feat(hrworks): Abwesenheiten taeglich aus HRworks uebernehmen

Urlaub, Krankheit, Elternzeit und Feiertage stehen in HRworks. Pulse holt
sie einmal taeglich und bucht sie auf das nicht abrechenbare Projekt
"Abwesenheiten". Nach HRworks geht nichts zurueck, es wird nur gelesen.

Die Stunden rechnet HRworks selbst: available-working-hours liefert je
Person und Tag das Soll und die verfuegbaren Stunden, die Differenz sind
die Abwesenheitsstunden. Damit stimmen Teilzeit und halbe Tage ohne
eigenen Kalender. relatedEvents nennt den Auslöser; Vorrang hat der
Feiertag, dann Krankheit, dann Abwesenheit.

Abgesprochene Regeln: nur genehmigte Abwesenheiten (validatedOk), bei
Krankmeldungen auch offene Bescheinigungen; nur bis heute buchen, der
Rest waechst taeglich nach; halbe Tage feste 4 Stunden; jeder aktive
Mitarbeiter wird dem Projekt zugewiesen, auch neue.

Jede Buchung traegt hrworks_ref = "<Nummer>@<Tag>" (unique). Ein zweiter
Lauf aendert nichts, Stornos und Verschiebungen verschwinden im naechsten
Lauf, DELETE /api/hrworks/entries entfernt genau diese Buchungen.

Nicht abrechenbare Projekte brauchen keinen Budgettopf mehr. Ein Topf
traegt Volumen, Laufzeit und Satz - das hat nur bei Billable und
Festpreis Sinn. Am Abwesenheitsprojekt war er nur ein Ablaufdatum, das
irgendwann Buchungen blockiert haette.

Taeglicher Lauf ueber systemd (perinco-pulse-hrworks.timer, 5:30 Uhr
Berliner Zeit, Persistent). Bedienung unter Einstellungen ->
Abwesenheiten (HRworks) mit Verbindungstest und Probelauf; der geheime
Schluessel liegt AES-verschluesselt in der Datenbank.

Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>

server/src/routes/settings.js

@@ -27,7 +27,17 @@ router.get('/public', async (req, res, next) => {
 router.get('/', requireRole('admin'), async (req, res, next) => {
   try {
     const s = await getSettings();
-    res.json({ ...s, sso: { ...s.sso, client_secret: '', client_secret_set: Boolean(s.sso.client_secret), configured: ssoConfigured(s.sso) } });
+    // Geheimnisse werden nie ausgeliefert, nur die Information, dass sie stehen.
+    res.json({
+      ...s,
+      sso: { ...s.sso, client_secret: '', client_secret_set: Boolean(s.sso.client_secret), configured: ssoConfigured(s.sso) },
+      hrworks: {
+        ...s.hrworks,
+        secret_access_key: '',
+        secret_set: Boolean(s.hrworks.secret_access_key),
+        configured: Boolean(s.hrworks.access_key && s.hrworks.secret_access_key),
+      },
+    });
   } catch (err) {
     next(err);
   }
@@ -83,6 +93,38 @@ router.put('/', requireRole('admin'), async (req, res, next) => {
       await saveSetting('export', next_);
     }
 
+    if (body.hrworks) {
+      const next_ = { ...current.hrworks };
+      for (const key of ['access_key', 'project_code', 'holiday_task']) {
+        if (body.hrworks[key] !== undefined) next_[key] = text(body.hrworks[key], 200).trim();
+      }
+      if (body.hrworks.enabled !== undefined) next_.enabled = Boolean(body.hrworks.enabled);
+      if (body.hrworks.window_days !== undefined) {
+        const days = Number(body.hrworks.window_days);
+        if (days >= 1 && days <= 365) next_.window_days = Math.round(days);
+        else errors.push('HRworks: Fenster zwischen 1 und 365 Tagen.');
+      }
+      if (body.hrworks.half_day_hours !== undefined) {
+        const hours = Number(body.hrworks.half_day_hours);
+        if (hours >= 0 && hours <= 12) next_.half_day_hours = hours;
+        else errors.push('HRworks: Stunden für einen halben Tag zwischen 0 und 12.');
+      }
+      if (body.hrworks.type_map && typeof body.hrworks.type_map === 'object') {
+        const map = {};
+        for (const [key, value] of Object.entries(body.hrworks.type_map)) {
+          if (/^(absence|sick):[A-Za-z0-9_-]{1,20}$/.test(key)) map[key] = text(value, 160).trim();
+        }
+        next_.type_map = map;
+      }
+      // Leer = unveraendert; der geheime Teil wird nie ausgeliefert.
+      if (body.hrworks.secret_access_key) next_.secret_access_key = text(body.hrworks.secret_access_key, 500).trim();
+      if (body.hrworks.clear_secret) next_.secret_access_key = '';
+      if (next_.enabled && !(next_.access_key && next_.secret_access_key)) {
+        errors.push('HRworks kann erst aktiviert werden, wenn Access Key und Secret gesetzt sind.');
+      }
+      if (!errors.length) await saveSetting('hrworks', next_);
+    }
+
     if (body.sso) {
       const next_ = { ...current.sso };
       for (const key of ['tenant_id', 'client_id', 'redirect_uri', 'button_label']) {