feat(nextcloud-status): Dashboard-Kachel, Anleitung und Changelog

- Kachel mit Zählern und roten/gelben Clouds, nur mit Modulzugriff sichtbar (geteilte Widget-Typen, Modulzuordnung, Katalog)
- Anleitung für Anwender und Administratoren, Eintrag im Changelog

Co-Authored-By: Claude Opus 5.5 (1M context) <noreply@anthropic.com>

docs/anleitung-administration.md

@@ -250,6 +250,7 @@ Was „Verwalten“ je Modul freischaltet:
 | Kantinenabrechnung | Reiter „Einstellungen“ (Beraternummer, Mandantennummer, Lohnart) |
 | Handelsware | Reiter „Einstellungen“ (Standard-Erlöskonto, Startwert Gegenkonto) |
 | Proxmox | Server anlegen, ändern und löschen, Verbindung prüfen, „Jetzt aktualisieren“ |
+| Nextcloud-Status | Clouds eintragen, ändern und entfernen, Logos hinterlegen, „Jetzt prüfen“ |
 | DKV-Rechnung | das gesamte Modul – „Benutzen“ allein reicht dort nicht; Benutzer mit nur „Benutzen“ sehen eine Seite, die das erklärt |
 
 Hat jemand über mehrere Wege Zugriff (zum Beispiel direkt „Benutzen“ und über eine Gruppe „Verwalten“), gilt die **höhere** Stufe.
@@ -331,6 +332,16 @@ In Tessera: Typ **PMG**, Adresse z. B. `https://pmg01.intern:8006`, Zugangsart *
 
 Nach dem Speichern prüft **„Verbindung testen“** den Zugang sofort. „Keine Berechtigung“ heißt fast immer: Die Rolle fehlt am Benutzer oder am Token, oder „Weitergeben“ ist nicht angehakt. Soll Tessera einen Server nicht mehr sehen, löschen Sie bei PVE/PBS einfach den Token, bei PMG den Benutzer `tessera` – andere Konten sind davon nicht betroffen.
 
+### Nextcloud-Status: Clouds eintragen
+
+Das Modul „Nextcloud-Status“ (Gruppe Infrastruktur) aktivieren Sie wie jedes Modul im Marktplatz; wer es nutzen soll, bekommt die Freigabe „Benutzen“. **Clouds eintragen, ändern, entfernen, Logos hinterlegen und „Jetzt prüfen“** dürfen Administratoren und Benutzer mit der Freigabestufe „Verwalten“ – vergeben Sie diese Stufe nur an Personen, denen Sie das zutrauen, denn eingetragene Adressen ruft der Tessera-Server selbst ab.
+
+- **Eintragen:** Kundenname und Adresse der Cloud (zum Beispiel `https://cloud.kunde.de`; ein Zusatz wie `/status.php` oder `/index.php` wird entfernt, ein Unterpfad wie `/nextcloud` bleibt). Zugangsdaten werden nicht gebraucht und nicht gespeichert: Tessera ruft nur die öffentliche Seite `<Adresse>/status.php` ab und zeigt davon Version, Wartungsmodus und Erreichbarkeit.
+- **Netzwerk:** Der API-Container braucht ausgehenden Zugriff auf die eingetragenen Clouds und auf `endoflife.date` (Quelle der Versionsdaten). Interne Adressen sind ausdrücklich erlaubt. Pro Abruf gelten ein Zeitlimit von 10 Sekunden, höchstens drei Weiterleitungen und eine Größenbegrenzung der Antwort.
+- **Zertifikat:** Das Zertifikat der Cloud wird geprüft. Ein abgelaufenes oder nicht vertrauenswürdiges Zertifikat erscheint als „Nicht erreichbar“, der Fehlercode steht klein darunter.
+- **Rhythmus:** Tessera prüft jede Cloud einmal pro Stunde, auch nach einem Neustart und auf einer frischen Datenbank. Die Versionsdaten werden höchstens alle 12 Stunden neu geholt; ist `endoflife.date` nicht erreichbar, bleiben die zuletzt abgerufenen Daten erhalten, und ohne Daten zeigen die Kacheln grau „Bewertung nicht möglich“.
+- **Logo:** Entweder ein hochgeladenes Bild (PNG, JPEG, GIF oder WebP, höchstens 1 MB; SVG wird bewusst nicht angenommen) oder die https-Adresse eines Bildes, das der Browser des Betrachters direkt lädt – der Server ruft diese Adresse nie ab. Beides zugleich gibt es nicht: ein Upload ersetzt die Adresse und umgekehrt.
+
 ## 6. SMTP
 
 Unter **Administrator → SMTP** wird der Mailversand konfiguriert: Host, Port, Verschlüsselung (Keine, STARTTLS oder SSL-TLS), Benutzername, Passwort, die Absenderadresse und optional das Feld „Fehlermeldungen an“ (siehe unten). Das Passwortfeld wird aus Sicherheitsgründen nie mit dem gespeicherten Wert vorbefüllt – es bleibt beim Laden immer leer und wird nur mitgesendet, wenn tatsächlich ein neuer Wert eingegeben wurde.