v1.6.4 — Security-Audit-Fixes

Security-Audit-Fixes (Audit vom 2026-04-16)

Adressiert 9 Extension-Findings aus dem internen Security-Audit — 3 High, 10 Medium, 6 Low.

Kernaenderungen

• Localhost-Auth-Content-Script nur in Dev-Builds (E-H1/M5/M6): Production-Builds matchen nur barryguard.com. JWT-Issuer-Check vor setAuthToken — Tokens ohne iss auf *.supabase.co werden verworfen.
• CSP connect-src mit host_permissions synchronisiert (E-H2): Neuer csp-hosts.ts-Helper als Single-Source-of-Truth.
• Pump.fun-Metadata-Fetch ins Backend verlagert (E-H3/M1/M8): Kein HTML-Scraping im Service-Worker mehr. ADR-007-konform — Backend liefert name/symbol/imageUrl.
• Content-Script Sender-Validation (E-M3): sender.id === chrome.runtime.id-Check auf allen Listenern.
• History-API-Patch entfernt (E-M9): Passiver URL-Detector via MutationObserver + popstate-Listener statt history.pushState-Monkey-Patch.
• Cache Clock-Drift-Guard (E-M2): Future-dated Cache-Entries werden verworfen.
• Production console.log-Gate (E-M4): Neuer Logger-Helper mit import.meta.env.DEV-Gate; Tier/Usage/Profile-Daten loggen nur in Dev.
• runtime-config allowLocalHttp (E-M7): In Production hart auf false gesetzt fuer alle 5 Call-Sites.
• DexScreener/DexTools Pair-Resolution ins Background (E-M10): RESOLVE_DEX_PAIR-Message-Handler, Single-Rate-Limit-Point.

Tests

• 9 neue Vitest-Suiten (Auth, CSP, Metadata-Handler, Sender-Check, URL-Detector, Cache-TTL, Logger-Gate, Runtime-Config, Dex-Pair-Message).
• multi-site-platforms.test.ts auf neuen Background-Message-Flow umgestellt.
• 490/490 Tests gruen.

Privacy

• docs/privacy-policy-en.md und docs/datenschutzerklaerung.md aktualisiert (Web-App-bg_anon_session-Cookie als "nicht betroffen" dokumentiert).
• docs/security-privacy.md um "Security Hardening (2026-04-16)"-Abschnitt erweitert.

Kompatibilitaet

• Manifest V3 unveraendert.
• Keine neuen Permissions.
• Keine neuen Drittanbieter.