Close 0.3.17 operational follow-ups

docs/ai/BACKLOG.yaml

@@ -2445,3 +2445,34 @@ tasks:
     note: Releasebootstrap gepind op immutable setup-uv v8.1.0-commit en uv 0.11.12 via Astral-mirror; Gitea Actions-run
       3062 publiceerde digest sha256:98f4b33d met checksum-geldige SBOM/release-evidence; Unraid gepind op volledige
       digest en live health/readiness groen.
+- id: VR-231
+  title: Sluit de operationele 0.3.17-restpunten
+  status: done
+  priority: P0
+  requirement_ids:
+  - NFR-009
+  depends_on:
+  - VR-230
+  summary: Verwijder de achterhaalde push-to-deployroute, herstel voldoende Docker-netwerkcapaciteit, valideer de
+    resterende mailboxfout en maak actuele versus historische deploymentstatus ondubbelzinnig.
+  acceptance_criteria:
+  - Main-pushes maken geen onbeperkt wachtende deployruns meer; alleen de immutable tagrelease bouwt en publiceert.
+  - Unraid heeft een persistente, conflictvrije default address pool met minstens 256 kleine bridge-netwerken.
+  - De Jobat-productiemailbox slaagt opnieuw via de bestaande OAuth/IMAP-taak of levert een exact extern restpunt.
+  - Projectstatus en deploymentdocumentatie beschrijven alleen het actuele releasepad als operationele waarheid.
+  verification:
+  - uv run pytest tests/unit/test_deployment_configuration.py
+  - ./scripts/codex_verify.sh
+  - Live Docker-netwerk-, mailbox-, container- en readinesssmokes
+  primary_paths:
+  - .gitea/workflows/release.yml
+  - docs/operations/GITEA_DEPLOYMENT.md
+  - docs/operations/UNRAID_DEPLOYMENT.md
+  - docs/ai/PROJECT_STATE.md
+  - tests/unit/test_deployment_configuration.py
+  result:
+    completed_at: '2026-08-12'
+    note: Oude main-pushdeploy verwijderd en run 3065 begrensd geannuleerd; Jobat OAuth/IMAP-herpoll groen met 61
+      duplicates en 0 fouten; Unraid persistent op conflictvrije 10.200.0.0/16→/24-pool gezet en live proefnetwerk
+      bewezen; na Docker-herstart alle vooraf actieve containers hersteld en geen unhealthy containers, VacatureRadar
+      publiek/intern healthy.

docs/ai/PROJECT_STATE.md

@@ -58,6 +58,16 @@ Visuele demo-hardening `VR-229` op 2026-08-12:
   `/mnt/user/appdata/VacatureRadar/local/backups/release-0.3.17-20260812T114510Z`;
 - Unraid is live op de immutable digest gepind: container healthy, nul restarts,
   interne liveness/readiness groen, publieke readiness 200 en runtimeversie 0.3.17.
+- `VR-231` verwijderde de oude `main`-push-to-deployworkflow en annuleerde de
+  laatste onbeperkt wachtende run 3065; alleen semantische tags publiceren nog;
+- Jobat is via de bestaande OAuth/IMAP-taak geforceerd herhaald: 61 duplicaten
+  correct herkend, nul fouten en de foutstatus volledig gewist;
+- Unraid gebruikt persistent `10.200.0.0/16,size=24`; een live proefnetwerk kreeg
+  `10.200.1.0/24` en werd daarna verwijderd. Na de gecontroleerde Docker-herstart
+  zijn alle 127 vooraf actieve containers hersteld; VacatureRadar, Grimmory en
+  MeTube zijn healthy en er zijn geen unhealthy of herstartende containers;
+- serverback-ups bewaren de eerdere `docker.cfg`, de running-containersnapshot,
+  de Grimmory-template en de Gitea-database vóór de begrensde runannulering.
   Volgende uitvoerbare backlogtaak: geen.
 
 README-update op 2026-07-30:
@@ -454,7 +464,10 @@ VR-208-herverificatie op 2026-07-22:
 - De applicatie draait op de Unraid-server via `http://192.168.10.150:1226/` als één Dockerman-container; Supervisor bewaakt intern PostgreSQL 17, Redis, web, worker en scheduler.
 - De Dockerman-tegel gebruikt de lokale VacatureRadar-favicon en opent rechtstreeks de WebUI op poort 1226.
 - De server-side `.env` heeft rechten `0600`; gegenereerde secrets zijn niet naar Git of logs gekopieerd.
-- De self-hosted Gitea Actions-runner is niet actief. Deze sessie gebruikte daarom een directe, commitgebonden SSH-deploy; push-to-deploy vereist nog runnerherstel/registratie.
+- Historisch bewijs (2026-07-22, inmiddels vervangen): de self-hosted runner was
+  toen niet actief en die sessie gebruikte een directe SSH-deploy. Sinds 0.3.17
+  is uitsluitend de taggestuurde immutable registryrelease operationeel; een
+  gewone push naar `main` deployt bewust niet.
 - Deze historische LAN-beperking is op 2026-07-29 opgeheven: het publieke domein, reverse proxy/TLS, `DJANGO_DEBUG=0` en secure cookies zijn live gevalideerd.
 
 ## Laatste uitgevoerde backlogtaak