Changelog

v1.4.3 | 2026-10-02

Hinweis

Für dieses Update sind keine Änderungen an .env oder docker-compose.yaml nötig. Beim ersten Start werden vorhandene API-Schlüssel auf Hashes umgestellt und die Datenbank um ein Feld für den Scheibenabdruck „Unbekannt“ ergänzt.

Wer danach auf Version 1.4.2 zurückgeht, muss die API-Schlüssel neu erstellen, weil die Vorversion mit den Hashes nichts anfangen kann. Vor dem Einspielen eine Sicherung des Ordners ./data anlegen.

Update

  • Die Standortkarte in der Detailansicht einer Meldung in der Meldezentrale öffnet jetzt immer eine Stufe vor dem maximalen Zoom. So ist das Gebäude mit Hausnummer sofort zu erkennen. Bisher wurde die Standard-Zoomstufe aus den Karteneinstellungen verwendet, die im Landkreis-Modus eine Übersicht über den ganzen Kreis zeigte.

  • API-Schlüssel werden nur noch als Hash gespeichert. Bisher lagen sie im Klartext in der Datenbank und damit auch in jeder Sicherung und im Einstellungs-Export; wer eine dieser Dateien hatte, konnte über die API alle Meldungen samt Kontaktdaten abrufen. Vorhandene Schlüssel werden beim ersten Start automatisch umgestellt und bleiben gültig. Der Einstellungs-Export enthält nur noch die Hashes, die Schlüssel funktionieren nach einer Wiederherstellung trotzdem weiter. Ein verlorener Schlüssel lässt sich nicht mehr anzeigen, sondern muss neu erstellt werden.

  • Nicht mehr verwendeter Code wurde entfernt: alte Kopien der Exportrouten unter /admin/export, die Admin-Varianten der Bearbeitungsaktionen unter /admin/meldung/…, die interne Schnittstelle /api/reports/in-bounds, die keine Seite mehr aufrief, ein zweites, ungenutztes API-Modul, nicht angezeigte Statistikberechnungen, verwaiste Templates sowie ungenutzte Imports und Hilfsfunktionen. Für Nutzer*innen ändert sich nichts. Alte Lesezeichen auf /admin/export, /admin/export/area, /admin/export/csv, /admin/export/images, /admin/meldungen und /admin/meldung/… leiten weiterhin in die Meldezentrale weiter.

Bugfix

  • In der Meldezentrale ließ sich die Markierung eines Vogelschlags auf einem Bild nicht speichern. Nach einem Klick auf „Speichern“ erschien immer „Die Markierung konnte nicht gespeichert werden“, weil der Anfrage das Sicherheitsmerkmal gegen untergeschobene Formulare fehlte. Markierungen werden jetzt gespeichert und ersetzen das ursprüngliche Bild.

  • Auf der Individuellen Seite schlug das Hochladen von Bildern und Videos immer mit „Upload fehlgeschlagen“ fehl, aus demselben Grund wie oben. Dadurch blieb auch die Galerie leer. Uploads funktionieren jetzt, auch mehrere hintereinander ohne Neuladen der Seite. Das Löschen von Bildern aus der Galerie ist zusätzlich gegen untergeschobene Anfragen abgesichert.

  • Die Antwort „Unbekannt“ auf die Frage „Scheibenabdruck vorhanden?“ wurde wie „Nein“ gespeichert – sowohl aus dem Meldeformular als auch beim Bearbeiten in der Meldezentrale. Sie wird jetzt als eigener Wert gespeichert und in der Meldezentrale („Abdruck unbekannt“), in den Benachrichtigungen und in der API (Feld window_imprint) angezeigt. Meldungen, die vor dem Update mit „Unbekannt“ abgegeben wurden, bleiben auf „Nein“, weil sich die ursprüngliche Antwort nicht mehr feststellen lässt.

  • Wurde eine Meldung vom Server abgelehnt – etwa weil die Ortsangabe fehlte –, stand die Markierung im neu angezeigten Formular wieder auf dem Kartenmittelpunkt. Wer nur den Fehler korrigierte, meldete so unbemerkt den falschen Ort. Außerdem blieben die Adressfelder leer, und bei einem Zeitpunkt in der Zukunft gingen sogar alle Eingaben verloren. Standort, Adresse und alle Angaben bleiben jetzt erhalten; nur die Fotos müssen erneut ausgewählt werden.

  • Unter Karte ließen sich die Einstellungen im Radius-Modus auf einer neuen Installation nicht speichern: Der voreingestellte Breitengrad hatte mehr Nachkommastellen, als das Feld zuließ, und der Browser verweigerte das Absenden ohne erkennbaren Grund. Koordinaten werden jetzt mit beliebig vielen Nachkommastellen angenommen – auch beim Anlegen und Bearbeiten historischer Daten.

  • Ist der Kartenserver von OpenStreetMap nicht erreichbar, weicht die Karte auf den deutschen OpenStreetMap-Server aus. Die Sicherheitsrichtlinie der Seite hat dessen Kacheln bisher blockiert, sodass die Karte in diesem Fall grau blieb und kein Standort gewählt werden konnte. Die Ausweichlösung funktioniert jetzt.

  • Auf der Individuellen Seite wurden YouTube- und Vimeo-Videos sowie Bilder und Videos von fremden Servern von der Sicherheitsrichtlinie blockiert – sowohl auf der öffentlichen Seite als auch in der Vorschau im Adminbereich. Diese Inhalte werden jetzt angezeigt. YouTube-Videos werden dabei über youtube-nocookie.com eingebettet; YouTube setzt so erst Cookies, wenn das Video abgespielt wird. Alle übrigen Seiten behalten die strengere Richtlinie.

  • War die Gefahrenkarte nicht öffentlich geschaltet, waren ihre Rohdaten über die Schnittstelle /api/heatmap-data trotzdem für alle abrufbar. Gleichzeitig konnten auch angemeldete Admins die Karte nicht öffnen. Jetzt gilt für Karte und Daten dieselbe Regel: Ist die Karte nicht öffentlich, sehen sie nur angemeldete Admins.

  • Beim Export mit einem gespeicherten Filter wurden ein gezeichnetes Vieleck und das Ausblenden geprüfter oder ungenügender Meldungen ignoriert; die Statistik berücksichtigte kein Vieleck. Exporte und Diagramme konnten dadurch mehr Meldungen enthalten als die gefilterte Liste. Gespeicherte Filter wirken jetzt in Meldungsliste, Export und Statistik gleich.

  • Der Bereichsexport zeigte auf Karte und Zähler nur Originalmeldungen, die heruntergeladene Datei enthielt aber auch Duplikate. Die Datei enthält jetzt genau die angezeigten Meldungen und, wie die übrigen Exporte, die Spalte „Geprüft“.

  • Wurde eine Meldung über die alte Adresse /admin/meldung/… bearbeitet und gespeichert, gingen die Kennzeichen „geprüft“ und „ungenügend“ verloren. Die Adresse leitet jetzt in die Meldezentrale um, und die Kennzeichen werden nur noch geändert, wenn sie im Formular angezeigt wurden.

  • Wurde unter Accounts ein neues Passwort eingetragen, das die Passwortregeln nicht erfüllt, erschien zwar die Fehlermeldung und nichts wurde gespeichert, die betroffene Person war aber trotzdem abgemeldet. Die Anmeldung bleibt jetzt bestehen, bis eine Änderung tatsächlich gespeichert wird.

  • Der Einstellungs-Export enthielt das zweite Logo nicht. Nach einem Import auf einer anderen Instanz erschien an seiner Stelle ein defektes Bild. Das zweite Logo ist jetzt wie Logo und Favicon im Export enthalten. Außerdem wird eine importierte Matrix-Integration abgeschaltet, bis der Access-Token neu eingetragen ist, statt Benachrichtigungen unbemerkt auszulassen.

  • Unter Kommunikation wurde eine ungültige Homeserver-URL für Matrix – etwa mit http:// statt https:// – zwar abgelehnt, die Seite zeigte aber keine Fehlermeldung. Der Grund wird jetzt im Bereich Element/Matrix angezeigt.

  • Zähler, Dashboard, Statistik und API haben „heute“, „diese Woche“, „dieser Monat“ und „dieses Jahr“ in UTC berechnet, die Zeitpunkte der Meldungen sind aber Ortszeit. Meldungen kurz nach Mitternacht wurden dadurch dem Vortag, am Monatsersten sogar dem Vormonat zugeordnet. Alle Zeitgrenzen richten sich jetzt nach der deutschen Ortszeit. In E-Mail- und Matrix-Benachrichtigungen stand hinter dem Zeitpunkt außerdem fälschlich „UTC“; dort steht jetzt „Uhr“.

  • „Kollisionen diese Woche“ im Dashboard und der Wochenwert der API begannen nicht am Montag um Mitternacht, sondern am Montag zur aktuellen Uhrzeit. Meldungen vom Montagvormittag fehlten dadurch im Laufe der Woche. Die Woche beginnt jetzt am Montag um 0:00 Uhr.

  • Der Menüpunkt „Gefahrenkarte“ stand immer im Kopfbereich, auch wenn die Karte nicht öffentlich war; ein Klick führte dann auf „Seite nicht gefunden“. Der Menüpunkt und der Eintrag in der Sitemap erscheinen jetzt nur, wenn die Karte öffentlich ist. Angemeldete Admins sehen den Menüpunkt weiterhin.

  • War unter Karte der Modus „Landkreise“ gespeichert, aber kein Landkreis ausgewählt, prüfte der Server den Standort einer Meldung nicht mehr. Im Modus „Polygon“ ohne gezeichnetes Polygon galt dasselbe. In beiden Fällen gilt jetzt der Radius als Meldebereich, so wie ihn die Karte bereits anzeigte. Der Modus „Landkreise“ lässt sich nur noch mit mindestens einem Landkreis speichern, und nach dem Entfernen des letzten Landkreises schaltet die Einstellung auf „Radius“ zurück.

  • Beim Hochladen nachträglich ergänzter Bilder in der Meldezentrale wurden Dateien mit falschem Format oder über der Größengrenze ohne Rückmeldung übersprungen. Jetzt erscheint eine Meldung, welche Dateien aus welchem Grund nicht hochgeladen wurden; die übrigen werden wie bisher gespeichert.

  • Beim händischen Anlegen historischer Meldungen prüfte die Karte immer gegen den Radius, auch wenn der Meldebereich aus Landkreisen oder einem Polygon besteht. Die Karte zeigt jetzt den tatsächlichen Meldebereich. Liegt ein angeklickter Ort außerhalb, wird nachgefragt, statt ihn abzulehnen – historische Fundorte können auch außerhalb des heutigen Bereichs liegen.

  • Die Vorschau unter Karte zeichnete den rot gestrichelten Außenkreis größer als das Meldeformular. Beide zeigen ihn jetzt gleich groß.

  • Unter Widgets zeigt eine Vorschau jetzt, wie das Zähler-Widget mit der gewählten Einstellung aussieht.

  • Beim Löschen eines Bildes in der Bearbeitungsansicht der Meldezentrale erschien nach dem Löschen eine Fehlerseite („Internal Server Error“), obwohl das Bild entfernt wurde. Nach dem Löschen geht es jetzt zurück zur Meldung.

  • Der unter Anpassungen eingestellte Tab-Titel wurde auf der Startseite und der Gefahrenkarte nicht verwendet; dort stand immer „Vogelschlag melden“ bzw. „Gefahrenkarte - Vogelschlag“. Beide Seiten zeigen jetzt den eingestellten Titel. Auf dem iPhone wird er damit auch beim Ablegen auf dem Home-Bildschirm als Name vorgeschlagen.

  • Tippfehler in mehreren Texten korrigiert. Die Beschreibung des Bereichsexports nennt jetzt auch das Vieleck.

v1.4.2 | 2026-09-22

Bugfix

  • In der Meldezentrale ließ sich eine Meldung bisher nur aus der Listenansicht heraus löschen. Auf schmalen Bildschirmen – etwa auf dem Handy – öffnet sich eine Meldung aber nicht in der Spalte daneben, sondern als eigene Seite, und dort fehlte die Möglichkeit. Die Bearbeitungsansicht hat jetzt neben „Speichern“ und „Abbrechen“ ebenfalls eine Schaltfläche „Löschen“. Vor dem Löschen wird nachgefragt, wobei die Rückfrage die Anzahl der erfassten Kollisionen nennt und darauf hinweist, dass die zugehörigen Bilder mitgelöscht werden. Wie in der Listenansicht ist die Schaltfläche deaktiviert, solange sich andere Meldungen als Duplikat auf diese beziehen.

v1.4.1 | 2026-09-19

Hinweis

Geräte, auf denen der Vogelschlagmelder bereits als App auf dem Startbildschirm liegt, kennen das neue Verfahren zur Aktualisierung noch nicht – dort erscheint der Hinweis auf eine neue Version erst ab dem übernächsten Update. Wer sofort auf den aktuellen Stand möchte, löscht das Symbol vom Startbildschirm und legt die App neu an. Meldungen gehen dabei nicht verloren, sie liegen auf dem Server.

Feature

  • Erweiterung der Heatmap-Einstellungen um Koordinaten der Mitte und eine Standard-Zoomfunktion

  • Liegt der Vogelschlagmelder als App auf dem Startbildschirm, meldet er sich jetzt selbst, wenn eine neuere Version vorliegt. Kehrt die App aus dem Hintergrund zurück, vergleicht sie ihren Stand mit dem des Servers und blendet bei Abweichung den Hinweis „Eine neuere Version ist verfügbar“ mit einer Schaltfläche zum Neuladen ein. Es wird bewusst nicht von selbst neu geladen, damit ein halb ausgefülltes Meldeformular nicht verloren geht.

  • Neue Handbuchseite App auf dem Smartphone zur Installation auf iPhone, Android und Rechner, zu den zugehörigen Einstellungen in der Adminoberfläche und zum Umgang mit Aktualisierungen.

Update

  • Gestaltung und Programmdateien tragen jetzt die Versionsnummer in der Adresse und dürfen dafür dauerhaft im Browser verbleiben. Nach einem Update holt der Browser sie zwangsläufig neu, im laufenden Betrieb werden sie dagegen nicht mehr bei jedem Seitenaufruf übertragen.

Bugfix

  • Als App auf dem Startbildschirm abgelegt, zeigte der Vogelschlagmelder nach einem Update weiter die alte Fassung, teilweise über Tage hinweg. Ursache war, dass der Server keinerlei Angabe zur Haltbarkeit der ausgelieferten Seiten machte. Browser entscheiden dann selbst, wie lange sie eine Seite behalten, und fragen bei einer als App abgelegten Seite sehr lange gar nicht mehr nach. Seiten werden jetzt ausdrücklich nicht mehr zwischengespeichert.

  • Aus derselben Ursache konnten Meldungen und Eingaben im Adminbereich ohne erkennbaren Grund abgewiesen werden. Jede Formularseite enthält ein Sicherheitsmerkmal mit begrenzter Gültigkeit – vier Stunden im Meldeformular, eine Stunde im Admin- und Meldezentrale-Bereich. Wurde eine ältere Seite aus dem Zwischenspeicher angezeigt, war dieses Merkmal abgelaufen und das Absenden schlug fehl.

  • Seiten des Adminbereichs und der Meldezentrale durften mangels Vorgabe dauerhaft auf dem Gerät gespeichert werden, obwohl sie Meldungsdaten enthalten. Sie sind jetzt ausdrücklich vom Zwischenspeichern ausgenommen.

v1.4.0 | 2026-09-18

Wichtig

Dieses Update erfordert Anpassungen an der Docker-Konfiguration. In der .env kommen zwei neue Pflichtvariablen dazu – PUBLIC_BASE_URL und SETTINGS_SECRET –, und die docker-compose.yaml aus dem Projekt muss übernommen werden. Fehlt eine der beiden Variablen, startet der Container nicht.

Die betroffenen Punkte sind unten mit [Docker-Anpassung] markiert. Vor dem Einspielen eine Sicherung des Ordners ./data anlegen.

Feature

  • Möglichkeit zur Meldung mehrerer Kollisionen in einer Meldung hinzugefügt.

  • Im Adminbereich gibt es nun die Möglichkeit nach Einstellungen zu suchen.

Update

  • [Docker-Anpassung] Die Umgebungsvariable PUBLIC_BASE_URL ist neu und zwingend erforderlich, sobald PRODUCTION_MODE=true gesetzt ist. Ohne sie startet die Anwendung nicht. Einzutragen ist die öffentliche Adresse der eigenen Installation, also zum Beispiel PUBLIC_BASE_URL=https://vogelschlag.nabu-jena.de. Aus diesem Wert werden die Links gebildet, die in E-Mails und Matrix-Nachrichten verschickt werden. Bisher stammten sie aus der Adresse, die der aufrufende Browser mitgeschickt hat, und ließen sich damit von außen auf eine fremde Domain umlenken.

  • [Docker-Anpassung] Die Umgebungsvariable SETTINGS_SECRET ist neu und ebenfalls zwingend erforderlich. Ohne sie startet der Container nicht. Einzutragen ist ein zufälliger Wert, erzeugt zum Beispiel mit python3 -c "import secrets; print(secrets.token_hex(32))" – und zwar ein anderer als bei CSRF_SECRET. Aus diesem Wert wird der Schlüssel abgeleitet, mit dem SMTP-Passwort und Matrix-Access-Token in der Datenbank verschlüsselt werden. Der Wert sollte getrennt vom Ordner ./data gesichert werden; genau darin liegt sein Nutzen, denn eine Kopie der Datenbank allein enthält den Schlüssel dann nicht. Geht er verloren oder wird er geändert, müssen diese beiden Zugangsdaten im Adminbereich einmal neu eingetragen werden – alle übrigen Daten und Einstellungen bleiben unberührt.

  • [Docker-Anpassung] Der Port der Anwendung ist in docker-compose.yaml jetzt an 127.0.0.1 gebunden und damit nicht mehr direkt von außen erreichbar. Beim empfohlenen Betrieb hinter einem Reverse-Proxy ist nichts zu tun. Wer ohne Proxy direkt auf Port 8000 zugreift, muss den Eintrag wieder auf "8000:8000" ändern.

  • Vor dem Update beachten: Inline-Formatierungen über style-Attribute werden aus Texten, die über die Adminoberfläche gepflegt werden, aus Sicherheitsgründen entfernt. Wer Hinweistexte oder Infoseiten auf diese Weise formatiert hat, muss die Formatierung über CSS-Klassen neu setzen.

  • [Docker-Anpassung] Neue optionale Umgebungsvariablen: TRUSTED_PROXIES, ALLOWED_HOSTS, POW_DIFFICULTY, IMAGE_WORKERS und ENABLE_API_DOCS. Alle sind in .env.example beschrieben. TRUSTED_PROXIES sollte gesetzt werden, wenn die Anwendung hinter einem Reverse-Proxy läuft, damit die Schutzmechanismen die tatsächliche Absenderadresse erkennen. Über ALLOWED_HOSTS wird festgelegt, unter welchen Domainnamen die Anwendung antwortet.

  • Die Test- und Entwicklungsabhängigkeiten, darunter pytest, liegen nicht mehr in requirements.txt, sondern in app/requirements-dev.txt. Für den normalen Betrieb ändert sich dadurch nichts.

  • Die Obergrenze für hochgeladene Bilder liegt jetzt bei 48 Megapixel statt bei 100. Bilder mit mehr als 4000 Pixel Kantenlänge werden beim Verarbeiten verkleinert.

  • Die Vorschaubilder im Meldeformular werden nicht mehr als eingebettete Bilddaten geladen. Das senkt den Speicherbedarf beim Hochladen mehrerer großer Fotos deutlich und verringert die Gefahr, dass mobile Browser die Seite währenddessen neu laden. Kann ein Browser ein Foto nicht darstellen, erscheint jetzt ein Platzhalter statt einer dauerhaft ladenden Kachel; die Datei wird trotzdem hochgeladen und serverseitig in JPEG umgewandelt.

  • [Docker-Anpassung] Die technische API-Dokumentation unter /docs und /redoc war öffentlich erreichbar und ist jetzt abgeschaltet. Bei Bedarf lässt sie sich über ENABLE_API_DOCS wieder aktivieren.

  • Die Anwendung wurde auf aktuelle Versionen von FastAPI, Starlette und uvicorn umgestellt. Die bisher verwendete Linie erhielt keine Sicherheitsupdates mehr.

  • [Docker-Anpassung] Der Docker-Container läuft jetzt mit engeren Grenzen: begrenzter Arbeitsspeicher, begrenzte CPU-Nutzung, schreibgeschütztes Dateisystem, keine zusätzlichen Rechte und Log-Rotation.

  • Das Projekt enthält jetzt eine Testsuite, die die oben beschriebenen Korrekturen dauerhaft absichert.

Bugfix

  • Auf iPhones und iPads wurden Fotos, die im Meldeformular über die Schaltfläche „Foto hinzufügen“ aufgenommen oder ausgewählt wurden, nicht in der Vorschauliste angezeigt und damit auch nicht mitgesendet. Ursache war, dass der Dateidialog über ein nur kurzzeitig erzeugtes Eingabefeld geöffnet wurde, das iOS verwerfen konnte, während die Kamera im Vordergrund war. Betroffen waren alle Browser auf iOS, da diese dieselbe Darstellungs-Engine verwenden.

  • Bei der automatischen Standortbestimmung zoomt nun die Karte auf den ermittelten Standort.

  • Die Diagramme in der Statistik der Meldezentrale wurden nie angezeigt, weil die dafür benötigte Bibliothek unter einer nicht existierenden Adresse eingebunden war. Der Pfad ist korrigiert.

  • Beim Hochladen eines neuen Logos wurde das bisherige Logo gelöscht, bevor die neue Datei geschrieben war. Schlug der Upload fehl, war das alte Logo verloren. Die Reihenfolge ist umgestellt.

  • Ein unvollständig oder falsch ausgefülltes Datum im Meldeformular führte zu einem Serverfehler statt zu einem Hinweis. Zusätzlich wird der angegebene Meldezeitpunkt jetzt auf einen plausiblen Zeitraum geprüft.

  • [Docker-Anpassung] Der Schutz gegen das automatisierte Ausprobieren von Zugangsdaten ließ sich vollständig umgehen, weil die Anwendung der vom Browser mitgeschickten Absenderadresse vertraut hat. Sie wird jetzt nur noch ausgewertet, wenn die Anfrage von einer über TRUSTED_PROXIES als vertrauenswürdig eingetragenen Gegenstelle kommt. Zusätzlich greift eine Begrenzung der Anmeldeversuche pro Benutzername.

  • Das Meldeformular konnte ohne Anmeldung massenhaft abgeschickt werden und hat den Server dabei bis zum Stillstand ausgelastet. Meldungen werden jetzt pro Absender begrenzt, die Bildverarbeitung läuft außerhalb des Hauptprozesses, und im Browser wird beim Absenden unbemerkt eine kleine Rechenaufgabe gelöst. Für Meldende ändert sich nichts, insbesondere ist bewusst kein Captcha nötig.

  • Bei Uploads über die Adminoberfläche – Logo, Favicon und Bilder auf Infoseiten – wurde nur die Typangabe des Browsers geprüft, nicht der tatsächliche Inhalt. Damit ließen sich Dateien hochladen, die anschließend im Browser der Besucher als Code ausgeführt worden wären. Dateityp und Endung werden jetzt aus dem Dateiinhalt bestimmt, und Dateien aus dem Upload-Verzeichnis können grundsätzlich keinen Code mehr ausführen.

  • Im CSV-Export konnten Eingaben aus dem öffentlichen Meldeformular von Tabellenprogrammen als Formel ausgeführt werden. Betroffene Zellen werden jetzt entschärft.

  • Die Verbindung zum E-Mail-Server prüft jetzt das Zertifikat der Gegenstelle. Bisher konnte die Verbindung unbemerkt umgeleitet und mitgelesen werden, wodurch die SMTP-Zugangsdaten und der Inhalt aller Benachrichtigungen einsehbar gewesen wären.

  • Über die Kontaktfelder des Meldeformulars ließen sich Links in Matrix-Benachrichtigungen einschleusen. Die Felder werden jetzt korrekt maskiert.

  • Der Schutz vor untergeschobenen Formularanfragen galt bisher nur für die Anmeldung und war an keine Sitzung gebunden. Er gilt jetzt für alle Formulare im Admin- und Meldebereich.

  • Anmeldesitzungen sind jetzt dem jeweiligen Konto zugeordnet. Nach einer Passwortänderung werden bestehende Sitzungen ungültig, und abgelaufene Sitzungen werden aufgeräumt. Bisher blieb eine einmal gestohlene Sitzung bis zu 24 Stunden gültig.

  • Weiterleitungen nach dem Anmelden lassen sich nicht mehr auf fremde Adressen umbiegen.

  • Für Konten, die im Adminbereich angelegt werden, gelten jetzt dieselben Mindestanforderungen an das Passwort wie für die über Umgebungsvariablen gesetzten Konten. Bisher war dort ein einzelnes Zeichen zulässig.

  • Das Cookie, in dem die Kontaktdaten für die nächste Meldung gespeichert werden, ist jetzt signiert, wird nur noch über HTTPS übertragen und läuft nach einem Jahr statt nach zehn Jahren ab.

  • Die Adresse des Matrix-Servers darf nur noch über HTTPS angegeben werden und nicht mehr auf interne Netzwerkadressen zeigen.

  • [Docker-Anpassung] SMTP-Passwort und Matrix-Access-Token lagen bisher im Klartext in der Datenbank. Wer eine Kopie der Datei in die Hände bekam – etwa über ein Backup –, konnte beide auslesen. Sie werden jetzt verschlüsselt gespeichert. Bestehende Installationen stellen sich beim ersten Start selbst um: Die vorhandenen Werte werden verschlüsselt und im Klartext entfernt. Es ist nichts einzutragen und nichts neu zu konfigurieren, abgesehen von der oben beschriebenen Variable SETTINGS_SECRET. Wer nach dem Update doch auf die Vorversion zurückgeht, braucht dafür eine Sicherung des Ordners ./data von vor dem Update, weil die alte Version mit den verschlüsselten Werten nichts anfangen kann.

  • Der Einstellungs-Export enthielt SMTP-Passwort und Matrix-Access-Token im Klartext. Die Export-Datei ist als Sicherung gedacht und wird typischerweise außerhalb des Servers abgelegt, etwa in einem Cloud-Speicher oder als Mailanhang. Beide Werte sind jetzt nicht mehr enthalten; nach dem Wiederherstellen einer Sicherung müssen sie einmal im Adminbereich eingetragen werden.

  • Im Adminbereich unter Kommunikation stand das Matrix-Access-Token im Klartext im Quelltext der Seite. Das Eingabefeld war zwar als Passwortfeld dargestellt, der Wert selbst aber im HTML lesbar. Es wird jetzt wie das SMTP-Passwort nur noch als Platzhalter angezeigt.

v1.3.0 | 2026-07-15

  • Anpassen des Lizenzmodells des Projekts auf GPLv3.

  • Über die Adminoberfläche kann im Reiter Widgets Code für das Einbinden von Widgets kopiert werden. Es gibt iFrame Code für das Meldefomular, die Gefahrenkarte und die Zähler.

  • Damit die iFrames auf einer anderen Webseite eingebettet werden können muss die Webseite, auf der die iFrames eingebettet werden sollen, in der Adminoberfläche unter Widgets eingetragen werden. Dies ist notwendig, da die iFrames sonst nicht angezeigt werden. Alternativ kann die Umgebungsvariable WIDGET_ALLOWED_DOMAINS verwendet werden, um die erlaubten Domains zu definieren. Wenn die Umgebungsvariable leer gelassen wird, sind alle Domains erlaubt.

  • Über den Adminbereich - Anpassungen kann ein zweites Logo hochgeladen werden. Dieses wird im Header neben dem ersten Logo angezeigt.

  • Auf der Seite der Gefahrenkarte können im unteren Bereich weitere Boxen mit Hinweisen und Links angezeigt werden. Diese können über die Adminoberfläche unter Gefahrenkarte konfiguriert werden.

  • Im Adminbereich unter Kommunikation kann eingestellt werden, welche Informationen in der E-Mail oder der Matrix-Nachricht enthalten sein sollen.

  • Erweiterung der Einstellungs-Exportfunktion im Adminbereich. Neue Konfigurationen wie Vogelarten, Abdruckgrößen, Kommunikation/SMTP, Benachrichtigungsinhalte sind nun im Export enthalten. Dies ermöglicht eine einfachere Sicherung und Wiederherstellung der Konfigurationen.

  • In der Meldezentrale können zu Meldungen nachträglich Bilder hochgeladen werden. Bei diesen nachträglich hochgeladenen Bildern ist es möglich, Vogelschläge zu markieren. Diese Bilder werden dann in der Meldezentrale angezeigt und können auch im Exportbereich heruntergeladen werden.

v1.2.0 | 2026-06-18

  • Anzeige der Versionsnummer in der Adminobfläche unter dem Abmeldebutton hinzugefügt. Dies ermöglicht es Administratoren, schnell die aktuell installierte Version zu überprüfen.

  • Die Abfrage nach der Ausrichtung der Fassade im Meldeformular kann nun über die Adminoberfläche deaktiviert werden.

  • Das Markieren von Vogelschlägen auf den hochgeladenen Bildern ist nun auch in der Meldezentrale möglich.

  • In der Meldezentrale ist es jetzt möglich, bei einer Meldung nach Meldungen in der Nähe zu suchen, um so schneller Duplikate zu finden.

  • Die Region, in welcher Meldungen möglich sind, kann nun nicht mehr nur als Kreis definiert werden. Es ist möglich, ein oder mehrere Landkreise auszuwählen und mittels OpenStreetMap-Informationen die genaue Form der Region zu definieren. Alternativ kann auch ein Polygon gezeichnet werden, um die Region zu definieren.

  • Im Adminbereich ist es nun möglich, mehrere Vogelarten aus dem Meldeformular gleichzeitig zu löschen.

  • Verbesserte Bedienung des Adminbereichs auf mobilen Geräten.

v1.1.0 | 2026-05-04

  • SMTP Zugangsdaten können nun auch über das Adminportal eingestellt werden. Hierzu muss die Umgebungsvariable ALLOW_SMTP_OVERRIDE auf true gesetzt werden. Im Standardeinstellung ist dies nicht erlaubt, um die Sicherheit zu gewährleisten.

  • Auf den Karten der Filter im Meldeportal und im Exportbereich ist es nun möglich, eine Auswahl mittels Vieleck zu treffen. Dies ermöglicht eine präzisere Auswahl von Bereichen.