Harden live mail OAuth and immutable releases

docs/quality/THREAT_MODEL.md

@@ -115,7 +115,10 @@ Een wijziging aan netwerk, mail, AI, rendering, auth, exports of uploads vereist
 
 ## Resterende risico's
 
-- De fetcher controleert het werkelijk verbonden peer-IP wanneer httpcore dat exposeert. Een custom transport dat geen peerinformatie aanbiedt valt terug op DNS-set-overlap; volledige IP-pinning blijft een aanvullend egress-hardeningniveau.
+- De productiefetcher blokkeert fail-closed wanneer httpcore het werkelijk verbonden
+  peer-IP niet exposeert en weigert ieder niet-publiek peer-IP. Alleen een expliciet
+  geïnjecteerde test/custom client mag terugvallen op DNS-set-overlap; die clientgrens
+  mag daarom niet voor productie-fetches worden gebruikt.
 - Brute-force of herhaalde foutieve mutatiepogingen blijven mogelijk, maar zijn in productie begrensd via gedeelde Redis-rate-limiting en blokkades op login/manual-import. Correcte individuele client-IPherkenning vereist het exacte proxy-CIDR.
 - Bronvoorwaarden vereisen menselijke/externe review per domein; automatisering kan dat niet juridisch beslissen.
 - Fuzzy dedupe en featureheuristieken kunnen inhoudelijk verkeerd zijn; provenance, feedback en benchmarkevaluaties beperken maar elimineren dit niet.
@@ -150,3 +153,8 @@ Een wijziging aan netwerk, mail, AI, rendering, auth, exports of uploads vereist
   - Impact: herhaalde herstarts van dezelfde bron veroorzaken extra belasting
   - Mitigatie: cooldown plus metadataflag voor eenmalige canary, en trialstatus met beperkte runtrigger
   - Verificatie: `tests/integration/test_source_health.py`
+# Microsoft 365 OAuth
+
+- Exchange Online gebruikt app-only XOAUTH2; Basic Auth en app-wachtwoorden zijn uitgesloten.
+- Client secrets leven alleen in de productie-secretstore en tokenfouten bevatten geen token of secret.
+- De serviceprincipal krijgt uitsluitend IMAP/SMTP-toegang tot de bedoelde mailbox; IMAP-selectie blijft read-only.