Version 1.7.0: Doku durchgesehen und Roadmap angeglichen

Sechs Erweiterungen sind zusammengekommen — Logo im Code, Freigabe je
Gruppe, Domain-Check, Dublettenpruefung, Filter nach Art und die
Kurzhilfe zu den Domains. Dafuer eine neue Minor-Version.

Zwei Stellen waren schlicht falsch und wiegen schwerer als jede Luecke:
Anleitung und Funktionsuebersicht behaupteten beide noch, statische Codes
wuerden "nicht gespeichert" — ueberholt seit 1.5.0. Ebenso die Aussage,
nur "Website" sei ausprogrammiert; das gilt seit 1.1.0 fuer alle fuenfzehn.

Danach die Luecken: Jedes der sechs Features steht jetzt in allen drei
Dokumenten, die es betrifft. Die Bedienungsanleitung hatte keines davon.

Die Roadmap verliert die zwei gebauten Punkte und bekommt einen neuen aus
der Umsetzung: Die Gestaltung eines gespeicherten Codes laesst sich
ueberhaupt nicht aendern, ein Logo also nur ueber die Schnittstelle
nachruesten.

Die Kurzhilfe verwies unter "Nachpruefen" noch auf curl, obwohl seit #7
der Pruefen-Knopf danebensteht.

docs/funktionen.md

@@ -315,8 +315,9 @@ Die **Vorschau** wird serverseitig gerendert und aktualisiert sich bei jeder
 
 ## Meine Codes
 
-Zeigt alle dynamischen Codes — statische erscheinen nicht, weil sie nicht
-gespeichert werden.
+Zeigt die dynamischen Codes und die statischen, die abgelegt wurden. Ein
+abgelegter statischer Code trägt statt einer Kurz-URL das Abzeichen
+„statisch“ und zählt keine Scans.
 
 - **Zwei Ansichten:** Liste (Voreinstellung, eine Zeile je Code) und Karten
   mit großer Vorschau. Die Wahl merkt sich der Browser.
@@ -324,6 +325,10 @@ gespeichert werden.
 - **Sortierung** nach neueste, älteste, Name oder Scan-Anzahl.
 - **Gruppenfilter**, sobald Codes in mehr als einer Gruppe liegen; dann gibt
   es auch eine Gruppenspalte.
+- **Filter nach Art** (*Alle Arten*, *Nur dynamische*, *Nur statische*),
+  sobald beide Arten vorkommen. Bei „Nur statische“ verschwindet die
+  Scan-Spalte und mit ihr die Sortierung danach: Statische zählen keine
+  Scans, die Spalte wäre eine Reihe aus Strichen.
 - **Kurz-URL kopieren** mit einem Klick.
 - **Ziel ändern** — die Kurz-URL und damit der gedruckte Code bleiben gültig.
 - **Löschen** mit Rückfrage, die den betroffenen Code nennt.
@@ -426,6 +431,53 @@ Domains werden in der Verwaltung angelegt und Gruppen zugeteilt.
 Damit das funktioniert, muss der Reverse Proxy jede dieser Domains auf diese
 Anwendung leiten.
 
+### Kurzhilfe zur Einrichtung
+
+Was außerhalb der Anwendung einzurichten ist, steht nicht nur im README: Auf
+der Domain-Seite öffnet der Knopf **Kurzhilfe** eine Erklärung in sechs
+Schritten — DNS-Eintrag, Weiterleitung im Reverse Proxy samt der drei nötigen
+Kopfzeilen zum Abtippen, Zertifikat, Registrieren, Gruppenzuteilung,
+Nachprüfen. Der Hostname aus `BASE_URL` wird als Beispiel eingesetzt.
+
+Bewusst ein Dialog und kein Dauertext: Die Erklärung braucht man einmal beim
+Einrichten und danach nie wieder.
+
+### Prüfen, ob eine Domain hierher führt
+
+Bei jedem Eintrag steht ein Knopf **Prüfen**. Er geht den Weg der Scanner nach
+und meldet vier Dinge:
+
+| Schritt | Was geprüft wird |
+| --- | --- |
+| DNS | Löst der Name auf? Auf welche Adressen? |
+| Zertifikat | Gültig, von wem ausgestellt, wie lange noch? |
+| Erreichbar | Antwortet dort ein Webserver, und wie schnell? |
+| Ziel | Steht dahinter **diese** Installation? |
+
+Der letzte Schritt ist der eigentliche Wert. Dass irgendwo etwas antwortet,
+sagt wenig — es könnte die Parkseite des Registrars sein oder eine andere
+Installation dieser Anwendung. Deshalb ruft die Prüfung unter der Domain eine
+eigene Route auf und lässt sich einen HMAC über eine frische Zufallszahl
+zurückgeben. Das Geheimnis dafür entsteht beim ersten Check, liegt in der
+Datenbank und verlässt den Server nie.
+
+Die Meldungen sind im Klartext: abgelaufen, selbst ausgestellt, gilt für einen
+anderen Namen, Zwischenzertifikat fehlt, Port 443 nimmt nichts an, „es
+antwortet etwas, aber nicht diese Anwendung“. Läuft ein Zertifikat in
+höchstens 14 Tagen ab, gilt der Schritt als Warnung statt als Erfolg.
+Scheitert schon DNS, fallen die drei Folgeschritte aus — dreimal dieselbe
+Meldung würde die eine wichtige verdecken.
+
+**Die Grenze der Aussage** steht unter jedem Bericht: Der Aufruf startet dort,
+wo der Container läuft. Bei internem DNS oder Hairpin-NAT kann er scheitern,
+obwohl von außen alles stimmt; umgekehrt beweist ein Erfolg von innen nicht,
+dass die Domain von außen erreichbar ist.
+
+Geprüft wird ausschließlich ein Hostname **aus der Datenbank**, nie einer aus
+der Anfrage — sonst wäre die Route ein Werkzeug, mit dem sich vom Server aus
+beliebige Adressen abklopfen ließen. Näheres in
+[sicherheit.md](sicherheit.md).
+
 ---
 
 ## Erscheinungsbild