feat: umfangreiches UI+API-Polish (v1.1.36–1.1.42)

Backend:
- Audit-Log: Search-Endpoint mit ILIKE-Filter (actor/action/subject/date)
- NTP: /ntp/status via chronyc tracking (Stratum, Offset, Quelle)
- System: /service-restart mit Allowlist (haproxy/squid/unbound/chrony/scheduler)
- Domain-Response-Headers + Rate-Limit (Migration 0024)
- Join-Tokens (Migration 0025), Cluster-mTLS, Aggregator-Fan-Out
- apt-Service für Update-Banner (apt-get update + Versionsprüfung)
- Backup-Retry mit exponential backoff (retry_apt 3×)
- publish.sh fail-fast + cleanup-old.sh (max 10 Versionen)

Frontend:
- Audit-Log-Page (/audit) mit Filter + Pagination
- ErrorBoundary an React-Root + Vite build-target festgenagelt (iOS 15+)
- Storage-Schema-Stamp: auto-wipe bei Versions-Mismatch (blank-page-Fix)
- EmptyState-Komponente überall ausgerollt
- SSL: Aggregate-Karte (total/expiring/expired/errors)
- Backups: Aggregate-Karte (letzter Backup/Größe/Fehlschläge 24h) + Backup-Now
- NTP: Sync-Status-Karte (chronyc tracking live)
- Domains: Backend-UP/DOWN-Chip aus HAProxy-Stats
- Backends: HAProxy-Status-Spalte (UP/DEGRADED/DOWN)
- Settings: Service-Neustart-Karte (haproxy/squid/unbound/chrony/scheduler)
- Settings: Upgrade-Status-Card, Wartungsmodus, Auto-Update, Retention
- Dashboard: Recent-Alerts, Cluster-Health, License-Chip, Onboarding-Hint
- System-Regeln im Firewall als eigener Tab

Co-Authored-By: Claude Sonnet 4.6 <noreply@anthropic.com>

management-ui/src/components/UpdateBanner.tsx

@@ -1,4 +1,4 @@
-import { Alert, Button, Popconfirm, Space, message } from 'antd'
+import { Alert, Button, Popconfirm, Space, Tooltip, message } from 'antd'
 import { CloudDownloadOutlined, ReloadOutlined, RocketOutlined } from '@ant-design/icons'
 import { useQuery } from '@tanstack/react-query'
 import { useEffect, useRef, useState } from 'react'
@@ -6,6 +6,15 @@ import { useTranslation } from 'react-i18next'
 
 import apiClient, { isEnvelope } from '../api/client'
 
+interface UpdateBannerProps {
+  // compact: rendert nur einen kleinen „Jetzt prüfen"-Button (z. B. im
+  // Header), unabhängig davon ob aktuell ein Update verfügbar ist. So
+  // hat der Operator immer einen Weg den Server-seitigen Throttle zu
+  // umgehen — sonst Catch-22 wenn der Banner mangels Update nicht
+  // rendert. Pattern 1:1 aus mail-gateway/Dashboard/v2/UpdateBanner.
+  compact?: boolean
+}
+
 interface PackageVersions { [key: string]: string }
 interface SystemHealth { status: string; version: string }
 
@@ -28,7 +37,7 @@ function allUpdates(v: PackageVersions): PendingUpdate[] {
   return out
 }
 
-export default function UpdateBanner() {
+export default function UpdateBanner({ compact = false }: UpdateBannerProps = {}) {
   const { t } = useTranslation()
   const [msg, msgCtx] = message.useMessage()
 
@@ -67,8 +76,15 @@ export default function UpdateBanner() {
   const forceCheck = async () => {
     setForceChecking(true)
     try {
-      await pkgVersions.refetch()
-      const fresh = pkgVersions.data ?? {}
+      // ?force=1: bypassed den Server-seitigen 5-min-Throttle für
+      // apt-get update. Ohne den Force-Hint würde der Endpoint
+      // einfach den letzten Cache zurückliefern (max. 5 min alt) und
+      // der Button fühlt sich kaputt an. Pattern aus mail-gateway.
+      const r = await apiClient.get('/system/package-versions?force=1')
+      const fresh = (isEnvelope(r.data) ? (r.data.data as PackageVersions) : {})
+      // useQuery-Cache mit dem frischen Wert füttern damit der Banner
+      // sofort umschaltet, ohne auf die nächste 30s-Welle zu warten.
+      void pkgVersions.refetch()
       const found = allUpdates(fresh).length > 0
       msg[found ? 'success' : 'info'](
         found ? t('update.checkDone') : t('update.noUpdate'),
@@ -128,6 +144,33 @@ export default function UpdateBanner() {
       })
   }
 
+  if (compact) {
+    // Compact-Variante: Force-Check-Button für "ich will jetzt prüfen",
+    // wenn aktuell NICHTS ausstehendes da ist. Sobald ein Update
+    // verfügbar ist, übernimmt der gelbe Full-Mode-Banner (in
+    // AppLayout) die Sichtbarkeit — wir blenden den Compact-Button
+    // dann komplett aus, sonst doppelt-doppelt Info (Befund 2026-05-15:
+    // "die roten Banner können weg, der gelbe Banner reicht").
+    if (updateAvailable) {
+      return <>{msgCtx}</>
+    }
+    return (
+      <>
+        {msgCtx}
+        <Tooltip title={t('update.checkNowHint')}>
+          <Button
+            type="default"
+            icon={<ReloadOutlined />}
+            loading={forceChecking}
+            onClick={forceCheck}
+          >
+            {t('update.checkNow')}
+          </Button>
+        </Tooltip>
+      </>
+    )
+  }
+
   if (!updateAvailable && !upgrading) {
     return <>{msgCtx}</>
   }