Ferndiagnose (MCP): Verbindungscode + abgesicherter Fernzugriff + stdio-Bridge

Neue Funktion, um Diagnose eines laufenden Servers aus der Ferne zu ermoeglichen:
Hilfe -> Remote-Support -> "Ferndiagnose (MCP)". Erzeugt einen Verbindungscode,
den der Assistent nutzt, um Status, Logs, Fehler und Accounts read-only zu lesen.

App-Seite:
- Live (re)startbarer Debug-Server ohne App-Neustart (restartDebugServer wartet auf
  'close' + closeAllConnections, behandelt EADDRINUSE).
- IP-Allowlist (debug_allowlist.txt, exakte IP + CIDR), erzwungen VOR der Auth.
  Fail-closed: Netzwerk-Bind (0.0.0.0) ohne Allowlist akzeptiert nur Loopback.
- One-Click Aktivieren/Aktualisieren/Deaktivieren + Token-Rotation (alter Code sofort
  ungueltig). Sichtbarkeit waehlbar: "Nur lokal" (Tunnel-Empfehlung) vs "Im Netzwerk".
- Verbindungscode rddiag:v1:base64url({v,h,p,t,n?,fp?,s?}); oeffentlicher Host frei
  waehlbar, Netzwerk-IPs als Schnellauswahl.
- Neue IPC: get/enable/disable/rotate Remote-Diagnostics; Controller-Methoden; Typen.

Bridge (tools/rd-diagnostics-mcp, standalone, KEINE App-Dependency):
- stdio MCP-Server (@modelcontextprotocol/sdk) mit 14 Tools, proxyt die bestehende
  HTTP-Debug-API. Multi-Server ueber code/server/RDDIAG_CODE/RDDIAG_SERVERS.
- TLS-Fingerprint-Pinning auf secureConnect (vor Token-Versand), falls https genutzt.
- test/harness.mjs: faehrt einen Fake-Debug-Server hoch und treibt die Bridge als
  echten stdio-Child per JSON-RPC -> voller Protokollpfad gruen.

Sicherheit (Audit): keine persistenten Secrets in den Logs der Debug-API (Passwoerter
redigiert, keine Debrid-Keys/aufgeloesten Download-URLs geloggt; settings/accounts
redigiert). Empfohlener Transport: Loopback + privater Tunnel; Direkt-Bind nur mit
Allowlist in vertrauenswuerdigen Netzen.

Tests: connection-code-Cross-Check (App-Encoder <-> Bridge-Decoder), Allowlist-Matrix
(Loopback, exakt, CIDR, fail-closed, Live-Restart). Volle Suite 905 gruen, tsc=6.

src/shared/ipc.ts

@@ -52,6 +52,10 @@ export const IPC_CHANNELS = {
   GET_TRACE_CONFIG: "app:get-trace-config",
   SET_TRACE_ENABLED: "app:set-trace-enabled",
   ROTATE_DEBUG_TOKEN: "app:rotate-debug-token",
+  GET_REMOTE_DIAGNOSTICS: "app:get-remote-diagnostics",
+  ENABLE_REMOTE_DIAGNOSTICS: "app:enable-remote-diagnostics",
+  DISABLE_REMOTE_DIAGNOSTICS: "app:disable-remote-diagnostics",
+  ROTATE_REMOTE_DIAGNOSTICS_TOKEN: "app:rotate-remote-diagnostics-token",
   OPEN_REALDEBRID_LOGIN: "app:open-realdebrid-login",
   OPEN_ALLDEBRID_LOGIN: "app:open-alldebrid-login",
   IMPORT_BESTDEBRID_COOKIES: "app:import-bestdebrid-cookies",

src/shared/preload-api.ts

@@ -7,8 +7,10 @@ import type {
   DebridLinkHostLimitInfo,
   DebridProvider,
   DuplicatePolicy,
+  EnableRemoteDiagnosticsInput,
   HistoryEntry,
   PackagePriority,
+  RemoteDiagnosticsInfo,
   RendererErrorReport,
   SessionStats,
   StartConflictEntry,
@@ -71,6 +73,10 @@ export interface ElectronApi {
   getTraceConfig: () => Promise<SupportTraceConfig>;
   setTraceEnabled: (enabled: boolean, note?: string, durationMinutes?: number) => Promise<SupportTraceConfig>;
   rotateDebugToken: () => Promise<{ path: string }>;
+  getRemoteDiagnostics: () => Promise<RemoteDiagnosticsInfo>;
+  enableRemoteDiagnostics: (input: EnableRemoteDiagnosticsInput) => Promise<RemoteDiagnosticsInfo>;
+  disableRemoteDiagnostics: () => Promise<RemoteDiagnosticsInfo>;
+  rotateRemoteDiagnosticsToken: () => Promise<RemoteDiagnosticsInfo>;
   openRealDebridLogin: () => Promise<void>;
   openAllDebridLogin: () => Promise<void>;
   importBestDebridCookies: () => Promise<number>;

src/shared/types.ts

@@ -537,3 +537,30 @@ export interface RendererErrorReport {
   column?: number;
   componentStack?: string;
 }
+
+export interface RemoteDiagnosticsStatus {
+  running: boolean;
+  host: string;
+  port: number;
+  hasToken: boolean;
+  localOnly: boolean;
+  allowlistCount: number;
+}
+
+export interface RemoteDiagnosticsInfo {
+  status: RemoteDiagnosticsStatus;
+  code: string | null;
+  publicHost: string;
+  name: string;
+  allowlist: string[];
+  suggestedHosts: string[];
+}
+
+export interface EnableRemoteDiagnosticsInput {
+  hostMode: "local" | "network";
+  publicHost: string;
+  port?: number;
+  allowlist: string[];
+  name?: string;
+  rotateToken?: boolean;
+}