fix(demo): eis een CSRF_AUTH_KEY zodra CSRF-bescherming aanstaat

De controller weigert te starten met csrf-protection-enabled aan en geen
sleutel erbij — fataal, niet als waarschuwing:

  csrf-auth-key is required when csrf-protection-enabled is set to true

Dat kost de beheer-UI en de Registration-API tegelijk: de pod komt niet up en
de inway van dezelfde peer verliest de kant waar hij zich registreert. De
scripts eisen de sleutel daarom bij apply, net als het Postgres-wachtwoord, en
het runbook zet de twee waarden in een adem.

Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>

Author: ericwout-overheid

demo/environment/logius/deploy/zad/upsert-peer.sh

@@ -58,7 +58,11 @@ CLONE_FROM="${ZAD_PEER_CLONE_FROM:-}"            # leeg = geen clone; klonen van
 # landt in public. Zo botsen de tellers niet (anders skipt een migratie -> 42P01 op controller.services).
 PG_USER="${ZAD_PG_USER:-fsc}"
 PG_DB="${ZAD_PG_DB:-fsc}"
-PG_PASSWORD="${ZAD_PG_PASSWORD:-__SET_ZAD_PG_PASSWORD__}"   # concreet bij apply (verplicht, zie check onder); nooit committen
+PG_PASSWORD="${ZAD_PG_PASSWORD:-__SET_ZAD_PG_PASSWORD__}"
+# De controller weigert te starten met `csrf-protection-enabled` aan en geen sleutel erbij:
+# "csrf-auth-key is required when csrf-protection-enabled is set to true", en dat is een fatale
+# afbreking, geen waarschuwing. De sleutel ondertekent het CSRF-token; 32 tekens.
+CSRF_AUTH_KEY="${ZAD_CSRF_AUTH_KEY:-__SET_ZAD_CSRF_AUTH_KEY__}"   # bv. `openssl rand -hex 16`; nooit committen   # concreet bij apply (verplicht, zie check onder); nooit committen
 # search_path per component. `-` i.p.v. `:-` zodat ZAD_*_SCHEMA="" écht leeg blijft (dan geen search_path
 # in de DSN -> component gebruikt public). manager + txlog moeten sporen met postgres-init.sql (dat die
 # twee schema's aanmaakt). De CONTROLLER is de UITZONDERING: die maakt z'n eigen `controller`-schema aan
@@ -76,6 +80,7 @@ case "${CONTROLLER_TAG}" in ""|*[!A-Za-z0-9._-]*) echo "ongeldige ZAD_CONTROLLER
 case "${TXLOG_TAG}" in ""|*[!A-Za-z0-9._-]*) echo "ongeldige ZAD_TXLOG_TAG: '${TXLOG_TAG}'"; exit 1 ;; esac
 [ "${MODE}" = apply ] && : "${ZAD_API_KEY:?zet ZAD_API_KEY in je env}"
 [ "${MODE}" = apply ] && : "${ZAD_PG_PASSWORD:?zet ZAD_PG_PASSWORD in je env (wachtwoord voor de self-hosted logius-fscpg-Postgres)}"
+[ "${MODE}" = apply ] && : "${ZAD_CSRF_AUTH_KEY:?zet ZAD_CSRF_AUTH_KEY in je env (ondertekent het CSRF-token van de controller; genereer hem met openssl rand -hex 16)}"
 
 # manager/controller/txlog draaien een migrate-WRAPPER (`migrate up && serve`) i.p.v. het OpenFSC
 # stock-image: ZAD kent geen init-containers/args, dus de migratie moet in het image zelf zitten. De
@@ -176,6 +181,7 @@ LOGCTL_ENV="$(printf '%s\n' \
   "AUTHN_TYPE=none" \
   "AUTHZ_TYPE=rbac" \
   "CSRF_PROTECTION_ENABLED=true" \
+  "CSRF_AUTH_KEY=${CSRF_AUTH_KEY}" \
   "LISTEN_ADDRESS_UI=0.0.0.0:8080" \
   "LISTEN_ADDRESS_REGISTRATION_API=0.0.0.0:9443" \
   "LISTEN_ADDRESS_ADMINISTRATION_API=0.0.0.0:9444" \

demo/environment/magazijn-a/deploy/zad/upsert-peer.sh

@@ -55,7 +55,11 @@ CLONE_FROM="${ZAD_PEER_CLONE_FROM:-}"            # leeg = geen clone; klonen van
 # landt in public. Zo botsen de tellers niet (anders skipt een migratie -> 42P01 op controller.services).
 PG_USER="${ZAD_PG_USER:-fsc}"
 PG_DB="${ZAD_PG_DB:-fsc}"
-PG_PASSWORD="${ZAD_PG_PASSWORD:-__SET_ZAD_PG_PASSWORD__}"   # concreet bij apply (verplicht, zie check onder); nooit committen
+PG_PASSWORD="${ZAD_PG_PASSWORD:-__SET_ZAD_PG_PASSWORD__}"
+# De controller weigert te starten met `csrf-protection-enabled` aan en geen sleutel erbij:
+# "csrf-auth-key is required when csrf-protection-enabled is set to true", en dat is een fatale
+# afbreking, geen waarschuwing. De sleutel ondertekent het CSRF-token; 32 tekens.
+CSRF_AUTH_KEY="${ZAD_CSRF_AUTH_KEY:-__SET_ZAD_CSRF_AUTH_KEY__}"   # bv. `openssl rand -hex 16`; nooit committen   # concreet bij apply (verplicht, zie check onder); nooit committen
 # search_path per component. `-` i.p.v. `:-` zodat ZAD_*_SCHEMA="" écht leeg blijft (dan geen search_path
 # in de DSN -> component gebruikt public). manager + txlog moeten sporen met postgres-init.sql (dat die
 # twee schema's aanmaakt). De CONTROLLER is de UITZONDERING: die maakt z'n eigen `controller`-schema aan
@@ -73,6 +77,7 @@ case "${CONTROLLER_TAG}" in ""|*[!A-Za-z0-9._-]*) echo "ongeldige ZAD_CONTROLLER
 case "${TXLOG_TAG}" in ""|*[!A-Za-z0-9._-]*) echo "ongeldige ZAD_TXLOG_TAG: '${TXLOG_TAG}'"; exit 1 ;; esac
 [ "${MODE}" = apply ] && : "${ZAD_API_KEY:?zet ZAD_API_KEY in je env}"
 [ "${MODE}" = apply ] && : "${ZAD_PG_PASSWORD:?zet ZAD_PG_PASSWORD in je env (wachtwoord voor de self-hosted magazijna-fscpg-Postgres)}"
+[ "${MODE}" = apply ] && : "${ZAD_CSRF_AUTH_KEY:?zet ZAD_CSRF_AUTH_KEY in je env (ondertekent het CSRF-token van de controller; genereer hem met openssl rand -hex 16)}"
 
 # manager/controller/txlog draaien een migrate-WRAPPER (`migrate up && serve`) i.p.v. het OpenFSC
 # stock-image: ZAD kent geen init-containers/args, dus de migratie moet in het image zelf zitten. De
@@ -178,6 +183,7 @@ MGZCTL_ENV="$(printf '%s\n' \
   "AUTHN_TYPE=none" \
   "AUTHZ_TYPE=rbac" \
   "CSRF_PROTECTION_ENABLED=true" \
+  "CSRF_AUTH_KEY=${CSRF_AUTH_KEY}" \
   "LISTEN_ADDRESS_UI=0.0.0.0:8080" \
   "LISTEN_ADDRESS_REGISTRATION_API=0.0.0.0:9443" \
   "LISTEN_ADDRESS_ADMINISTRATION_API=0.0.0.0:9444" \

demo/environment/zad-demo/README.md

@@ -1017,17 +1017,29 @@ site de browser van een ingelogd teamlid laat posten: die aanvraag draagt de ses
 proxy gewoon mee. Daarom staat `CSRF_PROTECTION_ENABLED=true` in de controller-env van beide
 `upsert-peer.sh`-scripts.
 
-Die scripts zetten `env_vars` alleen bij component-creatie, dus op een controller die er al staat
-komt de waarde langs een andere laag binnen — en die laag heeft dat component níet opnieuw nodig,
-zodat de cert-bijlagen blijven staan:
+**De vlag komt nooit alleen.** Zonder sleutel erbij weigert de controller te starten, en niet met een
+waarschuwing maar fataal:
+
+```
+csrf-auth-key is required when csrf-protection-enabled is set to true
+```
+
+Dat kost de beheer-UI en de Registration-API tegelijk: de pod komt niet meer up, de ingress antwoordt
+503 en de inway van dezelfde peer verliest de kant waar hij zich registreert. Zet de twee dus in één
+adem. De sleutel ondertekent het CSRF-token, is 32 tekens en hoort nergens in deze repo:
 
 ```bash
-zadctl -p mpfb-8wh env set CSRF_PROTECTION_ENABLED=true -c logius-fscctl
+zadctl -p mpfm-w3h env add "CSRF_AUTH_KEY=$(openssl rand -hex 16)" -c magazijna-fscctl
 zadctl -p mpfm-w3h env set CSRF_PROTECTION_ENABLED=true -c magazijna-fscctl
 ```
 
-`set` wijzigt een waarde die er al is; meldt hij dat de sleutel op deze laag ontbreekt, gebruik dan
-`env add` met dezelfde toekenning.
+en hetzelfde met `-p mpfb-8wh -c logius-fscctl`. Beide scripts eisen hem bij `apply` als
+`ZAD_CSRF_AUTH_KEY`, net als het Postgres-wachtwoord.
+
+`env add` voegt een sleutel toe die er nog niet is, `env set` wijzigt een bestaande; ze kijken allebei
+alleen naar de laag die je aanspreekt. Deze laag heeft het component níet opnieuw nodig — de
+`env_vars` uit `upsert-peer.sh` gelden alleen bij component-creatie, maar hier blijven de
+cert-bijlagen gewoon staan.
 
 Controleer na het uitrollen één schrijfactie in de UI — een dienst publiceren is de kortste. De
 router termineert de TLS en stuurt platte HTTP naar de pod, dus als OpenFSC zijn CSRF-oordeel op het