De pagina van Evolu Relay op de lijst van de gebruiker

Negen punten uit echt gebruik met 0.4.0, alle negen gedaan. Twee ervan waren
onderzoeksvragen en die staan onderaan.

Evolu Relay 0.5.0
- Een tijdvenster van twee minuten voor nieuwe eigenaars, met een stopknop. De
  teller zit in het relay-proces en niet in de pagina: een teller in een tabblad
  dat je sluit, sluit de deur niet. policy.js kreeg learningUntil, isLearningOpen
  en expireLearning.
- decideOwner kijkt naar isLearningOpen en niet naar het veld learning. De lus die
  een verlopen venster opruimt loopt elke twee seconden, en in dat gat zou een
  onbekende alsnog binnenkomen.
- Zonder STATE_VERSION te verhogen, met een toets die dat verdedigt: een verhoging
  zou de allowlist van de draaiende installatie laten afwijzen en de deur sluiten
  voor eigenaars die er al in stonden.
- Labels op een eigenaar-id, in een eigen labels.json met de agent als enige
  schrijver. Een label zegt niets over toegang, dus de relay hoeft het niet te
  weten; het is daardoor meteen opgeslagen en werkt ook als de relay omligt.
- Geblokkeerde en geweigerde eigenaars in een kader, met een badge die zegt welke
  van de twee het is. De badge staat buiten het hover-blok, anders is dat
  onderscheid onzichtbaar tenzij je over de regel gaat.
- Maatvoering gelijk aan Electrum Gate: 1760px, hetzelfde raster, icoon van 64
  pixels, dezelfde kop, versienummer erachter. Uitleg uit de kaders, knoppen pas
  bij hover, geen voetregel.

Electrum Gate 0.0.24
- Menu-item "About this app", in beide apps.
- De statuswidget zei "Answering" met "answered in 7 ms, from inside the app" en
  zegt nu "Running" met de meting eronder. De nuance dat de controle van container
  naar container loopt is verplaatst naar een eigen kopje in die dialoog, waar er
  ruimte voor is; vier woorden waren te weinig.

Toetsen en gereedschap
- tests/test_relay_agent.py (nieuw, 65 toetsen) en tests/test_paginas_parsen.mjs
  (nieuw). Muteertests gedraaid op de beslissende regels.
- Een dollarteken-toets in test_appstore_vorm.py. Het commentaar in drie bestanden
  beweerde al dat die test bestond; nu is dat waar.
- Een toets dat er geen werkbestanden in een app-map staan. umbreld kopieert de
  hele map naar het apparaat en in de back-up.
- tools/voorbeeldpagina.mjs maakt van een *.template een pagina die je in een
  browser kunt openen. Dat vond meteen twee echte opmaakfouten.

De twee onderzoeksvragen
- Een geweigerde eigenaar komt niet in de database: isOwnerAllowed zit in de
  WebSocket-upgrade, dus het is een 401 en een gesloten socket. Het gewenste gevolg
  treedt wel op, via de client: die is local-first en levert bij toelating de hele
  geschiedenis. Blokkeren werkt daarentegen pas bij de volgende verbinding, en dat
  staat als open punt.
- De blobs zijn niet met een xpub te ontcijferen; een OwnerId komt daar niet uit.
  Met de SLIP-21-node van het apparaat kan het wel, maar die geeft volledige
  zeggenschap, dus dat hoort niet in een relay. Als plan-punt opgenomen bij de tool
  in HomeGit/Trezor.

Nog niet uitgerold: de image 0.5.0 moet gebouwd en geduwd worden. De digest staat
daarom niet in de compose, want een oude digest onder een nieuwe tag levert stil de
oude relay.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

CLAUDE.md

@@ -10,7 +10,7 @@ gelden, dan per app wat alleen daar geldt.
 | App | Map | Toestand |
 |-|-|-|
 | **Electrum Gate** | `whatsnext-electrum-gate/` | draait op de Umbrel, wordt gebruikt |
-| **Evolu Relay** | `whatsnext-evolu-relay/` | gepakketteerd, nog nooit geïnstalleerd; zie het plan **Umbrelapp** |
+| **Evolu Relay** | `whatsnext-evolu-relay/` | draait op de Umbrel sinds 28-08-2026 en wordt gebruikt. Let op de bouwstap: zie **Evolu Relay** hieronder |
 
 **Zet geen CLAUDE.md of andere werkbestanden in een app-map.** umbreld kopieert bij installatie de héle
 app-map naar `~/umbrel/app-data/<app-id>/` met `rsync --archive`, dus alles wat daar staat belandt op het
@@ -65,9 +65,24 @@ python tests/test_appstore_vorm.py
 ```
 
 Geen testrunner en geen afhankelijkheden: het zijn losse scripts die 0 teruggeven als alles goed is. Ze
-horen samen met de test van Evolu Relay hieronder bij "de suite" en draaien voor een commit; de uitvoer
-eindigt bij alle vier met een regel "N goed, M fout". Er is geen watch-modus; de suite kost minder dan een
-seconde.
+horen samen met de tests van Evolu Relay hieronder bij "de suite" en draaien voor een commit; de uitvoer
+eindigt bij elk met een regel "N goed, M fout". Er is geen watch-modus; de suite kost minder dan een
+seconde. Noem hier geen aantal: dat klopte tot 30-08-2026 al niet meer.
+
+Er is ook een test over de **pagina's** van beide apps, en die is geen Python:
+
+```
+node tests/test_paginas_parsen.mjs
+```
+
+Hij toetst dat de JavaScript in elke `index.html.template` parseert, en dat hij dat ook nog doet ná de
+invulling door umbreld. Dat is de enige klasse paginafouten die niet op het apparaat gevonden hoeft te
+worden; alles wat de pagina *toont* blijft handwerk in een browser.
+
+**Wil je een pagina bekijken, gebruik `tools/voorbeeldpagina.mjs`.** Een `*.template` is niet te openen: er
+staan accolade-variabelen in en de gegevens komen van een agent die alleen in de app bestaat. Dat script
+vult beide in en zet het resultaat in `voorbeeld/` (gitignored). Geen bewijs, wel het gereedschap dat op
+30-08-2026 twee echte opmaakfouten vond voordat ze uitgerold waren.
 
 `test_appstore_vorm.py` toetst **expres niet** dat images op een digest gepind zijn. Dat is wél de regel,
 maar geen van de twee apps haalt hem vandaag, en een suite die altijd rood staat wordt niet gelezen. Hij
@@ -114,7 +129,11 @@ dan een app die weigert en zegt waarom.
 node tests/test_limiter.mjs
 ```
 
-Dit is de vierde test van de suite en de enige die geen Python is. Hij toetst het toegangsbeleid uit
+```
+python tests/test_relay_agent.py
+```
+
+De eerste toetst het toegangsbeleid uit
 `tools/evolu-relay/src/policy.js`: wie er op de relay mag schrijven, wat er met een onbekende eigenaar
 gebeurt, en of een geblokkeerde eigenaar er niet alsnog in komt doordat de leerstand aanstaat. Node 24 of
 hoger, geen afhankelijkheden, en het bestand is met opzet `.mjs`: in de repo-root is er geen `package.json`,
@@ -123,7 +142,11 @@ dus een `.js` zou als CommonJS gelezen worden en de import falen.
 **Het beleid staat los van de relay en dat is de reden dat dit te testen is.** `policy.js` bevat alleen
 pure functies: geen bestanden, geen netwerk, geen klok. Wat wél schijf raakt staat in `store.js`, en de
 relay zelf wordt in `index.js` alleen aangeroepen. Houd die scheiding aan; anders is er van deze test niets
-meer over.
+meer over. **Ook het tijdvenster heeft geen klok**: `isLearningOpen(state, now)` krijgt het tijdstip mee.
+
+De tweede toetst de agent: de labels en de resterende tijd van het tijdvenster. Dat zijn de twee dingen die
+de agent zélf uitrekent in plaats van doorgeeft, en daarmee de enige plek in dit bestand waar hij eigen
+logica heeft. De HTTP-laag zit er niet in: die handlers zijn zonder socket niet aan te roepen.
 
 ### Architectuurregels
 
@@ -138,23 +161,43 @@ herinstallatie, en het zou de installatie minuten laten hangen.
 **Verhoog je `VERSION` in `build.sh`, dan verhoog je ook `version` in het manifest.** Anders is er een
 nieuwe image en een oude installatie, zonder dat iets dat meldt. Houd die twee gelijk.
 
-> **De app-map loopt achter op `tools/`.** Het programma hierboven is nieuw sinds 28-08-2026; de compose en
-> het manifest in `whatsnext-evolu-relay/` beschrijven nog het oude pakket met de relay van Trezor, een
-> Postgres en een quota-manager. Dat wordt vervangen in fase 5 van het plan **Umbrelapp**. De drie alinea's
-> hieronder over de app-proxy en de quota-manager gelden dus voor wat er staat, niet voor wat er komt.
+**De poorten staan omgekeerd ten opzichte van wat je verwacht, en dat is de kern van de compose.** De
+**pagina** hangt achter `app_proxy` mét de inlog van umbrelOS; de **relay** publiceert zijn eigen
+host-poort 3852. Tot 0.0.2 stond het andersom en moest `PROXY_AUTH_ADD` op `"false"`, want een sync-cliënt
+is geen browser met een sessiecookie en zou een inlogpagina krijgen in plaats van de relay. Daardoor was
+een statuspagina op diezelfde poort net zo onbeschermd als de relay zelf. Zet het niet terug zonder het plan
+**Umbrelapp**, `PLAN.md` §4h te lezen.
 
-**De app-proxy staat op `PROXY_AUTH_ADD: "false"` en dat is met opzet.** Trezor Suite is geen browser met
-een sessiecookie. Zet het niet "voor de veiligheid" terug: dan krijgt Suite een inlogpagina in plaats van
-de relay en werkt de app niet meer. De keerzijde hoort erbij en staat in de compose: wie de poort bereikt,
-bereikt de relay. Voeg dus geen pagina toe achter diezelfde poort zonder daar apart over na te denken; zie
-het plan **Umbrelapp**, `OPEN.md` punt 2.
+**Eén schrijver per bestand onder `data/relay/`, en dat is geen stijlkwestie.** Twee processen die in
+dezelfde allowlist schrijven is een wedloop die je een keer per jaar treft en dan niet kunt reproduceren.
+De verdeling:
 
-**De quota-manager hoort erbij en is geen restje.** De relay weigert elke eigenaar zonder rij in de
-limietentabel, en dit is wat die rijen maakt. Haal hem er niet uit omdat hij bij Trezor bij betaalde
-hosting hoort.
+| Bestand | Schrijver | Waarom daar |
+|-|-|-|
+| `owners.json` | het relay-proces | daar staat wie er binnen mag, en dat beslist het proces dat de verbindingen aanneemt |
+| `command.json` | de agent | de postbus. De agent legt erin, het relay-proces past toe en ruimt op |
+| `labels.json` | de agent | een label zegt niets over toegang, dus de relay hoeft het niet te weten. Dat het hier staat en niet in `owners.json` is wat labelen meteen laat werken, ook als de relay omgevallen is |
 
-**"Gebouwd" is hier nog verder van "werkend" dan bij Electrum Gate:** er is nog nooit iets van deze app op
-een Umbrel gedraaid. Meld dat expliciet in plaats van het te laten meelezen als werkend.
+**Het tijdvenster voor nieuwe eigenaars loopt in het relay-proces, nooit in de pagina.** Een teller in een
+tabblad dat je sluit, sluit de deur niet. En `decideOwner` kijkt naar `isLearningOpen(state, now)` en niet
+naar het veld `learning`: de lus die een verlopen venster opruimt loopt elke twee seconden, en in dat gat
+zou een onbekende alsnog binnenkomen.
+
+**Het beleid is de enige plek waar staat wie er binnen mag, en `isOwnerAllowed` wordt alleen bij de
+WebSocket-upgrade gesteld.** Gevolg om te kennen voordat je iets belooft op de pagina: **blokkeren werkt pas
+bij de volgende verbinding.** Zie `Docs/Referenties/Upstream-evolu-relay.md` §10 en het plan **Umbrelapp**,
+`OPEN.md` punt 10.
+
+**Zet geen ontcijfering in deze app.** Het kan technisch, maar niet met een xpub: er is de SLIP-21-node van
+het apparaat voor nodig, en die geeft volledige zeggenschap over de gegevens. De hele grond waarop je een
+relay ergens kunt neerzetten is dat hij de sleutel niet heeft, en het manifest belooft dat letterlijk.
+Onderhoudsfuncties die de inhoud kennen horen in de tool in `HomeGit/Trezor`. Zie §11 van hetzelfde
+naslagdocument en `OPEN.md` punt 11.
+
+**Deze app draait en wordt gebruikt sinds 28-08-2026**, maar dat geldt niet voor elke wijziging: er zit een
+bouwstap tussen de repo en het apparaat. Een wijziging in `tools/evolu-relay/src/` is pas uitgerold als de
+image gebouwd, geduwd en met zijn digest in de compose gezet is, en dat kan alleen de gebruiker. Meld dus
+per wijziging wat er wél geverifieerd is; "de app werkt" is geen uitspraak over de code van vandaag.
 
 ## Repo-feiten