Retry restore-test downloads safely and expose bounded diagnostics

REMOTE_READBACK.md

@@ -151,8 +151,10 @@ sich allein auf temporäres Staging; jetzt nennt das Fehlerlog zusätzlich den
 erhaltenen lokalen Sicherungssatz. Die Speicherbereinigung entfernt keine
 lokale Kopie, deren Offsite-Prüfung scheitert.
 
-Uploads, einzelne Restore-Downloads und deren Einstellungen bleiben beim
-bisherigen Verfahren. Das Update repariert weder ein beschädigtes OneDrive-Objekt
+Uploads und manuelle `app-restore.sh`-Downloads bleiben beim bisherigen Verfahren.
+Die einzelnen Downloads des separaten monatlichen Restore-Tests verwenden seit
+dem unten beschriebenen Folgefix ebenfalls begrenzte Versuche. Das Update
+repariert weder ein beschädigtes OneDrive-Objekt
 noch veröffentlicht es alte fehlgeschlagene Läufe automatisch. Insbesondere
 werden keine Crypt-Schlüssel geändert und keine Inhaltsprüfungen abgeschwächt.
 
@@ -207,6 +209,29 @@ erst nach erfolgreicher Update-Abnahme aktiviert. Der konkrete Rollback-Pfad
 steht im Update-Ergebnisordner (`rollback-update.sh`); bei einem Rollback
 kehren auch die bisherigen Grenzen der Rückleseprüfung zurück.
 
+### Ergebnis des ersten Deployments und Folgefix
+
+Der Betreiber installierte `4f220dbc6447` über den Updateordner
+`/var/backups/app-backup-upgrade-vuQRJCvw`. Die Vorbereitung prüfte den Satz
+vom 12.09. erfolgreich im ersten Versuch nach rund 13 Minuten, bevor seine lokale
+Kopie zur Platzbeschaffung entfernt wurde. Der neue Satz
+`appbackup_2026-09-15_09-03-06_20b0f7a6` bestand am 15.09. um 11:32:41 MESZ
+die vollständige Rückleseprüfung: 15 passende Dateien, einschließlich
+`nextcloud-data.tar.zst`, erster Versuch, 3 min 42,7 s. Um 11:32:50 wurden
+Abschlussmarker und Backup-Erfolg bestätigt. Damit ist dieser neue Offsite-Satz
+inhaltlich geprüft; das sagt nichts über den Zustand des alten fehlgeschlagenen
+Satzes von 00:30 UTC aus.
+
+Die separate Restore-Abnahme scheiterte anschließend beim erneuten Download
+der Nextcloud-Daten mit `Command failed: bash`, meldete aber `cleanup OK`.
+Metadaten, drei Datenbanken, WordPress und Nextcloud waren bereits bestanden.
+Die erste Korrektur begrenzte die `check`-Aufrufe, nicht den eigenen `cat`-Pfad
+dieses Tests. Zusätzlich unterdrückte dessen Supervisor die konkrete
+Unterprozessfehlermeldung. Die nachträgliche genaue Providerursache ist daher
+aus diesem Log nicht rekonstruierbar. Der Folgefix erfasst diesen Downloadpfad
+mit Wiederholungen, Zeitlimits und sicheren Diagnosen; siehe
+[Restore-Test-Analyse](RESTORE_TEST.md#downloadfehler-bei-der-abnahme-am-15092026).
+
 Regressionstests verwenden echte lokale Crypt-Transfers, tar/zstd und isolierte
 MariaDB. Sie prüfen vorübergehende Fehler, echte beschädigte Crypt-Dateiköpfe,
 bleibende Fehler, Fristablauf mit Wiederholung, Signalabbruch, erhaltene lokale
@@ -223,4 +248,6 @@ Validierung am 15.09.2026:
   beschädigter Crypt-Header, Fristablauf mit erneutem Erfolg, dauerhafter Stillstand,
   Signalabbruch, gleich große Inhaltsbeschädigung, geschützte Platzbereinigung
   sowie Paketinstallation und kombiniertes Rollback.
-- Das Produktionssystem wurde nicht verändert; die OneDrive-Abnahme steht aus.
+- Zum Zeitpunkt dieser lokalen Tests war das Produktionssystem noch nicht
+  verändert. Das nachfolgende Deployment bestand das Backup; die vollständige
+  Restore-Abnahme scheiterte wie oben beschrieben.