Taak 130: backend af, beide callback-routes bewezen op devbob

Plus een herinnering voor 2026-09-22: devbob bij de OneAll allowed
domains zetten zodra de site weer draait.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

TASKS.md

@@ -1947,6 +1947,19 @@ OneAll als client. Er verandert dus niets aan de Facebook-instellingen van de si
 | **130-K** | Bob | Privacyverklaring + Play **Data Safety** bijwerken: de app ontvangt dan naam/e-mail/avatar van een derde partij |
 | **130-L** | Claude | Bevindingen naar `CLAUDE.md` |
 
+**⏰ HERINNERING VOOR 2026-09-22 (Bob vroeg hier expliciet om):**
+`devbob.uitgaanskrant.com` toevoegen aan de **allowed domains** in het
+OneAll-dashboard. Kon op 2026-09-21 niet — devbob had een storing. Zonder dat
+domein weigert OneAll de `callback_uri` en is testen op devbob onmogelijk.
+
+**Stand 2026-09-21, tweede testronde — backend is KLAAR:**
+Beide callback-routes bewezen op devbob: `/callback?state=X` én
+`/callback/X`, en in beide gevallen vindt de claim de state terug
+(`{"status":"error","message":"cancelled"}`), geeft een tweede claim weer
+`pending` en een te korte state een 400. Er valt aan de Drupal-kant niets meer
+te testen tot het OneAll-abonnement omgaat. Rest: de aangepaste `.inc` +
+het tweede `hook_menu`-item nog naar **productie** (de oude versie staat er al).
+
 **Stand 2026-09-21 na de eerste testronde:**
 - ⚠️ **De upgrade is nog niet actief** — gemeten: Direct Connect geeft nog
   steeds *"not available in the Starter plan"*.