Explorer
/tmp/restic-stage/reports-reference/AA-034.md
← Zurück ↓ Download 
# AA-034 – Hermes Workspace Weboberfläche: Read-only Root-Cause-Analyse

**Modus:** Read-only  
**Datum:** 2026-08-12  
**Ziel:** Ursache ermitteln, warum Hermes Workspace als Weboberfläche derzeit nicht mehr vollständig funktioniert.

## Executive Summary

Die Workspace-Weboberfläche selbst lädt technisch grundsätzlich: HTML, CSS, JavaScript, Bilder und Manifest werden erfolgreich ausgeliefert, die Browser-Konsole zeigt in der untersuchten Sitzung keine JavaScript-Fehler, und der Container `hermes-carlo-komfort` läuft aktuell `healthy` ohne Restart-Loop.

Der beobachtete Funktionsverlust ist jedoch **nicht** ein kompletter Webserver-Ausfall, sondern eine **Auth-/Zugriffsblockade** auf der Oberfläche:

- Die Seite landet im Browser auf **`/chat/new`** und zeigt **„Enter Password“**.
- Die Workspace-API antwortet ohne gültige Authentifizierung mit **401 Unauthorized** auf zentrale Endpunkte wie `/api/connection-status`, `/api/claude-jobs` und `/api/gateway-status`.
- Der Frontend-Bundle-Code enthält eine explizite Login-Gate-Logik: `fetch('/api/auth-check')`; bei `authRequired && !authenticated` wird die Workspace-Shell unterdrückt und stattdessen der Login angezeigt.

**Wahrscheinlichste Ursache:** Die Workspace ist derzeit nicht „kaputt“ im Sinne eines defekten Builds oder eines toten Containers, sondern im aktuellen Zustand **absichtlich gesperrt** bzw. **nicht authentifiziert**, sodass der eigentliche Workspace-Inhalt nicht freigeschaltet wird. 

**Nicht nachgewiesen als Ursache:** Der bekannte `hermes-kanban-adapter`-Healthcheck-Fehler. Die Workspace lädt und rendert bereits vor jeglichem Nachweis eines durch diesen Fehler verursachten Ausfalls. Es gibt derzeit keinen Beleg, dass genau dieser Healthcheck den aktuellen Workspace-Zustand verursacht.

---

## Vollständige Nachweise

### 1) Workspace-Endpunkt

#### Basis-URL und Browser-Zustand
- Browser-Navigation auf `https://hermes-workspace.agentsolutions-mallorca.com/`
- Browser landete auf: `https://hermes-workspace.agentsolutions-mallorca.com/chat/new`
- Titel: `Hermes Workspace`
- Sichtbare Oberfläche: Passwort-Gate mit
  - Heading: `Enter Password`
  - Text: `This workspace is password-protected`
  - Input: `Password`
  - Button: `Continue`

#### HTTP-Status / Redirects / HTML / Header

**`https://hermes-workspace.agentsolutions-mallorca.com/`**
- HTTP: `200 OK`
- HTML: vorhanden
- Content-Type: `text/html; charset=utf-8`
- CSP: vorhanden
- Beobachtung: kein serverseitiger Redirect, aber clientseitig führte die App in der Browser-Sitzung nach `/chat/new`

**`http://hermes-workspace.agentsolutions-mallorca.com/`**
- HTTP: `301 Moved Permanently`
- Redirect nach: `https://hermes-workspace.agentsolutions-mallorca.com/`

**`https://hermes-workspace.agentsolutions-mallorca.com/chat/new`**
- HTTP: `200 OK`
- HTML: vorhanden
- Sichtbarer Inhalt: Passwort-Gate

**`http://127.0.0.1:5099/`**
- HTTP: `200 OK`
- Content-Type: `text/html; charset=utf-8`
- CSP: vorhanden
- HTML: vorhanden

#### Response Header / CSP
Auf Basis der geprüften Antworten ist die Content-Security-Policy konsistent und restriktiv:

- `default-src 'self'`
- `base-uri 'self'`
- `object-src 'none'`
- `form-action 'self'`
- `script-src 'self' 'unsafe-inline' https://cdn.jsdelivr.net`
- `style-src 'self' 'unsafe-inline' https://fonts.googleapis.com https://cdn.jsdelivr.net`
- `img-src 'self' data: blob: https:`
- `font-src 'self' data: https://fonts.gstatic.com`
- `connect-src 'self' ws: wss: http: https:`
- `worker-src 'self' blob:`
- `media-src 'self' blob: data:`
- `frame-src 'self' http: https:`

**Fakt:** Kein CSP-Blocker wurde in der Browser-Konsole beobachtet.

---

### 2) Geladene Assets

Die Seite lädt erfolgreich die folgenden Assets:

| Typ | URL | HTTP | Content-Type | Größe |
|---|---|---:|---|---:|
| JS | `https://hermes-workspace.agentsolutions-mallorca.com/assets/main-BqvSWry_.js` | 200 | `application/javascript` | 1,342,065 B |
| JS | `https://hermes-workspace.agentsolutions-mallorca.com/assets/index-D_Wxvt_x.js` | 200 | `application/javascript` | 56 B |
| JS | `https://hermes-workspace.agentsolutions-mallorca.com/assets/_sessionKey-BHbFL0-M.js` | 200 | `application/javascript` | 1,646 B |
| JS | `https://hermes-workspace.agentsolutions-mallorca.com/assets/_sessionKey-z4z2QdqU.js` | 200 | `application/javascript` | 980 B |
| CSS | `https://hermes-workspace.agentsolutions-mallorca.com/assets/styles-fpx30DGp.css` | 200 | `text/css` | 454,522 B |
| Image | `https://hermes-workspace.agentsolutions-mallorca.com/claude-avatar.webp` | 200 | `image/webp` | 15,680 B |
| Image | `https://hermes-workspace.agentsolutions-mallorca.com/claude-banner.png` | 200 | `image/png` | 12,333 B |
| Image | `https://hermes-workspace.agentsolutions-mallorca.com/claude-avatar.png` | 200 | `image/png` | 83,740 B |
| Image | `https://hermes-workspace.agentsolutions-mallorca.com/claude-icon-192.png` | 200 | `image/png` | 24,996 B |
| Image | `https://hermes-workspace.agentsolutions-mallorca.com/apple-touch-icon.png` | 200 | `image/png` | 22,691 B |
| Manifest | `https://hermes-workspace.agentsolutions-mallorca.com/manifest.json` | 200 | `application/json` | 795 B |
| Fonts | `https://fonts.googleapis.com/css2?family=Inter...` | 200 | `text/css; charset=utf-8` | 1,398 B |

**Nicht gefunden / keine Fehler beim Asset-Load:**
- Keine 404/500 für die oben identifizierten Assets
- Keine MIME-Type-Fehler
- Keine fehlenden CSS/JS-Dateien im untersuchten Startpfad

**Hinweis:** In der JS-Bundle-Analyse taucht zusätzlich ein Pfad zu `hermesworld-world.png` bzw. ein intern referenzierter Asset-Pfad auf; der konkrete Download wurde im Moment der Analyse nicht als Fehlerquelle sichtbar, da die sichtbaren Kern-Assets erfolgreich geladen wurden.

---

### 3) Browser-Konsole

Browser-Konsole in der untersuchten Sitzung:
- **JavaScript-Fehler:** keine
- **Promise Rejections:** keine
- **Failed Requests:** keine in der Konsole gemeldeten
- **CORS:** kein sichtbarer Fehler
- **CSP:** kein sichtbarer Fehler
- **MIME-Type-Fehler:** kein sichtbarer Fehler

**Fakt:** Die Browser-Konsole ist für die geprüfte Sitzung leer.

---

### 4) Netzwerkanalyse

#### Erfolgreiche Requests
- HTML-Dokument
- JS-Bundles
- CSS
- Bilder
- Manifest
- `/api/auth-check` → `200 OK`
- `/api/dashboard-status` → `200 OK`
- `/api/health` → `200 OK`

#### Fehlgeschlagene / unerlaubte Requests

| URL | HTTP | Zielhost | Zielport | Antwort |
|---|---:|---|---:|---|
| `https://hermes-workspace.agentsolutions-mallorca.com/api/connection-status` | 401 | `hermes-workspace.agentsolutions-mallorca.com` | 443 | `{"error":"Unauthorized"}` |
| `https://hermes-workspace.agentsolutions-mallorca.com/api/claude-jobs` | 401 | `hermes-workspace.agentsolutions-mallorca.com` | 443 | `{"error":"Unauthorized"}` |
| `https://hermes-workspace.agentsolutions-mallorca.com/api/gateway-status` | 401 | `hermes-workspace.agentsolutions-mallorca.com` | 443 | `{"error":"Unauthorized"}` |
| `http://127.0.0.1:5099/api/connection-status` | 401 | `127.0.0.1` | 5099 | `{"error":"Unauthorized"}` |
| `http://127.0.0.1:5099/api/claude-jobs` | 401 | `127.0.0.1` | 5099 | `{"error":"Unauthorized"}` |
| `http://127.0.0.1:5099/api/gateway-status` | 401 | `127.0.0.1` | 5099 | `{"error":"Unauthorized"}` |
| `http://127.0.0.1:9130/api/claude-jobs` | 401 | `127.0.0.1` | 9130 | `{"detail":"Unauthorized"}` |
| `http://127.0.0.1:9130/api/connection-status` | 401 | `127.0.0.1` | 9130 | `{"detail":"Unauthorized"}` |
| `http://127.0.0.1:8653/api/connection-status` | 404 | `127.0.0.1` | 8653 | `404: Not Found` |
| `http://127.0.0.1:3010/api/connection-status` | 200 | `127.0.0.1` | 3010 | `{"status":"disconnected",...}` |
| `http://127.0.0.1:3014/api/connection-status` | 401 | `127.0.0.1` | 3014 | `{"detail":"Unauthorized"}` |

**Wichtige Interpretation:**
- Die Workspace-UI selbst ist erreichbar.
- Die zentralen Funktions-APIs sind ohne Authentifizierung gesperrt.
- Das ist der unmittelbar sichtbare Grund, warum die Weboberfläche „nicht vollständig funktioniert“.

---

### 5) Reverse Proxy read-only geprüft

#### Gefundene nginx-Dateien
- `/etc/nginx/nginx.conf`
- `/etc/nginx/conf.d/hermes-carlo-docker-bridge.conf`
- `/etc/nginx/sites-available/explorer.conf`
- `/etc/nginx/sites-available/filebrowser.conf`

#### Relevante Befunde

`/etc/nginx/conf.d/hermes-carlo-docker-bridge.conf`:
- `listen 172.17.0.1:8653;` → `proxy_pass http://127.0.0.1:8653;`
- `listen 172.17.0.1:9130;` → `proxy_pass http://127.0.0.1:9130;`
- `proxy_set_header Host 127.0.0.1:8653` bzw. `127.0.0.1:9130`
- `proxy_set_header Authorization $http_authorization`
- `proxy_set_header Upgrade $http_upgrade`
- `proxy_set_header Connection "upgrade"`

`/etc/nginx/nginx.conf`:
- lädt die Konfigurationsdateien aus `conf.d` und `sites-enabled`

**Für die Workspace-Domain selbst wurde in `/etc/nginx` in diesem Auftrag kein passender VHost-Treffer gefunden.**

#### Bewertung
- Kein nachgewiesener Reverse-Proxy-Fehler im Workspace-Pfad selbst.
- Die geprüften Header-/Proxy-Regeln sehen funktional aus und erklären den Auth-Gate-Zustand nicht direkt.
- Ein Proxy-Problem ist daher **nicht** die führende Ursache auf Basis des vorliegenden Nachweises.

**Vermutung:** Falls die Workspace-Domain über einen weiteren, hier nicht gefundenen VHost geroutet wird, könnte dort die Auth-Weitergabe oder ein Base-Path-Problem liegen. Das ist aber in dieser Analyse **nicht belegt**.

---

### 6) Workspace-Container

#### Docker-Inspect

Container: `hermes-carlo-komfort`

- Status: `running`
- Running: `true`
- RestartCount: `0`
- ExitCode: `0`
- Health: `healthy`
- Image: `ghcr.io/outsourc-e/hermes-workspace:latest`
- Cmd: `node --max-old-space-size=2048 server-entry.js`
- Ports: keine Host-Port-Mappings im Container-Inspect
- Mounts:
  - `/var/lib/hermes/carlo/cron -> /home/workspace/.hermes/cron` (RW)
  - `/opt/struktur/hermes-ui-auswahl/data -> /home/workspace/.hermes` (RW)
  - `/srv/hermes-workspaces/carlo -> /home/workspace/carlo` (RW)

#### Logs

Docker-/System-Logs zeigen keine Container-Crash-Schleife, sondern vielmehr einen langlebig laufenden Service.

#### Bewertung
- Container lebt und ist gesund.
- Kein Hinweis auf Restart-Sturm, Exit-Loop oder Build-Startfehler.
- Damit ist ein reiner Container-Ausfall **nicht** die Ursache.

---

### 7) API-Erreichbarkeit

| Pfad | Ziel | Erreichbar | HTTP-Code | Antwortzeit |
|---|---|---|---:|---:|
| Workspace → Auth-Check | `/api/auth-check` | Ja | 200 | ~0.02 s |
| Workspace → Connection | `/api/connection-status` | Nein ohne Auth | 401 | ~0.02 s |
| Workspace → Jobs | `/api/claude-jobs` | Nein ohne Auth | 401 | ~0.02 s |
| Workspace → Dashboard-Status | `/api/dashboard-status` | Ja | 200 | ~0.03 s |
| Workspace → Gateway | `/api/gateway-status` | Nein ohne Auth | 401 | ~0.03 s |
| Workspace → Backend 9130 | `/api/claude-jobs` | Nein ohne Auth | 401 | ~0.001 s |
| Workspace → Backend 3010 | `/api/connection-status` | Ja, aber disconnected | 200 | ~0.18 s |
| Workspace → Backend 8653 | `/api/connection-status` | Nein / nicht vorhanden | 404 | ~0.001 s |

#### Interpretation
- Die Auth- und Status-APIs sind der Engpass.
- Die Workspace-UI kann zwar geladen werden, aber die eigentliche Funktionalität bleibt ohne Auth-/Backend-Freigabe gesperrt.

---

### 8) Frontend-Code-Nachweis

Im Bundle `main-BqvSWry_.js` findet sich die zentrale Login-Gate-Logik:

- `fetch('/api/auth-check')`
- Wenn `authRequired && !authenticated`, wird `showLogin` aktiviert
- Andernfalls wird die Workspace-Shell angezeigt

Außerdem finden sich dort die Routen-/API-Bezüge:
- `/api/connection-status`
- `/api/claude-jobs`
- `/api/gateway-status`

**Fakt:** Das Frontend ist so gebaut, dass es bei fehlender Authentifizierung bewusst in einen Login-Zustand wechselt.

---

## Sämtliche verwendeten Befehle

1. `read_file /opt/obsidian-vault/Systemstruktur/SYSTEM-REFERENZ.md`
2. `skill_view hermes-agent`
3. `skill_view software-development:safe-system-changes`
4. `curl`-Abfragen gegen:
   - `http://127.0.0.1:5099/`
   - `https://hermes-workspace.agentsolutions-mallorca.com/`
   - `http://hermes-workspace.agentsolutions-mallorca.com/`
5. `docker inspect hermes-carlo-komfort`
6. `journalctl -u hermes-carlo-host.service -u hermes-carlo-host-dashboard.service --since '24 hours ago'`
7. `search_files` in `/etc/nginx`
8. `read_file` für nginx-Konfigurationen
9. `browser_navigate https://hermes-workspace.agentsolutions-mallorca.com/`
10. `browser_snapshot`
11. `browser_console`
12. `curl` gegen Browser-Assets und API-Endpunkte
13. `grep`/`stat`-basierte Analyse im JS-Bundle
14. `docker logs --since 6h hermes-carlo-komfort`

---

## Root-Cause-Bewertung

### Bewerten nach Ursache

| Ursache | Bewertung | Begründung |
|---|---|---|
| Reverse Proxy | eher unwahrscheinlich | Kein direkter Proxy-Fehler im Workspace-Pfad nachgewiesen; Nginx und Header wirken konsistent |
| Frontend | teilweise beteiligt | Frontend implementiert bewusst das Passwort-/Auth-Gate |
| JavaScript | ja, aber nicht als Fehler | JS funktioniert; die Login-Gate-Logik ist aktiv und korrekt geladen |
| API | **ja** | Zentrale API-Endpunkte liefern ohne Auth `401 Unauthorized` |
| Backend | teilweise | Backend läuft, aber antwortet auf wichtige Pfade mit Auth-Sperre |
| Build | nein | Assets werden korrekt geladen, keine MIME-/Bundle-Fehler |
| Environment | möglicherweise | Auth-/Runtime-Konfiguration steuert den Login-Zustand; konkrete Umgebungsursache hier nicht vollständig belegt |
| Mounts | nein | Mounts sind vorhanden und RW; kein Mount-Fehler im Container nachgewiesen |
| Berechtigungen | nein für Container-Mounts, ja für Gesamtfunktion nicht belegt | Cron-Mount ist vorhanden; der hier untersuchte UI-Ausfall wird nicht durch Mount-Permissions erklärt |
| Container | nein | Container läuft `healthy`, `RestartCount=0` |

### Priorisierung der Ursachen

1. **API-/Auth-Blockade** – primäre, nachgewiesene Ursache
2. **Frontend-Login-Gate** – sekundär, setzt die API-Antworten in eine gesperrte Oberfläche um
3. **Environment-/Konfigurationszustand** – möglich, aber derzeit nicht hinreichend belegt
4. **Reverse Proxy** – derzeit nicht belegt
5. **Container / Build / Mounts / Berechtigungen** – derzeit nicht als Ursache belegt

---

## Empfehlung für den ersten Reparaturschritt

**Erster sinnvoller Reparaturschritt:**

Die Authentifizierungs-/Session-Kette des Workspace gezielt prüfen, insbesondere:
- warum `/api/auth-check` nur `authenticated:false` liefert,
- warum `/api/connection-status`, `/api/claude-jobs` und `/api/gateway-status` ohne Auth `401` liefern,
- und ob der Browser die erwartete Authentifizierung überhaupt erhält.

**Begründung:**
Der Workspace ist erreichbar, die Assets laden, der Container ist gesund. Der funktionale Engpass liegt klar in der Auth-/API-Freigabe, nicht im Webserver-Start.

---

## Vermutungen ausdrücklich als Vermutung

- **Vermutung:** Der Workspace ist aktuell absichtlich oder versehentlich auf Passwortschutz gestellt, sodass normale Bedienung ohne Auth nicht möglich ist.
- **Vermutung:** Ein fehlendes/ungültiges Session- oder Auth-Cookie verhindert die Freischaltung der eigentlichen Workspace-Funktionen.
- **Vermutung:** Ein noch nicht geprüfter, anderer nginx-VHost oder eine Runtime-Override-Datei könnte den Auth-Flow beeinflussen.

Diese Vermutungen sind **nicht** als Fakten zu verstehen.

---

## Fazit

Der Workspace-Ausfall ist in der untersuchten Form **kein Frontend-Crash** und **kein Container-Ausfall**. Der Workspace ist vielmehr **erreichbar, geladen und gesund**, aber die Weboberfläche bleibt aufgrund eines **Auth-/Passwort-Gates** und **401-Antworten auf zentrale API-Endpunkte** nicht vollständig nutzbar.

Der bekannte `hermes-kanban-adapter`-Healthcheck-Fehler ist hierfür **nicht als Ursache belegt**.

**Arbeitsauftrag 034 erledigt.**