docs: update documentation, add Admin API auth details, and refresh project status badges

Author: maatini

.scannerwork/report-task.txt

@@ -2,5 +2,5 @@ projectKey=dispatch
 serverUrl=http://10.27.27.202:9000
 serverVersion=26.4.0.121862
 dashboardUrl=http://10.27.27.202:9000/dashboard?id=dispatch
-ceTaskId=f6d4b0a5-29bb-480d-8727-32f681318ba9
-ceTaskUrl=http://10.27.27.202:9000/api/ce/task?id=f6d4b0a5-29bb-480d-8727-32f681318ba9
+ceTaskId=68fb8656-1ed5-4f18-83e6-c1bb725748fe
+ceTaskUrl=http://10.27.27.202:9000/api/ce/task?id=68fb8656-1ed5-4f18-83e6-c1bb725748fe

ARCHITECTURE.md

@@ -139,6 +139,8 @@ NATS Consumer (pull, explicit ACK, 30s ack-wait)
 
 ## MS Graph Integration
 
+### E-Mail-Versand (`msgraph.Service`)
+
 ```
 SendEmail(req)
     │
@@ -160,6 +162,27 @@ Gesamtgröße Attachments?
                    POST .../messages/{id}/send
 ```
 
+### NDR-Crawling (`msgraph.BounceService`)
+
+```
+BounceService.GetUnreadMessages(mailbox)
+    │
+    ▼
+GET /users/{mailbox}/messages?$filter=isRead+eq+false&$select=id,subject,body
+    │
+    ▼
+Parse → []NDRMessage{ID, Subject, Body}
+    │
+    ▼
+Crawler.process → Trace-ID extrahieren → DISPATCH_BOUNCES
+    │
+    ▼
+BounceService.MarkAsRead(mailbox, messageID)
+    │
+    ▼
+PATCH /users/{mailbox}/messages/{id}   {"isRead": true}
+```
+
 **Fehler-Handling im HTTP-Client:**
 
 | HTTP-Status | Fehlertyp | Verhalten |
@@ -176,6 +199,7 @@ Gesamtgröße Attachments?
 
 | Fehler | HTTP | Auslöser |
 |---|---|---|
+| Request-Body überschreitet Limit | 413 | `http.MaxBytesReader` vor JSON-Decode |
 | Validierungsfehler (Format, MIME, Größe) | 400 | Stage 1 |
 | Unbekannter `appTag` | 400 | Stage 2 |
 | Domain nicht erlaubt | 400 | Stage 3 |
@@ -195,7 +219,9 @@ Gesamtgröße Attachments?
 
 **Attachments:** NATS Object Store entkoppelt Payload-Größe vom JetStream-Limit. Bucket-TTL (72 h) bereinigt Waisen-Objekte nach Worker-Crash ohne Cleanup.
 
-**Bounce-Matching:** Dreistufig — Trace-ID im NDR-Body → Anhänge → Empfänger-Lookup im Audit-Stream (implementiert im Crawler, Stufen 2/3 deferiert).
+**Bounce-Matching:** `BounceService` (MS Graph) ruft alle 15 Minuten ungelesene Nachrichten aus der Bounce-Mailbox ab, extrahiert die Trace-ID via `X-Dispatch-TraceId`-Header im NDR-Body und schreibt einen `BounceRecord` nach `DISPATCH_BOUNCES`. Verarbeitete Nachrichten werden via `PATCH .../messages/{id}` als gelesen markiert.
+
+**Attachment-Streaming:** Base64-Inhalt von Anhängen wird im Gateway nie vollständig als `[]byte` dekodiert. Validierung (Größe, Formatprüfung) und Upload in den NATS Object Store erfolgen durch Streaming via `base64.NewDecoder` — O(1) Speicher unabhängig von der Anhangsgröße.
 
 ---
 
@@ -206,10 +232,11 @@ Alle Werte kommen aus Umgebungsvariablen. Keine Config-Dateien.
 **Pflichtfelder** (ohne die kein Start):
 ```
 NATS_URL
-MS_GRAPH_TENANT_ID      \
-MS_GRAPH_CLIENT_ID       } entfallen wenn MS_GRAPH_MOCK_TOKEN gesetzt
-MS_GRAPH_CLIENT_SECRET  /
+MS_GRAPH_TENANT_ID           \
+MS_GRAPH_CLIENT_ID            } entfallen wenn MS_GRAPH_MOCK_TOKEN gesetzt
+MS_GRAPH_CLIENT_SECRET       /
 MS_GRAPH_SENDER_EMAIL
+DISPATCH_ADMIN_AUTH_SECRET   # HMAC-Schlüssel für Admin-API JWT-Auth
 ```
 
 **Optionale Felder (Auswahl):**

README.md

@@ -1,8 +1,9 @@
 # dispatch
 
 ![Build Status](https://img.shields.io/github/actions/workflow/status/maatini/dispatch/build.yml?branch=main)
-![Go Version](https://img.shields.io/github/go-mod/go-version/maatini/dispatch)
-![License](https://img.shields.io/github/license/maatini/dispatch)
+![Go Version](https://img.shields.io/badge/Go-1.25-00ADD8?logo=go)
+![Tests](https://img.shields.io/badge/tests-112-brightgreen)
+![Quality Gate](https://img.shields.io/badge/quality_gate-PASSED-brightgreen?logo=sonarqube)
 
 <div align="center">
   <img src="assets/banner.png" alt="Dispatch Service Banner" width="100%" />
@@ -81,6 +82,7 @@ MS_GRAPH_TENANT_ID      \
 MS_GRAPH_CLIENT_ID       } entfallen wenn MS_GRAPH_MOCK_TOKEN gesetzt ist
 MS_GRAPH_CLIENT_SECRET  /
 MS_GRAPH_SENDER_EMAIL
+DISPATCH_ADMIN_AUTH_SECRET   # HMAC-Schlüssel für Admin-API JWT-Auth
 ```
 
 ### Optional
@@ -161,26 +163,26 @@ devbox run sonar             # Coverage erzeugen + SonarQube-Scan
 
 | Metrik | Wert |
 |--------|------|
-| Unit-Tests | 97 |
-| Statement Coverage (getestete Packages) | 84 – 100 % |
+| Unit-Tests | 112 |
 | Mutation Score (alle Core-Packages) | 100 % Efficacy |
 | Mutation Score Threshold | ≥ 70 % (efficacy + mutation-coverage) |
 | SonarQube Quality Gate | PASSED |
 
-**Coverage pro Package:**
-
-| Package | Coverage |
-|---------|---------|
-| `internal/config` | 96 % |
-| `internal/domain` | 100 % |
-| `internal/gateway` | 95 % |
-| `internal/hash` | 100 % |
-| `internal/msgraph` | 88 % |
-| `internal/pii` | 100 % |
-| `internal/quota` | 92 % |
-| `internal/sender` | 95 % |
-| `internal/spam` | 88 % |
-| `internal/worker` | 84 % |
+**Coverage pro Package** (Unit-Tests, kein NATS/Docker):
+
+| Package | Coverage | Anmerkung |
+|---------|---------|-----------|
+| `internal/admin` | 13 % | Resolver erfordert NATS; `auth.go` 93 % |
+| `internal/config` | 98 % | |
+| `internal/domain` | 100 % | |
+| `internal/gateway` | 75 % | `AttachmentStore.Upload` nur via Integration |
+| `internal/hash` | 100 % | |
+| `internal/msgraph` | 46 % | `Service.SendEmail` nur via Integration |
+| `internal/pii` | 100 % | |
+| `internal/quota` | 89 % | |
+| `internal/sender` | 92 % | |
+| `internal/spam` | 78 % | |
+| `internal/worker` | 55 % | Consumer/AttachStore nur via Integration |
 
 Mutation-Tests laufen mit [gremlins](https://github.com/go-gremlins/gremlins) (`go tool gremlins unleash`) auf den Packages `internal/gateway`, `internal/quota`, `internal/spam`, `internal/worker`, `internal/pii`, `internal/hash` und `internal/msgraph`. Die Schwellwerte sind in [`.gremlins.yaml`](.gremlins.yaml) hinterlegt.
 
@@ -219,6 +221,7 @@ Content-Type: application/json
 |--------|-----------|
 | `202` | Nachricht an NATS übergeben |
 | `400` | Validierungsfehler (Pflichtfelder, Domain, Spam, MIME) |
+| `413` | Request-Body überschreitet Größenlimit (`DISPATCH_VALIDATION_MAX_BODY_SIZE`) |
 | `429` | Tages-Quota überschritten (`X-RateLimit-Limit`, `X-RateLimit-Remaining`) |
 | `503` | NATS nicht erreichbar, Quota-State-Fehler oder Attachment-Upload fehlgeschlagen |
 
@@ -232,6 +235,12 @@ GET /health/ready  → 200
 
 ### Admin GraphQL
 
+Alle Requests an `/graphql` erfordern einen gültigen JWT im Header:
+```
+Authorization: Bearer <token>
+```
+Token: HMAC-SHA256, signiert mit `DISPATCH_ADMIN_AUTH_SECRET`, `exp`-Claim erforderlich.
+
 ```
 POST /graphql