# Lokales HTTPS und Zertifikatsvertrauen

Status: Caddy und die lokale CA sind auf dem PELADN aktiv. Hostname,
Zertifikatskette und die beiden oeffentlichen CA-Dateien wurden aus dem WLAN
geprueft. Der private CA-Schluessel blieb auf dem Mini-PC.

Verifizierter Root-CA-SHA-256:

```text
824EDBC5BC78615A5035B261EDBB14CA3392349EF70D2C7B0ED43C5F997E4A98
```

## Aufbau

Caddy bindet HTTPS 443 fuer `noah-robot.local` und die beim Installationslauf
erkannte private IP. `tls internal` erzeugt eine lokale Root-CA. Deren privater
Schluessel bleibt unter `C:\ProgramData\noah-robot\certificates\` und ist nur
fuer SYSTEM/Administratoren lesbar.

Nur zwei exakte lokale Pfade werden fuer das Onboarding ausgeliefert:

- `/robot/setup/noah-robot-root-ca.crt`
- `/robot/setup/noah-robot-root-ca.sha256`

Es existiert keine Dateifreigabe fuer das CA-Verzeichnis und kein HTTP-Download.
Alternativ exportiert `export-root-ca.ps1` nur das Root-Zertifikat auf einen
vertrauenswuerdigen Datentraeger.

## Apple

1. Zertifikat und SHA-256-Fingerprint am Mini-PC vergleichen.
2. Profil auf iPhone/iPad installieren.
3. Unter Allgemein > Info > Zertifikatsvertrauenseinstellungen die volle
   Vertrauensstellung sichtbar aktivieren.
4. Browser neu oeffnen und `https://noah-robot.local/robot/` pruefen.

## Android

Root-Zertifikat als CA-Zertifikat installieren; Menuepfade unterscheiden sich je
Hersteller. Die Warnung ueber nutzerinstallierte CAs ist erwartbar. Kein VPN-/App-
Zertifikat auswaehlen. Danach Browser/PWA neu starten.

## Rotation und Widerruf

Bei Neuaufbau, Verlust des Mini-PCs oder Verdacht auf Schluesselabfluss:

1. Dienste stoppen und Pairings widerrufen.
2. CA-Daten lokal sichern bzw. kontrolliert entfernen.
3. Caddy neue CA erzeugen lassen.
4. neuen Fingerprint auf jedem Geraet vergleichen.
5. alte CA auf Smartphone/iPad entfernen.

Die UI darf manuelle Vertrauensbestaetigung nie als automatisch erledigt melden.
