Taak 128-A gedeployd op devbob: index geverifieerd, POST-endpoints nog open

Bob deployde de resource op devbob en testte nieuwsbrieven.json: de
rolfilter werkt (gebruiker zonder Horeca-owner ziet 2 van de 3) en de
status beweegt mee. Zijn abonnement kwam echter via de website-pagina
binnen (source = website, het confirm=FALSE-pad van simplenews zelf),
dus subscribe.json en unsubscribe.json zijn nog niet langs geweest.
Die POST dekt meteen het openstaande bevestigingsmail-risico af.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

TASKS.md

@@ -167,6 +167,15 @@ enige variant die voor de gebruiker werkt totdat dat opgelost is.
 
 ### 128-A · Drupal: resource `nieuwsbrieven` · Eigenaar: Bob
 
+**✅ GEDEPLOYD OP DEVBOB 2026-09-21 door Bob; index geverifieerd.** Alle drie de
+operaties staan aan in het endpoint en `nieuwsbrieven.json` levert de juiste lijst:
+een gebruiker zonder de rol `Horeca-owner` ziet 2 nieuwsbrieven, en de status
+beweegt mee met een abonnement. **Nog niet getest: de twee POST-endpoints** —
+Bobs test liep via de website-pagina (`source = website`, dus het
+`confirm = FALSE`-pad van simplenews zelf), niet via `subscribe.json`. Die POST
+is meteen de test voor het mailrisico hieronder: hij hoort **status 2 plus een
+mail** op te leveren, en zet `source = app`.
+
 **✅ Code is af en staat klaar in `snippets/nieuwsbrieven-drupal.inc.txt`** (compleet bestand `custom.nieuwsbrieven.inc` + het blok voor `custom_services_resources()` + de deploy- en controlestappen). PHP-syntax gecontroleerd op de server en de index-logica read-only drooggedraaid op productie voor een Horeca-owner, een gewone gebruiker met abonnement en een zonder: rolfilter en statussen kloppen.
 
 Zelfde vorm als het bestaande `favorieten` (flag/unflag/is_flagged):