# Veröffentlichungsprüfung vom 14.09.2026

## Erfolgreich

- Quellcode-Commit: 265ca8ac38a02962c7523f64f0b8b230882e1069.
- [Gitea-Workflow 12](https://git.jfritzsche.de/jf/syncova-policies/actions/runs/12): Success.
- Registry-Tags git.jfritzsche.de/jf/syncova-policies:265ca8a und :latest vorhanden; beide Manifestabfragen liefern denselben Konfigurationsdigest.
- Sechs Unit-/Integrationstests und acht Produktions-Browser-/API-Tests erfolgreich.
- Zusätzliche axe-Prüfung der gepflegten lokalen Seiten /, /barrierefreiheit, /leichte-sprache und /gebaerdensprache bei 320 und 1440 Pixeln: keine gemeldeten WCAG-A/AA-Verstöße und keine horizontalen Überläufe. Externe Videoinhalte sind dadurch nicht vollständig geprüft.
- Lokales, aus demselben Commit gebautes Image läuft auf Port 3001.
- Backup und getrennte Wiederherstellung des Datenbestands erfolgreich; siehe BETRIEB.md.

## Registry-Konfiguration blockiert lokalen Pull

Der Docker-Daemon 29.6.2 kann das veröffentlichte Image aktuell nicht herunterladen:

```text
failed to fetch oauth token: authorization server did not include a token in the response
```

Die über HTTPS abgerufene Registry liefert diese Challenge:

```text
Www-Authenticate: Bearer realm="http://git.jfritzsche.de/v2/token",service="container_registry",scope="*"
```

Die HTTP-Token-Adresse ist eine Fehlkonfiguration für die öffentliche HTTPS-Registry und muss serverseitig geprüft werden. Es wurde kein unsicherer Registry-Modus aktiviert und keine TLS-Prüfung abgeschaltet.

Zu prüfen sind insbesondere Giteas öffentliche server.ROOT_URL (https://git.jfritzsche.de/) und die Protokollweitergabe durch den Reverse-Proxy. Bei Gitea-Konfiguration über Umgebungsvariablen entspricht dies GITEA__server__ROOT_URL. Ein interner HTTP-Upstream kann weiterhin korrekt sein; maßgeblich ist hier die öffentlich beworbene Adresse.

Nach der Korrektur die Challenge erneut prüfen, docker pull für den Commit-Tag wiederholen und das heruntergeladene Image starten und prüfen. Der erfolgreiche Workflow und die Manifestabfragen allein bestätigen noch keinen erfolgreichen Pull auf dem Zielhost.

## Ausstehende Infrastrukturarbeiten

Für die serverseitige Registry-Korrektur, das Produktivdeployment und tägliche externe Backups fehlen Hostzugang und Sicherungsziel. Es wurde noch keine zeitgesteuerte externe Sicherung eingerichtet. Die lokale Sicherung ist kein Ersatz dafür.

DSB-Freigabe und vollständige manuelle Barrierefreiheitsabnahme stehen weiterhin aus.