Rebuild profile router as secure recoverable v2

docs/DISASTER_RECOVERY.md

@@ -31,6 +31,10 @@ laufen, sondern alle fachlichen Funktionen geprüft wurden.
 
 ## Phase C – Router
 
+- [ ] Start ohne API-Key schlägt bewusst fehl
+- [ ] `/health` bleibt bei Hotswap 200 und `/ready` wird vorübergehend 503
+- [ ] geschützte Endpunkte liefern ohne Key 401
+- [ ] Router-Key erscheint weder im Upstream noch im Journal
 - [ ] `/status` meldet den richtigen Upstream
 - [ ] `/v1/models` liefert drei virtuelle Modelle
 - [ ] `/fast`, `/medium` und `/long` wechseln zuverlässig
@@ -40,6 +44,8 @@ laufen, sondern alle fachlichen Funktionen geprüft wurden.
 - [ ] Tool Calls funktionieren
 - [ ] Fehler sind OpenAI-kompatibel
 - [ ] ein abgebrochener Client hinterlässt keinen blockierten Job
+- [ ] erzwungener Routerabbruch wird aus Zustandsdatei sauber rekonstruiert
+- [ ] fehlende/falsche Profilregistry verhindert falsche Readiness
 
 ## Phase D – Web und MCP
 
@@ -58,6 +64,7 @@ laufen, sondern alle fachlichen Funktionen geprüft wurden.
 - [ ] neues Bild löst genau einen Vision-Hotswap aus
 - [ ] Folgefrage verwendet Cache und keinen zweiten Hotswap
 - [ ] Bilddaten werden vor dem Textmodell sanitisiert
+- [ ] Remote-/private Bild-URL wird abgewiesen und übergroße Data-URL blockiert
 - [ ] Qwen-Profil wird nach Vision wiederhergestellt
 - [ ] FLUX erzeugt Standard- und High-Bild
 - [ ] Qwen-Profil wird nach FLUX wiederhergestellt