feat: umfangreiches UI+API-Polish (v1.1.36–1.1.42)

Backend:
- Audit-Log: Search-Endpoint mit ILIKE-Filter (actor/action/subject/date)
- NTP: /ntp/status via chronyc tracking (Stratum, Offset, Quelle)
- System: /service-restart mit Allowlist (haproxy/squid/unbound/chrony/scheduler)
- Domain-Response-Headers + Rate-Limit (Migration 0024)
- Join-Tokens (Migration 0025), Cluster-mTLS, Aggregator-Fan-Out
- apt-Service für Update-Banner (apt-get update + Versionsprüfung)
- Backup-Retry mit exponential backoff (retry_apt 3×)
- publish.sh fail-fast + cleanup-old.sh (max 10 Versionen)

Frontend:
- Audit-Log-Page (/audit) mit Filter + Pagination
- ErrorBoundary an React-Root + Vite build-target festgenagelt (iOS 15+)
- Storage-Schema-Stamp: auto-wipe bei Versions-Mismatch (blank-page-Fix)
- EmptyState-Komponente überall ausgerollt
- SSL: Aggregate-Karte (total/expiring/expired/errors)
- Backups: Aggregate-Karte (letzter Backup/Größe/Fehlschläge 24h) + Backup-Now
- NTP: Sync-Status-Karte (chronyc tracking live)
- Domains: Backend-UP/DOWN-Chip aus HAProxy-Stats
- Backends: HAProxy-Status-Spalte (UP/DEGRADED/DOWN)
- Settings: Service-Neustart-Karte (haproxy/squid/unbound/chrony/scheduler)
- Settings: Upgrade-Status-Card, Wartungsmodus, Auto-Update, Retention
- Dashboard: Recent-Alerts, Cluster-Health, License-Chip, Onboarding-Hint
- System-Regeln im Firewall als eigener Tab

Co-Authored-By: Claude Sonnet 4.6 <noreply@anthropic.com>

internal/services/setup/setup.go

@@ -38,6 +38,25 @@ type State struct {
 	LicenseKey        string     `json:"license_key,omitempty"`
 	Completed         bool       `json:"completed"`
 	CompletedAt       *time.Time `json:"completed_at,omitempty"`
+
+	// MaintenanceMode (whole-box): wenn true rendert HAProxy auf
+	// :443 nur einen 503-Block für ALLE Customer-Domains. Mgmt-UI
+	// auf :3443 bleibt unverändert. MaintenanceMessage landet im
+	// Response-Body.
+	MaintenanceMode    bool   `json:"maintenance_mode"`
+	MaintenanceMessage string `json:"maintenance_message,omitempty"`
+
+	// BackupRetentionKeep: wie viele scheduled Backups behalten
+	// werden. 0 = Default (backup.DefaultKeepN=14). Operator kann den
+	// Wert in den Settings hochsetzen wenn er längere History will
+	// und genug Disk hat.
+	BackupRetentionKeep int `json:"backup_retention_keep,omitempty"`
+
+	// AuditRetentionDays: nach wie vielen Tagen audit_log-Rows
+	// gelöscht werden. 0 = Default (90). Operator kann erhöhen für
+	// Compliance (z. B. SOX = 7 Jahre = 2555) oder reduzieren falls
+	// /var-Disk-Druck.
+	AuditRetentionDays int `json:"audit_retention_days,omitempty"`
 }
 
 // Request is the JSON body POST /api/v1/setup/complete accepts.
@@ -136,6 +155,89 @@ func (st *State) VerifyAdminPassword(plaintext string) bool {
 	return bcrypt.CompareHashAndPassword([]byte(st.AdminPasswordHash), []byte(plaintext)) == nil
 }
 
+// SetBackupRetention setzt die Anzahl Backups die scheduled-Run nach
+// jedem Lauf behält. 0 = Default. Range 1-365 — alles drüber ist
+// wahrscheinlich ein Tippfehler.
+func (s *Store) SetBackupRetention(keep int) error {
+	if keep < 0 || keep > 365 {
+		return errors.New("backup_retention_keep must be 0 (default) or 1..365")
+	}
+	prev, err := s.Load()
+	if err != nil {
+		return err
+	}
+	if prev == nil {
+		return errors.New("setup not completed — cannot edit backup retention before initial setup")
+	}
+	prev.BackupRetentionKeep = keep
+	return s.Save(prev)
+}
+
+// SetAuditRetention setzt die Tage, nach denen audit_log-Rows gelöscht
+// werden. 0 = Default (90). Range 1-3650 (10 Jahre als Cap, reicht
+// für SOX 7y mit etwas Puffer). Setzt der Operator auf einen sehr
+// hohen Wert, muss er an die Disk-Auswirkung denken.
+func (s *Store) SetAuditRetention(days int) error {
+	if days < 0 || days > 3650 {
+		return errors.New("audit_retention_days must be 0 (default) or 1..3650")
+	}
+	prev, err := s.Load()
+	if err != nil {
+		return err
+	}
+	if prev == nil {
+		return errors.New("setup not completed — cannot edit audit retention before initial setup")
+	}
+	prev.AuditRetentionDays = days
+	return s.Save(prev)
+}
+
+// SetContactEmails aktualisiert AdminEmail + ACMEEmail. Beide werden
+// gegen mail.ParseAddress validiert. Lower-case + trim wie beim Setup-
+// Wizard, damit Login-Vergleich (EqualFold) konsistent bleibt.
+//
+// Wirkung:
+//   * AdminEmail: nur das Login-Anzeigeformat ändert sich; Sessions
+//     bleiben aktiv (Cookie referenziert den alten Actor-String — auf
+//     dem nächsten Login ist der neue Wert wirksam).
+//   * ACMEEmail: nächster certrenewer-Lauf nutzt die neue Email als
+//     Account-Contact bei Let's Encrypt. Bestehende Certs unverändert.
+func (s *Store) SetContactEmails(adminEmail, acmeEmail string) error {
+	adminEmail = strings.ToLower(strings.TrimSpace(adminEmail))
+	acmeEmail = strings.ToLower(strings.TrimSpace(acmeEmail))
+	if _, err := mail.ParseAddress(adminEmail); err != nil {
+		return fmt.Errorf("invalid admin_email: %w", err)
+	}
+	if _, err := mail.ParseAddress(acmeEmail); err != nil {
+		return fmt.Errorf("invalid acme_email: %w", err)
+	}
+	prev, err := s.Load()
+	if err != nil {
+		return err
+	}
+	if prev == nil {
+		return errors.New("setup not completed — cannot edit contact emails before initial setup")
+	}
+	prev.AdminEmail = adminEmail
+	prev.ACMEEmail = acmeEmail
+	return s.Save(prev)
+}
+
+// SetMaintenanceMode persistiert MaintenanceMode + MaintenanceMessage.
+// Idempotent. Caller (Handler) triggert anschließend HAProxy-Reload.
+func (s *Store) SetMaintenanceMode(enabled bool, message string) error {
+	prev, err := s.Load()
+	if err != nil {
+		return err
+	}
+	if prev == nil {
+		return errors.New("setup not completed — cannot toggle maintenance mode")
+	}
+	prev.MaintenanceMode = enabled
+	prev.MaintenanceMessage = message
+	return s.Save(prev)
+}
+
 // SetAdminPassword hash't ein neues Plaintext-Passwort und persistiert
 // es. Verwendet vom Self-Service-Reset (CLI-Token-Flow).
 func (s *Store) SetAdminPassword(plaintext string) error {