docs/release-notes/0.11.0.md

Rama main · réplica de lectura del repositorio original.

# Nodvard Deck 0.11.0 – Startseite zum Bearbeiten, Nodvard Dock als fertiges Image und Einrichten nur mit Hilfsskripten

*English version: [below](#english).*

## Deutsch

### Neu

**Startseite**
- Die Widgets stehen in Gruppen (Server und Proxmox, Sicherheit, Docker und Apps, Backups, Dienste), die sich einzeln
  zuklappen lassen. Das gilt ohne Neuladen auch auf deinen anderen Geräten. Eine zugeklappte Gruppe zeigt einen
  farbigen Punkt, wenn darin etwas warnt, gestört ist oder nicht lädt.
- Mit „Bearbeiten“ verschiebst du Widgets, änderst Höhe, Breite und Gruppe und benennst Gruppen um. „Fertig“ speichert
  alles auf einmal. Außerhalb des Bearbeiten-Modus lässt sich nichts mehr aus Versehen verschieben.

**Nodvard Dock (Beta)**
- Nodvard Dock, die schlanke Ausgabe nur mit der Container-Verwaltung, gibt es jetzt als fertiges Image
  `ghcr.io/nodvard/dock` für amd64 und arm64. Die Anleitung steht in `deploy/nodvard-dock/README.md`.
- Dock bietet für sich selbst keinen Update-Knopf an, sondern erklärt, wie du es auf dem Server aktualisierst.

**Docker**
- Private Registries wie ghcr.io lassen sich in den Einstellungen eintragen, das Passwort oder Token kommt in den
  Tresor. Im neuen Reiter „Registries“ siehst du je Server, wo Docker angemeldet ist, und meldest dich über die
  Freigabe an oder ab. Das Passwort steht dabei in keinem Befehl, den andere auf dem Server sehen könnten.
- Volume-Sicherungen eines Stacks lassen sich unter „Sicherungen“ zurückspielen und löschen, beides über die Freigabe.
  Deck prüft vorher, ob das Archiv lesbar ist und der Platz reicht, entpackt es neben die alten Daten und tauscht erst
  dann. Ist etwas nicht in Ordnung, bleiben die Daten, wie sie sind. Besitzer und Rechte der Volumes bleiben erhalten.
- Bricht ein Zurückspielen ab, startet Deck die Dienste nicht blind wieder, sondern sagt dir, wo die Daten liegen.
- Neuer Modus „Nur bedienen“ für Server, deren Zugang nicht in der Gruppe docker sein soll (das wäre praktisch root).
  Mit der Markierung „docker-bedienen“ darf Deck dort per sudo nur das feste Hilfsskript `docker-root`: Container
  anzeigen, ihre Protokolle lesen, sie starten, stoppen und neu starten. Starten, Stoppen und Neustarten laufen über
  die Freigabe. Stacks, Images, Löschen und Konsole gibt es dort nicht, die Seite sagt, warum.
- „Verbindung prüfen“ zeigt, wenn der Zugang auf so einem Server trotzdem alles darf (Anmeldung als root, Gruppe
  docker oder volle sudo-Rechte), und nennt, wie du das änderst.

**Synology DSM (Beta)**
- Du kannst jetzt mehrere Synologys eintragen, jede mit eigenem Namen, Konto, Passwort und Zertifikat. Die Seite hat
  eine Auswahl der Geräte, auf der Startseite hat jedes Gerät eigene Kacheln, und die Meldungen nennen den Gerätenamen.
- Hast du schon eine Synology eingerichtet, musst du nichts neu eintragen. Sie wird beim ersten Start als „synology“
  übernommen, samt Passwort, Kacheln und bereits gemeldeten Problemen.

**Nodvard Shield**
- Im Einbruchschutz kannst du je Programm eigene Portbereiche eintragen, etwa für einen Spieleserver. Neue Ports darin
  zählen dann als ein Eintrag, statt einzeln zu melden. Ein Bereich umfasst höchstens 1000 Ports, mehr nur mit dem
  Häkchen „Breiter Bereich“. Ports unter 1024 zählen nur mit eigenem Häkchen, in einem breiten Bereich nie. Dafür
  braucht Deck auf dem Server root oder sudo.

### Sicherheit
- **Engere Rechte beim Einrichten:** Richtest du einen Server neu ein, bekommt Deck dort keine vollen
  Verwaltungsrechte mehr, wenn die Hilfsskripte der Module reichen. Deck darf dann nur genau diese Skripte starten.
  Volle Rechte gibt es weiter unter „Erweitert“. Schon eingerichtete Server bleiben, wie sie sind.
- Beim Prüfen des Ordners für die Hilfsskripte zählen auch erweiterte Zugriffsrechte und die Gruppen, die ein neuer
  Benutzer bekommt. Ist der Ordner dadurch unsicher, legt Deck die Hilfsskripte dort nicht ab und sagt, wie du es
  behebst.
- Die Bibliothek für Bilder ist aktualisiert. Ein präpariertes Bild konnte beim Hochladen in die Dokumente das
  Dashboard ausbremsen oder abstürzen lassen. Hochladen kann so ein Bild nur, wer Dokumente ändern darf.
- Deck vertraut der Zertifizierungsstelle „emSign ECC Root CA - G3“ nicht mehr, weil Zertifikate unter ihr in falsche
  Hände geraten sind. Ein Dienst mit so einem Zertifikat meldet in Deck deshalb jetzt einen Zertifikatsfehler.
- Ein sehr langer Text in einer Markdown-Kachel kann die Seite nicht mehr spürbar ausbremsen.
- Docker: Werte aus den Variablen eines Stacks blendet Deck in Fehlermeldungen auch dann aus, wenn Docker sie
  umwandelt, zerlegt oder in Anführungszeichen zeigt.
- Docker: Im Modus „Nur bedienen“ prüft das Hilfsskript jeden Aufruf selbst und führt nur eine feste Auswahl von
  Docker-Befehlen aus.
- Kommt in den Einstellungen eines Moduls derselbe Kurzname zweimal vor, landet ein Passwort nicht bei der Adresse
  eines anderen Eintrags.

### Verbessert
- „Verbindung prüfen“ und die Übersicht erkennen Server, die nur die Hilfsskripte erlauben, und sagen deutlich, wenn
  einem Modul deshalb Rechte fehlen.
- Lehnt ein Server mit Dropbear den Schlüssel ab, nennt „Verbindung prüfen“ den Grund und wie du es behebst.
- Synology DSM: Fällt in einem eingeschränkten Speicherpool ein Volume aus, kommt eine einzige dringende Meldung. Wird
  bei einem Gerät die Anmeldung abgelehnt, pausiert nur dieses Gerät für 30 Minuten.
- Nodvard Shield: Ein ausgelassener Neustart nach einem gescheiterten Update kommt nur einmal als Warnung und steht
  danach weiter unter „Braucht Aufmerksamkeit“.
- Docker: Jede neue Volume-Sicherung merkt sich, welche Volumes hineingehören, und nennt die fehlenden, falls das
  Packen abbrach.

### Behoben
- **Server mit Dropbear, etwa DietPi:** Das Einrichten mit Passwort klappt jetzt, weil Deck den Schlüssel so einträgt,
  dass Dropbear ihn annimmt. Hast du so einen Server schon eingerichtet und kannst dich nicht anmelden, richte ihn
  einfach noch einmal ein. Updates, Audit und Viren-Wächter von Nodvard Shield brechen dort nicht mehr mit
  „Connection lost“ ab.
- **Proxmox:** Fällt ein Server aus, steht er auf der Startseite nicht mehr weiter als online. Antwortet er 4 Minuten
  am Stück nicht, gilt er als nicht erreichbar, in einem Cluster als unbekannt. Ein kurzer Neustart löst das nicht aus.
- Der Einbruchschutz meldet bei Pi-hole und anderen DNS-Diensten nicht mehr ständig „Neuer offener Port“.
- Nodvard Shield: Tiefenscan und Härtungs-Audit auf allen Servern starten nur nach einer Rückfrage, Ergebnisse bleiben
  stehen, Fehler stehen mit Grund da, und ein zweiter Klick startet nichts doppelt.
- Docker: Beim Umzug von Portainer bricht Deck vorher ab, wenn die Images nicht zu den laufenden Containern passen.
  Nach Abbrüchen bleiben keine leeren Ordner mehr liegen.
- Synology DSM: Antwortet Hyper Backup sehr langsam, zeigt die Seite Speicher, System und Updates trotzdem an.
- Startseite: Lassen sich die Widgets gerade nicht laden, steht der Grund mit „Erneut versuchen“ da.
- Fährt Deck herunter, während geplante Aufgaben laufen, stehen sie als abgebrochen in der Liste, ohne Fehlermeldungen
  im Protokoll.

### Gut zu wissen
- **Eine kleine Umstellung der Datenbank** für die Gruppen der Startseite. Sie läuft beim ersten Start von selbst.
- **Neue Server bekommen engere Rechte.** Brauchst du sudo ohne Passwort für eigene Skripte, wähle beim Einrichten
  unter „Erweitert“ die vollen Rechte.
- **Synology DSM und Nodvard Dock sind Beta.**
- Aktualisieren: in Deck unter Einstellungen → „Updates“ → „Jetzt aktualisieren“, oder mit
  `docker compose pull && docker compose up -d`.

## English

### New
- **Home page:** widgets are grouped (servers and Proxmox, security, Docker and apps, backups, services) and groups can
  be collapsed, also on your other devices without reloading. A collapsed group shows a coloured dot when something
  inside needs attention. An “Edit” mode moves widgets, changes height, width and group and renames groups; “Done”
  saves everything at once.
- **Nodvard Dock (beta):** ready-made image `ghcr.io/nodvard/dock` for amd64 and arm64, see
  `deploy/nodvard-dock/README.md`. Dock explains how to update itself instead of offering an update button.
- **Docker:** private registries such as ghcr.io with the password or token in the vault, and a “Registries” tab to
  log in or out per server via approval. Volume backups of a stack can be restored (after checking the archive and
  free space; data is only swapped once everything is unpacked) and deleted. New mode “Operate only” (tag
  `docker-bedienen`): Deck may only run the fixed helper script `docker-root` via sudo to list, start, stop and restart
  containers and read their logs, without the login user in the docker group; no stacks, images, deleting or console
  there. “Check connection” warns if such a server's login can still do everything.
- **Synology DSM (beta):** several devices, each with its own name, account, password and certificate. An existing
  setup is taken over as “synology” on first start.
- **Nodvard Shield:** custom port ranges per program in intrusion detection, at most 1000 ports unless marked as a wide
  range; ports below 1024 need their own tick and never count in a wide range. Needs root or sudo on the server.

### Security
- New servers no longer get full admin rights when the modules' helper scripts are enough; full rights remain under
  “Advanced”. Existing servers are unchanged. The helper folder check now includes extended ACLs and the groups of a
  new user.
- Updated image library, certificate store without “emSign ECC Root CA - G3” (a service with such a certificate now
  shows a certificate error), and Markdown rendering. The “Operate only” helper checks every call itself.
- Docker hides stack variable values in error messages even when transformed. Duplicate short names in module settings
  can no longer send a password to another entry's address.

### Improved
- “Check connection” recognises helper-only servers and explains a key rejected by Dropbear.
- One alert for a degraded Synology pool with a failed volume; a rejected login only pauses that device.
- Docker volume backups record which volumes belong to them.

### Fixed
- Servers running Dropbear (e.g. DietPi): password setup writes a key line Dropbear accepts (set up again to repair an
  old one), and Shield updates, audit and virus watcher no longer fail with “Connection lost”.
- A Proxmox server that stops answering for 4 minutes shows as unreachable instead of staying online.
- Intrusion detection no longer reports random ports of Pi-hole and other DNS services.
- Many fixes in Nodvard Shield, Docker and Synology DSM; no error tracebacks when Deck shuts down during scheduled tasks.

### Good to know
- One small database migration (home page groups), applied automatically on first start.
- New servers get narrower permissions; choose full rights under “Advanced” if you need passwordless sudo.
- Synology DSM and Nodvard Dock are beta.