feat: umfangreiches UI+API-Polish (v1.1.36–1.1.42)

Backend:
- Audit-Log: Search-Endpoint mit ILIKE-Filter (actor/action/subject/date)
- NTP: /ntp/status via chronyc tracking (Stratum, Offset, Quelle)
- System: /service-restart mit Allowlist (haproxy/squid/unbound/chrony/scheduler)
- Domain-Response-Headers + Rate-Limit (Migration 0024)
- Join-Tokens (Migration 0025), Cluster-mTLS, Aggregator-Fan-Out
- apt-Service für Update-Banner (apt-get update + Versionsprüfung)
- Backup-Retry mit exponential backoff (retry_apt 3×)
- publish.sh fail-fast + cleanup-old.sh (max 10 Versionen)

Frontend:
- Audit-Log-Page (/audit) mit Filter + Pagination
- ErrorBoundary an React-Root + Vite build-target festgenagelt (iOS 15+)
- Storage-Schema-Stamp: auto-wipe bei Versions-Mismatch (blank-page-Fix)
- EmptyState-Komponente überall ausgerollt
- SSL: Aggregate-Karte (total/expiring/expired/errors)
- Backups: Aggregate-Karte (letzter Backup/Größe/Fehlschläge 24h) + Backup-Now
- NTP: Sync-Status-Karte (chronyc tracking live)
- Domains: Backend-UP/DOWN-Chip aus HAProxy-Stats
- Backends: HAProxy-Status-Spalte (UP/DEGRADED/DOWN)
- Settings: Service-Neustart-Karte (haproxy/squid/unbound/chrony/scheduler)
- Settings: Upgrade-Status-Card, Wartungsmodus, Auto-Update, Retention
- Dashboard: Recent-Alerts, Cluster-Health, License-Chip, Onboarding-Hint
- System-Regeln im Firewall als eigener Tab

Co-Authored-By: Claude Sonnet 4.6 <noreply@anthropic.com>

internal/handlers/auth.go

@@ -9,6 +9,7 @@ import (
 	"github.com/gin-gonic/gin"
 
 	"git.netcell-it.de/projekte/edgeguard-native/internal/handlers/response"
+	"git.netcell-it.de/projekte/edgeguard-native/internal/services/audit"
 	"git.netcell-it.de/projekte/edgeguard-native/internal/services/session"
 	"git.netcell-it.de/projekte/edgeguard-native/internal/services/setup"
 )
@@ -19,12 +20,22 @@ import (
 type AuthHandler struct {
 	Setup  *setup.Store
 	Signer *session.Signer
+	Audit  *audit.Repo
+	NodeID string
 }
 
 func NewAuthHandler(s *setup.Store, sig *session.Signer) *AuthHandler {
 	return &AuthHandler{Setup: s, Signer: sig}
 }
 
+// WithAudit: Audit-Repo + NodeID damit Password-Operationen (change,
+// reset, login-success/fail) ins audit_log fließen.
+func (h *AuthHandler) WithAudit(a *audit.Repo, nodeID string) *AuthHandler {
+	h.Audit = a
+	h.NodeID = nodeID
+	return h
+}
+
 // Register mounts /auth/login + /logout (public) and /auth/me
 // (gated by requireAuth, passed in as a per-route middleware).
 func (h *AuthHandler) Register(rg *gin.RouterGroup, requireAuth gin.HandlerFunc) {
@@ -33,6 +44,7 @@ func (h *AuthHandler) Register(rg *gin.RouterGroup, requireAuth gin.HandlerFunc)
 	g.POST("/logout", h.Logout)
 	g.GET("/me", requireAuth, h.Me)
 	g.POST("/reset-password", h.ResetPassword)
+	g.POST("/change-password", requireAuth, h.ChangePassword)
 }
 
 type loginRequest struct {
@@ -122,6 +134,60 @@ func (h *AuthHandler) ResetPassword(c *gin.Context) {
 		response.BadRequest(c, err)
 		return
 	}
+	if h.Audit != nil {
+		// ResetPassword: keine Session, deshalb "self-reset" als Actor
+		// damit der Audit-Trail zeigt dass es kein admin-mediated Reset war.
+		_ = h.Audit.Log(c.Request.Context(), "self-reset", "auth.password.reset",
+			"", gin.H{"remote": c.ClientIP()}, h.NodeID)
+	}
+	response.OK(c, gin.H{"ok": true})
+}
+
+type changePasswordRequest struct {
+	CurrentPassword string `json:"current_password" binding:"required"`
+	NewPassword     string `json:"new_password"     binding:"required,min=12"`
+}
+
+// ChangePassword: authenticated User wechselt sein eigenes Passwort.
+// Anders als ResetPassword (CLI-Token-Flow für vergessenes Passwort)
+// braucht das hier das current_password als Confirmation — verhindert
+// dass eine kompromittierte Session den Account übernimmt ohne dass
+// das alte Passwort bekannt ist.
+func (h *AuthHandler) ChangePassword(c *gin.Context) {
+	var req changePasswordRequest
+	if err := c.ShouldBindJSON(&req); err != nil {
+		response.BadRequest(c, err)
+		return
+	}
+	st, err := h.Setup.Load()
+	if err != nil {
+		response.Internal(c, err)
+		return
+	}
+	if st == nil || !st.Completed {
+		response.Err(c, http.StatusServiceUnavailable, errors.New("setup_required"))
+		return
+	}
+	// Authorisierte Session ist nicht automatisch der Admin (Phase 4
+	// admin_users-Tabelle könnte mehrere Rollen haben). v1: aktuell
+	// nur der eine Admin-User; trotzdem prüfen wir das current_password
+	// gegen die persistierte Hash.
+	if !st.VerifyAdminPassword(req.CurrentPassword) {
+		response.Unauthorized(c, errors.New("invalid_current_password"))
+		return
+	}
+	if err := h.Setup.SetAdminPassword(req.NewPassword); err != nil {
+		response.BadRequest(c, err)
+		return
+	}
+	if h.Audit != nil {
+		_ = h.Audit.Log(c.Request.Context(), actorOf(c), "auth.password.change",
+			st.AdminEmail, gin.H{"actor": actorOf(c)}, h.NodeID)
+	}
+	// Neue Session ausstellen — alte Cookie zeigt auf ein Token das
+	// noch gültig ist; das ist OK für UX (kein erzwungener Logout),
+	// sicherheitsbewusster: clearSession + force re-login. Wir
+	// halten's hier ruhig.
 	response.OK(c, gin.H{"ok": true})
 }