bugfix

README.md

@@ -168,14 +168,20 @@ build — anders zou de release met een placeholder als notes online komen.
 |---|---|
 | 📊 **Dashboard** | Overzicht van totaal eigen vermogen, schulden en netto vermogen |
 | 💰 **Eigen vermogen** | Vermogensposten per categorie beheren + geïnvesteerde fiat historiek |
-| 📉 **Schulden** | Schulden bijhouden per blok met afbetalingsoverzicht |
-| 📈 **Voortgang** | Grafieken en trends van EV en schuld over tijd (apart bij te houden) |
+| 📉 **Schuld** | Schulden bijhouden per blok met afbetalingsoverzicht |
+| 📈 **Voortgang Schuld & EV** | Grafieken en trends van EV en schuld over tijd (apart bij te houden) |
 | 👥 **Gebruikers** | Accounts aanmaken, bewerken en beheren (Admin-rol vereist) |
+| ⚙️ **Instellingen** | Licht/donker thema, backup downloaden en backup terugzetten |
 
 De kolommen in de tabellen op Eigen vermogen en Voortgang zijn versleepbaar: pak
 de rechterrand van een kolomkop. De breedtes worden per tabel in de browser
 bewaard; dubbelklik op de greep voor de standaardbreedte.
 
+Backup en restore lopen via **Instellingen** in de navigatiebalk: "Backup maken"
+downloadt een ZIP (`data.json` + `meta.json`) met je eigen financiële data,
+"Backup terugzetten" leest zo'n ZIP weer in en schrijft hem via `/api/data` weg.
+Dat is de gebruikersvariant; een volledige database-dump staat in `BEHEER.md`.
+
 ---
 
 ## 🏗️ Architectuur
@@ -193,27 +199,33 @@ vibefinance/
 ├── release.ps1 / release.sh    # Release (test, push, tag, Gitea-release)
 │
 ├── docker/
-│   └── dev-entrypoint.sh       # Start API + Vite samen in de dev-container
+│   ├── dev-entrypoint.sh       # Start API + Vite samen in de dev-container
+│   ├── check-updates.mjs       # Dependency-check tegen het npm-register
+│   └── update-exceptions.json  # Pakketten die bewust achterblijven, met reden
 │
 ├── docs/
 │   └── screenshot-dashboard.png # Screenshot bovenaan deze README
 │
 ├── frontend/                   # React / Vite SPA (build → dist)
 │   ├── vite.config.js          # /api proxy naar de API in dezelfde container
+│   ├── index.html              # Vite-entry, verwijst naar /favicon.svg
+│   ├── public/                 # Ongebundeld: favicon.svg + icons/
 │   └── src/
 │       ├── App.jsx             # Root – wiring + idle-logout
 │       ├── App.css             # Reset + losse klassen (o.a. .kolom-grip)
 │       ├── main.jsx
 │       ├── version.js          # Draaiende versie (__APP_VERSION__ uit de build)
 │       ├── constants/          # Kleuren, tabs, begindata
-│       ├── utils/              # Formatters, helpers
+│       ├── utils/              # format.js (bedragen/datums), storage.js
 │       ├── hooks/              # useTheme, useUpdateCheck, useKolomBreedtes
-│       ├── context/            # AppContext (global state + API sync)
+│       ├── context/            # AppContext (global state + API sync + backup)
 │       ├── components/
 │       │   ├── ui/             # Primitieve UI (VCard, DonutChart…)
 │       │   ├── LoginPage.jsx
+│       │   ├── LoginBackground.jsx
 │       │   ├── NavBar.jsx
 │       │   ├── ProfielPopup.jsx
+│       │   ├── InstellingenModal.jsx  # Thema + backup/restore
 │       │   └── GebruikersBeheer.jsx
 │       └── pages/
 │           ├── DashboardTab.jsx
@@ -226,10 +238,11 @@ vibefinance/
     └── src/
         ├── server.js           # Entry point: API op /api, SPA op /
         ├── db.js               # PostgreSQL pool + initDb() schema-migraties
+        ├── logger.js           # pino (pino-pretty buiten productie)
         ├── config/             # Omgevingsvariabelen (incl. STATIC_DIR)
         ├── constants/          # Begindata (initialData.js)
         ├── middleware/         # auth.js, errorHandler.js
-        ├── routes/             # auth, data, users, health, update-check
+        ├── routes/             # auth, data, users, health, update
         └── stores/             # userStore, dataStore
 ```
 
@@ -245,9 +258,11 @@ frontend en API.
 
 | Verzoek | Wat de app doet |
 |---|---|
-| `/api/...` | REST API (rate limited) |
-| `/assets/...` | Statische build, 1 jaar `immutable` gecached |
-| al het overige | `index.html` — fallback voor React-routing |
+| `/api/...` | REST API (rate limited, `Cache-Control: no-store`) |
+| `/assets/...` | Gehashte build-bestanden, 1 jaar `immutable` gecached |
+| `/favicon.svg`, `/icons/...` | Vaste namen, dus `max-age=0, must-revalidate` |
+| pad mét extensie, geen bestand | echte 404 (geen HTML waar een icoon wordt verwacht) |
+| al het overige | `index.html` — fallback voor React-routing, niet gecached |
 
 ---
 
@@ -295,6 +310,7 @@ Het schema wordt bij het starten van de app aangemaakt/bijgewerkt via
 | `JWT_SECRET` | — | **Verplicht** — minimaal 64 tekens |
 | `POSTGRES_USER` | `vibefinance` | Database gebruikersnaam |
 | `POSTGRES_DB` | `vibefinance` | Database naam |
+| `DATABASE_URL` | — | Connectiestring; `docker-compose.yml` stelt hem samen uit de drie `POSTGRES_*` waarden, dus zelf zetten hoeft alleen buiten Compose |
 | `JWT_EXPIRES` | `7d` | Geldigheidsduur token |
 | `CORS_ORIGIN` | `http://localhost` | Externe domeinnaam (één origin, dus zelden nodig) |
 | `APP_PORT` | `3400` | Poort op de host (container luistert op 3001) |
@@ -309,6 +325,10 @@ Het schema wordt bij het starten van de app aangemaakt/bijgewerkt via
 
 - Wachtwoorden gehasht met bcrypt (cost factor 12)
 - JWT authenticatie met instelbare vervaltijd
+- Data is per gebruiker: `/api/data` leest en schrijft alleen de rij van de
+  ingelogde gebruiker (`sub` uit het token)
+- Van de rollen wordt alleen **Admin** afgedwongen, op `/api/users` — zie de
+  sectie Rollen in `BEHEER.md`
 - Frontend en API op één origin — geen interne proxy, geen CORS-uitzonderingen
 - Content-Security-Policy via Helmet, toegespitst op wat de app laadt
 - Database bereikbaar alleen binnen het interne Docker netwerk