=== Spainify – Uanataca Zertifikate ===
Requires PHP: 8.0 (mit ext-curl und ext-sodium, beides Standard)
Requires: Gravity Forms

Integriert die Uanataca RA API (eIDAS-VideoID-Flow) in WordPress:
Antragsformular via Gravity Forms → automatischer Request bei Uanataca →
Status-Tracking per Webhook → E-Mail-Strecke → verschlüsselte Ausweis-
Ablage außerhalb des Webroots → automatischer DSGVO-Lösch-Cron.

== Einrichtung (Checkliste) ==

1. KONSTANTEN in wp-config.php (siehe Kopf von spainify-uanataca.php):
   - SPUA_ENCRYPTION_KEY   (base64, 32 Byte: php -r "echo base64_encode(random_bytes(32));")
   - SPUA_WEBHOOK_SECRET   (zufälliger String, z. B. 40 Zeichen hex)
   - SPUA_MTLS_CERT / SPUA_MTLS_KEY  (Pfade zu cer.pem/key.pem AUSSERHALB des Webroots, chmod 600)
   - SPUA_VAULT_DIR        (Ablageverzeichnis AUSSERHALB des Webroots, chmod 700)

2. GRAVITY FORMS: Formular anlegen mit Feldern
   Vorname, Nachname, E-Mail, Handynummer (mit Ländervorwahl!),
   NIE, Datei-Upload Pass Vorderseite (jpg/png/pdf, max. 8 MB),
   optional Rückseite. Feld-IDs notieren.

3. PLUGIN-EINSTELLUNGEN (WP-Admin → Uanataca → Einstellungen):
   - Sandbox aktiv lassen, RA-ID + Profil eintragen
   - Formular-ID und Feld-IDs mappen
   - Löschfristen und Mail-Absender prüfen

4. WEBHOOK bei Uanataca hinterlegen lassen (über euren Betreuer):
   https://DOMAIN/wp-json/spainify/v1/uanataca-webhook?token=WERT_VON_SPUA_WEBHOOK_SECRET

5. SANDBOX-TEST: Testantrag über das Formular schicken, in
   WP-Admin → Uanataca prüfen: Status VIDEOPENDING + Log-Einträge.
   VideoID-Mail von Uanataca (Sandbox) durchspielen, Webhook-Statuswechsel
   beobachten (ENROLLREADY → ISSUED).

6. GO-LIVE: Sandbox-Häkchen entfernen, Produktions-mTLS-Dateien
   hinterlegen, Webhook für die Produktions-RA setzen.

== Offene Abstimmung mit Uanataca ==
Für Nicht-Residenten (deutscher Reisepass + NIE) klären, welcher
id_document_type-Code und welche serial_number-Logik (NIE!) im
Create-Request erwartet wird, damit die NIE ins Zertifikat kommt.
Danach in class-spua-form-handler.php den auskommentierten Block
im create_videoid_request-Aufruf aktivieren.

== Sicherheit / DSGVO ==
- Ausweisdokumente werden unmittelbar nach dem Upload aus
  wp-content/uploads entfernt (sicheres Überschreiben) und mit
  XSalsa20-Poly1305 (libsodium) verschlüsselt im Vault abgelegt.
- Download nur für Administratoren, jeder Download wird protokolliert.
- Automatische Löschung: 30 Tage nach Ausstellung/Stornierung bzw.
  90 Tage bei nie abgeschlossenen Anträgen (konfigurierbar).
- In die Datenschutzerklärung aufnehmen: Uanataca S.A. (Namirial-Gruppe)
  als Empfänger, Zweck eIDAS-Identifikation, Speicherdauer.
- Gravity-Forms-Benachrichtigungen OHNE Datei-Anhang konfigurieren.