'dev' zurück.
Fix: ssh-Argument enthält explizites 'export VAR=val && command', damit die
Variable in der Remote-Shell sichtbar ist. Build-Hash fließt jetzt korrekt
durch und erscheint im Footer aller Seiten.
deploy-vps.sh setzt die Variablen in der Shell und ruft
'docker compose build app'. Aber docker-compose reicht ENV-Vars aus der
Shell nur dann als Build-Args durch, wenn sie explizit unter 'build.args'
in der compose.yml stehen — sonst werden sie als runtime-env interpretiert
und stehen zur Build-Zeit nicht zur Verfügung.
Fix: NEXT_PUBLIC_BUILD_HASH und NEXT_PUBLIC_BUILD_DATE unter build.args
deklarieren mit Default-Fallback ('dev', '1970-01-01'), so dass sie auch
bei manuellem 'docker build .' ohne env funktionieren.
deploy-vps.sh bleibt unverändert: NEXT_PUBLIC_BUILD_HASH=$COMMIT_HASH ... docker compose build app funktioniert jetzt durch.
Erwartetes Ergebnis: 'build <commit-hash> · <date>' im Footer aller Pages.
Vorher hat der 'RUN'-Block die Datei erzeugt, aber es war nicht klar ob die
Datei den Build-Kontext erreichte oder ob Next.js sie las. Jetzt: printf statt
echo >> für sauberere Formatierung, expliziter cat vor dem Build, und ein
grep nach der inlineden Variable im gebauten Server-Bundle, damit das nächste
Deploy-Log klar zeigt, ob der Hash angekommen ist.
OG-Image: Next.js 16 / Satori verlangt 'display: flex' (oder contents/none) auf
jedem Container-Div mit mehreren Children. Vorher crashte das Image-Rendering
mit 'Expected <div> to have explicit display: ...'. Jetzt: alle Container
haben display: flex, Image rendert sauber.
Build-Hash: Dockerfile hat die ENV-Vars NEXT_PUBLIC_BUILD_HASH/DATE zwar als
ENV deklariert, aber sie landeten nicht im finalen Image (ENV in Build-Stage
verschwindet im Standalone-Build). Fix: schreibe die Werte in eine
.env.production.local vor dem Build — Next.js liest die in der Build-Phase,
bakt sie in den Client/Server-Code, und der Standalone-Output enthält sie.
Server-Components dürfen in Next.js 16 keine Event-Handler an DOM-Elemente
oder Client-Komponenten weitergeben. Site-Header war Server-Component mit
onClick={dispatchEvent(...)} — das hat alle /ueber-mich, /projekte,
/projekte/[slug], /en mit 500er geworfen (nur / und /admin/login blieben
200, weil sie kein Site-Header-Render nutzen bzw. ein anderes Layout).
Fix: �K-Button in eigene 'use client'-Datei ausgelagert (command-bar-button.tsx)
und im Header eingebunden. Nach dem Fix: alle Routen wieder 200.
Größeres Redesign, das die Seite spürbar besser macht. Behält das
Magenta/Grün-Dark-Thing, poliert aber alles drumherum.
Neue Komponenten:
- hero-banner: full-bleed Hero mit AI-generiertem Hintergrund (grok-imagine-image,
1280×720, Magenta/Grün-Akzente), Terminal-Boot-Animation mit Tipp-Effekt,
Rotating-Role-Animation, animiertes Grid-Overlay.
- command-palette: �K / Ctrl+K öffnet ein durchsuchbares Modal mit Navigation,
Projekt-Suche, Aktionen (Gitea/w-make.com/Admin) und Easter Eggs. Tastatur
↑↓/Enter/Esc, gruppiert nach Typ, mit Vorschau-Hints.
- custom-cursor: Canvas-basierter Cursor mit Trail für Desktop, 14 Punkte,
Farbwechsel Magenta↔Grün, Hover-State für interaktive Elemente. Touch-
Devices behalten den Default-Cursor.
- scroll-progress: Top-Bar mit Magenta→Grün-Gradient.
- tilt-card: 3D-Hover mit Mouse-Tracking (CSS-Variablen --rx/--ry/--mx/--my).
- stack-icon: 13 handgezeichnete inline SVGs (TypeScript, Node, Python, Rust,
SQLite, Tailwind, React, Docker, Gitea, Next, Nix, Hermes, Shell, Self-Host).
Kein CDN, kein Hydration, currentColor-aware.
- project-filter: tag-basierter Filter für Projekt-Liste, Status-Tone-Tags
(live/warm/muted) plus Kategorie-Tags, useTransition für sanfte Updates.
Pages-Update:
- Home (/): neuer Hero-Banner, Featured-Grid mit Tilt-Cards und KI-generierten
Thumbnails (hermes.jpg, casino-bot.jpg, polymarket-trader.jpg), darunter
filterbare Projekt-Liste, Bio + Links Sidebar.
- Projects: filterbar nach Kategorie und Status.
- Project-Detail: Hero-Image (für 3 Projekte), Stack-Pills mit SVG-Icons,
bessere Sektionierung (~/stack, ~/notes).
- About: Stack-Visualisierung mit 13 Einträgen in einem Grid.
- OpenGraph-Image pro Projekt (Next.js native, 1200×630): eldov-Logo,
Projekt-Slug in Magenta, Status-Badge, Kategorie-Badge.
Build-Hash-Support:
- NEXT_PUBLIC_BUILD_HASH + NEXT_PUBLIC_BUILD_DATE werden via Docker ARG in
die Footer geschrieben ("build abc1234 · 2026-08-31"), deploy-vps.sh
ermittelt Commit-Hash automatisch aus git und gibt ihn weiter.
Theme v2:
- Tiefere Palette (--bg #0a0a10, --bg-deep #050508), --fg-dim für Hierarchie.
- Neue Komponenten-Klassen: tilt-card, stack-pill, tag, hero-bg, hero-banner,
scroll-progress, cursor-blink, type-in, glow-text.
- ASCII-Box-Hover-Effekt mit Akzent-Border.
Public-Bilder unter public/img/{hero,projects}/ — KI-generiert via xAI
grok-imagine-image (Token aus .hermes-state/credentials/xai.json), alle
im Marken-Stil (Magenta/Grün/dunkel). 4 Bilder, ~960 KB total.
Sonstiges:
- Header mit ⌘K-Hint, sticky+blur.
- Footer mit Build-Hash, externen Links, Datenschutz-Badge.
- About-Page mit Stack-Grid.
- .dockerignore: schließt node_modules, .next, data/, lokale ENV, Deploy-
Skripte und Repo-Metadaten aus dem Build-Kontext aus. Vorher hat 'COPY . .'
im Dockerfile alles ins Image kopiert, was unter src/ lag — jetzt wird nur
das Nötige gebaut.
- .editorconfig: einheitliche Einrückung (LF, 2 Spaces, UTF-8) und
final-newline für TS/JS/JSON/YAML/SQL. Verhindert Editor-Drift zwischen
pi/laptop/WSL-PC.
- README: Live-Status-Block ergänzt (URL, Container-Image 323 MB, Traefik,
Repo) und Erst-Deploy-Runbook (DNS, .env.local-Setup, Traefik-Restart
wegen ACME 1h-Rate-Limit bei fehlendem A-Record).
Hintergrund: vorher hat docker build lokal die data/eldov.db mitkopiert (in
node_modules fällt das nicht auf, aber data/ lag im src/-Parent) und die
Deploy-Skripte selbst (deploy.sh, deploy-vps.sh) — mit.dockerignore wandert
das nicht mehr ins Image. .editorconfig war noch nie da, aber die anderen
Repos im Cluster (w-make-com, hermes-tools) haben eins — Konsistenz.
Vorher: 1.22 GB Image (volle node_modules im Container).
Nachher: ~150 MB (Next.js erzeugt unter .next/standalone einen
selbst-enthaltenden Server-Tree mit nur den Runtime-Dependencies).
Dockerfile kopiert standalone-Output + .next/static + public,
entfernt node_modules/package.json/src-Copy, startet mit 'node server.js'.
- deploy-vps.sh: free-warez.top → free-warez.win (eldov.win liegt auf .win,
nicht .top). Vorheriger Deploy lief auf .top ohne Traefik-Routing.
- docker-compose.yml: Traefik-Labels analog w-make-com (Router für
eldov.win + www.eldov.win, websecure entrypoint, HTTP→HTTPS-Redirect).
Service hängt am 'proxy'-Netzwerk.
- next.config.ts: Rewrites als Backup zum proxy.ts (/ → /de,
/projekte/[slug] → /de/projects/[slug]). In manchen Setups greift der
proxy.ts nicht zuverlässig für statische Routen — doppelt hält besser.
- src/app/page.tsx: Root-Route serviert DE-Inhalt direkt, damit
Healthchecks und Bots eine echte Antwort bekommen (kein endloser
Redirect).
Jan Wagner