journal day

Mittwoch, 15. April 2026

Tagesansicht des öffentlichen Journals: konkrete Changelog-Outputs, Incidents und kuratierte Notes, ohne dass der Index alles auf einmal rendert.

Aktivität an diesem Tag: Spitze

Mittwoch, 15. April 2026

claude-opus-4.6openclaw

Drive-Cowork-Pipeline fuer Tweet-Bilder abgeschlossen (IMG-2 bis IMG-6)

added

**`.openclaw/workspace/scripts/export-image-prompts.mjs`** (IMG-2) — Liest `tweet-queue.json`, filtert Items mit gueltigem `image_prompt` (`status=ready`, `image_status=pending`, kein `image_key`, keine Ziffern, ≤350 Zeichen), schreibt je `<id>.json` nach `img-export/pending/`, setzt `image_status="bridge_pending"` + `image_provider="cowork_drive"` + `image_bridge_at`, syncronisiert via `rclone sync` zu `gdrive:OpenClaw-Images/pending/`. Unterstuetzt `--dry-run` und `--max N` (Default 20).
**`.openclaw/workspace/scripts/pickup-generated-images.mjs`** (IMG-3) — Listet `gdrive:OpenClaw-Images/done/` via `rclone ls`, laedt `<id>.jpg/.png` lokal nach `img-export/pickup/`, uploaded per PostFast-Signed-URL-Flow (`/file/get-signed-upload-urls` → S3 PUT), setzt `image_key`/`image_status="uploaded"`/`image_generated_at`/`image_uploaded_at`, verschiebt Drive-Datei nach `archived/`, loescht lokale Datei. Unterstuetzt `--dry-run`.
**`.openclaw/workspace/img-export/README-COWORK.md`** (IMG-4) — Anleitung fuer den Co-Work-Workflow: Ordnerstruktur, Dateinamenskonvention, Tool-Empfehlungen (Midjourney/DALL-E 3/Firefly/SD), manuelle Sync-Kommandos. Auch nach `gdrive:OpenClaw-Images/README-COWORK.md` syncronisiert.

changed

**`.openclaw/cron/jobs.json`** (IMG-5) — Zwei neue Jobs; Gateway neu gestartet:
`twitter:img-export` (ID `twitter-img-export-b2e1`) → `0 */3 * * *` Europe/Berlin, `--max 20`, Timeout 120s
`twitter:img-pickup` (ID `twitter-img-pickup-c3f2`) → `30 */3 * * *` Europe/Berlin, Timeout 180s
Erster automatischer `img-export`-Lauf hat direkt 20 Items exportiert und zu Drive syncronisiert
**`thelonginvestor/scripts/tweet-image-generator.mjs`** (IMG-6) — Gemini Imagen, OpenRouter und Google Sheets Bridge entfernt; PostFast-Upload-Helpers und Prompt-Validation als ES-Exports behalten; `main()` zeigt Queue-Stats und Verweis auf neue Pipeline.

verified

`node export-image-prompts.mjs --dry-run --max 5` → 5 Items aufgelistet (141 eligible), kein Schreiben
`node pickup-generated-images.mjs --dry-run` → laeuft durch, Drive `done/` leer wie erwartet
`node tweet-image-generator.mjs` → Queue-Stats ohne Fehler (754 total, 123 eligible, 95 bridge_pending)
Erster Cron-Run: 20 Items exportiert; `bridge_pending` 52 → 95

claude-opus-4.6w3yh

Journal-Sync: Parser-Überarbeitung und Vercel-Build-Fix

changed

**`w3yh.xyz/scripts/sync-journal.mjs`**
Parser auf 8 Header-Formate erweitert (vorher: nur Format 1 mit `## YYYY-MM-DD HH:MM UTC | agent | Title` erkannt)
Neu unterstützt: ISO-Timestamp (`T20:58:00Z — agent`), Datum+Pipe ohne Uhrzeit (`## YYYY-MM-DD | agent | Title`), UTC-Em-Dash (`## YYYY-MM-DD HH:MM UTC — Title`), Em-Dash ohne Agent (`## YYYY-MM-DD — agent`), Em-Dash mit Klammertitel, Datumsbereich (`bis`), nacktes Datum (`## YYYY-MM-DD`)
Bullet-Points ohne vorangestellten `###`-Header erzeugen jetzt automatisch eine `"changes"`-Sektion statt verworfen zu werden
Section-Namen werden jetzt ebenfalls durch `redact()` bereinigt (vorher: interner Kontext in Sektionsnamen möglich)
**Vercel-Skip-Logik** in `main()`: wenn `OPENCLAW_CHANGELOG_DIR` und `W3YH_CHANGELOG_DIR` nicht vorhanden und `journal-data.json` bereits exists → Early Return ohne Überschreiben

fixed

**Vercel Build zeigte "0 Einträge über 0 Tage"** — Sync-Script lief auf Vercel durch, fand keine VPS-Quelldateien und überschrieb das committete JSON mit einem leeren Output
**Februar- und März-Einträge wurden nicht geparst** — Ältere Changelogs nutzen Em-Dash und ISO-Timestamp-Syntax; der Parser kannte nur das moderne UTC-Pipe-Format

verified

`node scripts/sync-journal.mjs` lokal: Februar `0` → `26`, März `13` → `174`, gesamt `249` → `443` Einträge, `22` → `43` Tage, `2` → `3` Monate
`journal-data.json` committed; Vercel-Build und lokale Preview zeigen jetzt korrekte Einträge

claude-opus-4.6openclaw

IMG-1: rclone Google Drive OAuth eingerichtet

setup

**`~/.config/rclone/rclone.conf`** — `[gdrive]`-Remote per Browser-OAuth autorisiert; Dominik hat im Browser bestaetigt, Redirect-URL an VPS-Port `53682` weitergeleitet, Token geschrieben
**Google Drive Ordner** via `rclone mkdir` erstellt: `gdrive:OpenClaw-Images/pending/`, `done/`, `archived/`
**Lokale Verzeichnisse**: `~/.openclaw/workspace/scripts/`, `img-export/pending/`, `img-export/pickup/`

verified

`rclone lsd gdrive:` zeigt Drive-Root; `rclone lsd "gdrive:OpenClaw-Images"` zeigt alle drei Unterordner

claude-opus-4.6openclaw

spielideengenerator — 24 neue Pinterest-Pins erstellt (April + Mai Stealth-Batch)

added

**`spielideengenerator/content/pinterest-pins.json`** — 24 neue `pending`-Eintraege fuer Stealth-Blogposts die noch keinen Pin hatten: April-Batch (12 Pins fuer bereits live Posts, davon 3 ueberfaellig) + Mai-Batch (12 Pins vorausgeplant). Je Pin: `id`, `slug`, `title`, `description`, `imagePrompt`, `boardSection`, `publishAt`.

notes

Pins 1–7 wurden von Dominik manuell erstellt und sind live (`status → "posted"`)
17 verbleibende Pins warten auf Bild-Generierung — die Drive-Cowork-Pipeline steht jetzt dafuer bereit

codexopenclaw

Tyrone-Login und Workspace-Auth jetzt auf Passwort-Workflow ausgerichtet

changed

**`.openclaw/workspace/projects/tyrone-terminal/src/app/login/LoginPageClient.tsx`, `.openclaw/workspace/projects/tyrone-terminal/src/app/login/page.css`**
den direkten Terminal-Fallback von Magic-Link-only auf Passwort-Login plus sichtbaren Magic-Link-Fallback erweitert.
die Login-Copy spricht jetzt offen Dominiks echten Alltag an: häufige Gerätewechsel sollen über Passwortmanager laufen, nicht über dauernde Mail-Sprünge.
**`.openclaw/workspace/tasks/todo.md`**
den offenen Rest auf Deploy und echten End-to-End-Smoke eingegrenzt; technisch ist der Passwort-/Callback-Umbau jetzt lokal vollständig vorbereitet.

verified

`npm run build` in `.openclaw/workspace/projects/tyrone-terminal`
Ergebnis: grün nach Passwort-Login-Umbau.
`pm2 restart [process]
Ergebnis: Runtime neu geladen; `https://terminal.w3yh.xyz/login` zeigt live jetzt `Mit Passwort anmelden` plus Magic-Link-Fallback.
`curl -I https://terminal.w3yh.xyz/auth/callback?next=%2F`
Ergebnis: `307` auf `/login?next=%2F&error=Missing+authentication+token.`; der Live-Callback hängt weiter sauber am neuen Login-Pfad.

codexw3yh

Private-Gate auf Passwort-Login und In-Hub-Passwort gesetzt

changed

**`w3yh.xyz/src/components/private/login-client.tsx`**
den zentralen Gate-Login von reinem Magic-Link auf einen passwortfreundlichen Primärpfad erweitert: E-Mail plus Passwort ist jetzt die Hauptaktion, Magic Link bleibt explizit als Fallback sichtbar.
die UI erklärt jetzt den echten Zielzustand für Dominiks Workflow: einmal per Magic Link rein reicht, danach kann der Passwortmanager den Alltag übernehmen.
**`w3yh.xyz/src/components/private/password-panel.tsx`, `w3yh.xyz/src/components/private/private-gate-shell.tsx`**
im eingeloggten Hub eine neue Passwort-Fläche ergänzt, über die ein festes Passwort direkt in der aktiven Supabase-Session gesetzt oder erneuert werden kann.
damit hängt das neue Passwort-Setup nicht mehr an einem separaten Backoffice-Schritt, sondern genau an der Stelle, an der der Nutzer nach dem ersten Login ohnehin landet.
**`w3yh.xyz/tasks/todo.md`**
`W3YH-87` und `W3YH-88` auf den neuen Stand gezogen: der offene Rest ist nicht mehr die Auth-Art selbst, sondern nur noch der Live-Rollout und der echte End-to-End-Probegang.

verified

`npm run build` in `w3yh.xyz`
Ergebnis: grün nach dem Umbau auf Passwort-Login plus neues Passwort-Panel.
`curl -I https://private.w3yh.xyz/login?next=%2F`
Ergebnis: weiter `HTTP/2 200`; der zentrale Login-Pfad bleibt live erreichbar.

codexopenclaw

Tyrone Magic-Link nicht mehr stumpf auf die Login-Seite geschickt

changed

**`.openclaw/workspace/projects/tyrone-terminal/src/app/api/auth/magic-link/route.ts`**
der direkte Fallback-Login im Terminal zeigt jetzt nicht mehr auf `/login`, sondern auf den bereits vorhandenen serverseitigen Callback unter `/auth/callback`.
damit wird auch im Terminal ein Rueckkehr-Link aus der Mail nicht mehr nur angezeigt, sondern serverseitig in eine Session ueberfuehrt.
**`.openclaw/workspace/tasks/todo.md`**
den offenen Restblock um die echte Ursache geschaerft: der Kreis war ein Callback-Thema im Gate/Fallback-Login, nicht ein fehlendes Secret oder ein falscher Handoff.

verified

`npm run build` in `.openclaw/workspace/projects/tyrone-terminal`
Ergebnis: gruen.
`pm2 restart [process]
Ergebnis: Runtime neu geladen; der Fallback-Login laeuft jetzt auf dem neuen Build.

codexw3yh

Private-Gate-Magic-Link auf echten Callback gezogen

changed

**`w3yh.xyz/src/app/private/auth/callback/route.ts`, `w3yh.xyz/src/app/api/private/auth/magic-link/route.ts`, `w3yh.xyz/src/lib/private/auth-config.ts`, `w3yh.xyz/src/proxy.ts`**
den eigentlichen Kreis im Gate behoben: Magic Links landen nicht mehr wieder auf einer passiven Login-Seite, sondern auf einem serverseitigen Callback, der `code` oder `token_hash` in eine echte Gate-Session tauscht.
der Alias-Rewrite kennt jetzt auch `/auth/callback`, damit `private.w3yh.xyz` und der interne `/private/...`-Pfad denselben Rückweg sauber verstehen.
**`w3yh.xyz/tasks/todo.md`**
`W3YH-87` und `W3YH-88` auf den neuen Stand gezogen: der bisherige Kreis war ein echter Callback-Bug, nicht ein funktionierender Flow mit nur schlechter UX.

verified

`npm run build` in `w3yh.xyz`
Ergebnis: grün; `next build` erzeugt jetzt explizit die neue Route `/private/auth/callback`.
Gegencheck im Codepfad
Ergebnis: Magic-Link-Redirect zeigt jetzt auf den Callback statt direkt auf `/login`.

codexopenclaw

Terminal-Handoff ist live nicht mehr auf fehlende Konfiguration blockiert

changed

**`.openclaw/workspace/tasks/todo.md`**
den offenen Gate-Rollout auf den naechsten echten Restblock gezogen: Domain und Shared-Secrets stehen jetzt live, offen ist nur noch der End-to-End-Probeweg mit einer realen Gate-Session.

verified

`curl -I https://terminal.w3yh.xyz/auth/handoff?handoff=test`
Ergebnis: `307` auf `/login?error=Handoff-Token+ist+unvollstaendig.` statt auf `Private-Gate-Handoff ist noch nicht konfiguriert.`; der Secret-Pfad greift also jetzt live.
`curl -I https://private.w3yh.xyz/login?next=%2F`
Ergebnis: `HTTP/2 200`; die zentrale Gate-Domain steht produktiv.

codexw3yh

Private-Domain und Handoff-Runtime live geschlossen

changed

**`w3yh.xyz/tasks/todo.md`**
`W3YH-87` und `W3YH-88` auf den neuen Produktionsstand gezogen: `private.w3yh.xyz` ist jetzt als echte Domain aktiv, und der Handoff scheitert bei Test-Tokens nicht mehr an fehlender Konfiguration, sondern erst an absichtlich unvollständiger Payload.
der offene Rest wurde damit auf den echten End-to-End-Login mit realer Session reduziert.

verified

`curl -I https://private.w3yh.xyz/login?next=%2F`
Ergebnis: `HTTP/2 200`; die Private-Domain und der Login-Pfad sind produktiv erreichbar.
`curl -I https://terminal.w3yh.xyz/auth/handoff?handoff=test`
Ergebnis: `307` auf `/login?error=Handoff-Token+ist+unvollständig.`; der Shared-Secret-Check greift jetzt live.
`curl -I https://gym.w3yh.xyz/auth/handoff?handoff=test`
Ergebnis: `307` auf `/private?error=Handoff-Token+ist+unvollständig.`; derselbe Stand gilt damit auch für Gym.

codexopenclaw

Gate-Runtime fuer Terminal und Gym live auf Plattform-Rest eingegrenzt

changed

**`.openclaw/workspace/tasks/todo.md`**
den offenen Gate-Rollout auf den verifizierten Produktionsstand gezogen: neue Deployments sind live, beide Handoff-Endpunkte antworten produktiv und der verbleibende Rest ist jetzt explizit Shared-Secret plus Alias-/Gate-Config.

verified

`curl -s https://terminal.w3yh.xyz/login`
Ergebnis: Live-Login zeigt `Bevorzugter Einstieg ist w3yh.xyz/private` plus Link `Zum Private Gate`.
`curl -I https://terminal.w3yh.xyz/auth/handoff?handoff=test`
Ergebnis: `307` auf `/login?error=Private-Gate-Handoff+ist+noch+nicht+konfiguriert.`; der neue Live-Handoff laeuft, aber das gemeinsame Secret fehlt noch.
`curl -I https://gym.w3yh.xyz/auth/handoff?handoff=test`
Ergebnis: `307` auf `/private?error=Private-Gate-Handoff+ist+noch+nicht+konfiguriert.`; derselbe Restblock gilt also auch fuer Gym.

codexw3yh

Private-Gate live verifiziert und Rest auf Plattform-Konfig eingegrenzt

changed

**`w3yh.xyz/tasks/todo.md`**
`W3YH-87` und `W3YH-88` auf den echten Produktionsstand gezogen: `w3yh.xyz/private` ist live, `private.w3yh.xyz` fehlt weiter als Alias und die Gate-Seite meldet noch fehlende Auth-Umgebungsvariablen.
der offene Rest liegt damit nicht mehr diffus bei App-Code, sondern konkret bei produktiver Gate-Env, Shared-Handoff-Secret und Alias-Aktivierung.

verified

Vercel Production-Deploy für Commit `cff4ba4`
Ergebnis: Deployment `dpl_EcvASBCVrRr2TuDzNNeSk53skk98` steht auf `READY`.
`curl -I https://w3yh.xyz/private`
Ergebnis: `HTTP/2 200`; der temporäre Live-Einstieg ist produktiv erreichbar.
`curl -s https://w3yh.xyz/private`
Ergebnis: die Gate-Seite rendert live und zeigt aktuell explizit `Auth-Umgebungsvariablen fehlen noch`.
`curl -I https://w3yh.xyz/private/go/terminal`
Ergebnis: `307` auf `https://terminal.w3yh.xyz/login`.
`curl -I https://w3yh.xyz/private/go/gym`
Ergebnis: `307` auf `https://gym.w3yh.xyz/private`.
`curl -I https://private.w3yh.xyz`
Ergebnis: weiter `DEPLOYMENT_NOT_FOUND`; die Alias-Domain ist also unverändert der offene Plattform-Rest.

codexopenclaw

Tyrone Login live auf den erreichbaren Gate-Pfad gedreht

changed

**`.openclaw/workspace/projects/tyrone-terminal/src/app/login/LoginPageClient.tsx`**
solange `private.w3yh.xyz` in Vercel noch nicht als Alias haengt, verweist die Live-Login-Seite jetzt auf `https://w3yh.xyz/private` statt auf eine tote Domain.
die Copy macht den Zwischenstand explizit: Fallback bleibt aktiv, bis die eigene Alias-Domain steht.

verified

`npm run build` in `.openclaw/workspace/projects/tyrone-terminal`
Ergebnis: gruen.
`pm2 restart [process]
Ergebnis: Prozess neu geladen und mit `pm2 save` persistiert.
`curl -s https://terminal.w3yh.xyz/login`
Ergebnis: Live-Seite zeigt jetzt `Bevorzugter Einstieg ist w3yh.xyz/private` plus Link `Zum Private Gate`.
`curl -I https://terminal.w3yh.xyz/auth/handoff?handoff=test`
Ergebnis: `307` auf `/login?error=Private-Gate-Handoff+ist+noch+nicht+konfiguriert.`; der neue Live-Pfad laeuft, das verbleibende Runtime-Thema ist jetzt nur noch das gemeinsame Secret.

codexw3yh

Gate-Oberfläche auf den aktuell erreichbaren Live-Pfad gedreht

changed

**`w3yh.xyz/src/components/private/login-client.tsx`, `w3yh.xyz/src/components/private/private-gate-shell.tsx`**
die Gate-Oberfläche spricht jetzt offen aus, dass der reale Live-Einstieg bis zur Vercel-Alias-Zuordnung über `w3yh.xyz/private` läuft.
Nutzer werden damit nicht mehr implizit auf die aktuell tote Alias-Domain geschickt, obwohl die Gate-Routen intern bereits fertig vorbereitet sind.
**`w3yh.xyz/docs/private-hub.md`, `w3yh.xyz/tasks/todo.md`**
Rollout-Doku und offene Punkte auf denselben Zwischenstand gezogen: Alias-Domain weiter offen, `w3yh.xyz/private` ist der temporäre Live-Pfad.

verified

`npm run build` in `w3yh.xyz`
Ergebnis: grün nach Anpassung der Gate-Copy auf den temporären Live-Pfad.
`curl -I https://private.w3yh.xyz/private`
Ergebnis: weiter `DEPLOYMENT_NOT_FOUND`; die Alias-Domain ist also aktuell wirklich noch der verbleibende Plattform-Blocker.
`curl -I https://w3yh.xyz`
Ergebnis: `HTTP/2 200`; das bestehende W3YH-Projekt selbst ist live erreichbar.

codexw3yh

Private-Gate-Rollout mit Env-Templates und Checkliste abgesichert

changed

**`w3yh.xyz/.env.example`, `w3yh.xyz/docs/private-hub.md`**
ein konkretes Env-Template für das Gate ergänzt: Supabase-URL, Anon-Key, Gate-Origin, Allowlist und gemeinsames Handoff-Secret liegen jetzt als sichtbare Vorlage im Repo.
`docs/private-hub.md` um eine knappe Rollout-Checkliste erweitert, damit der produktive Umschaltpfad nicht mehr nur implizit in mehreren Notizen verteilt liegt.
**`gym-tracker/.env.example`, `gym-tracker/README.md`, `gym-tracker/SUPABASE_SETUP.md`**
Gym hat jetzt ebenfalls ein passendes Env-Template für Supabase, Origin, Allowlist und Handoff-Secret.
README und Setup-Runbook verweisen explizit auf diese Vorlage, damit der produktive Secret-Schritt konsistent zur W3YH-Gate-Konfiguration bleibt.
**`w3yh.xyz/tasks/todo.md`**
`W3YH-87` auf den neuen Stand gezogen: Env-/Rollout-Basis liegt im Repo, offen bleibt jetzt das echte Live-Anwenden.

verified

`sed -n '1,40p' .env.example` in `w3yh.xyz`
Ergebnis: Template mit allen benötigten Gate-Variablen liegt im Repo.
`sed -n '1,40p' .env.example` in `gym-tracker`
Ergebnis: Gym-Template spiegelt die für den produktiven Gate-Handoff benötigten Variablen.
`git diff --check` in `w3yh.xyz`
Ergebnis: keine Whitespace- oder Patch-Fehler.

codexw3yh

W3YH-88 für Gym auf Gate-Handoff erweitert

changed

**`w3yh.xyz/src/lib/private/handoff.ts`**
`gym` ist jetzt im Private-Gate nicht mehr nur Redirect-Fallback, sondern als vorbereitete Ziel-App mit `/auth/handoff` hinterlegt.
der Standard-Weiterpfad für den Gym-Einstieg bleibt `/private`, läuft jetzt aber über denselben signierten Session-Handoff wie `terminal`.
**`w3yh.xyz/tasks/todo.md`**
`W3YH-88` auf den neuen Stand gezogen: beide Apps können den Handoff jetzt annehmen; offen bleibt der produktive Rollout.

verified

`npm run build` in `w3yh.xyz`
Ergebnis: grün nach Umschalten des Gym-Targets auf den vorbereiteten Handoff-Pfad.
`npm run build` in `gym-tracker`
Ergebnis: grün mit neuem `/auth/handoff`-Route-Handler.
`curl -I -H 'Host: gym.w3yh.xyz' "http://[localhost]/auth/handoff?handoff=..."`
Ergebnis: `HTTP/1.1 307 Temporary Redirect` auf `/private?error=Invalid+JWT+structure`; der neue Gym-Handoff-Pfad nimmt signierte Tokens also serverseitig an und fällt bei absichtlich kaputter Session kontrolliert zurück.

codexopenclaw

Tyrone Terminal kann Gate-Handoff jetzt serverseitig uebernehmen

changed

**`.openclaw/workspace/projects/tyrone-terminal/src/lib/supabase/handoff.ts`**
signierte Handoff-Tokens von `private.w3yh.xyz` koennen jetzt serverseitig geprueft werden (Signatur, Ablauf, Audience, Session-Payload).
**`.openclaw/workspace/projects/tyrone-terminal/src/app/auth/handoff/route.ts`**
neuer Handoff-Einstieg fuer `terminal.w3yh.xyz`: validiert den Token, setzt daraus die lokale Supabase-Session fuer die Terminal-Domain und redirectet danach auf den Zielpfad.
**`.openclaw/workspace/projects/tyrone-terminal/src/lib/supabase/middleware.ts`**
`/auth/handoff` als oeffentlicher Auth-Pfad freigeschaltet, damit der Gate-Einstieg nicht am Login-Gate selbst haengen bleibt.
**`.openclaw/workspace/projects/tyrone-terminal/src/app/login/LoginPageClient.tsx`**
Login-Copy auf den neuen Zielzustand gezogen: `private.w3yh.xyz` ist jetzt sichtbar der primaere Einstieg, direkte App-Login-Seite bleibt Fallback.
**`.openclaw/workspace/projects/tyrone-terminal/.env.example`**
`W3YH_PRIVATE_HANDOFF_SECRET` fuer die gemeinsame Gate-Signatur dokumentiert.

verified

`npm run build` in `.openclaw/workspace/projects/tyrone-terminal`
Ergebnis: gruen; neue Route `/auth/handoff` wird gebaut.
`curl -I -H 'Host: terminal.w3yh.xyz' "http://[localhost]/auth/handoff?handoff=..."`
Ergebnis: Redirect auf `https://terminal.w3yh.xyz/login?next=%2F&error=Invalid+JWT+structure` bei signiertem Fake-Handoff mit ungueltigen Session-Tokens; der Pfad laeuft also ueber den neuen Handoff-Empfaenger statt ueber den alten Direkt-Login.
`curl -s -H 'Host: terminal.w3yh.xyz' http://[localhost]/login`
Ergebnis: Login-Seite zeigt jetzt `Bevorzugter Einstieg ist private.w3yh.xyz` plus Link `Zum Private Gate`.

codexw3yh

W3YH-88 für Terminal auf echten Gate-Handoff gezogen

changed

**`w3yh.xyz/src/lib/private/handoff.ts`, `w3yh.xyz/src/app/private/go/[app]/route.ts`**
der Gate-Handoff trägt für vorbereitete Ziel-Apps jetzt nicht mehr nur Metadaten, sondern die kurzlebige Supabase-Session (`accessToken`, `refreshToken`) signiert mit.
`terminal` startet dadurch nicht mehr nur mit einem Redirect auf die alte Login-Seite, sondern bekommt jetzt einen echten serverseitig prüfbaren Handoff-Pfad; `gym` bleibt bis zum zweiten Schritt bewusst noch auf Redirect-Fallback.
**`w3yh.xyz/tasks/todo.md`**
`W3YH-88` auf Teilfortschritt gezogen: `terminal` ist auf Gate-Handoff gehoben, `gym` bleibt der offene Rest.

verified

`npm run build` in `w3yh.xyz`
Ergebnis: grün nach Erweiterung der Handoff-Payload.

codexw3yh

Private-Gate-Scaffold mit Host-Rewrite und Handoff-Basis ins Repo gelegt

changed

**`w3yh.xyz/package.json`, `w3yh.xyz/package-lock.json`**
`@supabase/ssr` und `@supabase/supabase-js` für das zentrale Private-Gate ergänzt.
**`w3yh.xyz/src/lib/private/auth-config.ts`, `w3yh.xyz/src/lib/private/client.ts`, `w3yh.xyz/src/lib/private/server.ts`, `w3yh.xyz/src/lib/private/handoff.ts`**
gemeinsames Private-Gate-Grundgerüst angelegt: Host-/Origin-Helfer, sichere Pfad-Auflösung, Supabase-SSR-Clients und kurzlebige signierte Handoff-Tokens.
**`w3yh.xyz/src/components/private/login-client.tsx`, `w3yh.xyz/src/components/private/private-gate-shell.tsx`**
neue Gate-Oberflächen gebaut: zentraler Magic-Link-Login und private Hub-Startseite mit App-Karten für `terminal` und `gym`.
**`w3yh.xyz/src/app/private/page.tsx`, `w3yh.xyz/src/app/private/login/page.tsx`, `w3yh.xyz/src/app/private/logout/route.ts`, `w3yh.xyz/src/app/private/go/[app]/route.ts`, `w3yh.xyz/src/app/api/private/auth/magic-link/route.ts`**
private Routen für Login, Logout, Hub und App-Launch ergänzt.
Magic-Link-Versand auf den Gate-Einstieg gezogen und Launch-Routen so vorbereitet, dass später pro App lokale Sessions aus einem Gate-Handoff gemintet werden können.
**`w3yh.xyz/src/proxy.ts`**
Host-Rewrite für `private.w3yh.xyz` ergänzt, damit Root, `/login`, `/logout`, `/go/...` und `/api/auth/magic-link` sauber auf die internen Private-Routen zeigen.
**`w3yh.xyz/tasks/todo.md`**
`W3YH-87` auf Teilfortschritt gezogen und den Restblock auf produktive Verkabelung + Rollout eingegrenzt.
`W3YH-88` konkreter auf app-seitiges Token-Handling und Session-Minting geschärft.

verified

`npm run lint`
Ergebnis: grün.
`npm run build`
Ergebnis: grün; neue dynamische Routen für `/private`, `/private/login`, `/private/logout` und `/private/go/[app]` wurden sauber gebaut.
`curl -I http://[localhost]/private`
Ergebnis: `HTTP/1.1 200 OK`.
`curl -I -H 'Host: private.w3yh.xyz' http://[localhost]/`
Ergebnis: `HTTP/1.1 200 OK` mit `x-middleware-rewrite: /private`.
`curl -s -H 'Host: private.w3yh.xyz' http://[localhost]/`
Ergebnis: rendert die neue Gate-Oberfläche mit `private gate`, zentralem Einstieg und App-Karten für `Tyrone Terminal` und `Gym Tracker`.

Incidents

W3YH / Journal Vercel Build leer

~45 minclaude-opus-4.6

Problem: Journal-Seite zeigte nach Vercel-Deploy "0 Eintraege ueber 0 Tage" obwohl lokal alles korrekt lief

Ursache: `sync-journal.mjs` wurde beim Vercel-Build ausgefuehrt, fand keine VPS-Quelldateien (`...`) und schrieb ein leeres `journal-data.json` ueber das committete; gleichzeitig erkannte der Parser nur 1 von 8 genutzten Header-Formaten (Em-Dash, ISO-Timestamps, nackte Daten wurden alle ignoriert)

Fix: Vercel-Skip-Logik: Early-Return wenn Quelldirs fehlen und Output-JSON existiert; Parser um alle 8 Formate erweitert; `journal-data.json` neu generiert (249 → 443 Eintraege, 22 → 43 Tage)

W3YH / Private-Gate Magic-Link Kreis

~25 mincodex

Problem: Nach Domain-, Secret- und Handoff-Setup landete der Login aus dem Gate beim Wechsel zu `terminal` und `gym` weiter gefuehlt im Kreis auf den Anforderungsseiten statt in einer echten Session

Ursache: Das Gate schickte Magic-Links zur Login-Seite, hatte aber keinen serverseitigen Callback fuer Supabase-Links mit `code`/`token_hash`; die Rueckkehr aus der Mail wurde deshalb nicht zu einer Gate-Session gemintet. Im Terminal zeigte derselbe Redirect-Fehler auch den direkten Fallback-Login

Fix: serverseitigen Callback-Pfad fuer das Private-Gate ergänzt, Alias-Rewrite darauf erweitert und den Terminal-Magic-Link ebenfalls auf `/auth/callback` statt `/login` gezogen; Build gruen, damit ist der Kreis als echter Callback-Bug statt "User benutzt es falsch" eingegrenzt

W3YH / Private-Gate Handoff Runtime

~15 mincodex

Problem: Der Gate-Rollout war fast durch, aber ohne gespeichertes Secret in der Terminal-Runtime blieben `terminal` und zeitweise auch Gym auf `...noch nicht konfiguriert.` stehen

Ursache: `W3YH_PRIVATE_HANDOFF_SECRET` war produktiv noch nicht ueberall wirksam; mindestens im Terminal war der Wert vor dem Restart/Speichern nicht wirklich in der aktiven Runtime angekommen

Fix: Shared-Secret und Domain live gegengeprueft, Terminal-Runtime neu geladen und den verbleibenden Fehlerpfad auf `Handoff-Token ist unvollstaendig.` eingegrenzt; damit ist die Verkabelung geschlossen und offen bleibt nur noch der echte Session-Test

W3YH / Private-Gate Prod-Config

~15 mincodex

Problem: Der neue Gate-Code war produktiv deployt, fiel live aber weiter auf Fallback-Redirects zurueck und der echte Rest war ohne Gegenprobe nicht sauber von App-Code zu trennen

Ursache: Die Builds waren live `READY`, aber im W3YH-Deployment fehlen noch die Gate-Auth-Variablen, `private.w3yh.xyz` ist noch nicht als Vercel-Alias zugeordnet und in Gym/Terminal fehlt das gemeinsame `W3YH_PRIVATE_HANDOFF_SECRET`

Fix: Live-Rollout gegen echte URLs verifiziert, den funktionierenden Zustand auf `w3yh.xyz/private` plus produktive `/auth/handoff`-Endpoints eingegrenzt und den verbleibenden Rest explizit als Plattform-/Env-Schritt in Todo und Changelog festgehalten

W3YH / Private-Gate Live-Pfad

~15 mincodex

Problem: Die neuen Gate-Links in Gym, Terminal und im Hub zeigten auf `private.w3yh.xyz`, obwohl diese Alias-Domain live noch gar keinem Vercel-Deployment zugeordnet war

Ursache: Das `w3yh.xyz`-Projekt war in Vercel zwar vorhanden, aber `private.w3yh.xyz` noch nicht als Domain/Alias hinterlegt; dadurch endeten echte Live-Clicks in `DEPLOYMENT_NOT_FOUND`

Fix: Nutzerfuehrung voruebergehend auf den real erreichbaren Pfad `w3yh.xyz/private` bzw. `w3yh.xyz/private/go/...` gezogen, Gate-Copy/Doku darauf abgestimmt und den Alias-Blocker explizit als offenen Plattform-Rest festgehalten

W3YH / Private-Gate Rollout-Hygiene

~15 mincodex

Problem: Der produktive Gate-Rollout war nach den Handoff-Fixes technisch vorbereitet, aber die benoetigten Variablen und letzten Live-Schritte lagen weiter verteilt in mehreren Dateien

Ursache: Fuer `private.w3yh.xyz` fehlte ein konkretes Env-Template; im Gym gab es ebenfalls keine kanonische `.env.example`, sodass der echte Go-Live unnötig fehleranfaellig geblieben waere

Fix: `.env.example` fuer Gate und Gym angelegt, `private-hub.md`, `README.md` und `SUPABASE_SETUP.md` auf einen klaren Rollout-Pfad verdichtet und damit den produktiven Secret-/Env-Schritt vor dem Live-Switch abgesichert

W3YH / Gym Gate-Handoff

~30 mincodex

Problem: `gym.w3yh.xyz` hing trotz neuem Private-Gate noch am sichtbaren Direkt-Login und konnte keinen signierten Hub-Handoff serverseitig uebernehmen

Ursache: Es gab noch keinen App-seitigen Empfaenger fuer den Gate-Token; die private Gym-UI und Dokumentation kannten `private.w3yh.xyz` noch nicht als primaeren Einstieg

Fix: serverseitigen `/auth/handoff`-Pfad plus Token-Verifikation eingebaut, die private UI samt Doku auf den Gate-Einstieg gezogen, `W3YH_PRIVATE_HANDOFF_SECRET` dokumentiert und den neuen Rueckfallpfad per Build plus Runtime-Smoke-Test verifiziert

W3YH / Cross-App Auth UX

~80 mincodex

Problem: Private Gate, Gym und Terminal fuehlten sich fuer Dominik wie ein Magic-Link-Kreis an und passten schlecht zu haeufigem Geraetewechsel

Ursache: Gate hatte zwar Callback/Handoff-Fixes, aber der eigentliche Alltags-Login blieb Magic-Link-zentriert; Gym hing zusaetzlich auf einem anderen Browser-Client als Gate und Handoff

Fix: Gate auf Passwort-Login plus In-Hub-Passwort-Setzen erweitert, Terminal-Fallback auf Passwort plus Magic-Link-Fallback gezogen und Gym auth-seitig auf SSR-Browser-Client plus `/auth/callback` vereinheitlicht

W3YH / Tyrone Terminal Gate-Handoff

~35 mincodex

Problem: `terminal.w3yh.xyz` hing trotz neuem Private-Gate weiter am sichtbaren Direkt-Login und konnte keinen signierten Hub-Handoff annehmen

Ursache: Es gab noch keinen App-seitigen Empfaenger fuer den Gate-Token; Middleware und Login-UX kannten nur den alten Magic-Link-Einstieg

Fix: serverseitigen `/auth/handoff`-Pfad plus Token-Verifikation eingebaut, Middleware fuer den neuen Public-Path erweitert, Login-Copy auf `private.w3yh.xyz` als primaeren Einstieg gezogen und die Runtime-Env um `W3YH_PRIVATE_HANDOFF_SECRET` ergaenzt