diff --git a/.planning/phases/09-cert-manager-module/.continue-here.md b/.planning/phases/09-cert-manager-module/.continue-here.md
index 817896b..f23e6ca 100644
--- a/.planning/phases/09-cert-manager-module/.continue-here.md
+++ b/.planning/phases/09-cert-manager-module/.continue-here.md
@@ -3,70 +3,71 @@ context: phase
phase: 09-cert-manager-module
task: null
total_tasks: null
-status: planning
-last_updated: 2026-07-01T13:42:33.474Z
+status: in_progress
+last_updated: 2026-07-01T21:27:15.045Z
---
# BLOCKING CONSTRAINTS — Read Before Anything Else
-_No blocking constraints identified this session._
+_Keine blocking constraints identifiziert._
-Phase 9 (Cert Manager Module) ist vollständig besprochen und CONTEXT.md geschrieben.
-plan-phase wurde gestartet, aber durch den UI-SPEC Safety Gate blockiert — UI-SPEC.md fehlt noch.
+Phase 9 (cert-manager-module) Execution läuft. Wave 1 abgeschlossen (09-01 + 09-02 committed). Wave 2–5 noch ausstehend (09-03 bis 09-06).
-Nächster Schritt: `/gsd-ui-phase 9` ausführen, dann `/gsd-plan-phase 9`.
+Letzter Commit: `76d1a31` — "docs(phase-09): update tracking after wave 1"
-- Dashboard-Grid-Fix: `compactType={null}` → `compactor={noCompactor}` (react-grid-layout v2 API) — deployed
-- Phase 9 zu ROADMAP.md hinzugefügt (commit a32f5f9)
-- `09-CONTEXT.md` mit allen Entscheidungen erstellt (commit a32f5f9)
-- plan-phase initialisiert → UI-SPEC-Gate erkannt und korrekt geblockt
+- Phase 9 geplant: 6 Pläne in 5 Waves (commit 812eb06)
+- Wave 1 ausgeführt und gemerged:
+ - **09-01** (API Foundation): node-forge 1.4.0 + Vitest installiert, NestJS CertManagerModule scaffolded (Module/Controller/Service/Seed/DTOs), in app.module.ts registriert, 11 Tests grün
+ - **09-02** (Web Shell): Next.js Page mit 4 Tabs, DropZone, PasswordField, actions.ts (downloadBase64), i18n de/en, 7 Render-Tests grün
+- Merge-Konflikte in Wave 1 manuell gelöst:
+ - `app.module.ts`: CertManagerModule + FavoritesModule beide behalten
+ - `de.json` / `en.json`: JSON-Merge via python (strukturell korrekt)
+- STATE.md + ROADMAP.md aktualisiert (2/6 Pläne complete)
-1. `/gsd-ui-phase 9` — UI-Design-Kontrakt (UI-SPEC.md) erstellen
-2. `/gsd-plan-phase 9` — Pläne erstellen (nach UI-SPEC)
-3. `/gsd-execute-phase 9` — Implementierung
+- **Wave 2**: Plan 09-03 — Inspect-Endpoint + InspectTab (CERT-01, CERT-05 read) — depends_on: [09-01, 09-02]
+- **Wave 3**: Plan 09-04 — Split-Endpoint + SplitTab (CERT-02) — depends_on: [09-03]
+- **Wave 4**: Plan 09-05 — Convert-Endpoint + ConvertTab PEM/DER/P7B (CERT-04) — depends_on: [09-04]
+- **Wave 5**: Plan 09-06 — Merge + PFX-create + MergeTab + PFX-Convert (CERT-03, CERT-04, CERT-05) — depends_on: [09-05]
+- Post-execution: Verifier spawnen, VERIFICATION.md, Phase complete
-- **Verarbeitung**: Server-seitig (NestJS API), nicht client-seitig
-- **Persistenz**: Ephemer — kein DB, kein Dateisystem, alles In-Memory
-- **"Teilen"** = Aufteilen (fullchain → Einzelzertifikate), NICHT Versenden
-- **Zusammenführen** = PEM-Kette ODER PFX-Bundle (mit Passwort)
-- **Bibliothek**: `node-forge` (pure JS, PEM/DER/PFX/P7B)
-- **Passwort**: Konditionell bei PFX/PKCS12 (lesen + erstellen)
-- **UI**: 4 Tabs — Analysieren / Aufteilen / Zusammenführen / Konvertieren
-- **API**: 4 Endpoints: `/parse` `/split` `/merge` `/convert` unter `/modules/cert-manager`
-- **Modul**: slug=`cert-manager`, category=`security-tools`
-- **Muster**: Domaincheck-Modul als Vorlage (OnModuleInit seed, @UseModule guard)
+- **Module-Pfad**: `apps/api/src/cert-manager/` (nicht `apps/api/src/modules/cert-manager/` — kein modules/ Verzeichnis existiert)
+- **Test-Runner**: Vitest in @tessera/api installiert (war noch nicht vorhanden)
+- **Encoding**: `toForgeBuffer()` helper nutzt `toString('binary')` — nie 'utf-8'
+- **Binary-Download**: `downloadBase64()` in actions.ts — POST → base64-JSON → Blob-URL
+- **Merge-Konflikte**: Beide Worktrees branchen vom gleichen Base (88db54f) — app.module.ts und i18n-Dateien hatten parallele Änderungen
-- UI-SPEC.md fehlt → plan-phase UI-Safety-Gate blockiert
-- Workaround: `/gsd-plan-phase 9 --skip-ui` (nicht empfohlen)
+- Keine aktiven Blocker.
+- **Hinweis**: Nach Wave 1 (09-01) muss ein Admin `cert-manager` im Marketplace aktivieren, da `isSystem:true` NICHT auto-aktiviert. ModuleGuard gibt 403 zurück bis zur manuellen Aktivierung.
## Required Reading (in order)
-1. `.planning/phases/09-cert-manager-module/09-CONTEXT.md` — alle Entscheidungen
-2. `apps/api/src/domaincheck/` — Modul-Pattern (NestJS)
-3. `apps/web/src/app/(portal)/modules/domaincheck/` — Frontend-Pattern
+1. `.planning/phases/09-cert-manager-module/09-03-PLAN.md` — nächster Plan (Inspect-Endpoint)
+2. `.planning/phases/09-cert-manager-module/09-RESEARCH.md` — Pitfalls (Encoding, Binary-Download)
+3. `.planning/phases/09-cert-manager-module/09-01-SUMMARY.md` — was in Wave 1 gebaut wurde
## Infrastructure State
- Docker: alle Container laufen (web, api, db)
-- dashboard-grid.tsx: `compactor={noCompactor}` — deployed und aktiv
+- git: branch `main`, HEAD `76d1a31`
+- Uncommitted files (aus früheren Sessions, NICHT Phase 9): `.mcp.json`, `auth.service.ts`, `user.controller.ts`, `dashboard-grid.tsx`, `note-widget.tsx`, `widget-wrapper.tsx`, `account-settings-form.tsx`, `auth-actions.ts`, `dashboard-store.ts` — diese IGNORIEREN, nicht committen
-Phase 9 Cert Manager: vollständig geplant auf Konzeptebene. Bereit zur UI-Spec-Erstellung.
-Uncommitted files aus früheren Sessions (auth, user-controller, dashboard-store etc.) existieren noch — nicht Teil von Phase 9.
+Execution läuft Wave-by-Wave sequential (Wave 2–5 haben jeweils nur 1 Plan). Jeder Wave: einen gsd-executor spawnen, auf Completion warten, Worktree mergen, nächste Wave starten. Waves 2–5 sind sequential (depends_on chain), kein Parallel-Exec mehr.
-Start with: `/gsd-ui-phase 9` — UI-Design-Kontrakt für Cert Manager erstellen
-Then: `/gsd-plan-phase 9`
+Start with: `/gsd-execute-phase 9 --wave 2`
+
+Wave 2 = Plan 09-03 (1 Agent, kein Parallel-Merge nötig, sequential auf main).