feat(crowdsec): http-crawl-non_statics per Default in Simulation — verhindert FP-Bans legitimer App-Nutzer — v1.3.21

http-crawl-non_statics ist bei modernen SPAs/Apps strukturell FP-anfällig: ein
Seiten-Load/Sync feuert 40+ distinkte /api/-URLs, der Leaky-Bucket (capacity=40,
leak ~2/s) läuft in Sekunden über → False-Positive-Ban legitimer Nutzer/Kunden
(mehrere Kunden meldeten das; Incident 2026-08-18 bannte die Admin-Telekom-IP).

postinst setzt das Scenario jetzt per Default in SIMULATION (alarmiert weiter,
bannt aber nicht). Echte Angriffe (ssh-bf, http-cve-*, backdoors, CVE-2021-41773)
bleiben scharf. Marker-geschützt (/var/lib/edgeguard/.crowdsec-crawl-sim-applied)
→ nur bei Erst-Install; ein späteres manuelles `cscli simulation disable` des
Operators wird bei Updates NICHT überschrieben. Überlebt damit auch Node-Neuaufbau.

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>

VERSION

@@ -1 +1 @@
-1.3.20
+1.3.21

packaging/debian/edgeguard-api/DEBIAN/postinst

@@ -879,6 +879,23 @@ WL
             install -o "$EG_USER" -g "$EG_USER" -m 0644 /dev/null \
                 /etc/crowdsec/parsers/s02-enrich/edgeguard-admin-hosts-whitelist.yaml
             sudo -n -u "$EG_USER" /usr/bin/edgeguard-ctl render-config --only=crowdsec-whitelist 2>/dev/null || true
+
+            # CrowdSec-Simulations-Default: http-crawl-non_statics ist bei modernen
+            # SPAs/Apps strukturell FP-anfaellig — ein Seiten-Load/Sync feuert 40+
+            # distinkte /api/-URLs, der Leaky-Bucket (capacity=40, leak ~2/s) laeuft
+            # in Sekunden ueber → False-Positive-Ban legitimer Nutzer/Kunden. Daher
+            # per Default in SIMULATION: alarmiert weiter, bannt aber nicht. Echte
+            # Angriffe (ssh-bf, http-cve-*, backdoors, CVE-2021-41773 …) bleiben
+            # scharf. Nur bei ERST-Install setzen (Marker) → ein spaeteres manuelles
+            # 'cscli simulation disable …' des Operators wird bei Updates NICHT
+            # wieder ueberschrieben.
+            EG_CROWDSEC_SIM_MARKER=/var/lib/edgeguard/.crowdsec-crawl-sim-applied
+            if [ ! -f "$EG_CROWDSEC_SIM_MARKER" ]; then
+                cscli simulation enable crowdsecurity/http-crawl-non_statics 2>/dev/null || true
+                install -d -m 0755 /var/lib/edgeguard
+                : > "$EG_CROWDSEC_SIM_MARKER"
+                systemctl reload crowdsec 2>/dev/null || systemctl restart crowdsec 2>/dev/null || true
+            fi
         fi
 
         # ── Render initial service configs ───────────────────────────