feat: /status fuer die Statusseite -- und der Fehler, den es dabei gefunden hat

/health gab es und bleibt, wie es ist: app.get('/health', c => c.json({ok:true})).
Diese Zeile beweist genau eines -- der Prozess nimmt Anfragen an. Daran haengt
der HEALTHCHECK des Containers, und DORT ist billig richtig: eine schwere
Pruefung, die bei einer langsamen Platte einmal ausfaellt, liesse Docker den
Container neu starten, also genau dann, wenn er unter Last steht.

Fuer eine Statusseite ist das zu duenn -- sie stuende auf Gruen, waehrend die
Platte voll ist und kein Upload mehr angenommen wird.

/status sieht deshalb wirklich nach: Datenbank (eine echte Abfrage, nicht "die
Datei ist da"), Platte (schreiben UND wieder loeschen, der einzige Beweis),
Ausliefern (eine zufaellige Datei aus der Datenbank auf der Platte nachmessen),
Bestand, Platz und Sicherung. 200 wenn der Dienst sein Geschaeft tut, 503 wenn
nicht; ?streng=1 laesst auch eine Beeintraechtigung rot werden -- WELCHES von
beiden richtig ist, weiss nur, wer die Statusseite betreibt.

Oeffentlich, aber wortkarg: keine Dateizahlen, Groessen, Pfade, Tokennamen,
Benutzer. Und mit einer Zehn-Sekunden-Bremse -- ein oeffentlicher Endpunkt, der
auf die Platte schreibt, waere sonst ein Verstaerker.

UND DABEI FIEL EIN FEHLER IN MEINEM EIGENEN ZURUECKSPIEL-SKRIPT AUF.

Der harte Weg sollte an einem Wegwerf-Container geprueft werden. Der traf
zufaellig auf ein GEBRAUCHTES Volume, und die Zahlen waren eindeutig:

    media.db aus dem Archiv, mit altem WAL daneben :     0 Zeilen
    dieselbe Datei ohne die beiden Begleiter       :  4452 Zeilen
    Dateien auf der Platte                        :  4452

zurueckspielen.ps1 entfernte media.db, aber NICHT media.db-wal und
media.db-shm. Die liegen bei einem echten Zurueckspielen immer da -- der
laufende Dienst arbeitet im WAL-Modus. SQLite spielt das WAL der ALTEN
Datenbank ueber die NEUE, und heraus kommt der schlimmste denkbare Zustand: der
Dienst kommt hoch, /health ist gruen, die Mediathek ist leer, waehrend alle
Dateien danebenliegen.

Drei Konsequenzen:

1. Die Aufraeumzeile steht jetzt an EINER Stelle und nimmt media.db-wal,
   media.db-shm und *.tmp mit. Uebung und Ernstfall fahren denselben Befehl --
   zwei Fassungen waeren zwei, von denen die geuebte die harmlosere ist.

2. Die Uebung TAEUSCHT JETZT EINE BESTEHENDE INSTALLATION VOR, bevor sie
   zurueckspielt: Container starten, warten bis media.db-wal daliegt, stoppen,
   und erst dann einspielen. In ein leeres Volume zu spielen probt den Fall,
   der nie eintritt.

3. /status erkennt den Zustand selbst -- "kein Eintrag in der Datenbank, aber
   Dateien auf der Platte". Am kaputten Container gemessen:

       /health sagt:  HTTP 200
       /status sagt:  HTTP 503

Der geuebte Lauf danach, ueber eine vorgetaeuschte Installation:

    im Volume liegt jetzt: files media.db media.db-shm media.db-wal
    4452 Medieneintraege, 4452 Dateien -- gleich viele
    ok  items/shushi.png · items/weedbud_1.png · items/cc-castella.png
    Die Uebung ist bestanden.

Gefunden beim Ueben und nicht im Ernstfall. Genau dafuer gibt es sie.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

docs/API.md

@@ -137,6 +137,69 @@ direkt hierher.
 
 ---
 
+## Für eine Statusseite
+
+Zwei Adressen, beide öffentlich, beide ohne Anmeldung — und sie beantworten
+**verschiedene** Fragen.
+
+```
+GET /health    ->  200  {"ok":true}
+GET /status    ->  200 | 503  mit Begründung
+```
+
+`/health` beweist genau eines: **der Prozess nimmt Anfragen an.** Daran hängt
+auch der `HEALTHCHECK` des Containers, und dort ist eine billige Prüfung
+richtig — eine schwere, die bei einer langsamen Platte einmal ausfällt, ließe
+Docker den Container neu starten, also genau dann, wenn er unter Last steht.
+
+`/status` sieht wirklich nach:
+
+| Prüfung | wie |
+|---|---|
+| `datenbank` | eine echte Abfrage gegen eine echte Tabelle |
+| `platte` | schreiben **und wieder löschen** — der einzige Beweis |
+| `ausliefern` | eine zufällige Datei aus der Datenbank auf der Platte nachmessen |
+| `bestand` | kein Eintrag, aber Dateien da? Dann stimmt etwas nicht |
+| `platz` | ab 95 % belegt |
+| `sicherung` | älter als 26 Stunden oder fehlgeschlagen |
+
+```json
+{ "dienst": "d4rk_media", "ok": true, "stand": "gesund", "seit": 4271,
+  "pruefungen": [ { "was": "datenbank", "ok": true }, … ] }
+```
+
+**Zwei Stufen, und der Unterschied ist der zwischen „tut es nicht" und „braucht
+Aufmerksamkeit".** Datenbank, Platte, Ausliefern und Bestand sind das Geschäft
+dieses Dienstes — fällt eines aus, ist er `gestoert` und die Antwort ist
+**503**. Eine alte Sicherung oder eine volle Platte machen ihn
+`beeintraechtigt`: er liefert weiter aus, die Antwort bleibt **200**.
+
+Wer auch das rot haben will, hängt `?streng=1` an — dann gibt alles außer
+`gesund` eine 503.
+
+### In Uptime Kuma
+
+```
+Dienst läuft      https://fivemanage.d4rkst3r.de/status
+Braucht Pflege    https://fivemanage.d4rkst3r.de/status?streng=1
+```
+
+> **Warum `bestand` dabei ist.** Nachgemessen an genau diesem Dienst: wird eine
+> Sicherung zurückgespielt, ohne `media.db-wal` daneben zu entfernen, spielt
+> SQLite das WAL der **alten** Datenbank über die neue. Ergebnis: 0 Einträge,
+> während 4452 Dateien danebenliegen. Der Dienst kommt hoch, `/health` ist
+> grün, die Mediathek ist leer.
+>
+> ```
+> /health sagt:  HTTP 200
+> /status sagt:  HTTP 503   kein Eintrag in der Datenbank, aber Dateien auf der Platte
+> ```
+
+Was **nicht** hinausgeht: Dateizahlen, Größen, Pfade, Tokennamen, Benutzer. Die
+einzige Zahl ist die Laufzeit in Sekunden.
+
+---
+
 ## Anmeldung: Token
 
 Alle Skript-Wege brauchen einen Token im Kopf: