landjunge · Oct 30, 2026 · Oct 27, 2026 · Oct 27, 2026 · Oct 27, 2026 · Oct 27, 2026
diff --git a/.github/workflows/tests.yml b/.github/workflows/tests.yml
@@ -47,7 +47,10 @@ jobs:
   test:
     name: Complete suite including browser, twice
     runs-on: ubuntu-latest
-    timeout-minutes: 15
+    # CI 41003824290 measured 1242s for the previous whole acceptance run.
+    # New cases measured 94.086s UI/observation + 3.890s conflict tests locally.
+    # Budget both runs, setup and jitter; individual deadlines/gates unchanged.
+    timeout-minutes: 55
     env:
       PYTHONPATH: src:tests
       PYTEST_PLUGINS: http_navigation_diagnostics
@@ -86,12 +89,9 @@ jobs:
           PY
       - name: Check JavaScript
         run: |
-          node --check src/threaddesk/ui/static/map.js
-          node --check src/threaddesk/ui/static/map-layout.js
-          node --check src/threaddesk/ui/static/map-viewport.js
-          node --check src/threaddesk/ui/static/graph-workspace.js
-          node --check src/threaddesk/ui/static/app.js
-          node --check src/threaddesk/ui/static/graph-files.js
+          for script in src/threaddesk/ui/static/*.js; do
+            node --check "$script"
+          done
       - name: Test results
         if: always()
         uses: actions/upload-artifact@v4

diff --git a/README.md b/README.md
@@ -177,16 +177,29 @@ Threads, Notizen, Zwischenstände, Wissenskarte, Whiteboards und lokal gespeiche
 Empfangsbestätigungen und gespeicherte Teile angefangener Dateiübertragungen
 werden gesichert. Nach Wiederherstellung können diese Übertragungen mit ihrer
 bisherigen Kennung fortgesetzt werden. Verlinkte Dateien außerhalb von ThreadDesk bleiben
-an ihrem ursprünglichen Ort. Symbolische Links und Verzeichnisverknüpfungen im
-ausgewählten Sicherungsbestand werden mit einer Fehlermeldung abgewiesen;
-ihre Ziele werden nicht gelesen. Änderungen oder ein Austausch der Quelldateien
-während der Sicherung führen ebenfalls zum Abbruch.
-
-Die portable Sicherung ist auf 128 MiB und 20000 Archiveinträge begrenzt;
-Manifest und Archiv zählen mit. Eine zu große Bibliothek führt zu einer
-Fehlermeldung, nicht zu einer Sicherung mit ausgelassenen Dateien. Neue
-Bibliothekssicherungen benötigen eine aktuelle ThreadDesk-Version zum Öffnen;
-bestehende ältere Sicherungen bleiben lesbar.
+an ihrem ursprünglichen Ort. Der bestehende portable Backupweg verarbeitet große
+Dateien blockweise über temporäre Dateien. Er umfasst auch die lokalen Ordner
+`Tool-Planung`, `Workflow`, `Zukunftsvisionen`, `Bilder` und gespeicherte
+Agenten-Laufzeitdaten; versteckte Daten innerhalb dieser Fachordner bleiben erhalten.
+
+Symbolische Links in Artefakt-, Import- und Planungsordnern werden nur mit ihrer
+Zielangabe im Integritätsmanifest gespeichert. Ihre Ziele werden nie verfolgt;
+beim Wiederherstellen bleiben sie inerte Metadaten und werden nicht als Links
+angelegt. Links an kanonischen Thread-, Datenbank- und Bibliothekspfaden bleiben
+gesperrt. Leere Fachverzeichnisse werden ebenfalls wiederhergestellt. Reguläre
+Quelldateien werden über gebundene Deskriptoren und erneute Hashvergleiche geprüft;
+eine beobachtete Änderung bricht den Export ab. Der parallel fortgeschriebene
+Pollerstatus `library-watch.json` wird ausdrücklich als geprüfter Dateistand zu
+einem Zeitpunkt aufgenommen, ohne eine globale Transaktion aller Dienste zu behaupten.
+
+Die dateibasierte portable Sicherung ist standardmäßig auf 8 GiB und 200000
+Einträge einschließlich Verzeichnis-/Linkmetadaten begrenzt; das Manifest darf
+höchstens 32 MiB groß sein. Unkomprimierte Daten, Manifest und Archiv unterliegen
+der Bytegrenze. Überschreitungen führen zu einer Fehlermeldung; Dateien werden
+nicht zum Einhalten der Grenze ausgelassen. Das portable Format v3 benötigt den
+aktuellen Leser; bestehende v1/v2-Sicherungen bleiben lesbar. Der ältere
+Bytes-Hilfsaufruf ist weiterhin auf 128 MiB begrenzt, während Oberfläche und
+Fachbefehle den dateibasierten Streamingweg verwenden.
 
 Zum Wiederherstellen die Sicherung auswählen, das Öffnen bestätigen und
 **Sicherung öffnen** wählen. ThreadDesk prüft die Dateien und öffnet einen eigenen

diff --git a/docs/MCP.md b/docs/MCP.md
@@ -228,6 +228,7 @@ overwrite fallback.
 | Return inbox / Nutzerentscheidung | `import_return`, `list_returns`, `get_return`, `review_return` | No |
 | Existing Gnom binding / callback | `bind_gnom_job`, `receive_gnom_callback`, `list_gnom_jobs` | No |
 | Local gate / board | `check_gate`, `dashboard` | No; ThreadDesk LocalGate is not the TollGate product |
+| Shared commands / Gemeinsame Befehle | read-only `command_catalog`, read-only `command_query`, explicit `command_invoke` | No implicit agent start; current scope/backend/transport checks and durable operation status. See [command contract](contracts/commands-v1.md). |
 
 ## Issued handoff and bound return / Ausgestellte Übergabe und Rückgabe (M2)
 

diff --git a/docs/contracts/commands-v1.md b/docs/contracts/commands-v1.md
@@ -0,0 +1,48 @@
+# Gemeinsamer Befehlsvertrag v1
+
+Dieser Vertrag konkretisiert B03–B05 des bestehenden [Gesamtplans](../plans/THREADDESK-GRAPH-PAPIERKORB-BEDIENUNG-20261026.md). Er führt keine zweite Fachlogik ein. `services/commands` registriert bestehende Domainservices; UI, CLI und MCP delegieren dorthin. Neu geplante Workshop-Arbeiten sind auf Nutzeranweisung vollständig gestrichen. Historische Nutzerdaten werden dadurch nicht gelöscht.
+
+## Entdecken und aufrufen
+
+`td command --catalog --limit 10 --offset 0` beziehungsweise der paketierte Server mit `--command-catalog` liefert `threaddesk.command-catalog.v1`. `next_offset` bis `null` verfolgen. Der Katalog enthält pro Command das Eingabeschema, Wirkung, Scope, Backends, tatsächliche Transportbeschränkungen, erforderliche Revision und aktuelle Verfügbarkeit. Die Registryrevision bindet auch aktuelle Modulrechte und Schemas; Aktivierung, Widerruf und Deinstallation wirken ohne Neustart. Ein eingetragener Command ist noch kein End-to-End-Nachweis.
+
+Ein Aufruf verwendet `td command --request-file request.json` beziehungsweise `ThreadDeskServer --command-file request.json`:
+
+```json
+{
+  "version": 1,
+  "workspace_id": "ws-WERT_AUS_DEM_AKTUELLEN_KATALOG",
+  "command": "graph.query",
+  "arguments": {"mode": "work", "limit": 100}
+}
+```
+
+`workspace_id` ist eine opake Bindung an das ausgewählte lokale Profil. Nach Profilwechsel den Katalog neu lesen. Optionale `catalog_revision` verhindert Aufrufe gegen einen inzwischen geänderten Katalog. Unbekannte Envelopefelder, ungültige JSON-Werte, externe Schemaabfragen und übergroße Eingaben werden vor dem Handler abgewiesen. Maximal 1 MiB Request, 24 Verschachtelungsstufen; Domainlimits können enger sein.
+
+Mutation: eine eindeutige `operation_id` und die laut Katalog erforderliche `expected_revision` mitsenden. Erstellung nutzt Revision 0. Native Domainverträge erhalten exakt dieselbe Operation und Revision, keine verdeckte zweite Kennung. Bei Libraryimport bleibt die ursprüngliche Manifestoperation unverändert; `library.resume` erhält eine neue Commandoperation und referenziert `import_operation_id`.
+
+## Antworten, Konflikte und Wiederaufnahme
+
+Erfolg: `threaddesk.command-result.v1` mit Workspace, Katalogrevision, Command, SHA256-Ergebnisdigest und `result`. CLI ergänzt `ok`; Exitcode 0 bedeutet Erfolg, Exitcode 2 einen strukturierten Fehler. HTTP `/api/commands` verwendet dieselben Eingaben, Konflikte ergeben 409. MCP bietet `command_catalog`, `command_query` (ausschließlich Reads) und `command_invoke`; alte Toolnamen bleiben erhalten.
+
+CLI-/MCP-Resultate werden auf 24.000 Bytes begrenzt. Große Ergebnisse erscheinen als JSON-Textseiten: `result_page`, `encoding=json-text-codepoint-pages`, `offset`, `next_offset`, `total`. Beim Weiterlesen ursprünglichen Request plus `result_digest` und `result_offset` verwenden; alle Seiten in Reihenfolge verbinden und erst danach als JSON parsen. Bei zeitabhängigen Reads außerdem das zurückgegebene `snapshot_at` weitergeben. Ein geändertes Ergebnis führt zu `result_changed`; nie Seiten verschiedener Versionen vermischen. Große Exporte/Backups sind SHA256-gebundene Artefakte mit geschütztem Download, kein unbeschränkter Terminaltext.
+
+Gleiche Operation und identischer kanonischer Request liefern den dauerhaften Ergebnisbeleg, ohne Wirkung oder Erfolgsevent zu wiederholen. Andere Nutzlast unter derselben Operation ergibt `operation_conflict`. Veraltete Objektversion ergibt `revision_conflict`; den Entwurf behalten, aktuellen Stand lesen und bewusst entscheiden.
+
+`command.operation` zeigt `pending`, `failed` oder `complete`. Vor Dateisystem-, Netzwerk- und OS-Effekten wird eine Reservation gespeichert. Unbestätigte Wirkung wird niemals blind wiederholt. `command.reconcile` übernimmt ausschließlich nachweisbare, exakt gebundene Ownerreceipts und führt die ursprüngliche Mutation nicht erneut aus. Unterstützte Owner: Threadmanagement, Knowledge, Libraryvorgänge einschließlich bestätigtem Öffnen, gespeicherte Graphansichten, Trash und Handoffausgabe. Fehlt ein prüfbarer Ownerbeleg, bleibt `owner_receipt_unverifiable` eine konkrete Grenze; ein äußerer Fehler beweist keine ausgebliebene Wirkung.
+
+Eine ausdrücklich bestätigte endgültige Löschung darf im v2-Purgevertrag aufgeführte historische Resultatkopien in Tombstones reduzieren. Requesthash, Operationsidentität und Ausführungsstatus bleiben erhalten. Replay ist dann ausdrücklich `content_purged`, statt gelöschten Inhalt erneut auszugeben. Fremde offene Commandreservationen und mehrdeutige Inhaltskopien blockieren Purge. Details: [Papierkorbvertrag](trash-v1.md).
+
+## Oberfläche und sichere Transportgrenzen
+
+Öffentliche HTTP-Aufrufe bleiben an die bestehenden Localhost-/Origin-/CSRF-Regeln gebunden. Fähigkeiten des Graphclients sind kurzlebige, workspacegebundene Zustellungsrechte; sie sind kein Ersatz für Fachberechtigungen. `graph_view.apply` gilt erst nach tatsächlicher Anwendung und geprüftem UI-ACK als angewendet. `queued` und `waiting_for_client` sind keine Erfolgsmeldung für die sichtbare Ansicht. Der [Graphvertrag](graph-activity-v1.md) beschreibt Kontrolle und Änderungsstatus genauer.
+
+Die optionale Ownerkontextsuche `search.*` ist ausschließlich `local`/`cli` zugänglich. HTTP/MCP/Rooms erhalten dafür keine versteckte Freigabe. Dateisuche im autorisierten Bibliotheksvertrag bleibt davon getrennt. Module verwenden den bestehenden [deklarativen Modulvertrag](module-commands-v1.md), keine Ausführung hochgeladenen Codes.
+
+KiraBridge wird nicht verändert. Native KiraBridge-Verträge und der autorisierte sichtbare CLI-Weg sind verschiedene, offen benannte Zugänge. Für neue Writes ist der sichtbare Terminalweg verwendbar, wenn die aktuelle Bridge ihn tatsächlich autorisiert und ein freies sichtbares Terminal bestätigt. Tatsächlicher Principal, Taskreceipt, Abschluss und unabhängiger Readback gehören zum Nachweis. Ein lokaler Test oder MCP-Katalog beweist keine Bedienbarkeit aus ChatGPT. Unklare abgeschickte Aktionen zuerst anhand ihrer dauerhaften Operation abgleichen; nicht erneut absenden.
+
+## Grenzen der Abnahme
+
+Die skriptbaren privaten Fixtures `scripts/check_workspace_commands.py`, `scripts/check_workspace_operations.py` und `scripts/check_library_workflow.py` prüfen Originalerhalt und frische CLI-Prozesse; optional unterstützen sie den finalen Paketserver. Sie behaupten selbst keine Bridgeidentität. Netzwerkprüfungen verwenden echte originale Loopback-HTTP-Server, keine Modellanbieter. Produktionsdaten, fremde Originale und Code von KiraBridge werden nicht als Testfixture verwendet.
+
+Der releasebezogene Beleg muss getrennt ausweisen: Quellimplementierung, gezielte Tests, tatsächliche Bridgeaufrufe, Pflicht-CI, integrierter Quellpin und installierter Paketpin. Kein Katalogeintrag und kein Teiltest setzt diese übrigen Spalten automatisch auf erfolgreich.