test: Zusagen pruefbar machen, die nur von Hand hielten (#038, #037)

#038: Die E2E-Ablaeufe laufen ab jetzt vor jedem Merge nach main, nicht vor
jedem Commit. Gemessen: Bau 14 s, Start 7 s, Ablaeufe 256 s — zu den vier
Minuten des bestehenden Tores. Neun Minuten vor jedem Commit ist ein Tor, das
umgangen wird. Vor jedem Merge waeren es in Phase 2 acht Laeufe gewesen, und
jeder der vier Befunde aus #027 waere am Tag seiner Entstehung aufgefallen.

Geprueft wurde jeder der 16 Ablaeufe gegen die Frage, ob es ein
Vitest-Gegenstueck gibt. Neun Zusagen haengen ausschliesslich dort, und keine
laesst sich holen: alle brauchen einen echten Browser. Die Liste steht in
CLAUDE.md.

Der eigentliche Fund dabei war keine Testluecke, sondern eine Konvention ohne
Pruefer: "jede Seite prueft selbst" steht seit #007 in CLAUDE.md, und geprueft
hat es bis hierher nur ein Mensch, der nachsieht. Der Review von Phase 2 hat
alle 27 Seiten durchgesehen — ein Ergebnis, das fuer genau einen Tag gilt.
tests/zugang.test.ts liest sie jetzt, samt jedem Route Handler; die Ausnahmen
(Auth, Healthcheck) stehen namentlich mit Begruendung, und ein Test prueft auch
die Gegenrichtung.

#037: Das Lesemodell der Anhaenge liegt in queries/ und engt selbst ein — vorher
hing das daran, dass beide Aufrufer den Lauf vorher pruefen. /meine-geraete wird
bei 390 px gemessen, mit einem echten MITARBEITER-Konto aus dem E2E-Vorlauf,
dazu ein Test, dass dort kein Link in die Verwaltung angeboten wird.

Dabei selbst einen Fehler gemacht, der die neue Regel begruendet: fuer das
zweite Konto brauchte `anmelden` eine Variante, die nicht auf / wartet, und ich
habe das Warten fuer alle gelockert. Das machte zwei unverwandte Ablaeufe
unzuverlaessig — sichtbar nur im vollen Durchgang, einzeln waren beide gruen.
Ein gemeinsamer Helfer in einer Testsuite ist geteilter Zustand. Ohne vollen
Durchgang haette ich zwei rote Ablaeufe gemergt.

1457 Vitest-Tests (vorher 1454), 115 E2E-Ablaeufe (vorher 113). Offen bleibt nur
noch #024, und das verlangt einen echten Proxmox-Host.

Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>

docs/devlog.md

@@ -38,12 +38,14 @@ als Unterpunkte mit Aufgabe und Dauer.
 | #029 | M16 – SCIM-Endpunkt als Alternative zum Abgleich | 4 h 05 min |
 | #036 | Reviewbefunde aus der Durchsicht von Phase 2 | 3 h 40 min |
 | #027 | Die Editor-Abläufe lassen ihre Vorlagen stehen | 2 h 10 min |
-| | **Summe** | **70 h 30 min** |
+| #038 | Die E2E-Abläufe laufen in keinem Tor | 1 h 35 min |
+| #037 | Zwei Nachzügler aus der Durchsicht von Phase 2 | 1 h 50 min |
+| | **Summe** | **73 h 55 min** |
 
 | Meilenstein | Tatsächlich | Status |
 |---|---|---|
 | v0.1.0 | 35 h 20 min | veröffentlicht |
-| v0.2.0 | 35 h 10 min | in Arbeit |
+| v0.2.0 | 38 h 35 min | in Arbeit |
 
 ---
 
@@ -1611,3 +1613,63 @@ stehen in `docs/betrieb/scim.md`.
 - Danach ist v0.2.0 reif für einen Tag. Vorher gehört #038 entschieden: ein Release, dessen
   E2E-Suite nur gelegentlich läuft, ist ein Release mit ungeprüften Zusagen — und genau das hat
   diese Sitzung gezeigt.
+
+
+---
+
+## 2026-10-11 · Sitzung 24 · 02:00–06:10
+
+**Issues:** #038 (E2E in ein Tor), #037 (zwei Nachzügler)
+**Version:** 0.2.0 (unveröffentlicht)
+
+### Erledigt
+
+- **#038 entschieden und festgeschrieben.** E2E läuft **vor jedem Merge nach `main`**, nicht vor
+  jedem Commit. Die Regel steht in `CLAUDE.md` mit gemessenen Zahlen, `docs/architektur.md` §5b
+  trägt sie mit.
+- **Die Liste der Zusagen, die nur in E2E hängen** — neun Stück, alle brauchen einen echten
+  Browser, keine lässt sich nach Vitest holen. Steht als Tabelle in `CLAUDE.md`.
+- **Was sich holen ließ, ist geholt:** `tests/zugang.test.ts` prüft jetzt strukturell, dass jede
+  `page.tsx` und jeder `route.ts` sein Recht selbst prüft.
+- **#037 beide Teile**: `anhaengeDesLaufs` liegt in `queries/` und engt selbst ein; `/meine-geraete`
+  wird bei 390 px gemessen, mit einem echten `MITARBEITER`-Konto aus dem E2E-Vorlauf.
+- 1457 Vitest-Tests (vorher 1454), 115 E2E-Abläufe (vorher 113).
+
+### Entscheidungen
+
+- **Neun Minuten vor jedem Commit ist ein Tor, das umgangen wird.** Gemessen: Bau 14 s, Start 7 s,
+  Abläufe 256 s — zu den vier Minuten des bestehenden Tores. Vor jedem Merge hätte in Phase 2 acht
+  Läufe bedeutet und jeden der vier Befunde aus #027 am Tag seiner Entstehung gezeigt. Das ist die
+  Rechnung, die die Regel trägt.
+- **Die Antwort auf #038 ist nicht „verlagern“.** Jeder der 16 Abläufe wurde gegen die Frage
+  geprüft, ob es ein Vitest-Gegenstück gibt. Was dort hängt, braucht einen Browser: Layout bei
+  390 px, `BarcodeDetector`, Touch, zwei Kontexte, Zwischenablage, Print-CSS, gerendertes DOM, und
+  die Hydrierung selbst.
+- **Das MITARBEITER-Konto liegt im E2E-Vorlauf, nicht im Seed.** Ein Konto mit bekanntem Passwort
+  gehört nicht in einen Seed, der auch produktiv läuft. Die Person wird gewählt (erste aktive mit
+  Gerät), nicht gesetzt — eine feste Kennung wäre eine Annahme über den Seed.
+
+### Probleme
+
+- **Der eigentliche Fund steckte in #038 und war keine Testlücke, sondern eine Konvention ohne
+  Prüfer.** „Jede Seite prüft selbst“ steht seit #007 in `CLAUDE.md`; geprüft hat es bis hierher
+  niemand außer einem Menschen, der nachsieht. Der Review von Phase 2 hat alle 27 Seiten
+  durchgesehen — ein Ergebnis, das für genau einen Tag gilt. Jetzt liest ein Test sie, und beide
+  Gegenproben (eine Seite, ein Handler ohne Prüfung) werden rot.
+- **Ein gemeinsamer Helfer in einer Testsuite ist geteilter Zustand.** Für das zweite Konto brauchte
+  `anmelden` eine Variante, die nicht auf `/` wartet. Ich habe das Warten dabei für **alle**
+  gelockert — und damit zwei unverwandte Abläufe unzuverlässig gemacht, darunter einen in
+  `laeufe.spec.ts`, der mit dem Thema nichts zu tun hat. **Sichtbar nur im vollen Durchgang**, nicht
+  beim Einzellauf: einzeln waren beide grün. Behoben, indem `anmelden` wieder streng wartet und
+  `anmeldenMit` das Ziel als Parameter nimmt; dazu beide auf `load`, denn ein `waitForURL` endet an
+  der Adresse, nicht am geladenen Dokument.
+  Dass genau dieser Fehler in derselben Sitzung passiert ist, in der die Regel „E2E vor jedem Merge“
+  entstand, ist die beste Begründung für sie: ohne vollen Durchgang hätte ich zwei rote Abläufe
+  gemergt.
+
+### Nächster Schritt
+
+- Offen bleibt nur noch **#024** (Proxmox-Einzeiler auf einem echten PVE-Host) — und das verlangt
+  einen Host, den es hier nicht gibt.
+- **v0.2.0 ist damit reif für einen Tag**: Changelog-Abschnitt, Devlog-Phasenzusammenfassung, Tag,
+  Release-Notiz. Die Bedingung aus Sitzung 23 („vorher gehört #038 entschieden“) ist erfüllt.