Herpositioneer de age-verzegelde formulierbundel als offline overdrachtsroute #2261

New issue

Closed

opened 2026-10-04 12:11:35 +00:00 by brenno · 0 comments

brenno commented

2026-10-04 12:11:35 +00:00

Owner

Aanleiding

PR’s #2243–#2253 voegden age-verzegeling, lokale bundels, sleutels en teambeheer toe. Die code kan bruikbaar blijven als optionele offline bestandsroute, maar serverpublicatie, API-host en autorisatie mogen niet met dat profiel verweven blijven. Managed Intake gebruikt OIDC/tenantrollen en e-mailverificatie, niet lokale age-/Ed25519-sleutels.

Besluit en werk

Bevestig expliciet of .zip.age ondersteund blijft. Bij behoud:

Hernoem Bundel publiceren… naar bijvoorbeeld Offline uitnodigingspakket maken….
Verwijder FormBundlePolicy.apiHost en andere serverhostsemantiek uit het offline bundelformaat.
Maak duidelijk dat age-/Ed25519-sleutels en team.json alleen de offline route beveiligen.
Laat OciServeautorisatie uitsluitend uit servercontract, tenantcapabilities en form-grants komen.
Documenteer lokaal verzegeld bestand en optionele Managed Intake als twee routes.
Beperk bewijsclaims uit #2252/#2253 tot de offline route.
Stop geen OciServehost, bearer, OTP, locator of servertenant in een offline pakket.

Behoud zonder apart formaatbesluit: bronformulier .md, inzending .zip, offline verzegeld .zip.age. Noem die niet automatisch .ocideck; dat formaat heeft al een andere betekenis.

Acceptatiecriteria

Offline en OciServe-route zijn niet te verwarren in naam, icoon, uitleg of dialoog.
Offline bundel bevat geen verplichte serverhost of serverauthmetadata.
OciServecode vertrouwt geen lokaal team-/sleutelbestand voor autorisatie.
Encryptie/decryptie, sleutelrotatie en compatibiliteitsvectoren blijven voor offline gebruik groen.
Documentatie beschrijft dreigingsmodel, sleutelverlies en uitwisseling zonder serverclaims.
Plain lokale export blijft afzonderlijk mogelijk.
Migratie van reeds gemaakte onuitgebrachte bundels is besloten en getest.
UI- en documentatietekst is gelokaliseerd en visueel gecontroleerd.

Afhankelijkheid

Volgt op #2259 en wordt afgestemd met #2263, zodat bruikbare offline code niet per ongeluk verdwijnt.

## Aanleiding PR’s #2243–#2253 voegden age-verzegeling, lokale bundels, sleutels en teambeheer toe. Die code kan bruikbaar blijven als optionele offline bestandsroute, maar serverpublicatie, API-host en autorisatie mogen niet met dat profiel verweven blijven. Managed Intake gebruikt OIDC/tenantrollen en e-mailverificatie, niet lokale age-/Ed25519-sleutels. ## Besluit en werk Bevestig expliciet of `.zip.age` ondersteund blijft. Bij behoud: - Hernoem **Bundel publiceren…** naar bijvoorbeeld **Offline uitnodigingspakket maken…**. - Verwijder `FormBundlePolicy.apiHost` en andere serverhostsemantiek uit het offline bundelformaat. - Maak duidelijk dat age-/Ed25519-sleutels en `team.json` alleen de offline route beveiligen. - Laat OciServeautorisatie uitsluitend uit servercontract, tenantcapabilities en form-grants komen. - Documenteer lokaal verzegeld bestand en optionele Managed Intake als twee routes. - Beperk bewijsclaims uit #2252/#2253 tot de offline route. - Stop geen OciServehost, bearer, OTP, locator of servertenant in een offline pakket. Behoud zonder apart formaatbesluit: bronformulier `.md`, inzending `.zip`, offline verzegeld `.zip.age`. Noem die niet automatisch `.ocideck`; dat formaat heeft al een andere betekenis. ## Acceptatiecriteria - [ ] Offline en OciServe-route zijn niet te verwarren in naam, icoon, uitleg of dialoog. - [ ] Offline bundel bevat geen verplichte serverhost of serverauthmetadata. - [ ] OciServecode vertrouwt geen lokaal team-/sleutelbestand voor autorisatie. - [ ] Encryptie/decryptie, sleutelrotatie en compatibiliteitsvectoren blijven voor offline gebruik groen. - [ ] Documentatie beschrijft dreigingsmodel, sleutelverlies en uitwisseling zonder serverclaims. - [ ] Plain lokale export blijft afzonderlijk mogelijk. - [ ] Migratie van reeds gemaakte onuitgebrachte bundels is besloten en getest. - [ ] UI- en documentatietekst is gelokaliseerd en visueel gecontroleerd. ## Afhankelijkheid Volgt op #2259 en wordt afgestemd met #2263, zodat bruikbare offline code niet per ongeluk verdwijnt.

brenno added the

docs

enhancement

security

labels

2026-10-04 12:11:35 +00:00

brenno referenced this issue

2026-10-04 12:14:19 +00:00

Herontwerp formulierintake als optionele OciServe Managed Intake #2259

brenno referenced this issue from a commit

2026-10-04 16:03:21 +00:00

docs(intake): Managed Intake als richting — FORM_INTAKE revisie 4 (#2259)