Release v1.23.11

- **Updates per Klick prüfen jetzt ebenfalls die Signatur:** Der Updater-Container enthält `cosign` (feste Version, Prüfsumme beim Bau
  geprüft) und verifiziert die neuen Images vor dem Wechsel, wenn `cosign.pub` im Projektverzeichnis liegt. Das Image wird dadurch größer
  (rund 266 statt 123 MB).

CHANGELOG.md

@@ -31,6 +31,12 @@ den Einstellungen.
 Nächste Codenamen (der Reihe nach, wenn die jeweils nächste MINOR-Version
 ansteht): Merlin …
 
+## [1.23.11] "Harrier" — 2026-10-20
+
+- **Updates per Klick prüfen jetzt ebenfalls die Signatur:** Der Updater-Container enthält `cosign` (feste Version, Prüfsumme beim Bau
+  geprüft) und verifiziert die neuen Images vor dem Wechsel, wenn `cosign.pub` im Projektverzeichnis liegt. Das Image wird dadurch größer
+  (rund 266 statt 123 MB).
+
 ## [1.23.10] "Harrier" — 2026-10-20
 
 - **Signierte Release-Images:** Die Images (backend, frontend, proxy, updater) werden mit cosign signiert, beginnend mit 1.23.9. Der öffentliche

README.de.md

@@ -7,7 +7,7 @@ Zentrale Verwaltung mehrerer [OPNsense](https://opnsense.org)-Firewalls: Regeln,
 
 ![Zentrale Firewall-Regeln](docs/screenshots/readme-rules-de.webp)
 
-> **Stand:** `1.23.10` ist die aktuelle stabile Version. Entwickelt und getestet wurde gegen echte OPNsense-Instanzen; eine frische Installation aus dem Release-Bundle sowie Updates und Rollbacks sind durchgängig geprüft. Ecken und Kanten bitte melden.
+> **Stand:** `1.23.11` ist die aktuelle stabile Version. Entwickelt und getestet wurde gegen echte OPNsense-Instanzen; eine frische Installation aus dem Release-Bundle sowie Updates und Rollbacks sind durchgängig geprüft. Ecken und Kanten bitte melden.
 
 ## Funktionen
 
@@ -62,7 +62,7 @@ Für den Zugriff von anderen Rechnern und den Produktivbetrieb mit TLS (mitgelie
 
 ```bash
 OPNEXUS_IMAGE_REPO=git.opnexus.dev/opnexus
-OPNEXUS_VERSION=1.23.10
+OPNEXUS_VERSION=1.23.11
 ```
 
 ```bash

README.md

@@ -7,7 +7,7 @@ Central management for multiple [OPNsense](https://opnsense.org) firewalls: rule
 
 ![Central firewall rules](docs/screenshots/readme-rules-en.webp)
 
-> **Status:** `1.23.10` is the current stable release. It has been developed and tested against real OPNsense instances; a clean install from the release bundle, updates and rollbacks have been verified end to end. Please report rough edges.
+> **Status:** `1.23.11` is the current stable release. It has been developed and tested against real OPNsense instances; a clean install from the release bundle, updates and rollbacks have been verified end to end. Please report rough edges.
 
 ## What it does
 
@@ -64,7 +64,7 @@ For access from other machines and for production use with TLS (bundled Caddy pr
 
 ```bash
 OPNEXUS_IMAGE_REPO=git.opnexus.dev/opnexus
-OPNEXUS_VERSION=1.23.10
+OPNEXUS_VERSION=1.23.11
 ```
 
 ```bash

backend/app/version.py

@@ -6,5 +6,5 @@ convention — but both are bumped together whenever a release ships).
 Versioning scheme: see CHANGELOG.md ("Versionierung").
 """
 
-APP_VERSION = "1.23.10"
+APP_VERSION = "1.23.11"
 APP_CODENAME = "Harrier"

docs/HANDBUCH.md

@@ -95,7 +95,8 @@ dem Tag.
 
 `opnexus update` prüft die Signaturen selbst, bevor es etwas wechselt, sobald `cosign`
 installiert ist und `cosign.pub` neben der `docker-compose.yml` liegt (`cosign.pub` liegt im Bundle
-bereits dabei, `cosign` selbst musst du installieren). Schlägt die Prüfung fehl, bricht das
+bereits dabei, `cosign` selbst musst du installieren). Der Updater-Container für Updates per Klick
+bringt `cosign` mit und prüft deshalb ebenfalls, solange `cosign.pub` im Projektverzeichnis liegt. Schlägt die Prüfung fehl, bricht das
 Update ab und es wurde nichts verändert. Fehlt `cosign`, sagt `opnexus update` das und
 macht ohne Prüfung weiter.
 

frontend/lib/version.ts

@@ -1,6 +1,6 @@
 // Manually bumped whenever a notable change ships — mirrors the dated
 // entries already kept in the project README/CHANGELOG.md, no build
 // tooling involved. Versioning scheme: see CHANGELOG.md ("Versionierung").
-export const APP_VERSION = "1.23.10";
+export const APP_VERSION = "1.23.11";
 export const APP_CODENAME = "Harrier";
 export const APP_MAINTAINER = "Julian Boldt";

updater/Dockerfile

@@ -5,6 +5,20 @@ FROM python:3.12-alpine
 
 RUN apk add --no-cache bash docker-cli docker-cli-compose
 
+# cosign prüft vor einem Update die Signatur der neuen Images (cosign.pub liegt im gemounteten
+# Projektverzeichnis, siehe scripts/opnexus). Version und Prüfsummen sind fest eingetragen.
+ARG COSIGN_VERSION=v3.1.3
+ARG TARGETARCH
+RUN set -e; arch="${TARGETARCH:-amd64}"; \
+    case "$arch" in \
+      amd64) sha=4629c757b7618056f8ddd7e2625ae9fdd94c0372a65049520bc7d9df9efc7f71 ;; \
+      arm64) sha=c5d324e091826b0d7a78eb16fef316450b4eb9aaec045611c08ba06f5e73220a ;; \
+      *) echo "Architektur $arch nicht unterstützt" >&2; exit 1 ;; \
+    esac; \
+    python -c "import urllib.request; urllib.request.urlretrieve('https://github.com/sigstore/cosign/releases/download/${COSIGN_VERSION}/cosign-linux-${arch}', '/usr/local/bin/cosign')"; \
+    echo "$sha  /usr/local/bin/cosign" | sha256sum -c -; \
+    chmod 0755 /usr/local/bin/cosign
+
 COPY opnexus /usr/local/bin/opnexus
 COPY server.py /app/server.py
 RUN chmod 0755 /usr/local/bin/opnexus