demo mode

docs/ai/BACKLOG.yaml

@@ -2202,3 +2202,45 @@ tasks:
   primary_paths:
   - docs/api/openapi.yaml
   - docs/architecture/adrs/0008-server-rendered-design.md
+- id: VR-225
+  title: Hard publieke reverse-proxydeployment en gasttoegang uit
+  status: done
+  priority: P0
+  requirement_ids:
+  - NFR-001
+  - NFR-006
+  - NFR-009
+  depends_on:
+  - VR-224
+  summary: Maak de bestaande persoonlijke installatie veilig en reproduceerbaar bereikbaar achter Nginx Proxy Manager,
+    herstel publieke host- en CSRF-configuratie en voorkom dat een gedeeld demoaccount persistente data wijzigt.
+  acceptance_criteria:
+  - Eén publieke HTTPS-URL configureert hostvalidatie, CSRF, secure cookies, SSL-detectie en redirect zonder de interne
+    containerpoort in de externe origin op te nemen.
+  - Productie start fail-fast bij debugmodusgerelateerde onveiligheid, een zwakke secret, onveilige cookies, ontbrekende
+    HTTPS-origin of een schrijfbare publieke demo.
+  - Login- en importlimieten gebruiken in productie een gedeelde cache; forwarded client-IP’s worden alleen vanaf
+    expliciet vertrouwde proxy-CIDR’s geaccepteerd.
+  - Het gastaccount is server-side alleen-lezen, heeft een begrensde sessie, kan afmelden en toont de beperking zichtbaar.
+  - Unraid-envpad, Nginx Proxy Manager, healthchecks, noindex, heruitrol en terugdraaien zijn exact gedocumenteerd.
+  verification:
+  - PYTHONPATH=/mnt/data/vr_windows_site/site-packages pytest -q
+  - python manage.py check
+  - python manage.py makemigrations --check --dry-run
+  - python scripts/validate_repository.py
+  - bash -n scripts/deploy_docker.sh scripts/entrypoint.sh scripts/unraid_aio_entrypoint.sh
+  - Live Nginx-, TLS-, CSRF-, Dockerhealth- en restore-smoke op de doelserver
+  primary_paths:
+  - config/settings.py
+  - apps/core/middleware.py
+  - apps/core/network.py
+  - apps/core/health.py
+  - scripts/configure_public_url.py
+  - docker-compose.unraid.yml
+  - docs/operations/NGINX_PROXY_MANAGER.md
+  - docs/quality/PRODUCTION_AUDIT_2026-07-27.md
+  result:
+    completed_at: '2026-07-27'
+    note: Publieke host/CSRF/HTTPS-configuratie, gedeelde Redis-rate-limiting, proxy-IPvertrouwen, cache-readiness,
+      noindex en read-only gastdemo geïmplementeerd. 295 tests groen met 2 correcte Playwrightskips; Django check,
+      migratiecheck, repositoryvalidatie, YAML-, syntax- en packagechecks groen. Live servervalidatie blijft extern.

docs/ai/PROJECT_STATE.md

@@ -1,7 +1,7 @@
 # Projectstatus
 
-- Laatst bijgewerkt: 2026-07-26
-- Repositoryversie: 0.3.0 volledige Stitch Intelligence Cockpit
+- Laatst bijgewerkt: 2026-07-27
+- Repositoryversie: 0.3.12 productie- en reverse-proxyhardening
 - Uitvoeringsmodus: autonome backlog
 - Eerste uitvoerbare taak: controleer met `python scripts/backlog.py next`
 
@@ -19,6 +19,18 @@ De repository bevat een uitvoerbare Django-MVP met:
 - Celeryworker/scheduler, healthchecks, Docker/Unraidconfiguratie en back-up-/herstelscripts;
 - offline unit-, integratie- en securitytests.
 
+## Laatste productiehardening
+
+VR-225 op 2026-07-27:
+
+- `PUBLIC_BASE_URL` stuurt publieke host-, origin- en HTTPS-instellingen aan en voorkomt de gemelde `DisallowedHost` achter Nginx Proxy Manager;
+- publieke debugmodus, zwakke secrets, onveilige cookies, ontbrekende HTTPS-origin en een schrijfbare productiedemo worden fail-fast geweigerd;
+- login- en importrate-limiting delen Redis over alle workers; forwarded client-IP’s gelden alleen vanaf expliciet vertrouwde proxy-CIDR’s;
+- de gastdemo is server-side alleen-lezen, heeft een begrensde sessie en toont die beperking zichtbaar in de cockpit;
+- interne healthchecks blijven HTTP-bruikbaar onder SSL redirect en readiness verifieert optioneel database plus cache;
+- Unraid, publieke poort, env-pad, Nginx Proxy Manager en productie-env zijn als één reproduceerbaar deploymentcontract gedocumenteerd;
+- de volledige offline suite is groen met 296 tests en 2 correcte Playwrightskips; Docker-, publieke TLS- en live Unraid-smokes blijven doelservervalidatie.
+
 ## Laatste frontendvervanging
 
 VR-209 tot en met VR-213 vervangen de oude browserfrontend integraal: