Fix release blockers and deployment build

docs/ai/PROJECT_STATE.md

@@ -21,13 +21,16 @@ De repository bevat een uitvoerbare Django-MVP met:
 
 ## Laatste geverifieerde baseline
 
-De definitieve projectbasis en een schoon uit de ZIP opgebouwde checkout zijn beide geverifieerd met:
+Release-audit op 2026-07-21:
 
-- 43 geslaagde tests;
-- 80,42% branch-aware codedekking over `apps` en `config`;
+- 144 geslaagde tests en 2 lokaal overgeslagen Playwright-varianten; de HTML/a11y-fallback is geslaagd;
+- 81,98% branch-aware codedekking over `apps` en `config`;
 - Ruff en Django system checks geslaagd;
 - geen ontbrekende migraties;
-- clean-room bootstrap, demo-import en HTTP-smoke voor liveness, readiness en login geslaagd.
+- backlog- en repositoryvalidatie geslaagd;
+- de lockfile gebruikt publieke PyPI-bronnen in plaats van een niet-overdraagbare interne registry;
+- releaseblokkers hersteld in template-rendering, JSON/BOM-verwerking, leases, feedback, dossierautorisatie, ATS-provenance, employer-resolutie en DNS-rebindcontrole;
+- een echte Dockerimagebuild en live server-smoke blijven afhankelijk van de Gitea-runner/server, omdat Docker lokaal niet beschikbaar is.
 
 ## Laatste uitgevoerde backlogtaak
 

docs/quality/THREAT_MODEL.md

@@ -71,6 +71,7 @@ Django/Celery
 | T-23 | Onbevoegde admin op thuisnetwerk | volledige datatoegang | uniek wachtwoord, TLS/VPN, geen defaultcredentials, sessiebeveiliging | Unraidchecklist |
 | T-24 | Source terms wijzigen | ongewenste voortgezette crawling | reviewdatum, source health en policy expiry gepland | `VR-102`, `VR-112` |
 | T-31 | Sollicitatiedossier-export bevat niet-gewenste payload | data-lek of onbedoeld dossieroverdragen | export bevat alleen het gekozen dossier, ZIP-inhoud is beperkt tot snapshot/tijdlijn/print-HTML, bestandsnaam is geslugified zonder padseparators | `tests/integration/test_applications.py` |
+| T-32 | XML external entity/entity-expansion via sitemap | lokale data-uitlezing of parseruitputting | sitemap-XML wordt met `defusedxml` verwerkt; fetcherlimieten blijven vóór parsing gelden | `tests/unit/test_discovery_rss.py`, Ruff securitycheck |
 
 ## Misbruikscenario's