Changelog

Verbesserungen

• Multiple Backends — Peer Selection — Backend-Targets nutzen jetzt ein Peer-Dropdown statt manueller IP-Eingabe. Peer-IPs werden beim Caddy-Config-Build aufgelöst.
• Mirror Targets — Peer Selection — Gleiche Verbesserung für Request Mirroring Targets.

UI

• Dashboard Stat Cards: 5-Spalten Layout
• Dashboard: Fehlender grüner Streifen auf Monitoring-Karte behoben
• Sidebar: Peer-Badge zeigt konsistent Gesamtanzahl

Dokumentation

• Vollständiger User Guide
• Interaktive animierte Demo

Security — Critical

• CSRF-Bypass Prevention — Defensive reset of req.tokenAuth against prototype pollution attacks
• Route-Auth Forward-Auth — Returns 401 instead of 200 when x-route-domain header is missing
• Caddy Config Injection — Header name/value validation, rate_limit_window allowlist, sticky_cookie_name regex
• DNS-Check SSRF — Domain validation before DNS lookup, resolved IPs removed from response
• Key-File Permissions — Re-secured after recursive chown in entrypoint

Security — High

• Route-Auth Lockout — Email-basiert statt IP-basiert
• OTP Range — Vollständiger Bereich 000000–999999
• OTP Resend — Erfordert gültige pending 2FA-Session
• CSRF Key Separation — HMAC-abgeleiteter Key für Route-Auth
• WireGuard Config Injection — DNS/Keepalive validiert, Newlines blockiert
• Email HTML Injection — Alle Werte in Templates escaped
• Route Target SSRF — Private IPs als direkte Targets blockiert
• Metrics Token Leak — Nur Header-Auth, kein Query-Parameter
• WG Key in Logs — Private Keys aus Logs gefiltert
• Trust Proxy — Auf Loopback eingeschränkt
• CSP Styles — Nonce-geschützt
• Dashboard XSS — parseInt + textContent

Security — Medium

• TOTP Replay-Prevention, Session Secure Warning, Rate-Limiter Bypass Fix, Backup Key Validation, IP Filter Fix, CSS Injection Fix, Monitoring XSS Fix, API Key Masking, Health Endpoint eingeschränkt, WG Signal Handling

Neue Features

• Request Mirroring — HTTP-Requests asynchron an bis zu 5 sekundäre Backends duplizieren für Tests, Debugging oder Shadow Deployments. Custom Caddy Go-Modul mit async Goroutines, sync.Pool Body-Buffering (max 10 MB) und 10s Timeout.

Verbesserungen

• Custom caddy-mirror Go-Modul via xcaddy
• .dockerignore schließt *.tar.gz aus
• Activity Log: route_mirror_changed Event
• Server-seitige Validierung für Mirror-Targets

UI

• Mirror Toggle + Target-Editor in Route-Formularen
• Blaues Mirror: N targets Badge
• Mobile FAB Speed-Dial
• Settings-Tabs: Hamburger-Menü auf Mobile

Neue Features

• API Tokens — Stateless Token-Auth für Automatisierung (CI/CD, Home Automation). Scoped Permissions, SHA-256 Hash Storage
• Peer Expiry — Optionales Ablaufdatum pro Peer mit Auto-Deaktivierung
• Peer Access Control (ACL) — Route-Zugriff auf bestimmte Peers beschränken
• Automatic Backups — Geplante Backups mit Retention
• Log Export — CSV/JSON Export mit Filtern
• Gzip/Zstd Komprimierung — Pro-Route Response-Komprimierung
• Custom Headers — Request/Response Headers mit CORS-Presets
• Rate Limiting — Pro-Route via caddy-ratelimit Plugin
• Retry with Backoff — Automatische Wiederholung bei Backend-Fehler
• Load Balancing — Weighted Round-Robin über mehrere Backends
• Sticky Sessions — Cookie-basierte Session Affinity
• Prometheus Metrics — /metrics Endpoint mit 12 Gauges
• Circuit Breaker — Pro-Route mit Closed/Open/Half-Open
• Batch Operations — Multi-Select für Peers und Routes
• Peer Groups — Organisiere Peers nach Team/Standort

Testing

• 231 API-Tests über 31 Bereiche

Neue Features

• Custom Branding — Logo, Titel, Farben und Hintergrundbild für Route-Auth Login-Seiten
• IP Access Control / Geo-Blocking — IP/CIDR Whitelist/Blacklist mit Länder-Filter via ip2location.io
• Uptime Monitoring — HTTP/TCP Health Checks mit Dashboard-Widget und Email-Alerts
• Email Alert System — Event-basierte Benachrichtigungen (Security, Peers, Routes, System)
• Per-Peer Traffic Graphs — Interaktive Charts (24h, 7d, 30d)
• Account Lockout — Konfigurierbar nach N fehlgeschlagenen Login-Versuchen
• Password Complexity — Regeln für Mindestlänge, Großbuchstaben, Zahlen, Sonderzeichen
• API Versioning — /api/v1/ mit Rückwärtskompatibilität
• API Tests — 30+ Tests mit Supertest
• Field-Level Validation — Per-Field Fehlermeldungen

Security

• 6 kritische und 5 wichtige Security-Issues behoben

Neue Features

• Route Authentication System — Custom Login-Seite pro Route mit Email & Passwort, Email & Code (OTP), TOTP. Optionale 2FA mit konfigurierbarer Session-Dauer
• SMTP-Konfiguration — Eingebaute SMTP-Settings mit Test-Email
• Caddy Config Page — Live Caddy JSON-Konfiguration mit Syntax-Highlighting

Verbesserungen

• 13 Security-Hardening Issues behoben
• Host-Networking Fix für QUIC und L4

Neue Features

• Layer 4 TCP/UDP Proxy — Raw TCP/UDP Port-Forwarding via caddy-l4 Plugin. Drei TLS-Modi, Port-Ranges, TLS-SNI Routing
• Custom Caddy Build — Caddy mit caddy-l4 Plugin
• Host Networking — network_mode: host für dynamische L4-Ports

Verbesserungen

• Multi-Stage Docker Build (420MB → 402MB)
• Graceful Shutdown mit 10s Timeout
• 4 Composite Database Indexes
• Standardisiertes API Response Format

Verbesserungen

• Profil-Dropdown mit separater Profilseite und Logout-Button
• Retry-After Header für Rate-Limiting Responses
• CSRF-Token Rotation nach sensiblen Aktionen
• Button Loading-States für alle async Operationen

Bug Fixes

• Nunjucks Template-Error im Topbar-Dropdown behoben
• Auto-Sync package.json Version vom Release-Tag

Verbesserungen

• Modal Focus-Trap und zentralisiertes Modal-Handling
• Error Responses sanitized mit i18n

Bug Fixes

• Modal schließt nicht mehr bei Overlay-Klick
• Release Workflow: Assets vor Upload löschen

Erster öffentlicher Release

• WireGuard VPN Peer Management — Peers erstellen, bearbeiten, aktivieren/deaktivieren mit automatischer Key-Generierung, IP-Allokation, QR-Codes
• Caddy Reverse Proxy Routing — Domain-basiertes Routing mit automatischem HTTPS, Basic Auth, Backend HTTPS
• Dashboard — Connected Peers, aktive Routes, Traffic-Charts, CPU/RAM/Uptime
• Backup & Restore — Vollständiges System-Backup als JSON
• Activity & Access Logs — Vollständiges Log mit Filtern
• Webhooks — Event-basierte Benachrichtigungen mit SSRF-Schutz
• Internationalisierung — Englisch und Deutsch (400+ Keys)

Security

• AES-256-GCM Verschlüsselung, Argon2 Passwort-Hashing, CSRF-Schutz, Rate Limiting, CSP

Erster Release. Vollständiges WireGuard VPN + Caddy Reverse Proxy Management mit Weboberfläche.