SP-Zugriffsweg explizit (access: api/snapshot, #133) und follow_up_at-Korrektur (dueWithTime/dueDay, #135)

Files changed:
- CHANGES.md
- INSTALL.md
- VERSION
- tools/CONTRACT.md
- tools/chemenu/commands/doctor.py
- tools/chemenu/commands/new_page.py
- tools/chemenu/commands/review_cmd.py
- tools/chemenu/review.py
- tools/chemenu/tasks/__init__.py
- tools/chemenu/tasks/config.py
- tools/chemenu/tasks/protocol.py
- tools/chemenu/tasks/superproductivity.py
- tools/chemenu/tests/test_doctor.py
- tools/chemenu/tests/test_new_page.py
- tools/chemenu/tests/test_review.py
- tools/chemenu/tests/test_superproductivity.py
- tools/chemenu/tests/test_tasks_config.py

INSTALL.md

@@ -309,20 +309,41 @@ unlesbare Konfiguration darf nicht als „kein Tracker" durchgehen.
     "someday_stale_months": 5
   },
   "superproductivity": {
-    "backups_dir": "~/.config/superProductivity/backups",
+    "access": "api",
     "api_base_url": "http://127.0.0.1:3876",
     "api_token": "<token aus den SP-Einstellungen>"
   }
 }
 ```
 
+```json
+  "superproductivity": {
+    "access": "snapshot",
+    "backups_dir": "~/.config/superProductivity/backups"
+  }
+```
+
 `provider` wählt den Adapter - ausgeliefert wird bislang `superproductivity`. Der `thresholds`-
 Block trägt die drei Schwellwerte des Rückblicks (Konfiguration, nicht Schema): ab wann ein
 Waiting-For überfällig ist, ab welchem Alter ein Tracker-Projekt ohne `kb/`-Seite gemeldet wird,
-und ab wann ein Someday-Eintrag als verstaubt gilt. Der gleichnamige Provider-Block trägt dessen
-Verbindungsangaben; bei Super Productivity sind Lese- und Schreibpfad verschieden - gelesen wird
-der jüngste Backup-Schnappschuss unter `backups_dir` (läuft auch ohne laufende App), geschrieben
-über die lokale REST-API, die nur antwortet, solange die App läuft.
+und ab wann ein Someday-Eintrag als verstaubt gilt.
+
+Der gleichnamige Provider-Block trägt dessen Verbindungsangaben, und bei Super Productivity
+entscheidet `access` **verpflichtend und ohne Rückfall**, welcher von zwei sich ausschließenden
+Wegen das ist: eine headless bediente Instanz setzt `access: "snapshot"` und liest
+ausschließlich den jüngsten Backup-Schnappschuss unter `backups_dir` (läuft auch ohne laufende
+App, aber rein lesend - der Tracker ist von dort aus nicht schreibbar); eine Desktop-Instanz
+setzt `access: "api"` und spricht ausschließlich die lokale REST-API an, die nur antwortet,
+solange die App läuft, dafür aber auch den aktuellen Zustand liefert und den Schreibpfad trägt.
+Der Block nennt nur die Felder seines eigenen Wegs - ein `backups_dir` neben `access: "api"` oder
+ein `api_token` neben `access: "snapshot"` wird beim Lesen der Konfiguration abgelehnt, nicht
+ignoriert. `api_token` ist bei `access: "api"` Pflicht, da jeder Endpunkt außer `GET /health`
+`Authorization: Bearer <token>` verlangt.
+
+`tools/wikitool new project` legt einen gleichnamigen Tracker-Eintrag nur auf einer
+`access: "api"`-Instanz an (und auch dort nicht automatisch - siehe die Kommandotabelle). Auf
+einer `access: "snapshot"`-Instanz verweigert das Kommando vollständig, exit 1: der Tracker ist
+von dort aus nur lesbar.
 
 ## Verifikation