demo mode

docs/ai/BACKLOG.yaml

@@ -2202,3 +2202,45 @@ tasks:
   primary_paths:
   - docs/api/openapi.yaml
   - docs/architecture/adrs/0008-server-rendered-design.md
+- id: VR-225
+  title: Hard publieke reverse-proxydeployment en gasttoegang uit
+  status: done
+  priority: P0
+  requirement_ids:
+  - NFR-001
+  - NFR-006
+  - NFR-009
+  depends_on:
+  - VR-224
+  summary: Maak de bestaande persoonlijke installatie veilig en reproduceerbaar bereikbaar achter Nginx Proxy Manager,
+    herstel publieke host- en CSRF-configuratie en voorkom dat een gedeeld demoaccount persistente data wijzigt.
+  acceptance_criteria:
+  - Eén publieke HTTPS-URL configureert hostvalidatie, CSRF, secure cookies, SSL-detectie en redirect zonder de interne
+    containerpoort in de externe origin op te nemen.
+  - Productie start fail-fast bij debugmodusgerelateerde onveiligheid, een zwakke secret, onveilige cookies, ontbrekende
+    HTTPS-origin of een schrijfbare publieke demo.
+  - Login- en importlimieten gebruiken in productie een gedeelde cache; forwarded client-IP’s worden alleen vanaf
+    expliciet vertrouwde proxy-CIDR’s geaccepteerd.
+  - Het gastaccount is server-side alleen-lezen, heeft een begrensde sessie, kan afmelden en toont de beperking zichtbaar.
+  - Unraid-envpad, Nginx Proxy Manager, healthchecks, noindex, heruitrol en terugdraaien zijn exact gedocumenteerd.
+  verification:
+  - PYTHONPATH=/mnt/data/vr_windows_site/site-packages pytest -q
+  - python manage.py check
+  - python manage.py makemigrations --check --dry-run
+  - python scripts/validate_repository.py
+  - bash -n scripts/deploy_docker.sh scripts/entrypoint.sh scripts/unraid_aio_entrypoint.sh
+  - Live Nginx-, TLS-, CSRF-, Dockerhealth- en restore-smoke op de doelserver
+  primary_paths:
+  - config/settings.py
+  - apps/core/middleware.py
+  - apps/core/network.py
+  - apps/core/health.py
+  - scripts/configure_public_url.py
+  - docker-compose.unraid.yml
+  - docs/operations/NGINX_PROXY_MANAGER.md
+  - docs/quality/PRODUCTION_AUDIT_2026-07-27.md
+  result:
+    completed_at: '2026-07-27'
+    note: Publieke host/CSRF/HTTPS-configuratie, gedeelde Redis-rate-limiting, proxy-IPvertrouwen, cache-readiness,
+      noindex en read-only gastdemo geïmplementeerd. 295 tests groen met 2 correcte Playwrightskips; Django check,
+      migratiecheck, repositoryvalidatie, YAML-, syntax- en packagechecks groen. Live servervalidatie blijft extern.