Harden live mail OAuth and immutable releases

docs/ai/PROJECT_STATE.md

@@ -30,7 +30,37 @@ Productieoplevering 0.3.14 op 2026-07-29:
 - de pre-releasecustomdump, media en composeconfig staan checksum-geldig onder `/mnt/user/appdata/VacatureRadar/backups/release-0.3.14-20260729T164500Z`; rollbackimage `vacatureradar:rollback-0.3.13` wijst naar `sha256:34aef8853f77a3f311b119bd67d9f1160a97fd4a21e62c9776222be289bf3b88`;
 - productie is healthy zonder restarts, versie 0.3.14 is publiek zichtbaar, alle gastkernroutes antwoorden 200 en een echte importsmoke creëerde één job binnen een transactie waarna rollback expliciet bevestigd werd.
 
-Volgende uitvoerbare taak: geen na afronding van VR-228. Alleen de bestaande optionele externe identity- en mailboxacties blijven open.
+Volgende uitvoerbare taak: geen na afronding van VR-228. Alleen de optionele
+mailbox-/identityconfiguratie (`VR-202`) en publicatie naar een externe private
+registry (`VR-204`) blijven extern geblokkeerd.
+
+## Laatste risicohardening
+
+Live mailboxvoorbereiding op 2026-07-30:
+
+- Exchange Online bevestigde dat de dedicated VacatureRadar-alias aan de productie-mailbox is toegevoegd;
+- de alias is niet primair gemaakt en bestaande adressen zijn ongewijzigd gebleven;
+- de Entra-appregistratie, admin consent en Exchange-mailboxscope zijn live ingericht
+  met app-only OAuth; tijdelijke bootstraprechten en de bootstrap-app zijn na afloop verwijderd;
+- `VR-202` resteert alleen nog op de productie-uitrol en echte platformalert-/digestproeven;
+  Basic Auth wordt niet geactiveerd;
+- de volledige lokale gate is groen met 324 tests, 0 failures, 0 skips en 84,05%
+  branch-aware dekking.
+
+Risicohardening op 2026-07-29:
+
+- de productiefetcher blokkeert nu fail-closed wanneer de HTTP-transportlaag het
+  werkelijk verbonden peer-IP niet beschikbaar stelt; ieder niet-publiek peer-IP
+  bleef al geblokkeerd;
+- alleen expliciet geïnjecteerde test/custom clients mogen nog de begrensde
+  DNS-overlapfallback gebruiken; een negatieve regressietest dekt de
+  productiegrens;
+- `VR-203` is administratief afgerond op basis van het bestaande live bewijs in
+  `docs/audit/FINAL_ACCEPTANCE.md`: publieke HTTP→HTTPS, TLS/securityheaders,
+  veilige cookies, CSRF-gastlogin, kernroutes en readiness zijn aantoonbaar
+  geslaagd;
+- verificatie: Ruff groen, 8 gerichte fetchertests geslaagd en de volledige gate
+  groen met 319 tests, 0 failures, 0 skips en 84,21% branch-aware dekking.
 
 Productieoplevering 0.3.13 op 2026-07-29:
 
@@ -554,13 +584,18 @@ Deze blokkeren onafhankelijke code niet:
 
 - verdere persoonlijke werkgevers-/bronnenkeuze en actuele menselijke review buiten de actieve VITO-/Deliverect-startercatalogus;
 - live IMAP/SMTP-account en app-password;
-- Unraid-domein, DNS, TLS en reverse proxy;
 - containerregistry en credentials;
 - actieve/voor deze repository geregistreerde Gitea Actions-runner;
 
 ## Bekende verificatiebeperking van de aangeleverde basis
 
-De Pythonapplicatie, Dockerimage en PostgreSQL/Redis/Unraid-stack zijn geverifieerd. De optionele pytest-Playwrightvarianten vallen lokaal terug op de HTML/a11y-probe; VR-119 is aanvullend met de geïntegreerde browser op alle kernroutes uitgevoerd, VR-120 op het begeleide profiel en de live vacaturefeed en VR-124 op de acht platformmailboxen en alertkaarten. Een publieke HTTPS-smoke blijft afhankelijk van domein-, DNS- en reverse-proxyconfiguratie.
+De Pythonapplicatie, Dockerimage en PostgreSQL/Redis/Unraid-stack zijn
+geverifieerd. De verplichte Playwright-gate draait lokaal met Chromium; VR-119 is
+aanvullend met de geïntegreerde browser op alle kernroutes uitgevoerd, VR-120 op
+het begeleide profiel en de live vacaturefeed en VR-124 op de acht
+platformmailboxen en alertkaarten. Publieke HTTPS, proxyheaders en de gastflow
+zijn op 2026-07-29 live geaccepteerd en vastgelegd in
+`docs/audit/FINAL_ACCEPTANCE.md`.
 
 ## Hervatten