major update

docs/konfiguration.md

@@ -15,6 +15,7 @@ Vorlage: `.env.example` — niemals echte Credentials committen.
 | `APP_URL` | `http://localhost:8080` | Basis-URL der Anwendung (für Links in E-Mails und Redirects) |
 | `APP_ENV` | `dev` | Laufzeitumgebung (`dev` oder `prod`) — beeinflusst Fehlerausgabe und Caching |
 | `APP_DEBUG` | `true` | Debug-Modus aktivieren (`true`/`false`) — in Produktion auf `false` setzen |
+| `APP_CONFIG_VALIDATE` | `true` | Boot-Validierung für ENV-Konfiguration aktivieren/deaktivieren (`true`/`false`) |
 | `APP_TIMEZONE` | `Europe/Berlin` | PHP-Zeitzone für `date_default_timezone_set()` |
 | `APP_STORAGE_PATH` | `./storage` | Pfad zum Storage-Verzeichnis für Uploads und Caches |
 | `APP_CRYPTO_KEY` | _(leer)_ | Schlüssel für symmetrische Verschlüsselung (64-stelliger Hex-Key **oder** Base64 mit 32 Byte) — **Pflichtfeld in Produktion** |
@@ -101,3 +102,29 @@ Folgende Variablen **müssen** vor Go-Live angepasst werden:
 - [ ] `FIREWALL_REVERSE_PROXY=true` falls hinter Nginx/Traefik
 - [ ] Alle DB-Credentials auf sichere Werte setzen
 - [ ] Alle SMTP-Credentials auf echte Werte setzen
+
+---
+
+## Boot-Validierung (Fail-Fast)
+
+Beim Start validiert die Anwendung die zentrale ENV-Konfiguration sofort in `config/config.php`.
+Bei fehlenden oder ungültigen Pflichtwerten stoppt der Boot-Prozess mit klarer Fehlermeldung.
+
+Geprüft werden unter anderem:
+
+- Pflicht-Keys wie `APP_ENV`, `DB_*`, `CACHE_SERVERS`, `SESSION_NAME`, `FIREWALL_*`
+- Typen/Formate (`bool`, `int`, `float`, `timezone`, `URL`)
+- Konsistenz (`APP_LOCALE` muss in `APP_LOCALES` enthalten sein)
+- Production-Regeln:
+  - `APP_URL` muss gesetzt sein
+  - `APP_CRYPTO_KEY` muss gesetzt und gültig sein (64 Hex oder Base64/32 Byte)
+  - `APP_DEBUG=false`
+  - `TENANT_SCOPE_STRICT=true`
+
+Nur für Notfälle kann die Validierung temporär abgeschaltet werden:
+
+```env
+APP_CONFIG_VALIDATE=false
+```
+
+Empfehlung: im Normalbetrieb immer `true` lassen.