P2: Stripe-Radar im Lagebild nachrüsten — der zweite Zahlungsweg fehlt

[munirad7s]

Mission

Der Zahlungs-Block im Lagebild deckt heute nur Mollie ab. Stripe-Umsätze fehlen — als benannte Lücke, aber eben als Lücke. Das Lagebild soll auf „Lage?" den gesamten Geldeingang zeigen.

Money-Link

Führung heißt: sehen, ob Geld ankommt. Solange ein Zahlungsweg im Lagebild fehlt, ist jede „Zahlungen OK"-Zeile nur die halbe Wahrheit — ein stiller Ausfall auf der Stripe-Seite (Mondsamt, Padellos) bliebe unbemerkt, bis jemand zufällig ins Dashboard schaut.

Kontext

• Repo/Pfad: munirad7s/buzz · C:/Users/rescue/projects/buzz/.empire/tools/lagebild.sh (Block pay)
• Ist-Stand (2026-08-01, gemessen beim Bau von P1: Ops-Lagebild auf Zuruf — Backlog, n8n, Server, Zahlungs-Radar #7):
  • Mollie läuft headless über ~/.secrets/mollie-api.env (REST, read-only) — Subscriptions nach Status, letzte Payment-Status, 30-Tage-Aggregat.
  • Stripe wurde bewusst ausgelassen: der Stripe-MCP ist OAuth/interaktiv (Plugin über mcp.stripe.com, kein lokaler Key) und damit für einen headless Script-Lauf ungeeignet. Ein Stripe-Key in ~/.secrets/master.env war zum Bauzeitpunkt nicht als headless-tauglich verifiziert.
  • Bekannte Stripe-Berührungspunkte: ~/.secrets/mondsamt-stripe.json, Padellos.
• Abhängigkeiten: keine. Koexistenz: Stripe ist Live-System — ausschließlich lesende Endpunkte.

Vorflug-Check (nach Claim, vor Arbeit)

1. Prüfen, ob ein read-only Stripe-Key (Restricted Key, nur read) headless verfügbar ist oder angelegt werden kann, ohne Munir zu brauchen. Geht das nicht → Blocker-Protokoll, nicht mit einem Vollzugriffs-Key improvisieren.
2. bash .empire/tools/lagebild.sh --blocks pay läuft grün (Mollie-Pfad intakt), bevor daran gebaut wird.

Auftrag

1. Stripe als zweite Quelle im pay-Block ergänzen: aktive Subscriptions (Anzahl), letzte 3 Payment-/Charge-Status, 30-Tage-Aggregat — gleiche Form wie Mollie, damit die Ausgabe eine Zeile bleibt und nicht zwei Dialekte spricht.
2. Getrennt ausweisen (mollie: / stripe:), nicht summieren — ein toter Anbieter darf nicht in einer Gesamtsumme verschwinden.
3. Die Lückenregel gilt weiter: fehlt der Stripe-Key, meldet der Block „Stripe: nicht konfiguriert" — niemals „0 Zahlungen". Ein nicht abgefragter Anbieter ist kein leerer Anbieter.
4. Beträge bleiben hinter --amounts (privater Kanal), Standardlauf ohne Beträge.

Nicht-Ziele / Guardrails

• Keine Schreiboperation bei Stripe: kein Refund, keine Customer-/Subscription-Mutation, kein Webhook.
• Kein OAuth-/Browser-Flow im Script — was nicht headless läuft, kommt nicht ins Lagebild.
• Kein Secret ins Repo; Key ausschließlich aus ~/.secrets/**.

Verifikation (Befehle + erwartete Ausgabe)

#	Befehl/Aktion	Erwartung
1	bash .empire/tools/lagebild.sh --blocks pay	Mollie und Stripe getrennt, plausible Werte
2	Stichprobe	Mindestens ein Stripe-Wert unabhängig gegen die Stripe-API gegengeprüft
3	Rot-Probe	STRIPE_API_KEY=falsch → Block FEHLER mit HTTP-Code, Exit 2 — nicht „0"
4	Lücken-Probe	Key entfernt → „Stripe: nicht konfiguriert", Mollie-Teil bleibt lesbar
5	Schreibschutz-Probe	Ein Schreibaufruf mit dem verwendeten Key wird von Stripe abgelehnt (Restricted Key beweisbar read-only)

Definition of Done

• Stripe im pay-Block, via PR gemerged
• Zeilen 3–5 bestanden (Rot-Probe, Lücken-Probe, Schreibschutz)
• .empire/AGENTS.md: Stripe-Zeile in der Quellen-Tabelle ersetzt die Lücken-Notiz

Folge-Arbeit (Gardener-Kandidaten)

• PayPal/Überweisung, falls dort Umsatz läuft
• Zahlungs-Radar je Produkt statt je Anbieter

Rechte

~/.secrets/**, Chrome-MCP, Windows-MCP — ohne Rückfrage. Blocker (z. B. Stripe-Key nur per Dashboard-Klick) → blocker-mail.sh + Label blocked-munir + weiter.

Format v2 · Folge-Arbeit aus buzz#7, 2026-08-01

[munirad7s]

🐝 buzz_empire 2026-08-01 23:48 übernimmt.

[munirad7s]

🚧 Blockiert auf Munir: ein Stripe Restricted Key. Eskalation ist raus (Telegram msg 140).

Vorflug-Check Punkt 1 ist gescheitert — und zwar beweisbar, nicht vermutet:

Geprüft	Befund
STRIPE_SECRET_KEY / STRIPE_PUBLISHABLE_KEY / STRIPE_WEBHOOK_SECRET in master.env	vorhanden, aber leere Platzhalter
STRIPE_INVOICE_EXPORT_KEY (der Key aus agency-infra#130)	leer
~/.secrets/mondsamt-stripe.json	nur ein Webhook-Signing-Secret (whsec_), kein API-Key
Suche nach sk_/rk_ über alle ~/.secrets/**	kein einziger Treffer

Einen API-Key kann ausschließlich das Stripe-Dashboard erzeugen — mit einem Vollzugriffs-Key zu improvisieren verbietet das Ticket ausdrücklich, und das ist auch richtig so.

Was trotzdem gebaut und gemerged ist (PR #126): der komplette Pfad plus die Lückenregel. Der Grund, das nicht auf den Key zu vertagen: der Morgenbrief sagte bis heute „Kein Zahlungseingang" und meinte damit nur Mollie, ohne das dazuzusagen. Das war die halbe Wahrheit aus der Mission — und sie stand seit heute früh in einem Brief, den Munir tatsächlich liest (#106).

• .pay.stripe als eigenes Unterobjekt, getrennt von Mollie, nie summiert (Auftrag 2).
• Ohne Key: state: "unconfigured" → Lagebild Stripe: NICHT KONFIGURIERT — …NICHT gemessen und NICHT 0, Morgenbrief: „Stripe kann ich nicht sehen — dort könnte Geld eingegangen sein, das in dieser Zeile fehlt." (Auftrag 3 ✅)
• Nur lesende Endpunkte, kein OAuth im Script, Beträge hinter --amounts (Auftrag 4 ✅).
• Ein sk_-Vollzugriffskey würde funktionieren, wird aber im Lagebild sichtbar als solcher gemeldet, damit er nicht dauerhaft liegen bleibt.

Verifikation — 2 von 5 Zeilen bestanden, 3 warten auf den Key:

#	Probe	Ergebnis
3	Rot-Probe STRIPE_READ_KEY=rk_live_offensichtlichfalsch	✅ Stripe: FEHLER — Stripe /subscriptions HTTP 401 — Invalid API Key provided: rk_live_****lsch · keine Zahlen. Stripe maskiert den Key in der eigenen Fehlermeldung, es leakt nichts.
4	Lücken-Probe (kein Key)	✅ NICHT KONFIGURIERT, Mollie-Teil bleibt vollständig lesbar — genau dafür ist die Trennung da
1	plausible Live-Werte	⛔ braucht den Key
2	Stichprobe gegen die Stripe-API	⛔ braucht den Key
5	Schreibschutz-Probe	⛔ braucht den Key

Der Handgriff (≈2 Minuten, nur Munir): dashboard.stripe.com → API keys → Restricted Key mit den Lese-Rechten Invoices: read · Charges: read · Subscriptions: read → Wert als STRIPE_READ_KEY in ~/.secrets/master.env. Derselbe Key erledigt auch agency-infra#130 (dort als STRIPE_INVOICE_EXPORT_KEY, braucht nur Invoices: read) — ein Dashboard-Besuch, zwei Tickets frei.

Danach sind hier nur noch die drei Proben zu fahren; Code-Arbeit ist keine mehr offen.

[munirad7s]

Munir's 2026-08-12 authorization removes the approval-only gate; no paid API, upgrade, or credit purchase is authorized. Any Aug 8 quota-reset blocker is expired. Remaining work is agent-side implementation/verification, so this moves from blocked-munir to ready.