Harden live mail OAuth and immutable releases

docs/ai/BACKLOG.yaml

@@ -1356,22 +1356,25 @@ tasks:
   summary: Configureer de gewenste afzonderlijke platformmailboxen via de beveiligde UI, de Fernet-secretkey en
     digestrecipient; test read-only import en mailverzending zonder credentials in Git/logs.
   acceptance_criteria:
-  - Iedere platformmailbox gebruikt TLS, een dedicated account/app-wachtwoord en read-only mailboxselectie.
+  - Iedere platformmailbox gebruikt TLS, een dedicated alias en read-only mailboxselectie; Microsoft 365 gebruikt
+    app-only OAuth/XOAUTH2 en geen Basic Auth of app-wachtwoord.
   - Dezelfde live testmail importeert per mailbox idempotent en alle geconfigureerde intervallen worden door de
     scheduler gerespecteerd.
   - SMTP verstuurt één testdigest en outboxstatus klopt.
-  - De encryptiesleutel staat alleen in de productie-secretstore/.env; app-wachtwoorden zijn als ciphertext in de
-    database aanwezig en sleutelrotatie is live getest.
+  - OAuth-clientcredentials en de encryptiesleutel staan alleen in de productie-secretstore/.env; eventuele
+    Gmail/custom-app-wachtwoorden zijn als ciphertext opgeslagen en sleutelrotatie is live getest.
   verification:
   - Volg Unraid mailboxchecklist
   - Inspecteer logs op afwezigheid van secret/payload
   primary_paths:
   - /mnt/user/appdata/vacatureradar/config/.env
   - Bronnen -> Platformmailboxen
-  external_blocker: Vereist mailbox-/SMTP-account en app-password van de gebruiker.
+  external_blocker: De dedicated productie-alias, Entra-appregistratie, admin consent en Exchange-mailboxscope zijn
+    op 2026-07-30 live ingericht; resterend zijn de productie-uitrol en echte platformalertmails voor de
+    import-/digestproef.
 - id: VR-203
   title: Productiedomein, TLS en reverse proxy activeren
-  status: blocked-external
+  status: done
   priority: P0
   requirement_ids:
   - NFR-001
@@ -1393,7 +1396,11 @@ tasks:
   primary_paths:
   - Unraid reverse proxy
   - /mnt/user/appdata/vacatureradar/config/.env
-  external_blocker: Vereist gekozen domein/DNS en toegang tot de Unraid reverse proxy.
+  result:
+    completed_at: '2026-07-29'
+    note: Publiek domein, HTTP-naar-HTTPS, TLS/securityheaders, DEBUG=False, secure cookies, CSRF-gastlogin, kernroutes
+      en readiness live bewezen in docs/audit/FINAL_ACCEPTANCE.md op 2026-07-29; interne diensten zijn uitsluitend
+      containerintern bereikbaar.
 - id: VR-204
   title: Immutable containerimage publiceren
   status: blocked-external