|
|
@@ -913,6 +913,27 @@ Bob's stuk.** De loginpagina zelf is geverifieerd tot aan het invoerveld.
|
|
|
drawer én de data-deletion-URL voor Play) en `/nl/support/privacybeleid`.
|
|
|
- **`devbob` staat niet meer in de levende app-code** (alleen in dode kopieën).
|
|
|
|
|
|
+## 🔒 LIVEGANG-BLOK: API-oppervlak dichtzetten · Eigenaar: Bob
|
|
|
+### Besluit Bob 2026-09-19: 156 + 156b worden ÉÉN taak, en die nemen we serieus.
|
|
|
+
|
|
|
+**Volgorde:**
|
|
|
+1. **156b eerst** (views-beperking) — dat is alleen lezen, de app vraagt
|
|
|
+ aantoonbaar niet meer dan vijf views op, en Drupal waarschuwt er zelf 11x over.
|
|
|
+2. **156 daarna** via het drush-script (`services-dicht.php`): eerst droogdraai,
|
|
|
+ dan `$DOE_HET = TRUE`, eerst devbob, dan productie.
|
|
|
+ 📍 *Stand 2026-09-19: script gedraaid op devbob; productie volgt na een dag
|
|
|
+ meekijken.* Bijvangst: `system` bleek al dicht te staan — de vinkjes waren uit
|
|
|
+ de geplakte HTML niet af te lezen ("Enabled" is daar een kolomlabel).
|
|
|
+3. **Fase 2** (`node`, `file`, `taxonomy_term`, `taxonomy_vocabulary`) stond
|
|
|
+ gepland ná een accesslog-check. **Bob 2026-09-19: die check doen we niet.**
|
|
|
+ Beslis dus zelf of je die vier aandurft; `node/retrieve` is de enige waarvan
|
|
|
+ *bewezen* is dat hij lekt (zie hieronder), en een importer gebruikt Services
|
|
|
+ vrijwel zeker niet — Feeds werkt via de interne Drupal-API.
|
|
|
+4. **Daarna meet Claude na:** `node/222338.json` moet 403/404 geven in plaats van
|
|
|
+ 200 met 46 velden.
|
|
|
+
|
|
|
+---
|
|
|
+
|
|
|
### 🔴 156 · Services-endpoint `flutterdrup` staat veel te wijd open · Eigenaar: Bob
|
|
|
|
|
|
**Gemeten 2026-09-19 op de resourcelijst die Bob plakte, plus live getest tegen
|
