Restefeger: Auth komplett raus, Serien-Flow + Episoden-Matching, Jellyfin-Refresh, Duplikat-Warnung, echtes Nur-Hauptfilm

AUTH ENTFERNT (Commander-Entscheid 24.07., KONZEPT §10): /token- und
/api-keys-Endpoints, auth.py, test_auth.py, passlib/bcrypt/PyJWT/
python-multipart, JWT_SECRET_KEY-Pflicht. Heimnetz-only, das UI hatte nie
einen Login — die Auth-Oberflaeche war Placebo und die passlib/bcrypt-
Falle brach die Ampel. Rate-Limit pro IP bleibt. Schnellstart laeuft
jetzt ganz ohne .env-Pflichtwerte.

Serien-Flow (Etappe-12-Kern, ARM-Wunde #395):
- Rip-Dialog: Serienname + Staffel -> Ablage <Serie>/Season NN
  (jellyfin.org/docs Naming-Schema); tvshow.nfo + poster.jpg im
  Serien-Ordner, bei Staffel 2 nicht ueberschrieben.
- Episoden-Matching per Laufzeitabgleich: HandBrakeCLI --scan
  ('+ duration:', handbrake.fr/docs) je MKV gegen TMDB-Staffel-Laufzeiten
  (GET /metadata/tv/{id}/season/{n}; tv-season-details-API).
  Ordnungserhaltend; komplette Staffel auf einer Disc klappt auch bei
  uniformen Anime-Laufzeiten (Sequenz-Stufe). Umbenannt wird NUR bei
  eindeutiger Zuordnung — sonst ehrliches Log. Mit Tests.

Weitere Punkte:
- Jellyfin/Emby-Bibliotheks-Refresh nach jedem fertigen Rip
  (POST /Library/Refresh, X-Emby-Token lt. jellyfin.org/docs) —
  URL/Key + Test-Knopf in Einstellungen -> Ripping.
- Duplikat-Warnung: Disc-Fingerabdruck (jetzt Teil des Prescan-Ergebnisses
  + der Job-Metadaten) gegen die Historie; Karte zeigt 'bereits gerippt',
  Vollautomatik ueberspringt Duplikate.
- 'Nur Hauptfilm' ECHT: makemkvcon info -> TINFO-Attr-9-Laufzeiten
  (usage.txt) -> laengster Titel -> mkv dev:X <nr>. Vorher wirkungsloses
  Setting; pro Rip im Dialog uebersteuerbar. Mit Tests.
- OMDb-Treffer eingedeutscht via TMDB /find (external_source=imdb_id,
  de-DE; find-by-id-API).
- Dashboard: Speicherplatz-Anzeige (amber < 60 GB) + CSV-Export
  (GET /jobs/export, Semikolon+BOM fuer deutsches Excel).
- Metadaten-Seite entfernt (Abnahme durch Commander-Auftrag) inkl.
  Placebo-Endpoints /metadata/lookup (scannte Dummy-Device) und
  /metadata/confirm (schrieb nie gelesenen Cache-Key).
- Doppel-Jahr-Fix: 'X (2009) (2009)' in Log und Ordnernamen.
- Remote-Worker-Blocker: redis (6379) + postgres (5432) waren NIE
  veroeffentlicht — kein Remote-Worker konnte sich je verbinden. Ports
  jetzt offen (Heimnetz-Kompromiss, kommentiert) + API_URL fuer Worker.

Co-Authored-By: Claude Fable 5 <noreply@anthropic.com>

SAVEPOINT.md

@@ -1,6 +1,40 @@
 # SAVEPOINT — Rippy
 
-## Aktueller Stand: v3.3 — Praxis-Feedback-Runde (24.07.2026, Claude)
+## Aktueller Stand: v3.4 — Restefeger: der Ideen-Katalog ist abgearbeitet (24.07.2026, Claude)
+
+**Commander-Entscheid: AUTH IST KOMPLETT RAUS** (Heimnetz-only; das UI hatte
+nie einen Login, die Endpoints waren Placebo, passlib/bcrypt brach die Ampel).
+/token + /api-keys + auth.py + Abhängigkeiten entfernt, JWT_SECRET_KEY ist
+keine Pflicht mehr — der Schnellstart läuft ohne .env-Zwang. KONZEPT §10.
+
+**Neu in v3.4 (Details in ROADMAP Etappe 15):**
+- **Serien-Flow**: Rip-Dialog fragt Serienname + Staffel → Ablage
+  `<Serie>/Season NN`, tvshow.nfo/poster im Serien-Ordner, und die
+  **Episoden werden per Laufzeitabgleich (TMDB) erkannt und benannt**
+  („Serie S01E02.mkv") — nur bei eindeutiger Zuordnung, sonst ehrliches Log.
+  Komplette Staffel auf einer Disc klappt auch bei uniformen Anime-Laufzeiten.
+- **Jellyfin/Emby-Refresh** nach jedem fertigen Rip (URL/API-Key +
+  Test-Knopf in Einstellungen → Ripping) — Disc rein, Film erscheint im
+  Server, null Klicks dazwischen.
+- **Duplikat-Warnung** per Disc-Fingerabdruck (Karte zeigt „bereits
+  gerippt", Vollautomatik überspringt).
+- **„Nur Hauptfilm" funktioniert jetzt wirklich** (Info-Lauf → längster
+  Titel; pro Rip im Dialog wählbar). Vorher wirkungsloses Setting.
+- **OMDb-Treffer werden eingedeutscht** (TMDB /find über die IMDb-ID).
+- Dashboard: **Speicherplatz-Anzeige** (amber < 60 GB) + **CSV-Export**.
+- **Metadaten-Seite entfernt** (Korrektur-Popup ist der einzige Weg) samt
+  Placebo-Endpoints; Doppel-Jahr „(2009) (2009)" gefixt.
+- **Remote-Worker-Blocker behoben**: redis/postgres waren NIE veröffentlicht
+  — Ports 6379/5432 jetzt offen, API_URL für Worker gesetzt. Damit sind
+  AI-Box/Windows-Worker überhaupt erst anschließbar.
+
+**Bewusst offen** (ROADMAP „Ideen-Katalog (Rest)"): volle Track-Tabelle,
+nativer Windows-Worker (braucht Testlauf auf Ziel-Hardware), Design-2.0-
+Konvertierung (Infrastruktur steht), AI-Box-NFS-Export, Kodi-Refresh.
+
+---
+
+## Vorheriger Stand: v3.3 — Praxis-Feedback-Runde (24.07.2026, Claude)
 
 **Zwei echte Bugs mit Beweis gefixt:**
 1. **SMB-Mount „Unable to apply new capability set"**: mount.cifs hebt