feat(v5): Etappe W-6 — Setup, Selbst-Update, Erst-Einrichtung, Lizenzen

electron-builder → NSIS: EIN RippySetup-<version>.exe, pro Benutzer,
ohne Adminrechte, eigenes Icon (PNG-basiertes ICO selbst gebaut).
extraResources: die MITGELIEFERTEN Werkzeuge (HandBrakeCLI GPL-2,
flac.exe MIT libFLAC.dll — die Ohne-DLL-Falle aus § 9) samt
Lizenztexten und Quellverweisen (bau/lizenzen, Entscheid 9); vendor/
liegt nicht im Git (74 MB), Befuellung steht in BAUEN.md. Der Kern
findet die mitgelieferten Werkzeuge ueber RIPPY_VENDOR (resourcesvendor) VOR allen anderen Suchwegen.

haupt/update.ts (§ 6.8): electron-updater gegen das oeffentliche Gitea
(festes Tag 'aktuell' als Rueckfallebene, Entscheid 6) — NUR https
(http wird ABGELEHNT; Regel-Tests), NIE waehrend eines Rips (der Haupt
kennt die aktiven Vorgaenge), Fehlschlaege still aber ablesbar
(letzte erfolgreiche Pruefung im Status), installiert beim naechsten
Start. haupt/autostart.ts: HKCU-Run ueber app.setLoginItemSettings,
Toggle in den Einstellungen. Erst-Einrichtung (§ 6.9) im Programm:
5 Schritte, NUR ein Fehler blockiert (kein Laufwerk = Warnung,
MakeMKV-Pflicht mit Klartext-Weg).

GEBAUT UND GEMESSEN (30.08.2026):
- dist-setup/RippySetup-5.0.0-w0.exe — 130,8 MB, SHA-256
  07D39D6BAB74A47C21AA53D847FB5A5DB6990AE9FA1CBC7BE814B51050883115,
  plus .blockmap.
- MESSUNG: Die Update-Auskunft heisst bei Vorab-Versionen nach dem
  KANAL (w0.yml) — erst ein Release ohne Suffix erzeugt latest.yml
  (steht jetzt in BAUEN.md).
- Das GEPACKTE Programm (win-unpacked, asar + resources) besteht den
  Smoke: SMOKE OK, und der Screenshot zeigt die Erst-Einrichtung —
  das Bild eines frischen Rechners.

Bewusst offen (SAVEPOINT): die automatische MakeMKV-Beschaffung
(beschaffen.ts — Download+Installer-Start braucht einen Live-Test);
das Setup NENNT den Weg klar. 185 Tests gruen.

Co-Authored-By: Claude Fable 5 <noreply@anthropic.com>

rippy-windows/test/update.test.ts

@@ -0,0 +1,24 @@
+// Tests der Update-Regeln (§ 6.8) — die HTTPS-Pflicht ist keine Kür:
+// Ohne Code-Signing (Entscheid 5) ist der Transportweg die EINZIGE
+// Absicherung des Selbst-Updates.
+import { describe, expect, it } from 'vitest'
+import { updateUrlPruefen, STANDARD_UPDATE_URL } from '../src/haupt/update-regeln'
+
+describe('updateUrlPruefen', () => {
+  it('leer heißt Standard (der ist https)', () => {
+    expect(updateUrlPruefen('').ok).toBe(true)
+    expect(STANDARD_UPDATE_URL.startsWith('https://')).toBe(true)
+  })
+  it('https wird angenommen', () => {
+    expect(updateUrlPruefen('https://mein-server.example/rippy').ok).toBe(true)
+  })
+  it('http wird ABGELEHNT, nicht stillschweigend akzeptiert', () => {
+    const urteil = updateUrlPruefen('http://mein-server.example/rippy')
+    expect(urteil.ok).toBe(false)
+    expect(urteil.grund).toContain('https://')
+  })
+  it('anderes Zeug wird abgelehnt', () => {
+    expect(updateUrlPruefen('ftp://x').ok).toBe(false)
+    expect(updateUrlPruefen('file://x').ok).toBe(false)
+  })
+})