156 + 156b samengevoegd tot een livegang-blok (besluit Bob)

Volgorde vastgelegd: views-beperking eerst (alleen lezen, 11 Drupal-waarschuwingen),
dan het drush-script. Fase 2 zonder accesslog-check, want Bob doet die niet.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

TASKS.md

@@ -913,6 +913,27 @@ Bob's stuk.** De loginpagina zelf is geverifieerd tot aan het invoerveld.
   drawer én de data-deletion-URL voor Play) en `/nl/support/privacybeleid`.
 - **`devbob` staat niet meer in de levende app-code** (alleen in dode kopieën).
 
+## 🔒 LIVEGANG-BLOK: API-oppervlak dichtzetten · Eigenaar: Bob
+### Besluit Bob 2026-09-19: 156 + 156b worden ÉÉN taak, en die nemen we serieus.
+
+**Volgorde:**
+1. **156b eerst** (views-beperking) — dat is alleen lezen, de app vraagt
+   aantoonbaar niet meer dan vijf views op, en Drupal waarschuwt er zelf 11x over.
+2. **156 daarna** via het drush-script (`services-dicht.php`): eerst droogdraai,
+   dan `$DOE_HET = TRUE`, eerst devbob, dan productie.
+   📍 *Stand 2026-09-19: script gedraaid op devbob; productie volgt na een dag
+   meekijken.* Bijvangst: `system` bleek al dicht te staan — de vinkjes waren uit
+   de geplakte HTML niet af te lezen ("Enabled" is daar een kolomlabel).
+3. **Fase 2** (`node`, `file`, `taxonomy_term`, `taxonomy_vocabulary`) stond
+   gepland ná een accesslog-check. **Bob 2026-09-19: die check doen we niet.**
+   Beslis dus zelf of je die vier aandurft; `node/retrieve` is de enige waarvan
+   *bewezen* is dat hij lekt (zie hieronder), en een importer gebruikt Services
+   vrijwel zeker niet — Feeds werkt via de interne Drupal-API.
+4. **Daarna meet Claude na:** `node/222338.json` moet 403/404 geven in plaats van
+   200 met 46 velden.
+
+---
+
 ### 🔴 156 · Services-endpoint `flutterdrup` staat veel te wijd open · Eigenaar: Bob
 
 **Gemeten 2026-09-19 op de resourcelijst die Bob plakte, plus live getest tegen