docs: changelog for backup-codes show-once + system label/domain fixes

Co-Authored-By: Claude Opus 4.8 (1M context) <noreply@anthropic.com>

CHANGELOG.md

@@ -18,11 +18,19 @@ getaggte Releases (Kanal `stable`, optional `beta`) — niemals Entwicklungs-Bui
 - **Firewall/fail2ban-Bereich:** eine einzeln installierte Box füllt jetzt die volle Breite mit
   interner 2-Spalten-Aufteilung (kein leerer Raum mehr); zwei Boxen weiterhin nebeneinander.
 
+### Sicherheit
+- **Backup-Codes nur einmal sichtbar.** Codes werden ausschließlich direkt nach der Erzeugung
+  (erster Faktor oder „Neu erzeugen") angezeigt — „Backup-Codes verwalten" zeigt sie NICHT mehr an,
+  sondern bietet nur noch „Neu erzeugen". Serverseitig gated (`#[Locked]` + Einmal-Flags), und der
+  Download-Endpunkt verlangt jetzt eine frische Berechtigung statt jederzeitigen Zugriffs.
+
 ### Behoben
 - **fail2ban „Gesperrte IPs"-Modal öffnet sofort** — Skeleton + Lazy-Load statt blockierendem
   SSH-Read beim Öffnen.
 - **Security-Keys-Untertitel** korrigiert: ein Schlüssel kann alleiniger Faktor sein, mit TOTP oder
   beides — nicht mehr „nur als zweiter Faktor".
+- **System-Seite:** TLS-Modus-Schalter bricht nicht mehr um (kürzeres Label, Details in der
+  Beschreibung); Domain-Feld zeigt nur noch einen Platzhalter (kein vorausgefüllter Beispielwert).
 
 ## [0.9.0] - 2026-06-14