feat(crowdsec): UI-Schalter „vertrauenswürdiges Admin-Panel" → gerenderte CrowdSec-Whitelist — v1.3.19

Pro-Domain-Flag crowdsec_trusted (Migration 0048). Ist es gesetzt, rendert der
neue crowdsec-whitelist-Generator den Hostname host-genau in
/etc/crowdsec/parsers/s02-enrich/edgeguard-admin-hosts-whitelist.yaml
(evt.Parsed.http_host) und reloadet crowdsec. Löst das Problem, dass Admin-SPAs
(viele /api/-Requests pro Aktion) http-crawl-non_statics triggern und die
Admin-IP bannen — jetzt im Frontend steuerbar statt manueller Node-Datei.

- Generator internal/crowdsec/whitelist.go (configgen.Generator, no-op ohne
  CrowdSec), registriert in edgeguard-ctl render-config + in den Domains-Reloader
  komponiert (Domain-Edit → Whitelist re-render). Aus der replizierten DB
  gerendert → überlebt Node-Neuaufbau (Ersatz für die manuelle Node-Datei).
- postinst: sudoers reload crowdsec + edgeguard-owned Whitelist-Datei anlegen
  (dir root-owned → Generator überschreibt nur die vorab-chownte Datei) +
  Initial-Render.
- UI: Switch „Vertrauenswürdiges Admin-Panel" im Domain-Detail.

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>

management-ui/src/i18n/locales/de/common.json

@@ -567,7 +567,9 @@
     "routingRulesHint": "Pfad-Präfix → Backend-Zuordnungen für diese Domain. Niedrigste Prioritätszahl gewinnt; nicht gematchte Anfragen gehen an das Primary-Backend.",
     "routingRulesEmpty": "Keine Routing-Regeln — alle Anfragen gehen an das Primary-Backend.",
     "backendUp": "Backend UP",
-    "backendDown": "Backend DOWN"
+    "backendDown": "Backend DOWN",
+    "crowdsecTrusted": "Vertrauenswürdiges Admin-Panel (CrowdSec-Ausnahme)",
+    "crowdsecTrustedHint": "Für Admin-Oberflächen (SPA), die beim Bedienen viele /api/-Requests feuern. Nimmt diesen Host von der CrowdSec-Crawl-Erkennung aus, damit du nicht fälschlich gebannt wirst. Die WAF schützt die Domain weiterhin."
   },
   "backends": {
     "title": "Backends",

management-ui/src/i18n/locales/en/common.json

@@ -567,7 +567,9 @@
     "routingRulesHint": "Path-prefix → backend mappings for this domain. Lowest priority number wins; unmatched requests go to the primary backend.",
     "routingRulesEmpty": "No routing rules — all requests go to the primary backend.",
     "backendUp": "backend UP",
-    "backendDown": "backend DOWN"
+    "backendDown": "backend DOWN",
+    "crowdsecTrusted": "Trusted admin panel (CrowdSec exemption)",
+    "crowdsecTrustedHint": "For admin UIs (SPAs) that fire many /api/ requests while you use them. Exempts this host from CrowdSec crawl detection so you don't get falsely banned. The WAF still protects the domain."
   },
   "backends": {
     "title": "Backends",

management-ui/src/pages/Domains/Detail.tsx

@@ -30,6 +30,7 @@ interface Domain {
   redirect_to: string
   rate_limit_rps: number; max_body_kb: number
   disable_h3: boolean
+  crowdsec_trusted: boolean
   notes?: string | null
 }
 
@@ -44,6 +45,7 @@ interface DomainFormValues {
   redirect_to: string
   rate_limit_rps: number; max_body_kb: number
   disable_h3: boolean
+  crowdsec_trusted: boolean
   notes?: string
 }
 
@@ -278,6 +280,7 @@ export default function DomainDetailPage() {
                 rate_limit_rps: domain.rate_limit_rps ?? 0,
                 max_body_kb: domain.max_body_kb ?? 0,
                 disable_h3: domain.disable_h3 ?? false,
+                crowdsec_trusted: domain.crowdsec_trusted ?? false,
                 notes: domain.notes ?? '',
               }}
               onFinish={(v) => update.mutate(v)}
@@ -367,6 +370,11 @@ export default function DomainDetailPage() {
                 <Switch />
               </Form.Item>
 
+              <Form.Item label={t('domains.crowdsecTrusted')} name="crowdsec_trusted" valuePropName="checked"
+                extra={t('domains.crowdsecTrustedHint')}>
+                <Switch />
+              </Form.Item>
+
               <Form.Item label={t('domains.notes')} name="notes">
                 <Input.TextArea rows={2} />
               </Form.Item>