v4.29.0 — Security-Härtung & Design-Transfer

Sicherheit

• DSGVO: Google-Fonts-Import entfernt — Inter wird jetzt self-hosted aus assets/fonts/ geladen (keine IP-Übertragung an Google mehr)
• App-Token-Verify prüft jetzt iss/aud-Claims; Guard antwortet 401 statt 403
• REST-PUT & manueller Doc-Upload: Tiefenvalidierung je Event — kaputte Events können den öffentlichen ICS-Feed nicht mehr mit 500 lahmlegen (defensives build_event)
• Speichern ist atomar: gleichzeitiges Speichern zweier Nutzer erzeugt zuverlässig einen 409-Konflikt statt stillem Überschreiben
• Kiosk-/Entwurf-Seiten senden Referrer-Policy: no-referrer (Token in URL)
• Backup-Cron löscht Dateien älter als 30 Tage (DSGVO-Speicherbegrenzung); index.html-Schutz neben .htaccess

Design

• Design-Transfer aus dem Curricu:lr Planner: Die Terminplan-Ansicht folgt jetzt den zentralen Design-Tokens — Marine-Farbtöne, Inter-Schrift, Planner-Radien — inklusive Dark Mode
• Fehler- und Hinweisboxen nutzen einheitliche, Theme-fähige CSS-Klassen statt fest verdrahteter Inline-Farben

Intern

• Feedback-Log löscht Einträge älter als 90 Tage automatisch
• Schuljahr-Liste ohne N+1-Datenbankabfragen

Installation: ZIP im WP-Admin hochladen (Plugins → Installieren → Plugin hochladen).