docs: Update status summary, add session log, sync element-customization guide with wiki

v0.2.0 forced video_codec: vp9, which broke calls entirely (no audio/
video transmitted, despite server logs showing the codec regression
fallback to VP8 working). Root cause not fully confirmed. This build
keeps the 1440p/60fps/bitrate defaults but leaves video_codec unset
(defaults to vp8) to isolate whether the codec preference itself was
the trigger.

apps/production/coturn.yaml

@@ -130,11 +130,8 @@ spec:
             cpu: 100m
             memory: 128Mi
         livenessProbe:
-          exec:
-            command:
-            - /bin/sh
-            - -c
-            - "netstat -uln | grep 3478 || exit 1"
+          tcpSocket:
+            port: 3478
           initialDelaySeconds: 30
           periodSeconds: 10
       volumes:

apps/production/element-server-suite.yaml

@@ -66,7 +66,7 @@ spec:
       image:
         registry: rohana.axion1337.de
         repository: sorb/threadnet-web
-        tag: v0.1.0
+        tag: v0.2.1-elementcall-noquotavp9
       ingress:
         host: axion1337.chat
 

docs/TASKS.md

@@ -1,7 +1,7 @@
 # aXion1337.Chat – Task List & Meilensteine
 
-**Last Updated**: 2026-05-15  
-**Statusübersicht**: [✅ 9 Abgeschlossen] [🔄 0 In Progress] [📋 11+ Pending] [🔒 10 Security]
+**Last Updated**: 2026-07-28  
+**Statusübersicht**: [✅ 12 Abgeschlossen] [🔄 0 In Progress] [📋 9+ Pending] [🔒 10 Security]
 
 ---
 
@@ -9,9 +9,9 @@
 
 | Kategorie | Count | Status | Details |
 |-----------|-------|--------|---------|
-| **Completed** | 9 | ✅ Done | K3S, Flux, ESS, Themes, Desktop, Monitoring, TURN, Authentik, Firewall, SSH |
+| **Completed** | 12 | ✅ Done | K3S, Flux, ESS, Themes, Desktop, Monitoring, TURN, Authentik (Deploy+Enrollment/Recovery/2FA), Firewall, SSH, coturn Fix, Element Call Fork |
 | **In Progress** | 0 | 🔄 — | — |
-| **Backlog** | 11+ | 📋 Pending | DB Backups, E2E Test, Element Call Fork, PostgreSQL Migration, NetworkPolicies |
+| **Backlog** | 9+ | 📋 Pending | DB Backups, PostgreSQL Migration, NetworkPolicies, MAS-Template-Link, VP9-Retry |
 | **Security Tasks** | 5 | 🔒 Pending | auditd, Kernel hardening, CrowdSec, Falco, WAF |
 
 ### Priority Distribution
@@ -25,6 +25,40 @@
 
 ---
 
+## 🗓️ Session-Zusammenfassung 2026-07-27/28 (weiter morgen)
+
+Nach längerer Pause wiederaufgenommen — Mac war neu aufgesetzt, Zugriff (SSH, Kubeconfig,
+age-Key, Homebrew/flux/helm/sops/age) komplett wiederhergestellt und dauerhaft in `~/.zshrc`
+verankert. Was in dieser Session erledigt wurde:
+
+1. **Authentik Enrollment/Recovery/2FA** (Issue #7 ✅ geschlossen) — siehe Phase 8 unten und
+   `docs/troubleshooting/README.md`. `matrix-invitation`- und `matrix-recovery`-Flows waren
+   kaputt bzw. leer, jetzt als Authentik Blueprint (`apps/authentik/authentik-blueprints.yaml`)
+   deklarativ repariert. E2E mit echten Test-Usern (`clark`, `lucky`) verifiziert.
+2. **coturn-Crash behoben** — Liveness-Probe nutzte `netstat` (existiert nicht im Image),
+   Server killte einen gesunden Prozess seit 88 Tagen, 36.000+ Restarts. Auf `tcpSocket`-Probe
+   umgestellt, läuft seitdem stabil.
+3. **Element Call Fork** (Issue #8 ✅ geschlossen, Release `m6-element-call-fork-complete`) —
+   1440p/60fps-Defaults, siehe Kapitel 4 in `docs/deployment-guides/04-element-customization.md`.
+   **Wichtig**: erzwungenes `video_codec: vp9` hat Calls kurzzeitig live komplett kaputt gemacht
+   (kein Bild/Ton) — sofort zurückgerollt, ohne Codec-Zwang läuft's. Root Cause dafür nicht
+   abschließend isoliert, nur umgangen.
+
+### Offene Punkte für morgen
+- **VP9-Retry**: Root Cause des Call-Ausfalls isolieren (Browser-Konsolen-Repro nötig), bevor
+  wieder versucht wird — siehe Backlog "Element Call Enhancement".
+- **`ThreadNet-Web` Build-Bug**: `scripts/docker-link-repos.sh`/`docker-package.sh` nicht
+  ausführbar committet + veralteter `matrix-js-sdk#develop`-Pin im Lockfile blockiert
+  vollständigen Neu-Build des Web-Forks. Noch nicht gefixt, User hat noch nicht final
+  entschieden ob gewünscht.
+- **MAS-Template-Link**: 2FA/Passkey-Setup-Links direkt auf `account.axion1337.chat/account/`
+  statt nur über `docs/setup/security.html` — braucht MAS Custom-Template-Override
+  (`templates.path`), größerer separater Task.
+- Nächste Kandidaten aus den offenen Issues: #6 (DB-Backup, CRITICAL), #9 (PostgreSQL-Migration),
+  #10 (NetworkPolicies).
+
+---
+
 ## 🎯 Next Steps (Priorisiert)
 
 ### 🔴 **THIS WEEK – CRITICAL**
@@ -240,13 +274,40 @@
   - Est. Effort: 15 min
 
 ### Element Call Enhancement
-- [ ] **Element Call Fork für Custom Constraints**
-  - Repository: Fork `element-hq/element-call`
-  - Feature: Video/Audio constraints parameter im config
-  - Include: Bandwidth limiting, resolution limits, frame rate control
-  - Integration mit Synapse well-known
-  - Est. Effort: 2–3 days (fork + feature + test)
-  - Priority: **HIGH** (user feature)
+- [x] **Element Call Fork für Custom Constraints** (2026-07-28, Closes #8)
+  - Fork: `rohana.axion1337.de/sorb/threadnet-call` (basiert auf `emmick4/element-call:livekit`,
+    das den noch nicht gemergten Upstream-PR element-hq/element-call#3736 enthält —
+    config-driven `media_quality`, keine Custom-Logik nötig)
+  - Defaults angehoben: Video bis 1440p/60fps (~8 Mbps), Screen-Share 1440p/30fps (~6 Mbps).
+    Das sind Startwerte, keine harten Limits — Nutzer können in den Settings weiter hochdrehen.
+  - **Incident (2026-07-28)**: Erster Deploy (`v0.2.0`, mit `video_codec: vp9` erzwungen) hat
+    Calls komplett kaputt gemacht (kein Bild/Ton), obwohl LiveKit-Server-Logs den
+    Codec-Regression-Fallback auf VP8 als erfolgreich zeigten — Root Cause nicht abschließend
+    isoliert. Sofort auf `v0.1.0` zurückgerollt, dann `v0.2.1` ohne erzwungenen Codec (Standard
+    VP8) mit denselben 1440p/60fps-Werten deployed und vom Nutzer live bestätigt: funktioniert.
+    VP9-Präferenz vorerst fallengelassen, siehe Backlog.
+  - Rauschunterdrückung: nur clientseitige WebRTC-Standardtoggles (echoCancellation/
+    noiseSuppression/autoGainControl), kommt kostenlos mit derselben PR. **Bewusst kein**
+    server-seitiges ML-Noise-Cancellation (LiveKit Agents + DTLN/RNNoise) — laut LiveKits
+    eigener Doku ist das für Mensch-zu-Mensch-Calls der falsche Ansatz (nur für AI-Voice-Agents
+    gedacht, kein Standard-Pfad um bereinigtes Audio an andere Teilnehmer zurückzugeben).
+  - Well-Known/`org.matrix.msc4143.rtc_foci`-Delegation war schon vom ESS-Chart korrekt
+    automatisch konfiguriert — kein Handlungsbedarf trotz anderslautendem Issue-Text.
+  - **Deployment-Ansatz geändert**: `sorb/ThreadNet-Web` (der Element-Web-Fork) hat einen
+    vorbestehenden, unabhängigen Build-Bug (siehe unten) und ließ sich nicht komplett neu
+    bauen. Stattdessen: nur der `/app/widgets/element-call/`-Ordner im bereits laufenden
+    `threadnet-web:v0.1.0`-Image ausgetauscht → neues Image
+    `rohana.axion1337.de/sorb/threadnet-web:v0.2.0-elementcall-mediaquality`.
+  - Verifiziert: `media_quality` live auf `axion1337.chat/widgets/element-call/config.json`.
+  - **Gefunden, nicht gefixt**: `ThreadNet-Web` lässt sich aktuell nicht komplett neu bauen
+    — `scripts/docker-link-repos.sh`/`docker-package.sh` sind im Repo nicht ausführbar
+    committet (Mode 644 statt 755), UND der gepinnte `matrix-js-sdk#develop`-Commit im
+    Lockfile ist zu alt (fehlt `src/oidc/authorize.ts`, das `apps/web` importiert). Beides
+    unabhängig von diesem Fix, blockiert aber jeden zukünftigen vollständigen Rebuild.
+  - Backlog: MAL-basierte Noise-Cancellation (LiveKit Agents + self-hosted DTLN/RNNoise) als
+    experimentelle Idee, falls später gewünscht — kein etablierter Pfad für Conferencing.
+  - Backlog: VP9-Codec-Präferenz erneut versuchen, sobald PR #3736 upstream gemerged/gereift
+    ist oder Root Cause des Ausfalls isoliert wurde (Browser-Konsolen-Repro nötig).
 
 ### Database Hardening
 - [ ] **External/Dedicated PostgreSQL Deployment**

docs/deployment-guides/04-element-customization.md

@@ -44,6 +44,32 @@
 
 **Konfiguration**: `apps/production/element-server-suite.yaml` (ESS Chart)
 
+## 4. Element Call Fork (Video/Audio-Qualität)
+
+**Status**: ✅ Deployed (2026-07-28, Closes Issue #8)
+
+- Fork: `rohana.axion1337.de/sorb/threadnet-call` (basiert auf `emmick4/element-call:livekit`,
+  enthält den noch nicht gemergten Upstream-PR element-hq/element-call#3736 mit
+  config-driven `media_quality` — kein Custom-Code nötig)
+- Defaults angehoben: Kamera bis **1440p/60fps** (~8 Mbps), Screen-Share **1440p/30fps**
+  (~6 Mbps). Startwerte, keine harten Limits — Nutzer können in Settings weiter hochdrehen.
+- Rauschunterdrückung: clientseitige WebRTC-Standardtoggles (Echo/Noise/Gain), passend zu
+  LiveKits eigener Empfehlung für Mensch-zu-Mensch-Calls. Bewusst **kein** server-seitiges
+  ML-Noise-Cancellation (siehe `docs/TASKS.md` Backlog).
+- **Incident (2026-07-28)**: Erster Versuch mit erzwungenem `video_codec: vp9` hat Calls
+  komplett kaputt gemacht (kein Bild/Ton). Sofort zurückgerollt, dann ohne erzwungenen Codec
+  (Standard VP8) mit denselben Auflösungswerten neu deployed — funktioniert, live bestätigt.
+  VP9 vorerst zurückgestellt (Backlog).
+- Deployt als `rohana.axion1337.de/sorb/threadnet-web:v0.2.1-elementcall-noquotavp9` — nur
+  der `/app/widgets/element-call/`-Ordner im bestehenden `v0.1.0`-Image ausgetauscht, da
+  `ThreadNet-Web` einen vorbestehenden Build-Bug hat (siehe unten).
+- Config live prüfbar: `https://axion1337.chat/widgets/element-call/config.json`
+
+**Bekannter, nicht behobener Bug in `ThreadNet-Web`**: `scripts/docker-link-repos.sh` /
+`docker-package.sh` sind nicht ausführbar committet (Mode 644), und der gepinnte
+`matrix-js-sdk#develop`-Commit im Lockfile ist zu alt (fehlt `src/oidc/authorize.ts`) —
+blockiert einen kompletten Neu-Build des Forks von Grund auf.
+
 ## Dateien
 
 | Datei | Ort |