diff --git a/wordpress-plugin/README.md b/wordpress-plugin/README.md
index 05d7d032..11ebcfd0 100644
--- a/wordpress-plugin/README.md
+++ b/wordpress-plugin/README.md
@@ -62,7 +62,7 @@ Unter *Einstellungen → DeskHub Tickets* gibt es **„Speichern und Verbindung
 
 ## Grenzen
 
-- **Keine Dateianhänge:** Die öffentliche API von DeskHub nimmt nur Text. Der Anhang-Upload des Kundenformulars fehlt deshalb im WordPress-Formular.
+- **Dateianhänge (ab Plugin 1.3.0 und DeskHub 1.0.67):** Besucher können bis zu 5 Dateien anhängen (zusammen höchstens 10 MB). Erlaubte Typen und die Größe je Datei bestimmt DeskHub (Einstellungen → Uploads); im Plugin lässt sich die Funktion ausschalten, ein eigenes Formular in DeskHub kann Anhänge ebenfalls abschalten. Mit älterem DeskHub bleibt das Feld unsichtbar.
 - **Ältere DeskHub-Version:** Ohne die Formular-Schnittstelle (vor 1.0.64) zeigt das Plugin das einfache Formular ohne eigene Felder; Administratoren sehen einen Hinweis.
 - **IP-Adresse im Ticket:** DeskHub sieht die IP-Adresse Ihres WordPress-Servers, nicht die des Besuchers.
 - **Mengenbegrenzung der API:** DeskHub nimmt über die API höchstens 60 Tickets pro Minute an (für alle Aufrufer zusammen).
diff --git a/wordpress-plugin/deskhub-tickets/assets/form.css b/wordpress-plugin/deskhub-tickets/assets/form.css
index 65f98b47..18646e9a 100644
--- a/wordpress-plugin/deskhub-tickets/assets/form.css
+++ b/wordpress-plugin/deskhub-tickets/assets/form.css
@@ -107,6 +107,8 @@
 .dht-wrap .dht-group { font-size: 1.1em !important; line-height: 1.3 !important; font-weight: 600 !important; letter-spacing: normal !important; text-transform: none !important; }
 .dht-radios.dht-inline { display: flex; flex-wrap: wrap; gap: 0 1.4em; }
 .dht-radios.dht-inline legend { flex: 1 1 100%; }
+.dht-attach input[type="file"] { width: 100%; padding: .5em 0; font: inherit; color: inherit; }
+.dht-attach .dht-help { display: block; }
 .dht-help { margin: .3em 0 0; font-size: .88em; color: var(--dht-muted); }
 .dht-req { color: #b91c1c; }
 .dht-group { margin: 1.2em 0 .6em; }
diff --git a/wordpress-plugin/deskhub-tickets/assets/form.js b/wordpress-plugin/deskhub-tickets/assets/form.js
index aed5a481..6fcdc0c9 100644
--- a/wordpress-plugin/deskhub-tickets/assets/form.js
+++ b/wordpress-plugin/deskhub-tickets/assets/form.js
@@ -43,6 +43,12 @@
         var mi = message.querySelector('textarea');
         if (mi) { mi.disabled = !f.messageShow; mi.required = !!f.messageShow; mi.placeholder = f.messageHint || ''; }
       }
+      var attach = form.querySelector('.dht-attach');
+      if (attach) {
+        attach.hidden = !f.attachments;
+        var fi = attach.querySelector('input[type=file]');
+        if (fi) { fi.disabled = !f.attachments; if (!f.attachments) { fi.value = ''; } }
+      }
       var submit = form.querySelector('.dht-submit');
       if (submit && f.submitLabel) { submit.textContent = f.submitLabel; }
     }
diff --git a/wordpress-plugin/deskhub-tickets/deskhub-tickets.php b/wordpress-plugin/deskhub-tickets/deskhub-tickets.php
index f409cecc..d7c6ef9c 100644
--- a/wordpress-plugin/deskhub-tickets/deskhub-tickets.php
+++ b/wordpress-plugin/deskhub-tickets/deskhub-tickets.php
@@ -3,7 +3,7 @@
  * Plugin Name:       DeskHub Tickets
  * Plugin URI:        https://git.viper.ipv64.net/M_Viper/deskhub
  * Description:       Support-Tickets aus WordPress heraus in DeskHub anlegen und den Status abfragen. Formular und Statusabfrage per Shortcode, Spamschutz, Einwilligung und optional Cloudflare Turnstile.
- * Version:           1.2.2
+ * Version:           1.3.0
  * Requires at least: 5.8
  * Requires PHP:      7.4
  * Author:            DeskHub
@@ -17,7 +17,7 @@ if (!defined('ABSPATH')) {
     exit;
 }
 
-define('DESKHUB_TICKETS_VERSION', '1.2.2');
+define('DESKHUB_TICKETS_VERSION', '1.3.0');
 define('DESKHUB_TICKETS_FILE', __FILE__);
 define('DESKHUB_TICKETS_DIR', plugin_dir_path(__FILE__));
 define('DESKHUB_TICKETS_ASSETS', plugin_dir_url(__FILE__));
diff --git a/wordpress-plugin/deskhub-tickets/includes/class-client.php b/wordpress-plugin/deskhub-tickets/includes/class-client.php
index 4115d035..8039e31c 100644
--- a/wordpress-plugin/deskhub-tickets/includes/class-client.php
+++ b/wordpress-plugin/deskhub-tickets/includes/class-client.php
@@ -71,13 +71,17 @@ class Deskhub_Tickets_Client
     public function create_ticket(array $data)
     {
         $fields = $data['fields'] ?? null;
-        unset($data['fields']);
+        $attachments = $data['attachments'] ?? null;
+        unset($data['fields'], $data['attachments']);
         $payload = array_filter($data, static function ($v) {
             return $v !== null && $v !== '' && $v !== 0;
         });
         if (is_array($fields)) {
             $payload['fields'] = (object) $fields;   // auch leer senden: Damit prüft DeskHub die Angaben gegen das Kundenformular
         }
+        if (is_array($attachments) && $attachments) {
+            $payload['attachments'] = array_values($attachments);
+        }
         $res = $this->request('POST', [], $payload);
         if (is_wp_error($res)) {
             return $res;
diff --git a/wordpress-plugin/deskhub-tickets/includes/class-form.php b/wordpress-plugin/deskhub-tickets/includes/class-form.php
index a7fdf902..0dba0af8 100644
--- a/wordpress-plugin/deskhub-tickets/includes/class-form.php
+++ b/wordpress-plugin/deskhub-tickets/includes/class-form.php
@@ -157,7 +157,7 @@ class Deskhub_Tickets_Form
         $texts = [];
         foreach ($forms as $tid => $fm) {
             $texts[$tid] = ['title' => $fm['title'], 'intro' => $fm['intro'], 'subjectShow' => $fm['subject']['show'], 'subjectLabel' => $fm['subject']['label'],
-                'messageShow' => $fm['message']['show'], 'messageLabel' => $fm['message']['label'], 'messageHint' => $fm['message']['hint'], 'submitLabel' => $fm['submitLabel']];
+                'messageShow' => $fm['message']['show'], 'messageLabel' => $fm['message']['label'], 'messageHint' => $fm['message']['hint'], 'submitLabel' => $fm['submitLabel'], 'attachments' => $fm['attachments']['enabled']];
         }
         if ($unsupported && current_user_can('manage_options')) {
             echo '<p class="dht-notice dht-error">' . esc_html__('Der DeskHub-Server kennt die Formular-Schnittstelle noch nicht (bitte DeskHub aktualisieren). Bis dahin wird das einfache Formular ohne eigene Felder gezeigt. (Diese Meldung sehen nur Administratoren.)', 'deskhub-tickets') . '</p>';
@@ -175,7 +175,7 @@ class Deskhub_Tickets_Form
         $showSubject = (bool) $active['subject']['show'];
         $showMessage = (bool) $active['message']['show'];
         ?>
-        <form method="post" action="<?php echo esc_url(admin_url('admin-post.php')); ?>" class="dht-form" data-dht-forms="<?php echo esc_attr((string) wp_json_encode($texts)); ?>">
+        <form method="post" enctype="multipart/form-data" action="<?php echo esc_url(admin_url('admin-post.php')); ?>" class="dht-form" data-dht-forms="<?php echo esc_attr((string) wp_json_encode($texts)); ?>">
           <input type="hidden" name="action" value="deskhub_ticket_submit">
           <input type="hidden" name="dht_cfg" value="<?php echo esc_attr($cfgB64); ?>">
           <input type="hidden" name="dht_sig" value="<?php echo esc_attr(deskhub_tickets_sign('cfg|' . $cfgB64)); ?>">
@@ -219,6 +219,31 @@ class Deskhub_Tickets_Form
           </p>
           <?php echo self::render_slot($forms, ['issue'], $multi, $selected, $values['fields']); ?>
           <?php echo self::render_slot($forms, [], $multi, $selected, $values['fields'], true); ?>
+          <?php
+          // Dateien anhängen: ein Feld für das ganze Formular; form.js blendet es aus, wenn das gewählte Thema keine Anhänge erlaubt
+          $attPolicy = null;
+          foreach ($forms as $fm) {
+              if (!empty($fm['attachments']['enabled'])) {
+                  $attPolicy = $fm['attachments'];
+                  break;
+              }
+          }
+          if ($attPolicy !== null):
+              $attOn = !empty($active['attachments']['enabled']);
+          ?>
+          <p class="dht-attach"<?php echo $attOn ? '' : ' hidden'; ?>>
+            <label for="dht-files"><?php echo esc_html__('Dateien anhängen (optional)', 'deskhub-tickets'); ?></label>
+            <input type="file" id="dht-files" name="dht_files[]" multiple accept="<?php echo esc_attr('.' . implode(',.', $attPolicy['allowed'])); ?>" <?php echo $attOn ? '' : 'disabled'; ?>>
+            <span class="dht-help"><?php echo esc_html(sprintf(
+                /* translators: 1: Anzahl Dateien, 2: Größe je Datei, 3: Größe insgesamt, 4: Dateitypen */
+                __('Bis zu %1$d Dateien, je höchstens %2$s, zusammen höchstens %3$s. Erlaubt: %4$s', 'deskhub-tickets'),
+                $attPolicy['maxFiles'],
+                self::format_bytes($attPolicy['maxFileBytes']),
+                self::format_bytes($attPolicy['maxTotalBytes']),
+                implode(', ', $attPolicy['allowed'])
+            )); ?></span>
+          </p>
+          <?php endif; ?>
           <?php if (trim((string) $opts['consent_text']) !== ''): ?>
           <p class="dht-consent">
             <label><input type="checkbox" name="dht_consent" value="1" required> <span><?php echo wp_kses((string) $opts['consent_text'], ['a' => ['href' => [], 'target' => [], 'rel' => []], 'strong' => [], 'em' => []]); ?></span></label>
@@ -247,6 +272,104 @@ class Deskhub_Tickets_Form
         ];
     }
 
+    /**
+     * Angebot für Dateianhänge aus dem Formular von DeskHub. Ohne Angabe (ältere DeskHub-Version) oder wenn die Option des Plugins
+     * ausgeschaltet ist, gibt es keine Anhänge.
+     *
+     * @param mixed $a
+     * @return array{enabled:bool,maxFiles:int,maxFileBytes:int,maxTotalBytes:int,allowed:string[]}
+     */
+    public static function normalize_attachments($a): array
+    {
+        $off = ['enabled' => false, 'maxFiles' => 0, 'maxFileBytes' => 0, 'maxTotalBytes' => 0, 'allowed' => []];
+        $opts = deskhub_tickets_options();
+        if (!is_array($a) || empty($a['enabled']) || empty($opts['attachments'])) {
+            return $off;
+        }
+        $allowed = [];
+        foreach ((array) ($a['allowedExtensions'] ?? []) as $e) {
+            $e = strtolower(ltrim(trim((string) $e), '.'));
+            if ($e !== '' && preg_match('/^[a-z0-9]{1,8}$/', $e)) {
+                $allowed[] = $e;
+            }
+        }
+        $files = max(0, min(10, (int) ($a['maxFiles'] ?? 0)));
+        $perFile = max(0, (int) ($a['maxFileBytes'] ?? 0));
+        $total = max(0, (int) ($a['maxTotalBytes'] ?? 0));
+        if ($files < 1 || $perFile < 1 || $total < 1 || !$allowed) {
+            return $off;
+        }
+        return ['enabled' => true, 'maxFiles' => $files, 'maxFileBytes' => $perFile, 'maxTotalBytes' => $total, 'allowed' => $allowed];
+    }
+
+    /** Menschenlesbare Größe ("5 MB"). */
+    private static function format_bytes(int $b): string
+    {
+        return $b >= 1048576 ? rtrim(rtrim(number_format($b / 1048576, 1, ',', ''), '0'), ',') . ' MB' : max(1, (int) round($b / 1024)) . ' KB';
+    }
+
+    /**
+     * Prüft die hochgeladenen Dateien gegen das Angebot und gibt sie fertig für die Schnittstelle zurück.
+     *
+     * @param array<string,mixed> $files  $_FILES['dht_files']
+     * @return array{0:string[],1:array<int,array{name:string,data:string}>}  [Fehler, Anhänge]
+     */
+    public static function collect_attachments(array $files, array $policy): array
+    {
+        $names = isset($files['name']) ? (array) $files['name'] : [];
+        $errors = [];
+        $out = [];
+        $total = 0;
+        $dangerous = ['php', 'php3', 'php4', 'php5', 'php7', 'php8', 'phtml', 'phar', 'exe', 'bat', 'cmd', 'sh', 'js', 'html', 'htm', 'svg'];
+        foreach ($names as $i => $rawName) {
+            $err = (int) ($files['error'][$i] ?? UPLOAD_ERR_NO_FILE);
+            if ($err === UPLOAD_ERR_NO_FILE) {
+                continue;   // nichts ausgewählt
+            }
+            $name = sanitize_file_name(wp_unslash((string) $rawName));
+            if (!$policy['enabled']) {
+                return [[__('Bei diesem Formular können keine Dateien angehängt werden.', 'deskhub-tickets')], []];
+            }
+            if (count($out) >= $policy['maxFiles']) {
+                $errors[] = sprintf(__('Bitte hängen Sie höchstens %d Dateien an.', 'deskhub-tickets'), $policy['maxFiles']);
+                break;
+            }
+            if ($err !== UPLOAD_ERR_OK) {
+                $errors[] = ($err === UPLOAD_ERR_INI_SIZE || $err === UPLOAD_ERR_FORM_SIZE)
+                    ? sprintf(__('Die Datei „%s“ ist zu groß (höchstens %s).', 'deskhub-tickets'), $name, self::format_bytes($policy['maxFileBytes']))
+                    : sprintf(__('Die Datei „%s“ konnte nicht hochgeladen werden.', 'deskhub-tickets'), $name);
+                continue;
+            }
+            $ext = strtolower(pathinfo($name, PATHINFO_EXTENSION));
+            if ($name === '' || $ext === '' || in_array($ext, $dangerous, true) || !in_array($ext, $policy['allowed'], true)) {
+                $errors[] = sprintf(__('Der Dateityp von „%1$s“ ist nicht erlaubt. Erlaubt: %2$s', 'deskhub-tickets'), $name, implode(', ', $policy['allowed']));
+                continue;
+            }
+            $size = (int) ($files['size'][$i] ?? 0);
+            $tmp = (string) ($files['tmp_name'][$i] ?? '');
+            if ($size < 1 || $tmp === '' || !(is_uploaded_file($tmp) || (defined('DESKHUB_TICKETS_TESTS') && is_file($tmp)))) {
+                $errors[] = sprintf(__('Die Datei „%s“ konnte nicht gelesen werden.', 'deskhub-tickets'), $name);
+                continue;
+            }
+            if ($size > $policy['maxFileBytes']) {
+                $errors[] = sprintf(__('Die Datei „%1$s“ ist zu groß (höchstens %2$s).', 'deskhub-tickets'), $name, self::format_bytes($policy['maxFileBytes']));
+                continue;
+            }
+            $total += $size;
+            if ($total > $policy['maxTotalBytes']) {
+                $errors[] = sprintf(__('Die Dateien sind zusammen zu groß (höchstens %s).', 'deskhub-tickets'), self::format_bytes($policy['maxTotalBytes']));
+                break;
+            }
+            $content = file_get_contents($tmp);
+            if ($content === false || $content === '') {
+                $errors[] = sprintf(__('Die Datei „%s“ konnte nicht gelesen werden.', 'deskhub-tickets'), $name);
+                continue;
+            }
+            $out[] = ['name' => $name, 'data' => base64_encode($content)];
+        }
+        return [$errors, $out];
+    }
+
     /** Bringt ein Formular von DeskHub (oder null) in eine feste Form mit Standardwerten, Feldern nach Plätzen sortiert. */
     public static function normalize_form(?array $f): array
     {
@@ -268,6 +391,7 @@ class Deskhub_Tickets_Form
             ],
             'submitLabel' => $own ? $str($f['submitLabel'] ?? '', __('Ticket absenden', 'deskhub-tickets')) : __('Ticket absenden', 'deskhub-tickets'),
             'fields'      => [],
+            'attachments' => self::normalize_attachments($f['attachments'] ?? null),
         ];
         $allowed = ['text', 'textarea', 'select', 'radio', 'checkbox', 'number', 'date'];
         foreach ((array) ($f['fields'] ?? []) as $fd) {
@@ -528,6 +652,13 @@ class Deskhub_Tickets_Form
             [$fieldErrors, $fieldValues] = self::validate_fields($form['fields'], $postedFields);
             $errors = array_merge($errors, $fieldErrors);
         }
+        // Dateianhänge (nur wenn das Formular sie anbietet)
+        $attachments = [];
+        if (!empty($_FILES['dht_files']) && is_array($_FILES['dht_files'])) {
+            $policy = $form !== null ? $form['attachments'] : self::normalize_attachments(null);
+            [$attErrors, $attachments] = self::collect_attachments($_FILES['dht_files'], $policy);
+            $errors = array_merge($errors, $attErrors);
+        }
         if (trim((string) $opts['consent_text']) !== '' && empty($_POST['dht_consent'])) {
             $errors[] = __('Bitte stimmen Sie der Verarbeitung Ihrer Angaben zu.', 'deskhub-tickets');
         }
@@ -563,6 +694,9 @@ class Deskhub_Tickets_Form
         if ($form !== null) {
             $payload['fields'] = $fieldValues;
         }
+        if ($attachments) {
+            $payload['attachments'] = $attachments;
+        }
         $payload = apply_filters('deskhub_tickets_payload', $payload, $values);
         $result = $client->create_ticket($payload);
         if (is_wp_error($result)) {
diff --git a/wordpress-plugin/deskhub-tickets/includes/class-settings.php b/wordpress-plugin/deskhub-tickets/includes/class-settings.php
index 04342719..302fc8d6 100644
--- a/wordpress-plugin/deskhub-tickets/includes/class-settings.php
+++ b/wordpress-plugin/deskhub-tickets/includes/class-settings.php
@@ -86,6 +86,7 @@ class Deskhub_Tickets_Settings
             'strong' => [],
             'em'     => [],
         ]);
+        $out['attachments'] = !empty($input['attachments']) ? 1 : 0;
         $accent = sanitize_hex_color((string) ($input['accent_color'] ?? ''));
         $out['accent_color'] = empty($input['accent_auto']) && $accent ? $accent : '';
         $out['success_text'] = mb_substr(sanitize_text_field((string) ($input['success_text'] ?? '')), 0, 500);
@@ -207,6 +208,13 @@ class Deskhub_Tickets_Settings
                   <p class="description"><?php echo esc_html__('Wenn ausgefüllt, muss der Besucher dieses Kästchen anhaken. Erlaubt sind Links (a), fett und kursiv.', 'deskhub-tickets'); ?></p>
                 </td>
               </tr>
+              <tr>
+                <th scope="row"><?php echo esc_html__('Dateianhänge', 'deskhub-tickets'); ?></th>
+                <td>
+                  <label><input type="checkbox" name="<?php echo esc_attr($name); ?>[attachments]" value="1" <?php checked(!empty($o['attachments'])); ?>> <?php echo esc_html__('Besucher dürfen Dateien anhängen', 'deskhub-tickets'); ?></label>
+                  <p class="description"><?php echo esc_html__('Erlaubte Dateitypen und Größen bestimmt DeskHub (Einstellungen → Uploads): höchstens 5 Dateien, zusammen 10 MB. Braucht DeskHub 1.0.67 oder neuer, sonst bleibt das Feld unsichtbar.', 'deskhub-tickets'); ?></p>
+                </td>
+              </tr>
               <tr>
                 <th scope="row"><label for="dht_accent"><?php echo esc_html__('Akzentfarbe', 'deskhub-tickets'); ?></label></th>
                 <td>
diff --git a/wordpress-plugin/deskhub-tickets/includes/functions.php b/wordpress-plugin/deskhub-tickets/includes/functions.php
index 65b437c6..42e73cdd 100644
--- a/wordpress-plugin/deskhub-tickets/includes/functions.php
+++ b/wordpress-plugin/deskhub-tickets/includes/functions.php
@@ -18,6 +18,7 @@ function deskhub_tickets_defaults(): array
         'priority_id'        => 0,
         'consent_text'       => '',
         'accent_color'       => '',
+        'attachments'        => 1,
         'success_text'       => '',
         'status_page_url'    => '',
         'min_seconds'        => 3,
diff --git a/wordpress-plugin/deskhub-tickets/languages/deskhub-tickets-en_AU.mo b/wordpress-plugin/deskhub-tickets/languages/deskhub-tickets-en_AU.mo
index 0aa12645..26abfcc1 100644
Binary files a/wordpress-plugin/deskhub-tickets/languages/deskhub-tickets-en_AU.mo and b/wordpress-plugin/deskhub-tickets/languages/deskhub-tickets-en_AU.mo differ
diff --git a/wordpress-plugin/deskhub-tickets/languages/deskhub-tickets-en_AU.po b/wordpress-plugin/deskhub-tickets/languages/deskhub-tickets-en_AU.po
index fa89a0c3..809f30f7 100644
--- a/wordpress-plugin/deskhub-tickets/languages/deskhub-tickets-en_AU.po
+++ b/wordpress-plugin/deskhub-tickets/languages/deskhub-tickets-en_AU.po
@@ -17,18 +17,33 @@ msgstr "Department"
 msgid "Adresse des DeskHub-Servers"
 msgstr "DeskHub server address"
 
+msgid "Akzentfarbe"
+msgstr "Accent color"
+
 msgid "Anfrage ohne weitere Angaben"
 msgstr "Request without further details"
 
+msgid "Automatisch vom Theme übernehmen"
+msgstr "Take automatically from the theme"
+
 msgid "Beantwortet"
 msgstr "Answered"
 
+msgid "Bei diesem Formular können keine Dateien angehängt werden."
+msgstr "Files cannot be attached to this form."
+
+msgid "Besucher dürfen Dateien anhängen"
+msgstr "Visitors may attach files"
+
 msgid "Besucher wählen ein Thema aus (Bezeichnung:Nummer des Hilfethemas)"
 msgstr "visitors choose a topic (label:number of the help topic)"
 
 msgid "Betreff"
 msgstr "Subject"
 
+msgid "Bis zu %1$d Dateien, je höchstens %2$s, zusammen höchstens %3$s. Erlaubt: %4$s"
+msgstr "Up to %1$d files, %2$s each at most, %3$s in total. Allowed: %4$s"
+
 msgid "Bitte Server-Adresse und API-Schlüssel eintragen."
 msgstr "Please enter the server address and API key."
 
@@ -68,6 +83,9 @@ msgstr "Please enter a subject (at most 255 characters)."
 msgid "Bitte geben Sie einen Betreff an."
 msgstr "Please enter a subject."
 
+msgid "Bitte hängen Sie höchstens %d Dateien an."
+msgstr "Please attach no more than %d files."
+
 msgid "Bitte prüfen Sie Ihre Angaben."
 msgstr "Please check your details."
 
@@ -95,9 +113,18 @@ msgstr "The form has expired. Please reload the page and try again."
 msgid "Das ging etwas zu schnell. Bitte prüfen Sie Ihre Angaben und senden Sie noch einmal ab."
 msgstr "That was a bit too fast. Please check your details and submit again."
 
+msgid "Dateianhänge"
+msgstr "File attachments"
+
+msgid "Dateien anhängen (optional)"
+msgstr "Attach files (optional)"
+
 msgid "Dazu kommt ein unsichtbares Feld, das nur Roboter ausfüllen. Das Formular funktioniert auch mit Seiten-Cache."
 msgstr "In addition there is an invisible field that only robots fill in. The form also works with page caching."
 
+msgid "Der Dateityp von „%1$s“ ist nicht erlaubt. Erlaubt: %2$s"
+msgstr "The file type of “%1$s” is not allowed. Allowed: %2$s"
+
 msgid "Der DeskHub-Server ist nicht erreichbar."
 msgstr "The DeskHub server cannot be reached."
 
@@ -143,6 +170,21 @@ msgstr "DeskHub decides"
 msgid "Die Adresse, unter der Ihr DeskHub erreichbar ist. Nur https (http nur für lokale Tests)."
 msgstr "The address where your DeskHub can be reached. https only (http only for local tests)."
 
+msgid "Die Datei „%1$s“ ist zu groß (höchstens %2$s)."
+msgstr "The file “%1$s” is too large (%2$s at most)."
+
+msgid "Die Datei „%s“ ist zu groß (höchstens %s)."
+msgstr "The file “%s” is too large (%s at most)."
+
+msgid "Die Datei „%s“ konnte nicht gelesen werden."
+msgstr "The file “%s” could not be read."
+
+msgid "Die Datei „%s“ konnte nicht hochgeladen werden."
+msgstr "The file “%s” could not be uploaded."
+
+msgid "Die Dateien sind zusammen zu groß (höchstens %s)."
+msgstr "The files together are too large (%s at most)."
+
 msgid "Die Formulare werden beim nächsten Aufruf neu aus DeskHub geladen."
 msgstr "The forms will be reloaded from DeskHub on the next request."
 
@@ -182,6 +224,9 @@ msgstr "Settings"
 msgid "Einwilligung (Datenschutz)"
 msgstr "Consent (data protection)"
 
+msgid "Erlaubte Dateitypen und Größen bestimmt DeskHub (Einstellungen → Uploads): höchstens 5 Dateien, zusammen 10 MB. Braucht DeskHub 1.0.67 oder neuer, sonst bleibt das Feld unsichtbar."
+msgstr "DeskHub decides the allowed file types and sizes (Settings → Uploads): at most 5 files, 10 MB in total. Needs DeskHub 1.0.67 or newer, otherwise the field stays hidden."
+
 msgid "Formular"
 msgstr "Form"
 
@@ -263,6 +308,9 @@ msgstr "Priority"
 msgid "Schlüssel entfernen"
 msgstr "Remove key"
 
+msgid "Schrift, Hintergrund und Rahmen übernimmt das Formular immer vom Theme. Die Akzentfarbe (Knopf, Hervorhebung) wird automatisch aus Knöpfen und Links der Seite gelesen; hier lässt sie sich fest vorgeben."
+msgstr "The form always takes font, background and border from the theme. The accent color (button, highlights) is read automatically from buttons and links of the page; you can set it here."
+
 msgid "Seite mit der Statusabfrage"
 msgstr "Page with the status lookup"
 
@@ -365,12 +413,3 @@ msgstr "saved, enter a new key to change it"
 msgid "mit festen Voreinstellungen für dieses Formular"
 msgstr "with fixed defaults for this form"
 
-msgid "Akzentfarbe"
-msgstr "Accent color"
-
-msgid "Automatisch vom Theme übernehmen"
-msgstr "Take automatically from the theme"
-
-msgid "Schrift, Hintergrund und Rahmen übernimmt das Formular immer vom Theme. Die Akzentfarbe (Knopf, Hervorhebung) wird automatisch aus Knöpfen und Links der Seite gelesen; hier lässt sie sich fest vorgeben."
-msgstr "The form always takes font, background and border from the theme. The accent color (button, highlights) is read automatically from buttons and links of the page; you can set it here."
-
diff --git a/wordpress-plugin/deskhub-tickets/languages/deskhub-tickets-en_CA.mo b/wordpress-plugin/deskhub-tickets/languages/deskhub-tickets-en_CA.mo
index 0f58da2d..98acb5f9 100644
Binary files a/wordpress-plugin/deskhub-tickets/languages/deskhub-tickets-en_CA.mo and b/wordpress-plugin/deskhub-tickets/languages/deskhub-tickets-en_CA.mo differ
diff --git a/wordpress-plugin/deskhub-tickets/languages/deskhub-tickets-en_CA.po b/wordpress-plugin/deskhub-tickets/languages/deskhub-tickets-en_CA.po
index 18970dc8..97c29aaa 100644
--- a/wordpress-plugin/deskhub-tickets/languages/deskhub-tickets-en_CA.po
+++ b/wordpress-plugin/deskhub-tickets/languages/deskhub-tickets-en_CA.po
@@ -17,18 +17,33 @@ msgstr "Department"
 msgid "Adresse des DeskHub-Servers"
 msgstr "DeskHub server address"
 
+msgid "Akzentfarbe"
+msgstr "Accent color"
+
 msgid "Anfrage ohne weitere Angaben"
 msgstr "Request without further details"
 
+msgid "Automatisch vom Theme übernehmen"
+msgstr "Take automatically from the theme"
+
 msgid "Beantwortet"
 msgstr "Answered"
 
+msgid "Bei diesem Formular können keine Dateien angehängt werden."
+msgstr "Files cannot be attached to this form."
+
+msgid "Besucher dürfen Dateien anhängen"
+msgstr "Visitors may attach files"
+
 msgid "Besucher wählen ein Thema aus (Bezeichnung:Nummer des Hilfethemas)"
 msgstr "visitors choose a topic (label:number of the help topic)"
 
 msgid "Betreff"
 msgstr "Subject"
 
+msgid "Bis zu %1$d Dateien, je höchstens %2$s, zusammen höchstens %3$s. Erlaubt: %4$s"
+msgstr "Up to %1$d files, %2$s each at most, %3$s in total. Allowed: %4$s"
+
 msgid "Bitte Server-Adresse und API-Schlüssel eintragen."
 msgstr "Please enter the server address and API key."
 
@@ -68,6 +83,9 @@ msgstr "Please enter a subject (at most 255 characters)."
 msgid "Bitte geben Sie einen Betreff an."
 msgstr "Please enter a subject."
 
+msgid "Bitte hängen Sie höchstens %d Dateien an."
+msgstr "Please attach no more than %d files."
+
 msgid "Bitte prüfen Sie Ihre Angaben."
 msgstr "Please check your details."
 
@@ -95,9 +113,18 @@ msgstr "The form has expired. Please reload the page and try again."
 msgid "Das ging etwas zu schnell. Bitte prüfen Sie Ihre Angaben und senden Sie noch einmal ab."
 msgstr "That was a bit too fast. Please check your details and submit again."
 
+msgid "Dateianhänge"
+msgstr "File attachments"
+
+msgid "Dateien anhängen (optional)"
+msgstr "Attach files (optional)"
+
 msgid "Dazu kommt ein unsichtbares Feld, das nur Roboter ausfüllen. Das Formular funktioniert auch mit Seiten-Cache."
 msgstr "In addition there is an invisible field that only robots fill in. The form also works with page caching."
 
+msgid "Der Dateityp von „%1$s“ ist nicht erlaubt. Erlaubt: %2$s"
+msgstr "The file type of “%1$s” is not allowed. Allowed: %2$s"
+
 msgid "Der DeskHub-Server ist nicht erreichbar."
 msgstr "The DeskHub server cannot be reached."
 
@@ -143,6 +170,21 @@ msgstr "DeskHub decides"
 msgid "Die Adresse, unter der Ihr DeskHub erreichbar ist. Nur https (http nur für lokale Tests)."
 msgstr "The address where your DeskHub can be reached. https only (http only for local tests)."
 
+msgid "Die Datei „%1$s“ ist zu groß (höchstens %2$s)."
+msgstr "The file “%1$s” is too large (%2$s at most)."
+
+msgid "Die Datei „%s“ ist zu groß (höchstens %s)."
+msgstr "The file “%s” is too large (%s at most)."
+
+msgid "Die Datei „%s“ konnte nicht gelesen werden."
+msgstr "The file “%s” could not be read."
+
+msgid "Die Datei „%s“ konnte nicht hochgeladen werden."
+msgstr "The file “%s” could not be uploaded."
+
+msgid "Die Dateien sind zusammen zu groß (höchstens %s)."
+msgstr "The files together are too large (%s at most)."
+
 msgid "Die Formulare werden beim nächsten Aufruf neu aus DeskHub geladen."
 msgstr "The forms will be reloaded from DeskHub on the next request."
 
@@ -182,6 +224,9 @@ msgstr "Settings"
 msgid "Einwilligung (Datenschutz)"
 msgstr "Consent (data protection)"
 
+msgid "Erlaubte Dateitypen und Größen bestimmt DeskHub (Einstellungen → Uploads): höchstens 5 Dateien, zusammen 10 MB. Braucht DeskHub 1.0.67 oder neuer, sonst bleibt das Feld unsichtbar."
+msgstr "DeskHub decides the allowed file types and sizes (Settings → Uploads): at most 5 files, 10 MB in total. Needs DeskHub 1.0.67 or newer, otherwise the field stays hidden."
+
 msgid "Formular"
 msgstr "Form"
 
@@ -263,6 +308,9 @@ msgstr "Priority"
 msgid "Schlüssel entfernen"
 msgstr "Remove key"
 
+msgid "Schrift, Hintergrund und Rahmen übernimmt das Formular immer vom Theme. Die Akzentfarbe (Knopf, Hervorhebung) wird automatisch aus Knöpfen und Links der Seite gelesen; hier lässt sie sich fest vorgeben."
+msgstr "The form always takes font, background and border from the theme. The accent color (button, highlights) is read automatically from buttons and links of the page; you can set it here."
+
 msgid "Seite mit der Statusabfrage"
 msgstr "Page with the status lookup"
 
@@ -365,12 +413,3 @@ msgstr "saved, enter a new key to change it"
 msgid "mit festen Voreinstellungen für dieses Formular"
 msgstr "with fixed defaults for this form"
 
-msgid "Akzentfarbe"
-msgstr "Accent color"
-
-msgid "Automatisch vom Theme übernehmen"
-msgstr "Take automatically from the theme"
-
-msgid "Schrift, Hintergrund und Rahmen übernimmt das Formular immer vom Theme. Die Akzentfarbe (Knopf, Hervorhebung) wird automatisch aus Knöpfen und Links der Seite gelesen; hier lässt sie sich fest vorgeben."
-msgstr "The form always takes font, background and border from the theme. The accent color (button, highlights) is read automatically from buttons and links of the page; you can set it here."
-
diff --git a/wordpress-plugin/deskhub-tickets/languages/deskhub-tickets-en_GB.mo b/wordpress-plugin/deskhub-tickets/languages/deskhub-tickets-en_GB.mo
index c6dcb65d..8f3e4368 100644
Binary files a/wordpress-plugin/deskhub-tickets/languages/deskhub-tickets-en_GB.mo and b/wordpress-plugin/deskhub-tickets/languages/deskhub-tickets-en_GB.mo differ
diff --git a/wordpress-plugin/deskhub-tickets/languages/deskhub-tickets-en_GB.po b/wordpress-plugin/deskhub-tickets/languages/deskhub-tickets-en_GB.po
index d0e138d1..3cef9602 100644
--- a/wordpress-plugin/deskhub-tickets/languages/deskhub-tickets-en_GB.po
+++ b/wordpress-plugin/deskhub-tickets/languages/deskhub-tickets-en_GB.po
@@ -17,18 +17,33 @@ msgstr "Department"
 msgid "Adresse des DeskHub-Servers"
 msgstr "DeskHub server address"
 
+msgid "Akzentfarbe"
+msgstr "Accent color"
+
 msgid "Anfrage ohne weitere Angaben"
 msgstr "Request without further details"
 
+msgid "Automatisch vom Theme übernehmen"
+msgstr "Take automatically from the theme"
+
 msgid "Beantwortet"
 msgstr "Answered"
 
+msgid "Bei diesem Formular können keine Dateien angehängt werden."
+msgstr "Files cannot be attached to this form."
+
+msgid "Besucher dürfen Dateien anhängen"
+msgstr "Visitors may attach files"
+
 msgid "Besucher wählen ein Thema aus (Bezeichnung:Nummer des Hilfethemas)"
 msgstr "visitors choose a topic (label:number of the help topic)"
 
 msgid "Betreff"
 msgstr "Subject"
 
+msgid "Bis zu %1$d Dateien, je höchstens %2$s, zusammen höchstens %3$s. Erlaubt: %4$s"
+msgstr "Up to %1$d files, %2$s each at most, %3$s in total. Allowed: %4$s"
+
 msgid "Bitte Server-Adresse und API-Schlüssel eintragen."
 msgstr "Please enter the server address and API key."
 
@@ -68,6 +83,9 @@ msgstr "Please enter a subject (at most 255 characters)."
 msgid "Bitte geben Sie einen Betreff an."
 msgstr "Please enter a subject."
 
+msgid "Bitte hängen Sie höchstens %d Dateien an."
+msgstr "Please attach no more than %d files."
+
 msgid "Bitte prüfen Sie Ihre Angaben."
 msgstr "Please check your details."
 
@@ -95,9 +113,18 @@ msgstr "The form has expired. Please reload the page and try again."
 msgid "Das ging etwas zu schnell. Bitte prüfen Sie Ihre Angaben und senden Sie noch einmal ab."
 msgstr "That was a bit too fast. Please check your details and submit again."
 
+msgid "Dateianhänge"
+msgstr "File attachments"
+
+msgid "Dateien anhängen (optional)"
+msgstr "Attach files (optional)"
+
 msgid "Dazu kommt ein unsichtbares Feld, das nur Roboter ausfüllen. Das Formular funktioniert auch mit Seiten-Cache."
 msgstr "In addition there is an invisible field that only robots fill in. The form also works with page caching."
 
+msgid "Der Dateityp von „%1$s“ ist nicht erlaubt. Erlaubt: %2$s"
+msgstr "The file type of “%1$s” is not allowed. Allowed: %2$s"
+
 msgid "Der DeskHub-Server ist nicht erreichbar."
 msgstr "The DeskHub server cannot be reached."
 
@@ -143,6 +170,21 @@ msgstr "DeskHub decides"
 msgid "Die Adresse, unter der Ihr DeskHub erreichbar ist. Nur https (http nur für lokale Tests)."
 msgstr "The address where your DeskHub can be reached. https only (http only for local tests)."
 
+msgid "Die Datei „%1$s“ ist zu groß (höchstens %2$s)."
+msgstr "The file “%1$s” is too large (%2$s at most)."
+
+msgid "Die Datei „%s“ ist zu groß (höchstens %s)."
+msgstr "The file “%s” is too large (%s at most)."
+
+msgid "Die Datei „%s“ konnte nicht gelesen werden."
+msgstr "The file “%s” could not be read."
+
+msgid "Die Datei „%s“ konnte nicht hochgeladen werden."
+msgstr "The file “%s” could not be uploaded."
+
+msgid "Die Dateien sind zusammen zu groß (höchstens %s)."
+msgstr "The files together are too large (%s at most)."
+
 msgid "Die Formulare werden beim nächsten Aufruf neu aus DeskHub geladen."
 msgstr "The forms will be reloaded from DeskHub on the next request."
 
@@ -182,6 +224,9 @@ msgstr "Settings"
 msgid "Einwilligung (Datenschutz)"
 msgstr "Consent (data protection)"
 
+msgid "Erlaubte Dateitypen und Größen bestimmt DeskHub (Einstellungen → Uploads): höchstens 5 Dateien, zusammen 10 MB. Braucht DeskHub 1.0.67 oder neuer, sonst bleibt das Feld unsichtbar."
+msgstr "DeskHub decides the allowed file types and sizes (Settings → Uploads): at most 5 files, 10 MB in total. Needs DeskHub 1.0.67 or newer, otherwise the field stays hidden."
+
 msgid "Formular"
 msgstr "Form"
 
@@ -263,6 +308,9 @@ msgstr "Priority"
 msgid "Schlüssel entfernen"
 msgstr "Remove key"
 
+msgid "Schrift, Hintergrund und Rahmen übernimmt das Formular immer vom Theme. Die Akzentfarbe (Knopf, Hervorhebung) wird automatisch aus Knöpfen und Links der Seite gelesen; hier lässt sie sich fest vorgeben."
+msgstr "The form always takes font, background and border from the theme. The accent color (button, highlights) is read automatically from buttons and links of the page; you can set it here."
+
 msgid "Seite mit der Statusabfrage"
 msgstr "Page with the status lookup"
 
@@ -365,12 +413,3 @@ msgstr "saved, enter a new key to change it"
 msgid "mit festen Voreinstellungen für dieses Formular"
 msgstr "with fixed defaults for this form"
 
-msgid "Akzentfarbe"
-msgstr "Accent color"
-
-msgid "Automatisch vom Theme übernehmen"
-msgstr "Take automatically from the theme"
-
-msgid "Schrift, Hintergrund und Rahmen übernimmt das Formular immer vom Theme. Die Akzentfarbe (Knopf, Hervorhebung) wird automatisch aus Knöpfen und Links der Seite gelesen; hier lässt sie sich fest vorgeben."
-msgstr "The form always takes font, background and border from the theme. The accent color (button, highlights) is read automatically from buttons and links of the page; you can set it here."
-
diff --git a/wordpress-plugin/deskhub-tickets/languages/deskhub-tickets-en_NZ.mo b/wordpress-plugin/deskhub-tickets/languages/deskhub-tickets-en_NZ.mo
index d299c823..d130c548 100644
Binary files a/wordpress-plugin/deskhub-tickets/languages/deskhub-tickets-en_NZ.mo and b/wordpress-plugin/deskhub-tickets/languages/deskhub-tickets-en_NZ.mo differ
diff --git a/wordpress-plugin/deskhub-tickets/languages/deskhub-tickets-en_NZ.po b/wordpress-plugin/deskhub-tickets/languages/deskhub-tickets-en_NZ.po
index 304181f0..4e169f65 100644
--- a/wordpress-plugin/deskhub-tickets/languages/deskhub-tickets-en_NZ.po
+++ b/wordpress-plugin/deskhub-tickets/languages/deskhub-tickets-en_NZ.po
@@ -17,18 +17,33 @@ msgstr "Department"
 msgid "Adresse des DeskHub-Servers"
 msgstr "DeskHub server address"
 
+msgid "Akzentfarbe"
+msgstr "Accent color"
+
 msgid "Anfrage ohne weitere Angaben"
 msgstr "Request without further details"
 
+msgid "Automatisch vom Theme übernehmen"
+msgstr "Take automatically from the theme"
+
 msgid "Beantwortet"
 msgstr "Answered"
 
+msgid "Bei diesem Formular können keine Dateien angehängt werden."
+msgstr "Files cannot be attached to this form."
+
+msgid "Besucher dürfen Dateien anhängen"
+msgstr "Visitors may attach files"
+
 msgid "Besucher wählen ein Thema aus (Bezeichnung:Nummer des Hilfethemas)"
 msgstr "visitors choose a topic (label:number of the help topic)"
 
 msgid "Betreff"
 msgstr "Subject"
 
+msgid "Bis zu %1$d Dateien, je höchstens %2$s, zusammen höchstens %3$s. Erlaubt: %4$s"
+msgstr "Up to %1$d files, %2$s each at most, %3$s in total. Allowed: %4$s"
+
 msgid "Bitte Server-Adresse und API-Schlüssel eintragen."
 msgstr "Please enter the server address and API key."
 
@@ -68,6 +83,9 @@ msgstr "Please enter a subject (at most 255 characters)."
 msgid "Bitte geben Sie einen Betreff an."
 msgstr "Please enter a subject."
 
+msgid "Bitte hängen Sie höchstens %d Dateien an."
+msgstr "Please attach no more than %d files."
+
 msgid "Bitte prüfen Sie Ihre Angaben."
 msgstr "Please check your details."
 
@@ -95,9 +113,18 @@ msgstr "The form has expired. Please reload the page and try again."
 msgid "Das ging etwas zu schnell. Bitte prüfen Sie Ihre Angaben und senden Sie noch einmal ab."
 msgstr "That was a bit too fast. Please check your details and submit again."
 
+msgid "Dateianhänge"
+msgstr "File attachments"
+
+msgid "Dateien anhängen (optional)"
+msgstr "Attach files (optional)"
+
 msgid "Dazu kommt ein unsichtbares Feld, das nur Roboter ausfüllen. Das Formular funktioniert auch mit Seiten-Cache."
 msgstr "In addition there is an invisible field that only robots fill in. The form also works with page caching."
 
+msgid "Der Dateityp von „%1$s“ ist nicht erlaubt. Erlaubt: %2$s"
+msgstr "The file type of “%1$s” is not allowed. Allowed: %2$s"
+
 msgid "Der DeskHub-Server ist nicht erreichbar."
 msgstr "The DeskHub server cannot be reached."
 
@@ -143,6 +170,21 @@ msgstr "DeskHub decides"
 msgid "Die Adresse, unter der Ihr DeskHub erreichbar ist. Nur https (http nur für lokale Tests)."
 msgstr "The address where your DeskHub can be reached. https only (http only for local tests)."
 
+msgid "Die Datei „%1$s“ ist zu groß (höchstens %2$s)."
+msgstr "The file “%1$s” is too large (%2$s at most)."
+
+msgid "Die Datei „%s“ ist zu groß (höchstens %s)."
+msgstr "The file “%s” is too large (%s at most)."
+
+msgid "Die Datei „%s“ konnte nicht gelesen werden."
+msgstr "The file “%s” could not be read."
+
+msgid "Die Datei „%s“ konnte nicht hochgeladen werden."
+msgstr "The file “%s” could not be uploaded."
+
+msgid "Die Dateien sind zusammen zu groß (höchstens %s)."
+msgstr "The files together are too large (%s at most)."
+
 msgid "Die Formulare werden beim nächsten Aufruf neu aus DeskHub geladen."
 msgstr "The forms will be reloaded from DeskHub on the next request."
 
@@ -182,6 +224,9 @@ msgstr "Settings"
 msgid "Einwilligung (Datenschutz)"
 msgstr "Consent (data protection)"
 
+msgid "Erlaubte Dateitypen und Größen bestimmt DeskHub (Einstellungen → Uploads): höchstens 5 Dateien, zusammen 10 MB. Braucht DeskHub 1.0.67 oder neuer, sonst bleibt das Feld unsichtbar."
+msgstr "DeskHub decides the allowed file types and sizes (Settings → Uploads): at most 5 files, 10 MB in total. Needs DeskHub 1.0.67 or newer, otherwise the field stays hidden."
+
 msgid "Formular"
 msgstr "Form"
 
@@ -263,6 +308,9 @@ msgstr "Priority"
 msgid "Schlüssel entfernen"
 msgstr "Remove key"
 
+msgid "Schrift, Hintergrund und Rahmen übernimmt das Formular immer vom Theme. Die Akzentfarbe (Knopf, Hervorhebung) wird automatisch aus Knöpfen und Links der Seite gelesen; hier lässt sie sich fest vorgeben."
+msgstr "The form always takes font, background and border from the theme. The accent color (button, highlights) is read automatically from buttons and links of the page; you can set it here."
+
 msgid "Seite mit der Statusabfrage"
 msgstr "Page with the status lookup"
 
@@ -365,12 +413,3 @@ msgstr "saved, enter a new key to change it"
 msgid "mit festen Voreinstellungen für dieses Formular"
 msgstr "with fixed defaults for this form"
 
-msgid "Akzentfarbe"
-msgstr "Accent color"
-
-msgid "Automatisch vom Theme übernehmen"
-msgstr "Take automatically from the theme"
-
-msgid "Schrift, Hintergrund und Rahmen übernimmt das Formular immer vom Theme. Die Akzentfarbe (Knopf, Hervorhebung) wird automatisch aus Knöpfen und Links der Seite gelesen; hier lässt sie sich fest vorgeben."
-msgstr "The form always takes font, background and border from the theme. The accent color (button, highlights) is read automatically from buttons and links of the page; you can set it here."
-
diff --git a/wordpress-plugin/deskhub-tickets/languages/deskhub-tickets-en_US.mo b/wordpress-plugin/deskhub-tickets/languages/deskhub-tickets-en_US.mo
index 1e3a504d..7fbaf97a 100644
Binary files a/wordpress-plugin/deskhub-tickets/languages/deskhub-tickets-en_US.mo and b/wordpress-plugin/deskhub-tickets/languages/deskhub-tickets-en_US.mo differ
diff --git a/wordpress-plugin/deskhub-tickets/languages/deskhub-tickets-en_US.po b/wordpress-plugin/deskhub-tickets/languages/deskhub-tickets-en_US.po
index e60a4e48..400455d7 100644
--- a/wordpress-plugin/deskhub-tickets/languages/deskhub-tickets-en_US.po
+++ b/wordpress-plugin/deskhub-tickets/languages/deskhub-tickets-en_US.po
@@ -17,18 +17,33 @@ msgstr "Department"
 msgid "Adresse des DeskHub-Servers"
 msgstr "DeskHub server address"
 
+msgid "Akzentfarbe"
+msgstr "Accent color"
+
 msgid "Anfrage ohne weitere Angaben"
 msgstr "Request without further details"
 
+msgid "Automatisch vom Theme übernehmen"
+msgstr "Take automatically from the theme"
+
 msgid "Beantwortet"
 msgstr "Answered"
 
+msgid "Bei diesem Formular können keine Dateien angehängt werden."
+msgstr "Files cannot be attached to this form."
+
+msgid "Besucher dürfen Dateien anhängen"
+msgstr "Visitors may attach files"
+
 msgid "Besucher wählen ein Thema aus (Bezeichnung:Nummer des Hilfethemas)"
 msgstr "visitors choose a topic (label:number of the help topic)"
 
 msgid "Betreff"
 msgstr "Subject"
 
+msgid "Bis zu %1$d Dateien, je höchstens %2$s, zusammen höchstens %3$s. Erlaubt: %4$s"
+msgstr "Up to %1$d files, %2$s each at most, %3$s in total. Allowed: %4$s"
+
 msgid "Bitte Server-Adresse und API-Schlüssel eintragen."
 msgstr "Please enter the server address and API key."
 
@@ -68,6 +83,9 @@ msgstr "Please enter a subject (at most 255 characters)."
 msgid "Bitte geben Sie einen Betreff an."
 msgstr "Please enter a subject."
 
+msgid "Bitte hängen Sie höchstens %d Dateien an."
+msgstr "Please attach no more than %d files."
+
 msgid "Bitte prüfen Sie Ihre Angaben."
 msgstr "Please check your details."
 
@@ -95,9 +113,18 @@ msgstr "The form has expired. Please reload the page and try again."
 msgid "Das ging etwas zu schnell. Bitte prüfen Sie Ihre Angaben und senden Sie noch einmal ab."
 msgstr "That was a bit too fast. Please check your details and submit again."
 
+msgid "Dateianhänge"
+msgstr "File attachments"
+
+msgid "Dateien anhängen (optional)"
+msgstr "Attach files (optional)"
+
 msgid "Dazu kommt ein unsichtbares Feld, das nur Roboter ausfüllen. Das Formular funktioniert auch mit Seiten-Cache."
 msgstr "In addition there is an invisible field that only robots fill in. The form also works with page caching."
 
+msgid "Der Dateityp von „%1$s“ ist nicht erlaubt. Erlaubt: %2$s"
+msgstr "The file type of “%1$s” is not allowed. Allowed: %2$s"
+
 msgid "Der DeskHub-Server ist nicht erreichbar."
 msgstr "The DeskHub server cannot be reached."
 
@@ -143,6 +170,21 @@ msgstr "DeskHub decides"
 msgid "Die Adresse, unter der Ihr DeskHub erreichbar ist. Nur https (http nur für lokale Tests)."
 msgstr "The address where your DeskHub can be reached. https only (http only for local tests)."
 
+msgid "Die Datei „%1$s“ ist zu groß (höchstens %2$s)."
+msgstr "The file “%1$s” is too large (%2$s at most)."
+
+msgid "Die Datei „%s“ ist zu groß (höchstens %s)."
+msgstr "The file “%s” is too large (%s at most)."
+
+msgid "Die Datei „%s“ konnte nicht gelesen werden."
+msgstr "The file “%s” could not be read."
+
+msgid "Die Datei „%s“ konnte nicht hochgeladen werden."
+msgstr "The file “%s” could not be uploaded."
+
+msgid "Die Dateien sind zusammen zu groß (höchstens %s)."
+msgstr "The files together are too large (%s at most)."
+
 msgid "Die Formulare werden beim nächsten Aufruf neu aus DeskHub geladen."
 msgstr "The forms will be reloaded from DeskHub on the next request."
 
@@ -182,6 +224,9 @@ msgstr "Settings"
 msgid "Einwilligung (Datenschutz)"
 msgstr "Consent (data protection)"
 
+msgid "Erlaubte Dateitypen und Größen bestimmt DeskHub (Einstellungen → Uploads): höchstens 5 Dateien, zusammen 10 MB. Braucht DeskHub 1.0.67 oder neuer, sonst bleibt das Feld unsichtbar."
+msgstr "DeskHub decides the allowed file types and sizes (Settings → Uploads): at most 5 files, 10 MB in total. Needs DeskHub 1.0.67 or newer, otherwise the field stays hidden."
+
 msgid "Formular"
 msgstr "Form"
 
@@ -263,6 +308,9 @@ msgstr "Priority"
 msgid "Schlüssel entfernen"
 msgstr "Remove key"
 
+msgid "Schrift, Hintergrund und Rahmen übernimmt das Formular immer vom Theme. Die Akzentfarbe (Knopf, Hervorhebung) wird automatisch aus Knöpfen und Links der Seite gelesen; hier lässt sie sich fest vorgeben."
+msgstr "The form always takes font, background and border from the theme. The accent color (button, highlights) is read automatically from buttons and links of the page; you can set it here."
+
 msgid "Seite mit der Statusabfrage"
 msgstr "Page with the status lookup"
 
@@ -365,12 +413,3 @@ msgstr "saved, enter a new key to change it"
 msgid "mit festen Voreinstellungen für dieses Formular"
 msgstr "with fixed defaults for this form"
 
-msgid "Akzentfarbe"
-msgstr "Accent color"
-
-msgid "Automatisch vom Theme übernehmen"
-msgstr "Take automatically from the theme"
-
-msgid "Schrift, Hintergrund und Rahmen übernimmt das Formular immer vom Theme. Die Akzentfarbe (Knopf, Hervorhebung) wird automatisch aus Knöpfen und Links der Seite gelesen; hier lässt sie sich fest vorgeben."
-msgstr "The form always takes font, background and border from the theme. The accent color (button, highlights) is read automatically from buttons and links of the page; you can set it here."
-
diff --git a/wordpress-plugin/deskhub-tickets/languages/deskhub-tickets-en_ZA.mo b/wordpress-plugin/deskhub-tickets/languages/deskhub-tickets-en_ZA.mo
index 96b3bc8e..8882861f 100644
Binary files a/wordpress-plugin/deskhub-tickets/languages/deskhub-tickets-en_ZA.mo and b/wordpress-plugin/deskhub-tickets/languages/deskhub-tickets-en_ZA.mo differ
diff --git a/wordpress-plugin/deskhub-tickets/languages/deskhub-tickets-en_ZA.po b/wordpress-plugin/deskhub-tickets/languages/deskhub-tickets-en_ZA.po
index 756222fc..fc35773d 100644
--- a/wordpress-plugin/deskhub-tickets/languages/deskhub-tickets-en_ZA.po
+++ b/wordpress-plugin/deskhub-tickets/languages/deskhub-tickets-en_ZA.po
@@ -17,18 +17,33 @@ msgstr "Department"
 msgid "Adresse des DeskHub-Servers"
 msgstr "DeskHub server address"
 
+msgid "Akzentfarbe"
+msgstr "Accent color"
+
 msgid "Anfrage ohne weitere Angaben"
 msgstr "Request without further details"
 
+msgid "Automatisch vom Theme übernehmen"
+msgstr "Take automatically from the theme"
+
 msgid "Beantwortet"
 msgstr "Answered"
 
+msgid "Bei diesem Formular können keine Dateien angehängt werden."
+msgstr "Files cannot be attached to this form."
+
+msgid "Besucher dürfen Dateien anhängen"
+msgstr "Visitors may attach files"
+
 msgid "Besucher wählen ein Thema aus (Bezeichnung:Nummer des Hilfethemas)"
 msgstr "visitors choose a topic (label:number of the help topic)"
 
 msgid "Betreff"
 msgstr "Subject"
 
+msgid "Bis zu %1$d Dateien, je höchstens %2$s, zusammen höchstens %3$s. Erlaubt: %4$s"
+msgstr "Up to %1$d files, %2$s each at most, %3$s in total. Allowed: %4$s"
+
 msgid "Bitte Server-Adresse und API-Schlüssel eintragen."
 msgstr "Please enter the server address and API key."
 
@@ -68,6 +83,9 @@ msgstr "Please enter a subject (at most 255 characters)."
 msgid "Bitte geben Sie einen Betreff an."
 msgstr "Please enter a subject."
 
+msgid "Bitte hängen Sie höchstens %d Dateien an."
+msgstr "Please attach no more than %d files."
+
 msgid "Bitte prüfen Sie Ihre Angaben."
 msgstr "Please check your details."
 
@@ -95,9 +113,18 @@ msgstr "The form has expired. Please reload the page and try again."
 msgid "Das ging etwas zu schnell. Bitte prüfen Sie Ihre Angaben und senden Sie noch einmal ab."
 msgstr "That was a bit too fast. Please check your details and submit again."
 
+msgid "Dateianhänge"
+msgstr "File attachments"
+
+msgid "Dateien anhängen (optional)"
+msgstr "Attach files (optional)"
+
 msgid "Dazu kommt ein unsichtbares Feld, das nur Roboter ausfüllen. Das Formular funktioniert auch mit Seiten-Cache."
 msgstr "In addition there is an invisible field that only robots fill in. The form also works with page caching."
 
+msgid "Der Dateityp von „%1$s“ ist nicht erlaubt. Erlaubt: %2$s"
+msgstr "The file type of “%1$s” is not allowed. Allowed: %2$s"
+
 msgid "Der DeskHub-Server ist nicht erreichbar."
 msgstr "The DeskHub server cannot be reached."
 
@@ -143,6 +170,21 @@ msgstr "DeskHub decides"
 msgid "Die Adresse, unter der Ihr DeskHub erreichbar ist. Nur https (http nur für lokale Tests)."
 msgstr "The address where your DeskHub can be reached. https only (http only for local tests)."
 
+msgid "Die Datei „%1$s“ ist zu groß (höchstens %2$s)."
+msgstr "The file “%1$s” is too large (%2$s at most)."
+
+msgid "Die Datei „%s“ ist zu groß (höchstens %s)."
+msgstr "The file “%s” is too large (%s at most)."
+
+msgid "Die Datei „%s“ konnte nicht gelesen werden."
+msgstr "The file “%s” could not be read."
+
+msgid "Die Datei „%s“ konnte nicht hochgeladen werden."
+msgstr "The file “%s” could not be uploaded."
+
+msgid "Die Dateien sind zusammen zu groß (höchstens %s)."
+msgstr "The files together are too large (%s at most)."
+
 msgid "Die Formulare werden beim nächsten Aufruf neu aus DeskHub geladen."
 msgstr "The forms will be reloaded from DeskHub on the next request."
 
@@ -182,6 +224,9 @@ msgstr "Settings"
 msgid "Einwilligung (Datenschutz)"
 msgstr "Consent (data protection)"
 
+msgid "Erlaubte Dateitypen und Größen bestimmt DeskHub (Einstellungen → Uploads): höchstens 5 Dateien, zusammen 10 MB. Braucht DeskHub 1.0.67 oder neuer, sonst bleibt das Feld unsichtbar."
+msgstr "DeskHub decides the allowed file types and sizes (Settings → Uploads): at most 5 files, 10 MB in total. Needs DeskHub 1.0.67 or newer, otherwise the field stays hidden."
+
 msgid "Formular"
 msgstr "Form"
 
@@ -263,6 +308,9 @@ msgstr "Priority"
 msgid "Schlüssel entfernen"
 msgstr "Remove key"
 
+msgid "Schrift, Hintergrund und Rahmen übernimmt das Formular immer vom Theme. Die Akzentfarbe (Knopf, Hervorhebung) wird automatisch aus Knöpfen und Links der Seite gelesen; hier lässt sie sich fest vorgeben."
+msgstr "The form always takes font, background and border from the theme. The accent color (button, highlights) is read automatically from buttons and links of the page; you can set it here."
+
 msgid "Seite mit der Statusabfrage"
 msgstr "Page with the status lookup"
 
@@ -365,12 +413,3 @@ msgstr "saved, enter a new key to change it"
 msgid "mit festen Voreinstellungen für dieses Formular"
 msgstr "with fixed defaults for this form"
 
-msgid "Akzentfarbe"
-msgstr "Accent color"
-
-msgid "Automatisch vom Theme übernehmen"
-msgstr "Take automatically from the theme"
-
-msgid "Schrift, Hintergrund und Rahmen übernimmt das Formular immer vom Theme. Die Akzentfarbe (Knopf, Hervorhebung) wird automatisch aus Knöpfen und Links der Seite gelesen; hier lässt sie sich fest vorgeben."
-msgstr "The form always takes font, background and border from the theme. The accent color (button, highlights) is read automatically from buttons and links of the page; you can set it here."
-
diff --git a/wordpress-plugin/deskhub-tickets/readme.txt b/wordpress-plugin/deskhub-tickets/readme.txt
index b2427d14..d6fd6021 100644
--- a/wordpress-plugin/deskhub-tickets/readme.txt
+++ b/wordpress-plugin/deskhub-tickets/readme.txt
@@ -1,68 +1,71 @@
-=== DeskHub Tickets ===
-Contributors: deskhub
-Tags: helpdesk, tickets, support, contact form
-Requires at least: 5.8
-Tested up to: 6.6
-Requires PHP: 7.4
-Stable tag: 1.2.2
-License: GPLv2 or later
-License URI: https://www.gnu.org/licenses/gpl-2.0.html
-
-Create support tickets in your DeskHub helpdesk from WordPress and let visitors check the status of their ticket.
-
-== Description ==
-
-DeskHub Tickets connects WordPress to a self-hosted DeskHub helpdesk through its public API.
-
-* `[deskhub_ticket]` shows a form that creates a ticket in DeskHub.
-* `[deskhub_status]` lets a visitor look up the status and public history of a ticket with the ticket number and email address.
-* The API key stays on the server and is never sent to the visitor's browser.
-* Spam protection: hidden trap field, minimum time, limit per visitor and hour, optional Cloudflare Turnstile. Works with page caches.
-* Optional consent checkbox for data protection.
-
-German is the source language of the plugin. An English translation is included.
-
-== Installation ==
-
-1. Upload the plugin and activate it.
-2. In DeskHub create an API key (Manage -> API keys) with the right "Create tickets" (and "Read tickets" for the status page).
-3. In WordPress open Settings -> DeskHub Tickets, enter the server address and the key, save and click "Test connection".
-4. Add `[deskhub_ticket]` to a page.
-
-== Frequently Asked Questions ==
-
-= Can visitors attach files? =
-
-Not in this version: the DeskHub public API accepts text only.
-
-= Where is the API key stored? =
-
-In the WordPress options table. For more safety define `DESKHUB_TICKETS_API_KEY` in wp-config.php; the field in the settings is then locked.
-
-== Changelog ==
-
-= 1.2.2 =
-* Fix: only the button takes the accent color; fields and borders are mixed from the page background and text color and are no longer tinted by theme or accent colors. Real theme buttons are preferred when detecting the accent.
-
-= 1.2.1 =
-* Accent color detection looks at all buttons and links, the theme.json button color and the color variables of common themes and page builders.
-
-= 1.2.0 =
-* The form takes its colors from the theme (text, borders, field background, dark themes); the accent color is read from the buttons and links of the page or set in the settings.
-
-= 1.1.3 =
-* Fix: fields in one row start at the same height, also when only some labels have a required-star.
-
-= 1.1.2 =
-* Fix: labels, text fields and drop-downs have the same font, size and height, even if the theme styles them differently.
-
-= 1.1.1 =
-* Fix: headings of radio fields and sections are no longer enlarged by themes.
-* "Save and test connection" tests the values just entered; clearer messages (IP address, connection errors).
-
-= 1.1.0 =
-* The form of the help topic is taken from DeskHub: custom fields, texts, required fields and the department form. Needs DeskHub 1.0.64 or newer for custom fields.
-* Help topic can be chosen in the settings; "Reload forms" button.
-
-= 1.0.0 =
-* First version.
+=== DeskHub Tickets ===
+Contributors: deskhub
+Tags: helpdesk, tickets, support, contact form
+Requires at least: 5.8
+Tested up to: 6.6
+Requires PHP: 7.4
+Stable tag: 1.3.0
+License: GPLv2 or later
+License URI: https://www.gnu.org/licenses/gpl-2.0.html
+
+Create support tickets in your DeskHub helpdesk from WordPress and let visitors check the status of their ticket.
+
+== Description ==
+
+DeskHub Tickets connects WordPress to a self-hosted DeskHub helpdesk through its public API.
+
+* `[deskhub_ticket]` shows a form that creates a ticket in DeskHub.
+* `[deskhub_status]` lets a visitor look up the status and public history of a ticket with the ticket number and email address.
+* The API key stays on the server and is never sent to the visitor's browser.
+* Spam protection: hidden trap field, minimum time, limit per visitor and hour, optional Cloudflare Turnstile. Works with page caches.
+* Optional consent checkbox for data protection.
+
+German is the source language of the plugin. An English translation is included.
+
+== Installation ==
+
+1. Upload the plugin and activate it.
+2. In DeskHub create an API key (Manage -> API keys) with the right "Create tickets" (and "Read tickets" for the status page).
+3. In WordPress open Settings -> DeskHub Tickets, enter the server address and the key, save and click "Test connection".
+4. Add `[deskhub_ticket]` to a page.
+
+== Frequently Asked Questions ==
+
+= Can visitors attach files? =
+
+Yes, since version 1.3.0: up to 5 files, 10 MB in total; allowed types and sizes come from DeskHub (needs DeskHub 1.0.67 or newer).
+
+= Where is the API key stored? =
+
+In the WordPress options table. For more safety define `DESKHUB_TICKETS_API_KEY` in wp-config.php; the field in the settings is then locked.
+
+== Changelog ==
+
+= 1.3.0 =
+* Visitors can attach files (up to 5, 10 MB in total). DeskHub decides the allowed types and sizes; can be switched off in the settings. Needs DeskHub 1.0.67 or newer.
+
+= 1.2.2 =
+* Fix: only the button takes the accent color; fields and borders are mixed from the page background and text color and are no longer tinted by theme or accent colors. Real theme buttons are preferred when detecting the accent.
+
+= 1.2.1 =
+* Accent color detection looks at all buttons and links, the theme.json button color and the color variables of common themes and page builders.
+
+= 1.2.0 =
+* The form takes its colors from the theme (text, borders, field background, dark themes); the accent color is read from the buttons and links of the page or set in the settings.
+
+= 1.1.3 =
+* Fix: fields in one row start at the same height, also when only some labels have a required-star.
+
+= 1.1.2 =
+* Fix: labels, text fields and drop-downs have the same font, size and height, even if the theme styles them differently.
+
+= 1.1.1 =
+* Fix: headings of radio fields and sections are no longer enlarged by themes.
+* "Save and test connection" tests the values just entered; clearer messages (IP address, connection errors).
+
+= 1.1.0 =
+* The form of the help topic is taken from DeskHub: custom fields, texts, required fields and the department form. Needs DeskHub 1.0.64 or newer for custom fields.
+* Help topic can be chosen in the settings; "Reload forms" button.
+
+= 1.0.0 =
+* First version.
diff --git a/wordpress-plugin/tests/run.php b/wordpress-plugin/tests/run.php
index 489da26d..f2168f97 100644
--- a/wordpress-plugin/tests/run.php
+++ b/wordpress-plugin/tests/run.php
@@ -1,518 +1,597 @@
-<?php
-declare(strict_types=1);
-
-/**
- * Tests des WordPress-Plugins "DeskHub Tickets" mit einem Nachbau der WordPress-Funktionen (wp-stub.php).
- *   php wordpress-plugin/tests/run.php
- * Gegen einen echten DeskHub-Server (Testinstallation) zusätzlich:
- *   DESKHUB_URL=http://127.0.0.1:8097 DESKHUB_KEY=dh_… php wordpress-plugin/tests/run.php
- * Ohne DESKHUB_URL werden die Prüfungen gegen den echten Server übersprungen.
- */
-
-require __DIR__ . '/wp-stub.php';
-require dirname(__DIR__) . '/deskhub-tickets/deskhub-tickets.php';
-do_action('plugins_loaded');   // wie WordPress: Plugin startet
-
-$failures = [];
-$total = 0;
-$check = function (bool $ok, string $what) use (&$failures, &$total): void { $total++; if (!$ok) $failures[] = $what; };
-
-function reset_wp(array $opts = []): void
-{
-    $GLOBALS['wp_options'] = ['date_format' => 'd.m.Y', 'time_format' => 'H:i'];
-    $GLOBALS['wp_transients'] = [];
-    $GLOBALS['wp_http_log'] = [];
-    $GLOBALS['wp_http_handler'] = null;
-    $GLOBALS['wp_user'] = ['id' => 0, 'caps' => [], 'name' => '', 'email' => ''];
-    $GLOBALS['wp_settings_errors'] = [];
-    $GLOBALS['wp_enqueued'] = [];
-    $_POST = []; $_GET = []; $_SERVER['REQUEST_METHOD'] = 'GET'; $_SERVER['REMOTE_ADDR'] = '203.0.113.5';
-    if ($opts !== null) {
-        $GLOBALS['wp_options']['deskhub_tickets_options'] = array_merge([
-            'server_url' => 'https://support.example.de', 'api_key' => 'dh_geheimer_schluessel_123', 'min_seconds' => 0, 'rate_limit_per_hour' => 5,
-        ], $opts);
-    }
-}
-function run_form_post(array $post): ?string
-{
-    $_POST = $post;
-    $_SERVER['REQUEST_METHOD'] = 'POST';
-    try { Deskhub_Tickets_Form::handle_submit(); } catch (WpRedirect $r) { return $r->location; }
-    return null;
-}
-/** Holt den Zustand (Fehler/Erfolg), den handle_submit hinterlassen hat, aus der Weiterleitungsadresse. */
-function state_from(?string $location): ?array
-{
-    if (!$location || !preg_match('/[?&]dht=([a-f0-9]{16})/', $location, $m)) return null;
-    return $GLOBALS['wp_transients']['dht_state_' . $m[1]][0] ?? null;
-}
-function render_form(array $atts = [], ?string $location = null): string
-{
-    $_GET = [];
-    if ($location && preg_match('/[?&]dht=([a-f0-9]{16})/', $location, $m)) $_GET['dht'] = $m[1];
-    return Deskhub_Tickets_Form::render_ticket_form($atts);
-}
-/** Ein gültig aussehendes Formular wie vom Plugin erzeugt: unterschriebene Angaben und Zeitstempel aus der Ausgabe lesen. */
-function valid_post(string $html, array $over = []): array
-{
-    preg_match('/name="dht_cfg" value="([^"]*)"/', $html, $c);
-    preg_match('/name="dht_sig" value="([^"]*)"/', $html, $s);
-    preg_match('/name="dht_ts" value="([^"]*)"/', $html, $t);
-    preg_match('/name="dht_back" value="([^"]*)"/', $html, $b);
-    return array_merge([
-        'action' => 'deskhub_ticket_submit', 'dht_cfg' => html_entity_decode($c[1] ?? ''), 'dht_sig' => $s[1] ?? '', 'dht_ts' => $t[1] ?? '', 'dht_back' => html_entity_decode($b[1] ?? ''),
-        'dht_website' => '', 'dht_name' => 'Erika Muster', 'dht_email' => 'erika@kunde.example', 'dht_subject' => 'Rechnung fehlt', 'dht_message' => "Hallo,\nbitte schicken Sie mir die Rechnung.",
-    ], $over);
-}
-function ok_handler(array &$seen = null): callable
-{
-    return function (string $url, array $args) use (&$seen) {
-        if (str_contains($url, 'form=1') || str_contains($url, 'topics=1')) return wp_stub_response(422, ['error' => ['code' => 'MISSING_PARAMS', 'message' => 'x']]);   // wie ein älterer Server
-        $seen[] = ['url' => $url, 'args' => $args];
-        if (($args['method'] ?? 'GET') === 'POST') return wp_stub_response(201, ['number' => '261101-0001', 'status' => 'open']);
-        return wp_stub_response(200, ['ticket' => ['number' => '261101-0001', 'subject' => 'Rechnung', 'status' => 'answered', 'createdAt' => '2026-11-01 10:00:00', 'updatedAt' => '2026-11-01 11:00:00',
-            'messages' => [['author' => 'customer', 'message' => 'Hallo <script>alert(1)</script>', 'createdAt' => '2026-11-01 10:00:00'], ['author' => 'staff', 'message' => "Erledigt.\nViele Grüße", 'createdAt' => '2026-11-01 11:00:00']]]]);
-    };
-}
-
-// ── Server-Adresse ─────────────────────────────────────────────────────────
-reset_wp();
-foreach ([
-    ['support.example.de', 'https://support.example.de'],
-    [' https://support.example.de/ ', 'https://support.example.de'],
-    ['https://example.de/helpdesk/', 'https://example.de/helpdesk'],
-    ['http://127.0.0.1:8080', 'http://127.0.0.1:8080'],
-    ['http://localhost', 'http://localhost'],
-] as [$in, $want]) {
-    $check(Deskhub_Tickets_Client::normalize_url($in) === $want, "Adresse '$in' wird zu '$want'");
-}
-foreach (['', 'http://support.example.de', 'https://user:pw@example.de', 'https://example.de/?x=1', 'https://example.de/#a', 'ftp://example.de', 'http://localhost.evil.de'] as $bad) {
-    $check(is_wp_error(Deskhub_Tickets_Client::normalize_url($bad)), "Adresse '$bad' wird abgelehnt");
-}
-
-// ── Nicht eingerichtet ──────────────────────────────────────────────────────
-reset_wp(['server_url' => '', 'api_key' => '']);
-$check(Deskhub_Tickets_Form::render_ticket_form() === '', 'Ohne Einrichtung sieht ein Besucher nichts');
-$GLOBALS['wp_user']['caps'] = ['manage_options'];
-$check(str_contains(Deskhub_Tickets_Form::render_ticket_form(), 'noch nicht eingerichtet'), 'Ein Administrator sieht den Einrichtungshinweis');
-
-// ── Formular wird angezeigt ─────────────────────────────────────────────────
-reset_wp(['consent_text' => 'Ich habe die <a href="/datenschutz" onclick="x()">Datenschutzerklärung</a> gelesen.<script>bad()</script>']);
-$html = render_form();
-foreach (['name="dht_name"', 'name="dht_email"', 'name="dht_subject"', 'name="dht_message"', 'name="dht_website"', 'name="dht_consent"', 'name="dht_ts"', 'name="dht_sig"'] as $f) {
-    $check(str_contains($html, $f), "Formular enthält $f");
-}
-$check(!str_contains($html, 'dh_geheimer_schluessel_123') && !str_contains($html, 'support.example.de'), 'Weder API-Schlüssel noch Server-Adresse stehen im Formular');
-$check(str_contains($html, 'href="/datenschutz"') && !str_contains($html, 'onclick') && !str_contains($html, '<script'), 'Einwilligungstext: Link bleibt, Skripte und Ereignisse werden entfernt');
-$check(in_array('deskhub-tickets', $GLOBALS['wp_enqueued'], true), 'Stylesheet wird eingebunden');
-$GLOBALS['wp_user'] = ['id' => 7, 'caps' => [], 'name' => 'Lena', 'email' => 'lena@example.de'];
-$check(str_contains(render_form(), 'value="lena@example.de"'), 'Angemeldete Besucher: E-Mail-Adresse ist vorausgefüllt');
-$GLOBALS['wp_user'] = ['id' => 0, 'caps' => [], 'name' => '', 'email' => ''];
-
-// ── Absenden: Erfolg und Inhalt der Anfrage ─────────────────────────────────
-reset_wp(['department_id' => 2, 'priority_id' => 1]);
-$seen = [];
-$GLOBALS['wp_http_handler'] = ok_handler($seen);
-$html = render_form();
-$loc = run_form_post(valid_post($html, ['dht_departmentId' => '99', 'dht_priority' => '9', 'dht_topic' => '77']));
-$state = state_from($loc);
-$check($state && !empty($state['ok']) && $state['number'] === '261101-0001', 'Absenden gelingt, Ticketnummer wird gemerkt');
-$check(str_starts_with((string) $loc, 'https://wp.test/kontakt/?dht=') && str_ends_with((string) $loc, '#deskhub-ticket'), 'Danach geht es auf die Seite des Formulars zurück');
-$req = $seen[0] ?? null;
-$sent = json_decode((string) ($req['args']['body'] ?? ''), true);
-$check($req && ($req['args']['method'] ?? '') === 'POST' && str_ends_with($req['url'], '/api/public/v1/tickets.php'), 'Anfrage geht per POST an die Ticket-API');
-$check(($req['args']['headers']['X-API-Key'] ?? '') === 'dh_geheimer_schluessel_123', 'Der API-Schlüssel wird im Header gesendet');
-$check(($sent['departmentId'] ?? null) === 2 && ($sent['priorityId'] ?? null) === 1, 'Abteilung und Priorität kommen aus den Einstellungen, nicht aus dem Formular');
-$check(!isset($sent['helpTopicId']), 'Ein vom Besucher erfundenes Thema wird nicht übernommen');
-$check(str_contains((string) ($sent['message'] ?? ''), "bitte schicken Sie mir die Rechnung.") && str_contains((string) $sent['message'], 'https://wp.test/kontakt/'), 'Nachricht enthält den Text und die Herkunftsseite');
-$check(render_form([], $loc) !== '' && str_contains(render_form([], $loc), 'Vielen Dank') === false, 'Der Erfolgszustand wird nur einmal angezeigt (danach wieder das leere Formular)');
-$loc2 = run_form_post(valid_post($html));
-$check(str_contains(render_form([], $loc2), '261101-0001'), 'Erfolgsseite zeigt die Ticketnummer');
-
-// ── Manipulation und Roboter ────────────────────────────────────────────────
-reset_wp();
-$seen = []; $GLOBALS['wp_http_handler'] = ok_handler($seen);
-$html = render_form();
-$bad = valid_post($html, ['dht_cfg' => base64_encode('{"d":99,"t":0,"p":9,"o":[]}')]);
-$st = state_from(run_form_post($bad));
-$check($st && !empty($st['errors']) && !$seen, 'Veränderte Abteilung/Priorität (falsche Unterschrift) wird abgelehnt, nichts gesendet');
-$st = state_from(run_form_post(valid_post($html, ['dht_website' => 'http://spam.example'])));
-$check($st && !empty($st['ok']) && $st['number'] === '' && !$seen, 'Falle-Feld ausgefüllt: scheinbar Erfolg, aber nichts angelegt');
-$st = state_from(run_form_post(valid_post($html, ['dht_ts' => 'abc'])));
-$check($st && !empty($st['errors']) && !$seen, 'Gefälschter Zeitstempel wird abgelehnt');
-reset_wp(['min_seconds' => 10]);
-$seen = []; $GLOBALS['wp_http_handler'] = ok_handler($seen);
-$st = state_from(run_form_post(valid_post(render_form())));
-$check($st && !empty($st['errors']) && !$seen, 'Zu schnell abgesendet (unter der Mindestzeit) wird abgelehnt');
-
-// ── Pflichtfelder, Einwilligung, Themenauswahl ──────────────────────────────
-reset_wp(['consent_text' => 'Ich stimme zu.']);
-$seen = []; $GLOBALS['wp_http_handler'] = ok_handler($seen);
-$html = render_form();
-$st = state_from(run_form_post(valid_post($html, ['dht_name' => '', 'dht_email' => 'kein-email', 'dht_subject' => '', 'dht_message' => '   '])));
-$check($st && count($st['errors']) === 5 && !$seen, 'Fehlende Pflichtfelder und fehlende Einwilligung ergeben fünf Fehler (nichts gesendet)');
-$st = state_from(run_form_post(valid_post($html, ['dht_message' => 'Hallo <b>Welt</b> <script>alert(1)</script>', 'dht_consent' => '1'])));
-$sent = json_decode((string) ($seen[0]['args']['body'] ?? ''), true);
-$check(!str_contains((string) ($sent['message'] ?? ''), '<'), 'HTML in der Nachricht wird entfernt');
-$check($st && !empty($st['ok']), 'Mit Einwilligung klappt es');
-
-reset_wp(['consent_text' => '']);
-$seen = []; $GLOBALS['wp_http_handler'] = ok_handler($seen);
-$html = render_form(['topics' => 'Rechnung:3,Technik:4', 'department' => '5']);
-$check(str_contains($html, '<option value="3"') && str_contains($html, 'Technik'), 'Themenliste wird als Auswahl angezeigt');
-$st = state_from(run_form_post(valid_post($html, ['dht_topic' => '9'])));
-$check($st && !empty($st['errors']) && !$seen, 'Ein Thema, das nicht in der Liste steht, wird abgelehnt');
-$st = state_from(run_form_post(valid_post($html, [])));
-$check($st && !empty($st['errors']) && !$seen, 'Ohne gewähltes Thema wird abgelehnt, wenn eine Auswahl angeboten wurde');
-$st = state_from(run_form_post(valid_post($html, ['dht_topic' => '4'])));
-$sent = json_decode((string) ($seen[0]['args']['body'] ?? ''), true);
-$check(($sent['helpTopicId'] ?? null) === 4 && ($sent['departmentId'] ?? null) === 5, 'Gewähltes Thema und Abteilung aus dem Shortcode werden gesendet');
-$check(count(Deskhub_Tickets_Form::parse_topics('A:1, B :2,kaputt,:3,C:x')) === 2, 'Themenangaben: Fehlerhafte Einträge werden übersprungen');
-
-// ── Mengenbegrenzung ────────────────────────────────────────────────────────
-reset_wp(['rate_limit_per_hour' => 3]);
-$seen = []; $GLOBALS['wp_http_handler'] = ok_handler($seen);
-$html = render_form();
-$results = [];
-for ($i = 0; $i < 5; $i++) { $st = state_from(run_form_post(valid_post($html))); $results[] = !empty($st['ok']); }
-$check($results === [true, true, true, false, false] && count($seen) === 3, 'Je Besucher höchstens 3 Tickets pro Stunde (4. und 5. werden abgelehnt)');
-$_SERVER['REMOTE_ADDR'] = '203.0.113.99';
-$st = state_from(run_form_post(valid_post($html)));
-$check(!empty($st['ok']), 'Ein anderer Besucher ist nicht betroffen');
-$check(!array_filter(array_keys($GLOBALS['wp_transients']), fn($k) => str_contains($k, '203.0.113')), 'In der Datenbank stehen keine IP-Adressen');
-
-// ── Fehler des Servers ──────────────────────────────────────────────────────
-reset_wp();
-$cases = [
-    [422, 'INVALID_EMAIL', 'gültige E-Mail'], [429, 'RATE_LIMITED', 'Minute'], [403, 'BANNED', 'nicht angenommen'], [500, '', 'nicht erreichbar'],
-];
-foreach ($cases as [$code, $api, $needle]) {
-    $GLOBALS['wp_http_handler'] = fn($u, $a) => wp_stub_response($code, $api ? ['error' => ['code' => $api, 'message' => 'Interne Meldung dh_geheimer_schluessel_123']] : 'Fehlerseite');
-    $st = state_from(run_form_post(valid_post(render_form())));
-    $msg = $st['errors'][0] ?? '';
-    $check(str_contains($msg, $needle) && !str_contains($msg, 'dh_geheimer'), "Serverfehler $code ($api): freundliche Meldung ohne Interna");
-}
-$GLOBALS['wp_http_handler'] = fn($u, $a) => new WP_Error('http_request_failed', 'cURL error 6: Could not resolve host');
-$st = state_from(run_form_post(valid_post(render_form())));
-$check(str_contains($st['errors'][0] ?? '', 'nicht erreichbar') && !str_contains($st['errors'][0], 'cURL'), 'Server nicht erreichbar: Meldung ohne technische Einzelheiten');
-$check(($st['values']['message'] ?? '') !== '', 'Bei einem Fehler bleibt die Nachricht im Formular erhalten');
-
-// ── Statusabfrage ───────────────────────────────────────────────────────────
-reset_wp();
-$seen = []; $GLOBALS['wp_http_handler'] = ok_handler($seen);
-$_SERVER['REQUEST_METHOD'] = 'POST';
-$_POST = ['dht_status_submit' => '1', 'dht_number' => '261101-0001', 'dht_status_email' => 'erika@kunde.example'];
-$out = Deskhub_Tickets_Form::render_status_form();
-$check(str_contains($out, 'Beantwortet') && str_contains($out, 'Erledigt.<br />') && str_contains($out, 'Support'), 'Status und Verlauf werden angezeigt');
-$check(!str_contains($out, '<script>') && str_contains($out, '&lt;script&gt;'), 'Texte aus dem Verlauf werden maskiert');
-$q = $seen[0]['url'] ?? '';
-$check(str_contains($q, 'number=261101-0001') && str_contains($q, 'email=erika%40kunde.example'), 'Abfrage mit Ticketnummer und codierter E-Mail-Adresse');
-$_POST = ['dht_status_submit' => '1', 'dht_number' => '../etc/passwd', 'dht_status_email' => 'erika@kunde.example'];
-$seen = [];
-$out = Deskhub_Tickets_Form::render_status_form();
-$check(!$seen && str_contains($out, 'dht-error'), 'Ungültige Ticketnummer wird gar nicht erst an den Server geschickt');
-$GLOBALS['wp_http_handler'] = fn($u, $a) => wp_stub_response(404, ['error' => ['code' => 'NOT_FOUND', 'message' => 'Ticket nicht gefunden.']]);
-$_POST = ['dht_status_submit' => '1', 'dht_number' => '261101-0009', 'dht_status_email' => 'erika@kunde.example'];
-$check(str_contains(Deskhub_Tickets_Form::render_status_form(), 'nichts gefunden'), 'Unbekanntes Ticket: neutrale Meldung');
-reset_wp();
-$GLOBALS['wp_http_handler'] = fn($u, $a) => wp_stub_response(404, ['error' => ['code' => 'NOT_FOUND', 'message' => 'x']]);
-$_SERVER['REQUEST_METHOD'] = 'POST';
-$_POST = ['dht_status_submit' => '1', 'dht_number' => '261101-0009', 'dht_status_email' => 'erika@kunde.example'];
-$blocked = 0;
-for ($i = 0; $i < 14; $i++) { if (str_contains(Deskhub_Tickets_Form::render_status_form(), 'Zu viele Abfragen')) $blocked++; }
-$check($blocked === 4, 'Statusabfragen sind begrenzt (10 je 10 Minuten): das Durchprobieren von Nummern wird gebremst');
-
-// ── Kundenformular aus DeskHub (eigene Felder, Formular der Abteilung) ──────
-function form_fixture(): array
-{
-    $f = function (int $id, string $label, string $type, array $o = []) {
-        return array_merge(['id' => $id, 'label' => $label, 'type' => $type, 'required' => false, 'options' => [], 'help' => '', 'helpHtml' => '', 'width' => 'full', 'section' => 'extra', 'sectionTitle' => '', 'radioInline' => false], $o);
-    };
-    return ['helpTopicId' => 3, 'departmentId' => 2, 'ownForm' => true, 'title' => 'Störungsmeldung', 'intro' => 'Bitte beschreiben Sie die Störung.',
-        'subject' => ['show' => false, 'label' => 'Betreff'], 'message' => ['show' => false, 'label' => 'Beschreibung', 'hint' => ''], 'submitLabel' => 'Störung melden',
-        'fields' => [
-            $f(11, 'Gerät', 'select', ['required' => true, 'options' => ['Drucker', 'Router'], 'width' => 'half', 'section' => 'topic', 'helpHtml' => 'Siehe <a href="https://x.example/hilfe" target="_blank" rel="noopener noreferrer">Hilfe</a><script>x()</script>']),
-            $f(12, 'Seit wann', 'date', ['section' => 'extra', 'sectionTitle' => 'Zusätzliche Angaben']),
-            $f(13, 'Anzahl', 'number'),
-            $f(14, 'Dringend', 'checkbox', ['required' => true, 'helpHtml' => 'Ich bestätige die <a href="https://x.example/agb" rel="noopener noreferrer">AGB</a>']),
-            $f(15, 'Bereich', 'radio', ['options' => ['Büro', 'Lager'], 'radioInline' => true, 'section' => 'contact_top']),
-            $f(16, 'Details', 'textarea', ['section' => 'issue']),
-        ]];
-}
-/** Ein DeskHub mit Formular-Schnittstelle: liefert Formulare je Thema, protokolliert Ticket-Anfragen. */
-function new_server(array &$log, array $forms, ?array $postReply = null): callable
-{
-    return function (string $url, array $args) use (&$log, $forms, $postReply) {
-        $method = $args['method'] ?? 'GET';
-        if ($method === 'GET' && str_contains($url, 'topics=1')) {
-            return wp_stub_response(200, ['topics' => [['id' => 3, 'name' => 'Störung', 'path' => 'Technik / Störung', 'depth' => 1, 'parentId' => null, 'departmentId' => 2]]]);
-        }
-        if ($method === 'GET' && str_contains($url, 'form=1')) {
-            $log[] = ['kind' => 'form', 'url' => $url];
-            preg_match('/helpTopicId=(\d+)/', $url, $m);
-            $tid = (int) ($m[1] ?? 0);
-            return isset($forms[$tid]) ? wp_stub_response(200, ['form' => $forms[$tid]]) : wp_stub_response(422, ['error' => ['code' => 'INVALID_TOPIC', 'message' => 'x']]);
-        }
-        $log[] = ['kind' => 'post', 'url' => $url, 'body' => json_decode((string) ($args['body'] ?? ''), true)];
-        return $postReply ?? wp_stub_response(201, ['number' => '261101-0007', 'status' => 'open']);
-    };
-}
-$posts = fn(array $log) => array_values(array_filter($log, fn($e) => $e['kind'] === 'post'));
-$forms = fn(array $log) => array_values(array_filter($log, fn($e) => $e['kind'] === 'form'));
-
-reset_wp(['department_id' => 9]);
-$log = [];
-$GLOBALS['wp_http_handler'] = new_server($log, [3 => form_fixture()]);
-$html = render_form(['topic' => '3']);
-$check(str_contains($html, 'Störungsmeldung') && str_contains($html, 'Bitte beschreiben Sie die Störung.') && str_contains($html, 'Störung melden</button>'), 'DeskHub-Formular: Titel, Einleitung und Knopf-Text kommen von DeskHub');
-$check(str_contains($html, 'name="dht_f[11]"') && str_contains($html, '<option value="Router"') && str_contains($html, 'name="dht_f[12]"') && str_contains($html, 'type="date"') && str_contains($html, 'type="number"')
-    && str_contains($html, 'type="checkbox" id="dht-f-3-14"') && str_contains($html, 'type="radio"') && str_contains($html, '<textarea id="dht-f-3-16"'), 'DeskHub-Formular: alle Feldtypen werden angezeigt');
-$check(preg_match('/<select id="dht-f-3-11"[^>]* required/', $html) === 1 && str_contains($html, 'dht-req'), 'DeskHub-Formular: Pflichtfelder sind gekennzeichnet');
-$check(str_contains($html, 'dht-w-half') && str_contains($html, 'dht-inline'), 'DeskHub-Formular: Breite und nebeneinander stehende Optionen');
-$check(str_contains($html, 'href="https://x.example/hilfe"') && str_contains($html, 'href="https://x.example/agb"') && !str_contains($html, '<script'), 'DeskHub-Formular: Hinweistexte mit Links, aber ohne Skripte');
-$check(strpos($html, 'name="dht_f[15]"') < strpos($html, 'name="dht_name"'), 'DeskHub-Formular: Feld „über den Kontaktdaten“ steht vor dem Namen');
-$check(strpos($html, 'name="dht_f[11]"') > strpos($html, 'name="dht_email"') && strpos($html, 'name="dht_f[16]"') > strpos($html, 'name="dht_message"') && strpos($html, 'name="dht_f[12]"') > strpos($html, 'name="dht_f[16]"'), 'DeskHub-Formular: Felder stehen an ihrem Platz (Thema, nach der Beschreibung, Zusätzliche Angaben am Ende)');
-$check(str_contains($html, '<h4 class="dht-group">Zusätzliche Angaben</h4>'), 'DeskHub-Formular: Überschrift „Zusätzliche Angaben“');
-$check(preg_match('/class="dht-subject-wrap" hidden/', $html) === 1 && preg_match('/name="dht_subject"[^>]* disabled/', $html) === 1 && preg_match('/name="dht_message"[^>]*disabled/', $html) === 1, 'DeskHub-Formular: ohne Betreff und Beschreibung (Felder ausgeblendet)');
-$check(count($forms($log)) === 1 && str_contains($forms($log)[0]['url'], 'helpTopicId=3') && !str_contains($forms($log)[0]['url'], 'departmentId='), 'Formular wird mit dem Thema geholt, die Standard-Abteilung der Einstellungen wird bei einem Thema nicht mitgeschickt');
-render_form(['topic' => '3']);
-$check(count($forms($log)) === 1, 'Formular wird zwischengespeichert (zweiter Aufruf fragt DeskHub nicht noch einmal)');
-
-// Absenden mit DeskHub-Formular
-$sub = fn(array $over = []) => valid_post(render_form(['topic' => '3']), array_merge(['dht_subject' => '', 'dht_message' => '', 'dht_f' => ['11' => 'Router', '12' => '2026-10-31', '14' => '1', '15' => 'Lager', '16' => 'Seit heute früh']], $over));
-$log = [];
-$GLOBALS['wp_http_handler'] = new_server($log, [3 => form_fixture()]);
-$st = state_from(run_form_post($sub()));
-$p = $posts($log)[0]['body'] ?? [];
-$check($st && !empty($st['ok']) && $st['number'] === '261101-0007', 'DeskHub-Formular: Absenden gelingt');
-$check(($p['fields'] ?? null) == ['11' => 'Router', '12' => '2026-10-31', '13' => '', '14' => '1', '15' => 'Lager', '16' => 'Seit heute früh'], 'Feldwerte gehen mit ihrer Nummer an DeskHub');
-$check(!array_key_exists('subject', $p) && !isset($p['departmentId']) && ($p['helpTopicId'] ?? 0) === 3, 'Ohne Betrefffeld wird kein Betreff gesendet (DeskHub setzt ihn), Abteilung bestimmt das Thema');
-$check(str_contains((string) ($p['message'] ?? ''), "Gerät: Router\nSeit wann: 2026-10-31\nDringend: Ja\nBereich: Lager\nDetails: Seit heute früh") && str_contains((string) $p['message'], 'Gesendet über das Formular'), 'Ohne Beschreibungsfeld besteht der Text aus den Angaben der Felder, dazu die Herkunftsseite');
-// Prüfungen
-$cases = [
-    ['Gerät fehlt', ['dht_f' => ['14' => '1']], 'Gerät'],
-    ['Gerät nicht angeboten', ['dht_f' => ['11' => 'Fax', '14' => '1']], 'angebotenen'],
-    ['Datum kaputt', ['dht_f' => ['11' => 'Router', '12' => '31.02.2026', '14' => '1']], 'Datum'],
-    ['Zahl kaputt', ['dht_f' => ['11' => 'Router', '13' => 'viele', '14' => '1']], 'Zahl'],
-    ['Pflicht-Checkbox fehlt', ['dht_f' => ['11' => 'Router']], 'bestätigen'],
-];
-foreach ($cases as [$what, $over, $needle]) {
-    $log = [];
-    $GLOBALS['wp_http_handler'] = new_server($log, [3 => form_fixture()]);
-    $st = state_from(run_form_post($sub($over)));
-    $check($st && !empty($st['errors']) && str_contains(implode(' ', $st['errors']), $needle) && !$posts($log), "DeskHub-Formular: $what wird abgelehnt, bevor etwas gesendet wird");
-}
-// Fehler von DeskHub selbst (INVALID_FIELD) wird freundlich weitergegeben
-$log = [];
-$GLOBALS['wp_http_handler'] = new_server($log, [3 => form_fixture()], wp_stub_response(422, ['error' => ['code' => 'INVALID_FIELD', 'message' => 'Bitte füllen Sie das Feld „Gerät“ aus.']]));
-$st = state_from(run_form_post($sub()));
-$check(($st['errors'][0] ?? '') === 'Bitte füllen Sie das Feld „Gerät“ aus.', 'Feldfehler von DeskHub wird dem Besucher gezeigt');
-$check(($st['values']['fields']['11'] ?? '') === 'Router', 'Nach einem Fehler bleiben die Angaben in den Feldern erhalten');
-// Nach einem Fehler: Felder sind wieder ausgefüllt
-$again = render_form(['topic' => '3'], run_form_post($sub(['dht_f' => ['11' => 'Router', '14' => '1', '16' => 'Text']])) );
-$check(str_contains($again, '<option value="Router" selected="selected">') && str_contains($again, 'checked="checked"'), 'Wieder angezeigtes Formular enthält die bisherigen Angaben');
-
-// Mehrere Themen
-reset_wp();
-$second = form_fixture();
-$second['helpTopicId'] = 4; $second['ownForm'] = false; $second['title'] = ''; $second['intro'] = ''; $second['subject'] = ['show' => true, 'label' => 'Betreff']; $second['message'] = ['show' => true, 'label' => 'Beschreibung', 'hint' => ''];
-$second['submitLabel'] = 'Ticket erstellen'; $second['fields'] = [$second['fields'][1]];
-$log = [];
-$GLOBALS['wp_http_handler'] = new_server($log, [3 => form_fixture(), 4 => $second]);
-$html = render_form(['topics' => 'Störung:3,Allgemein:4']);
-$check(count($forms($log)) === 2, 'Mehrere Themen: ein Formular je Thema wird geholt');
-$check(str_contains($html, 'data-topic="3"') && str_contains($html, 'data-topic="4"') && !str_contains($html, 'dht-topic-active'), 'Mehrere Themen: Felder je Thema in eigenen Blöcken, noch keines gewählt');
-$check(preg_match('/id="dht-f-3-11"[^>]* disabled/', $html) === 1 && preg_match('/id="dht-f-4-12"[^>]* disabled/', $html) === 1, 'Mehrere Themen: Felder nicht gewählter Themen sind gesperrt (werden nicht abgeschickt)');
-$json = [];
-preg_match('/data-dht-forms="([^"]*)"/', $html, $mm);
-$json = json_decode(html_entity_decode($mm[1] ?? ''), true);
-$check(($json[3]['subjectShow'] ?? null) === false && ($json[4]['subjectShow'] ?? null) === true && ($json[4]['submitLabel'] ?? '') === 'Ticket absenden' && ($json[3]['submitLabel'] ?? '') === 'Störung melden', 'Mehrere Themen: Texte je Thema für das Umschalten (Standardformular mit Texten des Plugins)');
-$log = [];
-$GLOBALS['wp_http_handler'] = new_server($log, [3 => form_fixture(), 4 => $second]);
-$st = state_from(run_form_post(valid_post($html, ['dht_topic' => '4', 'dht_f' => ['12' => '2026-10-31', '11' => 'Router']])));
-$p = $posts($log)[0]['body'] ?? [];
-$check(!empty($st['ok']) && ($p['helpTopicId'] ?? 0) === 4 && ($p['subject'] ?? '') === 'Rechnung fehlt' && array_map('strval', array_keys($p['fields'] ?? [])) === ['12'], 'Mehrere Themen: nur die Felder des gewählten Themas werden geprüft und gesendet');
-
-// Ältere DeskHub-Version: einfaches Formular, Hinweis nur für Administratoren
-reset_wp();
-$seen = []; $GLOBALS['wp_http_handler'] = ok_handler($seen);
-$html = render_form(['topic' => '3']);
-$check(str_contains($html, 'name="dht_subject"') && !str_contains($html, 'dht_f[') && !str_contains($html, 'kennt die Formular-Schnittstelle'), 'Ältere DeskHub-Version: einfaches Formular, kein Hinweis für Besucher');
-$GLOBALS['wp_user']['caps'] = ['manage_options'];
-$check(str_contains(render_form(['topic' => '3']), 'kennt die Formular-Schnittstelle'), 'Ältere DeskHub-Version: Administratoren sehen den Hinweis');
-$GLOBALS['wp_user']['caps'] = [];
-run_form_post(valid_post($html));
-$p = json_decode((string) ($seen[0]['args']['body'] ?? ''), true);
-$check(!array_key_exists('fields', $p ?? []) && ($p['subject'] ?? '') === 'Rechnung fehlt', 'Ältere DeskHub-Version: Ticket wird wie bisher ohne Felder angelegt');
-
-// Themenliste in den Einstellungen
-reset_wp();
-$GLOBALS['wp_user']['caps'] = ['manage_options'];
-$log = [];
-$GLOBALS['wp_http_handler'] = new_server($log, [3 => form_fixture()]);
-ob_start(); Deskhub_Tickets_Settings::render(); $page = (string) ob_get_clean();
-$check(str_contains($page, '<select name="deskhub_tickets_options[topic_id]"') && str_contains($page, 'Technik / Störung (3)'), 'Einstellungen: Hilfethema als Auswahl aus DeskHub');
-$GLOBALS['wp_http_handler'] = ok_handler($seen);
-ob_start(); Deskhub_Tickets_Settings::render(); $page = (string) ob_get_clean();
-$check(str_contains($page, 'type="number" min="0" class="small-text" name="deskhub_tickets_options[topic_id]"'), 'Einstellungen: bei älterem DeskHub bleibt das Zahlenfeld');
-$GLOBALS['wp_user']['caps'] = [];
-
-// ── Verbindungstest ─────────────────────────────────────────────────────────
-reset_wp();
-foreach ([[404, true, 'Tickets lesen'], [403, true, 'keine Tickets lesen'], [401, false, 'abgelehnt'], [500, false, '500']] as [$code, $ok, $needle]) {
-    $GLOBALS['wp_http_handler'] = fn($u, $a) => wp_stub_response($code, ['error' => ['code' => 'X', 'message' => 'm']]);
-    $r = Deskhub_Tickets_Client::from_settings()->test_connection();
-    $check($r['ok'] === $ok && str_contains($r['message'], $needle), "Verbindungstest bei HTTP $code");
-}
-$GLOBALS['wp_http_handler'] = fn($u, $a) => new WP_Error('x', 'y');
-$check(Deskhub_Tickets_Client::from_settings()->test_connection()['ok'] === false, 'Verbindungstest: Server nicht erreichbar');
-$check(!str_contains(json_encode($GLOBALS['wp_http_log']), 'redirection":1'), 'Es werden keine Weiterleitungen verfolgt');
-$check(($GLOBALS['wp_http_log'][0]['args']['redirection'] ?? null) === 0, 'Anfragen folgen keinen Weiterleitungen (redirection = 0)');
-
-// ── Verbindungstest: verständliche Meldungen ────────────────────────────────
-reset_wp();
-$GLOBALS['wp_http_handler'] = fn($u, $a) => wp_stub_response(401, ['error' => ['code' => 'IP_NOT_ALLOWED', 'message' => 'Der Schlüssel ist gültig, aber für die IP-Adresse 203.0.113.9 nicht freigegeben.']]);
-$r = Deskhub_Tickets_Client::from_settings()->test_connection();
-$check($r['ok'] === false && str_contains($r['message'], '203.0.113.9') && str_contains($r['message'], 'lässt diese Adresse nicht zu'), 'Verbindungstest: gültiger Schlüssel, falsche IP: Meldung nennt die Adresse, die DeskHub sieht');
-$GLOBALS['wp_http_handler'] = fn($u, $a) => wp_stub_response(401, ['error' => ['code' => 'UNAUTHENTICATED', 'message' => 'x']]);
-$r = Deskhub_Tickets_Client::from_settings()->test_connection();
-$check($r['ok'] === false && str_contains($r['message'], 'Erlaubte IPs') && !str_contains($r['message'], 'dh_geheimer'), 'Verbindungstest: abgelehnter Schlüssel nennt die möglichen Ursachen (auch Erlaubte IPs)');
-$GLOBALS['wp_http_handler'] = fn($u, $a) => new WP_Error('http_request_failed', "cURL error 28:\nConnection timed out after 15001 milliseconds");
-$r = Deskhub_Tickets_Client::from_settings()->test_connection();
-$check($r['ok'] === false && str_contains($r['message'], 'nicht erreichbar') && str_contains($r['message'], 'timed out') && !str_contains($r['message'], "\n"), 'Verbindungstest: bei einem Verbindungsfehler steht die technische Ursache dabei');
-
-// ── „Speichern und Verbindung testen“ prüft die gerade eingegebenen Werte ───
-reset_wp(['server_url' => '', 'api_key' => '']);
-$GLOBALS['wp_user'] = ['id' => 5, 'caps' => ['manage_options'], 'name' => 'Admin', 'email' => 'a@example.de'];
-$GLOBALS['wp_http_handler'] = fn($u, $a) => (($a['headers']['X-API-Key'] ?? '') === 'dh_neu_eingegeben') ? wp_stub_response(404, ['error' => ['code' => 'NOT_FOUND', 'message' => 'x']]) : wp_stub_response(401, ['error' => ['code' => 'UNAUTHENTICATED', 'message' => 'x']]);
-$_POST = ['dht_test_after' => '1'];
-Deskhub_Tickets_Settings::sanitize(['server_url' => 'https://support.example.de', 'api_key' => 'dh_neu_eingegeben']);
-$res = get_transient('deskhub_tickets_test_5');
-$check(is_array($res) && $res['ok'] === true, 'Speichern und testen: der neu eingegebene Schlüssel wird sofort geprüft (noch bevor er gespeichert ist)');
-delete_transient('deskhub_tickets_test_5');
-Deskhub_Tickets_Settings::sanitize(['server_url' => 'https://support.example.de', 'api_key' => '']);
-$res = get_transient('deskhub_tickets_test_5');
-$check(is_array($res) && $res['ok'] === false && str_contains($res['message'], 'eintragen'), 'Speichern und testen: ohne Schlüssel kommt die Aufforderung, ihn einzutragen');
-delete_transient('deskhub_tickets_test_5');
-$_POST = [];
-Deskhub_Tickets_Settings::sanitize(['server_url' => 'https://support.example.de', 'api_key' => 'dh_neu_eingegeben']);
-$check(get_transient('deskhub_tickets_test_5') === false, 'Normales Speichern testet nichts');
-$GLOBALS['wp_user']['caps'] = [];
-$_POST = ['dht_test_after' => '1'];
-Deskhub_Tickets_Settings::sanitize(['server_url' => 'https://support.example.de', 'api_key' => 'dh_neu_eingegeben']);
-$check(get_transient('deskhub_tickets_test_5') === false, 'Ohne Berechtigung wird nichts getestet');
-$_POST = [];
-$GLOBALS['wp_user']['caps'] = ['manage_options'];
-$GLOBALS['wp_http_handler'] = fn($u, $a) => wp_stub_response(404, ['error' => ['code' => 'NOT_FOUND', 'message' => 'x']]);
-ob_start(); Deskhub_Tickets_Settings::render(); $page = (string) ob_get_clean();
-$check(str_contains($page, 'Speichern und Verbindung testen') && !str_contains($page, 'deskhub_tickets_test"'), 'Einstellungsseite: Speichern und testen in einem Schritt, kein getrennter Test-Knopf mehr');
-$GLOBALS['wp_user']['caps'] = [];
-// ── Einstellungen speichern ─────────────────────────────────────────────────
-reset_wp(['api_key' => 'dh_alt', 'turnstile_secret' => 'ts_alt', 'server_url' => 'https://alt.example.de']);
-$out = Deskhub_Tickets_Settings::sanitize(['server_url' => 'neu.example.de', 'api_key' => '', 'department_id' => '3x', 'min_seconds' => '500', 'rate_limit_per_hour' => '-4',
-    'consent_text' => 'Text <a href="/x" onclick="e()">Link</a><iframe src=x></iframe>', 'status_page_url' => 'javascript:alert(1)', 'turnstile_site' => '<b>abc</b>', 'turnstile_secret' => '']);
-$check($out['server_url'] === 'https://neu.example.de', 'Einstellungen: Adresse wird bereinigt');
-$check($out['api_key'] === 'dh_alt' && $out['turnstile_secret'] === 'ts_alt', 'Einstellungen: Leere Schlüsselfelder behalten den gespeicherten Wert');
-$check($out['department_id'] === 3 && $out['min_seconds'] === 60 && $out['rate_limit_per_hour'] === 4, 'Einstellungen: Zahlen werden begrenzt');
-$check(!str_contains($out['consent_text'], 'onclick') && !str_contains($out['consent_text'], 'iframe') && str_contains($out['consent_text'], 'href="/x"'), 'Einstellungen: Einwilligungstext wird bereinigt');
-$check($out['status_page_url'] === '' && $out['turnstile_site'] === 'abc', 'Einstellungen: gefährliche Adresse und HTML werden entfernt');
-$out = Deskhub_Tickets_Settings::sanitize(['server_url' => 'http://evil.example', 'api_key' => ' dh_neu\n123 ', 'clear_turnstile' => '1']);
-$check($out['server_url'] === 'https://alt.example.de' && $GLOBALS['wp_settings_errors'], 'Einstellungen: ungültige Adresse behält die alte und meldet einen Fehler');
-$check($out['api_key'] === 'dh_neun123' || $out['api_key'] === 'dh_neu\n123' || preg_match('/^[\x21-\x7E]+$/', $out['api_key']) === 1, 'Einstellungen: Schlüssel enthält nur sichtbare Zeichen');
-$check($out['turnstile_secret'] === '', 'Einstellungen: Turnstile-Schlüssel lässt sich entfernen');
-$out = Deskhub_Tickets_Settings::sanitize(['clear_key' => '1', 'api_key' => 'dh_x']);
-$check($out['api_key'] === '', 'Einstellungen: Schlüssel entfernen');
-
-// ── Gegen den echten DeskHub-Server ─────────────────────────────────────────
-$url = getenv('DESKHUB_URL') ?: '';
-$key = getenv('DESKHUB_KEY') ?: '';
-if ($url !== '' && $key !== '') {
-    $curl = function (string $u, array $args) {
-        $ch = curl_init($u);
-        $hdr = [];
-        foreach ($args['headers'] ?? [] as $k => $v) $hdr[] = "$k: $v";
-        curl_setopt_array($ch, [CURLOPT_RETURNTRANSFER => true, CURLOPT_CUSTOMREQUEST => $args['method'] ?? 'GET', CURLOPT_HTTPHEADER => $hdr, CURLOPT_TIMEOUT => 30, CURLOPT_FOLLOWLOCATION => false]);
-        if (isset($args['body'])) curl_setopt($ch, CURLOPT_POSTFIELDS, $args['body']);
-        $body = (string) curl_exec($ch);
-        $code = (int) curl_getinfo($ch, CURLINFO_RESPONSE_CODE);
-        $err = curl_error($ch);
-        curl_close($ch);
-        return $code === 0 ? new WP_Error('http_request_failed', $err) : wp_stub_response($code, $body);
-    };
-    reset_wp(['server_url' => $url, 'api_key' => $key]);
-    $GLOBALS['wp_http_handler'] = $curl;
-    $client = Deskhub_Tickets_Client::from_settings();
-    $t = $client->test_connection();
-    $check($t['ok'] === true, 'ECHT: Verbindungstest erfolgreich (' . $t['message'] . ')');
-    $res = $client->create_ticket(['name' => 'WordPress-Test', 'email' => 'wp-test@example.com', 'subject' => 'Test aus dem WordPress-Plugin', 'message' => "Zeile 1\nZeile 2 mit Umlauten äöü und <b>HTML</b>"]);
-    $check(is_array($res) && preg_match('/^\d{6}-\d{4}$/', $res['number'] ?? '') === 1, 'ECHT: Ticket angelegt: ' . (is_array($res) ? $res['number'] : $res->get_error_message()));
-    if (is_array($res)) {
-        $got = $client->get_ticket($res['number'], 'WP-Test@Example.com');
-        $check(is_array($got) && $got['subject'] === 'Test aus dem WordPress-Plugin' && ($got['messages'][0]['author'] ?? '') === 'customer', 'ECHT: Status und Verlauf abgerufen (E-Mail ohne Beachtung der Groß-/Kleinschreibung)');
-        $check(is_array($got) && str_contains($got['messages'][0]['message'], 'äöü'), 'ECHT: Umlaute kommen unverändert an');
-        $wrong = $client->get_ticket($res['number'], 'andere@example.com');
-        $check(is_wp_error($wrong) && Deskhub_Tickets_Client::user_message($wrong) !== '' && str_contains(Deskhub_Tickets_Client::user_message($wrong), 'nichts gefunden'), 'ECHT: Falsche E-Mail-Adresse liefert nichts');
-        // Der ganze Weg über das Formular
-        $GLOBALS['wp_transients'] = [];
-        $html = render_form();
-        $st = state_from(run_form_post(valid_post($html, ['dht_email' => 'form-test@example.com', 'dht_subject' => 'Formular-Test'])));
-        $check(!empty($st['ok']) && preg_match('/^\d{6}-\d{4}$/', $st['number']) === 1, 'ECHT: Ganzer Weg über das Formular, Ticket ' . ($st['number'] ?? '?'));
-        $st = state_from(run_form_post(valid_post($html, ['dht_email' => 'form-test@example.com', 'dht_subject' => 'Zweiter Test'])));
-        $_SERVER['REQUEST_METHOD'] = 'POST';
-        $_POST = ['dht_status_submit' => '1', 'dht_number' => $st['number'] ?? 'x', 'dht_status_email' => 'form-test@example.com'];
-        $out = Deskhub_Tickets_Form::render_status_form();
-        $check(str_contains($out, 'Zweiter Test') && str_contains($out, 'Offen'), 'ECHT: Statusseite zeigt das neue Ticket');
-    }
-    $bad = (new Deskhub_Tickets_Client($url, 'dh_falscher_schluessel'))->test_connection();
-    $check($bad['ok'] === false && str_contains($bad['message'], 'abgelehnt'), 'ECHT: Falscher Schlüssel wird erkannt');
-    $inv = $client->create_ticket(['name' => 'X', 'email' => 'kaputt', 'subject' => 'S', 'message' => 'M']);
-    $check(is_wp_error($inv) && str_contains(Deskhub_Tickets_Client::user_message($inv), 'gültige E-Mail'), 'ECHT: Ungültige E-Mail-Adresse wird vom Server abgelehnt');
-    $down = (new Deskhub_Tickets_Client('http://127.0.0.1:1', $key))->test_connection();
-    $check($down['ok'] === false, 'ECHT: Nicht erreichbarer Server wird gemeldet');
-
-    $keyIp = getenv('DESKHUB_KEY_IP') ?: '';
-    if ($keyIp !== '') {
-        $r = (new Deskhub_Tickets_Client($url, $keyIp))->test_connection();
-        $check($r['ok'] === false && str_contains($r['message'], '127.0.0.1') && str_contains($r['message'], 'lässt diese Adresse nicht zu'), 'ECHT: Schlüssel mit anderer erlaubter IP: die Meldung nennt die Adresse, die DeskHub sieht (' . $r['message'] . ')');
-    }
-    // Eigenes Formular eines Hilfethemas (nur wenn die Testinstallation eines hat: DESKHUB_TOPIC, DESKHUB_F_SELECT, DESKHUB_F_DATE, DESKHUB_F_CHECK, DESKHUB_DB)
-    $topic = (int) (getenv('DESKHUB_TOPIC') ?: 0);
-    if ($topic > 0) {
-        $fSel = (int) getenv('DESKHUB_F_SELECT'); $fDate = (int) getenv('DESKHUB_F_DATE'); $fChk = (int) getenv('DESKHUB_F_CHECK');
-        $pdoReal = new PDO('sqlite:' . getenv('DESKHUB_DB'));
-        $pdoReal->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);
-        $topics = $client->get_topics();
-        $check(is_array($topics) && in_array($topic, array_column($topics, 'id'), true), 'ECHT: Hilfethemen werden geholt');
-        $form = $client->get_form($topic, null);
-        $check(is_array($form) && !empty($form['ownForm']) && ($form['title'] ?? '') === 'Störungsmeldung' && count($form['fields']) === 3, 'ECHT: Formular des Hilfethemas wird geholt (eigenes Formular mit 3 Feldern)');
-        $GLOBALS['wp_transients'] = [];
-        $html = render_form(['topic' => (string) $topic]);
-        $check(str_contains($html, 'Störungsmeldung') && str_contains($html, 'name="dht_f[' . $fSel . ']"') && str_contains($html, '<option value="Router"') && str_contains($html, 'Störung melden</button>')
-            && preg_match('/class="dht-subject-wrap" hidden/', $html) === 1, 'ECHT: Das Formular zeigt Texte und Felder aus DeskHub (ohne Betreff und Beschreibung)');
-        // zuerst falsch (Pflichtfelder fehlen), dann richtig
-        $st = state_from(run_form_post(valid_post($html, ['dht_subject' => '', 'dht_message' => '', 'dht_f' => [(string) $fDate => '2026-10-31']])));
-        $check(!empty($st['errors']) && empty($st['ok']), 'ECHT: Fehlende Pflichtfelder werden abgelehnt');
-        $st = state_from(run_form_post(valid_post($html, ['dht_email' => 'stoerung@example.com', 'dht_subject' => '', 'dht_message' => '', 'dht_f' => [(string) $fSel => 'Router', (string) $fDate => '2026-10-31', (string) $fChk => '1']])));
-        $check(!empty($st['ok']) && preg_match('/^\d{6}-\d{4}$/', $st['number'] ?? '') === 1, 'ECHT: Störung über das Formular gemeldet, Ticket ' . ($st['number'] ?? '?'));
-        $t = $pdoReal->query('SELECT * FROM tickets WHERE ticket_number = ' . $pdoReal->quote((string) ($st['number'] ?? '')))->fetch(PDO::FETCH_ASSOC);
-        $check(is_array($t) && $t['subject'] === 'Anfrage Störungen' && (int) $t['help_topic_id'] === $topic, 'ECHT: Betreff „Anfrage Störungen“ und Hilfethema sind gesetzt');
-        $vals = $t ? $pdoReal->query('SELECT custom_field_id, value FROM ticket_field_values WHERE ticket_id = ' . (int) $t['id'])->fetchAll(PDO::FETCH_KEY_PAIR) : [];
-        $check(($vals[$fSel] ?? '') === 'Router' && ($vals[$fDate] ?? '') === '2026-10-31' && ($vals[$fChk] ?? '') === '1', 'ECHT: Die Angaben der Felder sind im Ticket gespeichert');
-        $msg = $t ? (string) $pdoReal->query('SELECT message FROM ticket_threads WHERE ticket_id = ' . (int) $t['id'])->fetchColumn() : '';
-        $check(str_contains($msg, 'Gerät: Router') && str_contains($msg, 'Dringend: Ja') && str_contains($msg, 'Gesendet über das Formular'), 'ECHT: Ticket-Text besteht aus den Angaben der Felder');
-    }
-} else {
-    fwrite(STDOUT, "(Prüfungen gegen den echten Server übersprungen: DESKHUB_URL und DESKHUB_KEY nicht gesetzt)\n");
-}
-
-// Zuletzt: Die Konstante bleibt für den Rest des Prozesses gesetzt
-// ── Schlüssel aus der wp-config.php ─────────────────────────────────────────
-reset_wp(['api_key' => 'aus_datenbank']);
-define('DESKHUB_TICKETS_API_KEY', 'aus_config');
-$check(deskhub_tickets_option('api_key') === 'aus_config' && deskhub_tickets_key_from_config(), 'Schlüssel aus der wp-config.php hat Vorrang');
-
-if ($failures) {
-    fwrite(STDERR, "Fehlgeschlagen (" . count($failures) . " von $total):\n - " . implode("\n - ", $failures) . "\n");
-    exit(1);
-}
-echo "WordPress-Plugin: alle $total Prüfungen bestanden.\n";
+<?php
+declare(strict_types=1);
+
+/**
+ * Tests des WordPress-Plugins "DeskHub Tickets" mit einem Nachbau der WordPress-Funktionen (wp-stub.php).
+ *   php wordpress-plugin/tests/run.php
+ * Gegen einen echten DeskHub-Server (Testinstallation) zusätzlich:
+ *   DESKHUB_URL=http://127.0.0.1:8097 DESKHUB_KEY=dh_… php wordpress-plugin/tests/run.php
+ * Ohne DESKHUB_URL werden die Prüfungen gegen den echten Server übersprungen.
+ */
+
+require __DIR__ . '/wp-stub.php';
+require dirname(__DIR__) . '/deskhub-tickets/deskhub-tickets.php';
+do_action('plugins_loaded');   // wie WordPress: Plugin startet
+
+$failures = [];
+$total = 0;
+$check = function (bool $ok, string $what) use (&$failures, &$total): void { $total++; if (!$ok) $failures[] = $what; };
+
+function reset_wp(array $opts = []): void
+{
+    $GLOBALS['wp_options'] = ['date_format' => 'd.m.Y', 'time_format' => 'H:i'];
+    $GLOBALS['wp_transients'] = [];
+    $GLOBALS['wp_http_log'] = [];
+    $GLOBALS['wp_http_handler'] = null;
+    $GLOBALS['wp_user'] = ['id' => 0, 'caps' => [], 'name' => '', 'email' => ''];
+    $GLOBALS['wp_settings_errors'] = [];
+    $GLOBALS['wp_enqueued'] = [];
+    $_POST = []; $_GET = []; $_SERVER['REQUEST_METHOD'] = 'GET'; $_SERVER['REMOTE_ADDR'] = '203.0.113.5';
+    if ($opts !== null) {
+        $GLOBALS['wp_options']['deskhub_tickets_options'] = array_merge([
+            'server_url' => 'https://support.example.de', 'api_key' => 'dh_geheimer_schluessel_123', 'min_seconds' => 0, 'rate_limit_per_hour' => 5,
+        ], $opts);
+    }
+}
+function run_form_post(array $post): ?string
+{
+    $_POST = $post;
+    $_SERVER['REQUEST_METHOD'] = 'POST';
+    try { Deskhub_Tickets_Form::handle_submit(); } catch (WpRedirect $r) { return $r->location; }
+    return null;
+}
+/** Holt den Zustand (Fehler/Erfolg), den handle_submit hinterlassen hat, aus der Weiterleitungsadresse. */
+function state_from(?string $location): ?array
+{
+    if (!$location || !preg_match('/[?&]dht=([a-f0-9]{16})/', $location, $m)) return null;
+    return $GLOBALS['wp_transients']['dht_state_' . $m[1]][0] ?? null;
+}
+function render_form(array $atts = [], ?string $location = null): string
+{
+    $_GET = [];
+    if ($location && preg_match('/[?&]dht=([a-f0-9]{16})/', $location, $m)) $_GET['dht'] = $m[1];
+    return Deskhub_Tickets_Form::render_ticket_form($atts);
+}
+/** Ein gültig aussehendes Formular wie vom Plugin erzeugt: unterschriebene Angaben und Zeitstempel aus der Ausgabe lesen. */
+function valid_post(string $html, array $over = []): array
+{
+    preg_match('/name="dht_cfg" value="([^"]*)"/', $html, $c);
+    preg_match('/name="dht_sig" value="([^"]*)"/', $html, $s);
+    preg_match('/name="dht_ts" value="([^"]*)"/', $html, $t);
+    preg_match('/name="dht_back" value="([^"]*)"/', $html, $b);
+    return array_merge([
+        'action' => 'deskhub_ticket_submit', 'dht_cfg' => html_entity_decode($c[1] ?? ''), 'dht_sig' => $s[1] ?? '', 'dht_ts' => $t[1] ?? '', 'dht_back' => html_entity_decode($b[1] ?? ''),
+        'dht_website' => '', 'dht_name' => 'Erika Muster', 'dht_email' => 'erika@kunde.example', 'dht_subject' => 'Rechnung fehlt', 'dht_message' => "Hallo,\nbitte schicken Sie mir die Rechnung.",
+    ], $over);
+}
+function ok_handler(array &$seen = null): callable
+{
+    return function (string $url, array $args) use (&$seen) {
+        if (str_contains($url, 'form=1') || str_contains($url, 'topics=1')) return wp_stub_response(422, ['error' => ['code' => 'MISSING_PARAMS', 'message' => 'x']]);   // wie ein älterer Server
+        $seen[] = ['url' => $url, 'args' => $args];
+        if (($args['method'] ?? 'GET') === 'POST') return wp_stub_response(201, ['number' => '261101-0001', 'status' => 'open']);
+        return wp_stub_response(200, ['ticket' => ['number' => '261101-0001', 'subject' => 'Rechnung', 'status' => 'answered', 'createdAt' => '2026-11-01 10:00:00', 'updatedAt' => '2026-11-01 11:00:00',
+            'messages' => [['author' => 'customer', 'message' => 'Hallo <script>alert(1)</script>', 'createdAt' => '2026-11-01 10:00:00'], ['author' => 'staff', 'message' => "Erledigt.\nViele Grüße", 'createdAt' => '2026-11-01 11:00:00']]]]);
+    };
+}
+
+// ── Server-Adresse ─────────────────────────────────────────────────────────
+reset_wp();
+foreach ([
+    ['support.example.de', 'https://support.example.de'],
+    [' https://support.example.de/ ', 'https://support.example.de'],
+    ['https://example.de/helpdesk/', 'https://example.de/helpdesk'],
+    ['http://127.0.0.1:8080', 'http://127.0.0.1:8080'],
+    ['http://localhost', 'http://localhost'],
+] as [$in, $want]) {
+    $check(Deskhub_Tickets_Client::normalize_url($in) === $want, "Adresse '$in' wird zu '$want'");
+}
+foreach (['', 'http://support.example.de', 'https://user:pw@example.de', 'https://example.de/?x=1', 'https://example.de/#a', 'ftp://example.de', 'http://localhost.evil.de'] as $bad) {
+    $check(is_wp_error(Deskhub_Tickets_Client::normalize_url($bad)), "Adresse '$bad' wird abgelehnt");
+}
+
+// ── Nicht eingerichtet ──────────────────────────────────────────────────────
+reset_wp(['server_url' => '', 'api_key' => '']);
+$check(Deskhub_Tickets_Form::render_ticket_form() === '', 'Ohne Einrichtung sieht ein Besucher nichts');
+$GLOBALS['wp_user']['caps'] = ['manage_options'];
+$check(str_contains(Deskhub_Tickets_Form::render_ticket_form(), 'noch nicht eingerichtet'), 'Ein Administrator sieht den Einrichtungshinweis');
+
+// ── Formular wird angezeigt ─────────────────────────────────────────────────
+reset_wp(['consent_text' => 'Ich habe die <a href="/datenschutz" onclick="x()">Datenschutzerklärung</a> gelesen.<script>bad()</script>']);
+$html = render_form();
+foreach (['name="dht_name"', 'name="dht_email"', 'name="dht_subject"', 'name="dht_message"', 'name="dht_website"', 'name="dht_consent"', 'name="dht_ts"', 'name="dht_sig"'] as $f) {
+    $check(str_contains($html, $f), "Formular enthält $f");
+}
+$check(!str_contains($html, 'dh_geheimer_schluessel_123') && !str_contains($html, 'support.example.de'), 'Weder API-Schlüssel noch Server-Adresse stehen im Formular');
+$check(str_contains($html, 'href="/datenschutz"') && !str_contains($html, 'onclick') && !str_contains($html, '<script'), 'Einwilligungstext: Link bleibt, Skripte und Ereignisse werden entfernt');
+$check(in_array('deskhub-tickets', $GLOBALS['wp_enqueued'], true), 'Stylesheet wird eingebunden');
+$GLOBALS['wp_user'] = ['id' => 7, 'caps' => [], 'name' => 'Lena', 'email' => 'lena@example.de'];
+$check(str_contains(render_form(), 'value="lena@example.de"'), 'Angemeldete Besucher: E-Mail-Adresse ist vorausgefüllt');
+$GLOBALS['wp_user'] = ['id' => 0, 'caps' => [], 'name' => '', 'email' => ''];
+
+// ── Absenden: Erfolg und Inhalt der Anfrage ─────────────────────────────────
+reset_wp(['department_id' => 2, 'priority_id' => 1]);
+$seen = [];
+$GLOBALS['wp_http_handler'] = ok_handler($seen);
+$html = render_form();
+$loc = run_form_post(valid_post($html, ['dht_departmentId' => '99', 'dht_priority' => '9', 'dht_topic' => '77']));
+$state = state_from($loc);
+$check($state && !empty($state['ok']) && $state['number'] === '261101-0001', 'Absenden gelingt, Ticketnummer wird gemerkt');
+$check(str_starts_with((string) $loc, 'https://wp.test/kontakt/?dht=') && str_ends_with((string) $loc, '#deskhub-ticket'), 'Danach geht es auf die Seite des Formulars zurück');
+$req = $seen[0] ?? null;
+$sent = json_decode((string) ($req['args']['body'] ?? ''), true);
+$check($req && ($req['args']['method'] ?? '') === 'POST' && str_ends_with($req['url'], '/api/public/v1/tickets.php'), 'Anfrage geht per POST an die Ticket-API');
+$check(($req['args']['headers']['X-API-Key'] ?? '') === 'dh_geheimer_schluessel_123', 'Der API-Schlüssel wird im Header gesendet');
+$check(($sent['departmentId'] ?? null) === 2 && ($sent['priorityId'] ?? null) === 1, 'Abteilung und Priorität kommen aus den Einstellungen, nicht aus dem Formular');
+$check(!isset($sent['helpTopicId']), 'Ein vom Besucher erfundenes Thema wird nicht übernommen');
+$check(str_contains((string) ($sent['message'] ?? ''), "bitte schicken Sie mir die Rechnung.") && str_contains((string) $sent['message'], 'https://wp.test/kontakt/'), 'Nachricht enthält den Text und die Herkunftsseite');
+$check(render_form([], $loc) !== '' && str_contains(render_form([], $loc), 'Vielen Dank') === false, 'Der Erfolgszustand wird nur einmal angezeigt (danach wieder das leere Formular)');
+$loc2 = run_form_post(valid_post($html));
+$check(str_contains(render_form([], $loc2), '261101-0001'), 'Erfolgsseite zeigt die Ticketnummer');
+
+// ── Manipulation und Roboter ────────────────────────────────────────────────
+reset_wp();
+$seen = []; $GLOBALS['wp_http_handler'] = ok_handler($seen);
+$html = render_form();
+$bad = valid_post($html, ['dht_cfg' => base64_encode('{"d":99,"t":0,"p":9,"o":[]}')]);
+$st = state_from(run_form_post($bad));
+$check($st && !empty($st['errors']) && !$seen, 'Veränderte Abteilung/Priorität (falsche Unterschrift) wird abgelehnt, nichts gesendet');
+$st = state_from(run_form_post(valid_post($html, ['dht_website' => 'http://spam.example'])));
+$check($st && !empty($st['ok']) && $st['number'] === '' && !$seen, 'Falle-Feld ausgefüllt: scheinbar Erfolg, aber nichts angelegt');
+$st = state_from(run_form_post(valid_post($html, ['dht_ts' => 'abc'])));
+$check($st && !empty($st['errors']) && !$seen, 'Gefälschter Zeitstempel wird abgelehnt');
+reset_wp(['min_seconds' => 10]);
+$seen = []; $GLOBALS['wp_http_handler'] = ok_handler($seen);
+$st = state_from(run_form_post(valid_post(render_form())));
+$check($st && !empty($st['errors']) && !$seen, 'Zu schnell abgesendet (unter der Mindestzeit) wird abgelehnt');
+
+// ── Pflichtfelder, Einwilligung, Themenauswahl ──────────────────────────────
+reset_wp(['consent_text' => 'Ich stimme zu.']);
+$seen = []; $GLOBALS['wp_http_handler'] = ok_handler($seen);
+$html = render_form();
+$st = state_from(run_form_post(valid_post($html, ['dht_name' => '', 'dht_email' => 'kein-email', 'dht_subject' => '', 'dht_message' => '   '])));
+$check($st && count($st['errors']) === 5 && !$seen, 'Fehlende Pflichtfelder und fehlende Einwilligung ergeben fünf Fehler (nichts gesendet)');
+$st = state_from(run_form_post(valid_post($html, ['dht_message' => 'Hallo <b>Welt</b> <script>alert(1)</script>', 'dht_consent' => '1'])));
+$sent = json_decode((string) ($seen[0]['args']['body'] ?? ''), true);
+$check(!str_contains((string) ($sent['message'] ?? ''), '<'), 'HTML in der Nachricht wird entfernt');
+$check($st && !empty($st['ok']), 'Mit Einwilligung klappt es');
+
+reset_wp(['consent_text' => '']);
+$seen = []; $GLOBALS['wp_http_handler'] = ok_handler($seen);
+$html = render_form(['topics' => 'Rechnung:3,Technik:4', 'department' => '5']);
+$check(str_contains($html, '<option value="3"') && str_contains($html, 'Technik'), 'Themenliste wird als Auswahl angezeigt');
+$st = state_from(run_form_post(valid_post($html, ['dht_topic' => '9'])));
+$check($st && !empty($st['errors']) && !$seen, 'Ein Thema, das nicht in der Liste steht, wird abgelehnt');
+$st = state_from(run_form_post(valid_post($html, [])));
+$check($st && !empty($st['errors']) && !$seen, 'Ohne gewähltes Thema wird abgelehnt, wenn eine Auswahl angeboten wurde');
+$st = state_from(run_form_post(valid_post($html, ['dht_topic' => '4'])));
+$sent = json_decode((string) ($seen[0]['args']['body'] ?? ''), true);
+$check(($sent['helpTopicId'] ?? null) === 4 && ($sent['departmentId'] ?? null) === 5, 'Gewähltes Thema und Abteilung aus dem Shortcode werden gesendet');
+$check(count(Deskhub_Tickets_Form::parse_topics('A:1, B :2,kaputt,:3,C:x')) === 2, 'Themenangaben: Fehlerhafte Einträge werden übersprungen');
+
+// ── Mengenbegrenzung ────────────────────────────────────────────────────────
+reset_wp(['rate_limit_per_hour' => 3]);
+$seen = []; $GLOBALS['wp_http_handler'] = ok_handler($seen);
+$html = render_form();
+$results = [];
+for ($i = 0; $i < 5; $i++) { $st = state_from(run_form_post(valid_post($html))); $results[] = !empty($st['ok']); }
+$check($results === [true, true, true, false, false] && count($seen) === 3, 'Je Besucher höchstens 3 Tickets pro Stunde (4. und 5. werden abgelehnt)');
+$_SERVER['REMOTE_ADDR'] = '203.0.113.99';
+$st = state_from(run_form_post(valid_post($html)));
+$check(!empty($st['ok']), 'Ein anderer Besucher ist nicht betroffen');
+$check(!array_filter(array_keys($GLOBALS['wp_transients']), fn($k) => str_contains($k, '203.0.113')), 'In der Datenbank stehen keine IP-Adressen');
+
+// ── Fehler des Servers ──────────────────────────────────────────────────────
+reset_wp();
+$cases = [
+    [422, 'INVALID_EMAIL', 'gültige E-Mail'], [429, 'RATE_LIMITED', 'Minute'], [403, 'BANNED', 'nicht angenommen'], [500, '', 'nicht erreichbar'],
+];
+foreach ($cases as [$code, $api, $needle]) {
+    $GLOBALS['wp_http_handler'] = fn($u, $a) => wp_stub_response($code, $api ? ['error' => ['code' => $api, 'message' => 'Interne Meldung dh_geheimer_schluessel_123']] : 'Fehlerseite');
+    $st = state_from(run_form_post(valid_post(render_form())));
+    $msg = $st['errors'][0] ?? '';
+    $check(str_contains($msg, $needle) && !str_contains($msg, 'dh_geheimer'), "Serverfehler $code ($api): freundliche Meldung ohne Interna");
+}
+$GLOBALS['wp_http_handler'] = fn($u, $a) => new WP_Error('http_request_failed', 'cURL error 6: Could not resolve host');
+$st = state_from(run_form_post(valid_post(render_form())));
+$check(str_contains($st['errors'][0] ?? '', 'nicht erreichbar') && !str_contains($st['errors'][0], 'cURL'), 'Server nicht erreichbar: Meldung ohne technische Einzelheiten');
+$check(($st['values']['message'] ?? '') !== '', 'Bei einem Fehler bleibt die Nachricht im Formular erhalten');
+
+// ── Statusabfrage ───────────────────────────────────────────────────────────
+reset_wp();
+$seen = []; $GLOBALS['wp_http_handler'] = ok_handler($seen);
+$_SERVER['REQUEST_METHOD'] = 'POST';
+$_POST = ['dht_status_submit' => '1', 'dht_number' => '261101-0001', 'dht_status_email' => 'erika@kunde.example'];
+$out = Deskhub_Tickets_Form::render_status_form();
+$check(str_contains($out, 'Beantwortet') && str_contains($out, 'Erledigt.<br />') && str_contains($out, 'Support'), 'Status und Verlauf werden angezeigt');
+$check(!str_contains($out, '<script>') && str_contains($out, '&lt;script&gt;'), 'Texte aus dem Verlauf werden maskiert');
+$q = $seen[0]['url'] ?? '';
+$check(str_contains($q, 'number=261101-0001') && str_contains($q, 'email=erika%40kunde.example'), 'Abfrage mit Ticketnummer und codierter E-Mail-Adresse');
+$_POST = ['dht_status_submit' => '1', 'dht_number' => '../etc/passwd', 'dht_status_email' => 'erika@kunde.example'];
+$seen = [];
+$out = Deskhub_Tickets_Form::render_status_form();
+$check(!$seen && str_contains($out, 'dht-error'), 'Ungültige Ticketnummer wird gar nicht erst an den Server geschickt');
+$GLOBALS['wp_http_handler'] = fn($u, $a) => wp_stub_response(404, ['error' => ['code' => 'NOT_FOUND', 'message' => 'Ticket nicht gefunden.']]);
+$_POST = ['dht_status_submit' => '1', 'dht_number' => '261101-0009', 'dht_status_email' => 'erika@kunde.example'];
+$check(str_contains(Deskhub_Tickets_Form::render_status_form(), 'nichts gefunden'), 'Unbekanntes Ticket: neutrale Meldung');
+reset_wp();
+$GLOBALS['wp_http_handler'] = fn($u, $a) => wp_stub_response(404, ['error' => ['code' => 'NOT_FOUND', 'message' => 'x']]);
+$_SERVER['REQUEST_METHOD'] = 'POST';
+$_POST = ['dht_status_submit' => '1', 'dht_number' => '261101-0009', 'dht_status_email' => 'erika@kunde.example'];
+$blocked = 0;
+for ($i = 0; $i < 14; $i++) { if (str_contains(Deskhub_Tickets_Form::render_status_form(), 'Zu viele Abfragen')) $blocked++; }
+$check($blocked === 4, 'Statusabfragen sind begrenzt (10 je 10 Minuten): das Durchprobieren von Nummern wird gebremst');
+
+// ── Kundenformular aus DeskHub (eigene Felder, Formular der Abteilung) ──────
+function form_fixture(): array
+{
+    $f = function (int $id, string $label, string $type, array $o = []) {
+        return array_merge(['id' => $id, 'label' => $label, 'type' => $type, 'required' => false, 'options' => [], 'help' => '', 'helpHtml' => '', 'width' => 'full', 'section' => 'extra', 'sectionTitle' => '', 'radioInline' => false], $o);
+    };
+    return ['helpTopicId' => 3, 'departmentId' => 2, 'ownForm' => true, 'title' => 'Störungsmeldung', 'intro' => 'Bitte beschreiben Sie die Störung.',
+        'subject' => ['show' => false, 'label' => 'Betreff'], 'message' => ['show' => false, 'label' => 'Beschreibung', 'hint' => ''], 'submitLabel' => 'Störung melden',
+        'fields' => [
+            $f(11, 'Gerät', 'select', ['required' => true, 'options' => ['Drucker', 'Router'], 'width' => 'half', 'section' => 'topic', 'helpHtml' => 'Siehe <a href="https://x.example/hilfe" target="_blank" rel="noopener noreferrer">Hilfe</a><script>x()</script>']),
+            $f(12, 'Seit wann', 'date', ['section' => 'extra', 'sectionTitle' => 'Zusätzliche Angaben']),
+            $f(13, 'Anzahl', 'number'),
+            $f(14, 'Dringend', 'checkbox', ['required' => true, 'helpHtml' => 'Ich bestätige die <a href="https://x.example/agb" rel="noopener noreferrer">AGB</a>']),
+            $f(15, 'Bereich', 'radio', ['options' => ['Büro', 'Lager'], 'radioInline' => true, 'section' => 'contact_top']),
+            $f(16, 'Details', 'textarea', ['section' => 'issue']),
+        ]];
+}
+/** Ein DeskHub mit Formular-Schnittstelle: liefert Formulare je Thema, protokolliert Ticket-Anfragen. */
+function new_server(array &$log, array $forms, ?array $postReply = null): callable
+{
+    return function (string $url, array $args) use (&$log, $forms, $postReply) {
+        $method = $args['method'] ?? 'GET';
+        if ($method === 'GET' && str_contains($url, 'topics=1')) {
+            return wp_stub_response(200, ['topics' => [['id' => 3, 'name' => 'Störung', 'path' => 'Technik / Störung', 'depth' => 1, 'parentId' => null, 'departmentId' => 2]]]);
+        }
+        if ($method === 'GET' && str_contains($url, 'form=1')) {
+            $log[] = ['kind' => 'form', 'url' => $url];
+            preg_match('/helpTopicId=(\d+)/', $url, $m);
+            $tid = (int) ($m[1] ?? 0);
+            return isset($forms[$tid]) ? wp_stub_response(200, ['form' => $forms[$tid]]) : wp_stub_response(422, ['error' => ['code' => 'INVALID_TOPIC', 'message' => 'x']]);
+        }
+        $log[] = ['kind' => 'post', 'url' => $url, 'body' => json_decode((string) ($args['body'] ?? ''), true)];
+        return $postReply ?? wp_stub_response(201, ['number' => '261101-0007', 'status' => 'open']);
+    };
+}
+$posts = fn(array $log) => array_values(array_filter($log, fn($e) => $e['kind'] === 'post'));
+$forms = fn(array $log) => array_values(array_filter($log, fn($e) => $e['kind'] === 'form'));
+
+reset_wp(['department_id' => 9]);
+$log = [];
+$GLOBALS['wp_http_handler'] = new_server($log, [3 => form_fixture()]);
+$html = render_form(['topic' => '3']);
+$check(str_contains($html, 'Störungsmeldung') && str_contains($html, 'Bitte beschreiben Sie die Störung.') && str_contains($html, 'Störung melden</button>'), 'DeskHub-Formular: Titel, Einleitung und Knopf-Text kommen von DeskHub');
+$check(str_contains($html, 'name="dht_f[11]"') && str_contains($html, '<option value="Router"') && str_contains($html, 'name="dht_f[12]"') && str_contains($html, 'type="date"') && str_contains($html, 'type="number"')
+    && str_contains($html, 'type="checkbox" id="dht-f-3-14"') && str_contains($html, 'type="radio"') && str_contains($html, '<textarea id="dht-f-3-16"'), 'DeskHub-Formular: alle Feldtypen werden angezeigt');
+$check(preg_match('/<select id="dht-f-3-11"[^>]* required/', $html) === 1 && str_contains($html, 'dht-req'), 'DeskHub-Formular: Pflichtfelder sind gekennzeichnet');
+$check(str_contains($html, 'dht-w-half') && str_contains($html, 'dht-inline'), 'DeskHub-Formular: Breite und nebeneinander stehende Optionen');
+$check(str_contains($html, 'href="https://x.example/hilfe"') && str_contains($html, 'href="https://x.example/agb"') && !str_contains($html, '<script'), 'DeskHub-Formular: Hinweistexte mit Links, aber ohne Skripte');
+$check(strpos($html, 'name="dht_f[15]"') < strpos($html, 'name="dht_name"'), 'DeskHub-Formular: Feld „über den Kontaktdaten“ steht vor dem Namen');
+$check(strpos($html, 'name="dht_f[11]"') > strpos($html, 'name="dht_email"') && strpos($html, 'name="dht_f[16]"') > strpos($html, 'name="dht_message"') && strpos($html, 'name="dht_f[12]"') > strpos($html, 'name="dht_f[16]"'), 'DeskHub-Formular: Felder stehen an ihrem Platz (Thema, nach der Beschreibung, Zusätzliche Angaben am Ende)');
+$check(str_contains($html, '<h4 class="dht-group">Zusätzliche Angaben</h4>'), 'DeskHub-Formular: Überschrift „Zusätzliche Angaben“');
+$check(preg_match('/class="dht-subject-wrap" hidden/', $html) === 1 && preg_match('/name="dht_subject"[^>]* disabled/', $html) === 1 && preg_match('/name="dht_message"[^>]*disabled/', $html) === 1, 'DeskHub-Formular: ohne Betreff und Beschreibung (Felder ausgeblendet)');
+$check(count($forms($log)) === 1 && str_contains($forms($log)[0]['url'], 'helpTopicId=3') && !str_contains($forms($log)[0]['url'], 'departmentId='), 'Formular wird mit dem Thema geholt, die Standard-Abteilung der Einstellungen wird bei einem Thema nicht mitgeschickt');
+render_form(['topic' => '3']);
+$check(count($forms($log)) === 1, 'Formular wird zwischengespeichert (zweiter Aufruf fragt DeskHub nicht noch einmal)');
+
+// Absenden mit DeskHub-Formular
+$sub = fn(array $over = []) => valid_post(render_form(['topic' => '3']), array_merge(['dht_subject' => '', 'dht_message' => '', 'dht_f' => ['11' => 'Router', '12' => '2026-10-31', '14' => '1', '15' => 'Lager', '16' => 'Seit heute früh']], $over));
+$log = [];
+$GLOBALS['wp_http_handler'] = new_server($log, [3 => form_fixture()]);
+$st = state_from(run_form_post($sub()));
+$p = $posts($log)[0]['body'] ?? [];
+$check($st && !empty($st['ok']) && $st['number'] === '261101-0007', 'DeskHub-Formular: Absenden gelingt');
+$check(($p['fields'] ?? null) == ['11' => 'Router', '12' => '2026-10-31', '13' => '', '14' => '1', '15' => 'Lager', '16' => 'Seit heute früh'], 'Feldwerte gehen mit ihrer Nummer an DeskHub');
+$check(!array_key_exists('subject', $p) && !isset($p['departmentId']) && ($p['helpTopicId'] ?? 0) === 3, 'Ohne Betrefffeld wird kein Betreff gesendet (DeskHub setzt ihn), Abteilung bestimmt das Thema');
+$check(str_contains((string) ($p['message'] ?? ''), "Gerät: Router\nSeit wann: 2026-10-31\nDringend: Ja\nBereich: Lager\nDetails: Seit heute früh") && str_contains((string) $p['message'], 'Gesendet über das Formular'), 'Ohne Beschreibungsfeld besteht der Text aus den Angaben der Felder, dazu die Herkunftsseite');
+// Prüfungen
+$cases = [
+    ['Gerät fehlt', ['dht_f' => ['14' => '1']], 'Gerät'],
+    ['Gerät nicht angeboten', ['dht_f' => ['11' => 'Fax', '14' => '1']], 'angebotenen'],
+    ['Datum kaputt', ['dht_f' => ['11' => 'Router', '12' => '31.02.2026', '14' => '1']], 'Datum'],
+    ['Zahl kaputt', ['dht_f' => ['11' => 'Router', '13' => 'viele', '14' => '1']], 'Zahl'],
+    ['Pflicht-Checkbox fehlt', ['dht_f' => ['11' => 'Router']], 'bestätigen'],
+];
+foreach ($cases as [$what, $over, $needle]) {
+    $log = [];
+    $GLOBALS['wp_http_handler'] = new_server($log, [3 => form_fixture()]);
+    $st = state_from(run_form_post($sub($over)));
+    $check($st && !empty($st['errors']) && str_contains(implode(' ', $st['errors']), $needle) && !$posts($log), "DeskHub-Formular: $what wird abgelehnt, bevor etwas gesendet wird");
+}
+// Fehler von DeskHub selbst (INVALID_FIELD) wird freundlich weitergegeben
+$log = [];
+$GLOBALS['wp_http_handler'] = new_server($log, [3 => form_fixture()], wp_stub_response(422, ['error' => ['code' => 'INVALID_FIELD', 'message' => 'Bitte füllen Sie das Feld „Gerät“ aus.']]));
+$st = state_from(run_form_post($sub()));
+$check(($st['errors'][0] ?? '') === 'Bitte füllen Sie das Feld „Gerät“ aus.', 'Feldfehler von DeskHub wird dem Besucher gezeigt');
+$check(($st['values']['fields']['11'] ?? '') === 'Router', 'Nach einem Fehler bleiben die Angaben in den Feldern erhalten');
+// Nach einem Fehler: Felder sind wieder ausgefüllt
+$again = render_form(['topic' => '3'], run_form_post($sub(['dht_f' => ['11' => 'Router', '14' => '1', '16' => 'Text']])) );
+$check(str_contains($again, '<option value="Router" selected="selected">') && str_contains($again, 'checked="checked"'), 'Wieder angezeigtes Formular enthält die bisherigen Angaben');
+
+// Mehrere Themen
+reset_wp();
+$second = form_fixture();
+$second['helpTopicId'] = 4; $second['ownForm'] = false; $second['title'] = ''; $second['intro'] = ''; $second['subject'] = ['show' => true, 'label' => 'Betreff']; $second['message'] = ['show' => true, 'label' => 'Beschreibung', 'hint' => ''];
+$second['submitLabel'] = 'Ticket erstellen'; $second['fields'] = [$second['fields'][1]];
+$log = [];
+$GLOBALS['wp_http_handler'] = new_server($log, [3 => form_fixture(), 4 => $second]);
+$html = render_form(['topics' => 'Störung:3,Allgemein:4']);
+$check(count($forms($log)) === 2, 'Mehrere Themen: ein Formular je Thema wird geholt');
+$check(str_contains($html, 'data-topic="3"') && str_contains($html, 'data-topic="4"') && !str_contains($html, 'dht-topic-active'), 'Mehrere Themen: Felder je Thema in eigenen Blöcken, noch keines gewählt');
+$check(preg_match('/id="dht-f-3-11"[^>]* disabled/', $html) === 1 && preg_match('/id="dht-f-4-12"[^>]* disabled/', $html) === 1, 'Mehrere Themen: Felder nicht gewählter Themen sind gesperrt (werden nicht abgeschickt)');
+$json = [];
+preg_match('/data-dht-forms="([^"]*)"/', $html, $mm);
+$json = json_decode(html_entity_decode($mm[1] ?? ''), true);
+$check(($json[3]['subjectShow'] ?? null) === false && ($json[4]['subjectShow'] ?? null) === true && ($json[4]['submitLabel'] ?? '') === 'Ticket absenden' && ($json[3]['submitLabel'] ?? '') === 'Störung melden', 'Mehrere Themen: Texte je Thema für das Umschalten (Standardformular mit Texten des Plugins)');
+$log = [];
+$GLOBALS['wp_http_handler'] = new_server($log, [3 => form_fixture(), 4 => $second]);
+$st = state_from(run_form_post(valid_post($html, ['dht_topic' => '4', 'dht_f' => ['12' => '2026-10-31', '11' => 'Router']])));
+$p = $posts($log)[0]['body'] ?? [];
+$check(!empty($st['ok']) && ($p['helpTopicId'] ?? 0) === 4 && ($p['subject'] ?? '') === 'Rechnung fehlt' && array_map('strval', array_keys($p['fields'] ?? [])) === ['12'], 'Mehrere Themen: nur die Felder des gewählten Themas werden geprüft und gesendet');
+
+// Ältere DeskHub-Version: einfaches Formular, Hinweis nur für Administratoren
+reset_wp();
+$seen = []; $GLOBALS['wp_http_handler'] = ok_handler($seen);
+$html = render_form(['topic' => '3']);
+$check(str_contains($html, 'name="dht_subject"') && !str_contains($html, 'dht_f[') && !str_contains($html, 'kennt die Formular-Schnittstelle'), 'Ältere DeskHub-Version: einfaches Formular, kein Hinweis für Besucher');
+$GLOBALS['wp_user']['caps'] = ['manage_options'];
+$check(str_contains(render_form(['topic' => '3']), 'kennt die Formular-Schnittstelle'), 'Ältere DeskHub-Version: Administratoren sehen den Hinweis');
+$GLOBALS['wp_user']['caps'] = [];
+run_form_post(valid_post($html));
+$p = json_decode((string) ($seen[0]['args']['body'] ?? ''), true);
+$check(!array_key_exists('fields', $p ?? []) && ($p['subject'] ?? '') === 'Rechnung fehlt', 'Ältere DeskHub-Version: Ticket wird wie bisher ohne Felder angelegt');
+
+// Themenliste in den Einstellungen
+reset_wp();
+$GLOBALS['wp_user']['caps'] = ['manage_options'];
+$log = [];
+$GLOBALS['wp_http_handler'] = new_server($log, [3 => form_fixture()]);
+ob_start(); Deskhub_Tickets_Settings::render(); $page = (string) ob_get_clean();
+$check(str_contains($page, '<select name="deskhub_tickets_options[topic_id]"') && str_contains($page, 'Technik / Störung (3)'), 'Einstellungen: Hilfethema als Auswahl aus DeskHub');
+$GLOBALS['wp_http_handler'] = ok_handler($seen);
+ob_start(); Deskhub_Tickets_Settings::render(); $page = (string) ob_get_clean();
+$check(str_contains($page, 'type="number" min="0" class="small-text" name="deskhub_tickets_options[topic_id]"'), 'Einstellungen: bei älterem DeskHub bleibt das Zahlenfeld');
+$GLOBALS['wp_user']['caps'] = [];
+
+// ── Dateianhänge ────────────────────────────────────────────────────────────
+define('DESKHUB_TICKETS_TESTS', true);
+$policy = ['enabled' => true, 'maxFiles' => 3, 'maxFileBytes' => 1048576, 'maxTotalBytes' => 2097152, 'allowedExtensions' => ['pdf', 'png', 'txt']];
+$check(Deskhub_Tickets_Form::normalize_attachments(null)['enabled'] === false, 'Anhänge: ohne Angabe vom Server (älteres DeskHub) aus');
+reset_wp(['attachments' => 1]);
+$na = Deskhub_Tickets_Form::normalize_attachments($policy);
+$check($na['enabled'] && $na['maxFiles'] === 3 && $na['allowed'] === ['pdf', 'png', 'txt'], 'Anhänge: Angebot des Servers wird übernommen');
+$check(Deskhub_Tickets_Form::normalize_attachments(['enabled' => true, 'maxFiles' => 3, 'maxFileBytes' => 100, 'maxTotalBytes' => 100, 'allowedExtensions' => ['<b>', '..']])['enabled'] === false, 'Anhänge: ungültige Dateitypen aus dem Angebot werden verworfen');
+reset_wp(['attachments' => 0]);
+$check(Deskhub_Tickets_Form::normalize_attachments($policy)['enabled'] === false, 'Anhänge: Option des Plugins schaltet sie aus');
+reset_wp(['attachments' => 1]);
+
+$mk = function (string $name, string $content) {
+    $tmp = tempnam(sys_get_temp_dir(), 'dht');
+    file_put_contents($tmp, $content);
+    return ['name' => $name, 'tmp' => $tmp, 'size' => strlen($content)];
+};
+$files = function (array $list) {
+    $out = ['name' => [], 'type' => [], 'tmp_name' => [], 'error' => [], 'size' => []];
+    foreach ($list as $f) { $out['name'][] = $f['name']; $out['type'][] = ''; $out['tmp_name'][] = $f['tmp']; $out['error'][] = $f['error'] ?? UPLOAD_ERR_OK; $out['size'][] = $f['size']; }
+    return $out;
+};
+$pol = Deskhub_Tickets_Form::normalize_attachments($policy);
+[$e, $a] = Deskhub_Tickets_Form::collect_attachments($files([$mk('Bericht.pdf', '%PDF-test'), $mk('Notiz.txt', 'Hallo')]), $pol);
+$check($e === [] && count($a) === 2 && $a[0]['name'] === 'Bericht.pdf' && base64_decode($a[1]['data']) === 'Hallo', 'Anhänge: erlaubte Dateien werden Base64-kodiert übernommen');
+[$e, $a] = Deskhub_Tickets_Form::collect_attachments($files([$mk('x.exe', 'MZ')]), $pol);
+$check(count($e) === 1 && $a === [] && str_contains($e[0], 'nicht erlaubt'), 'Anhänge: .exe wird abgelehnt');
+[$e, $a] = Deskhub_Tickets_Form::collect_attachments($files([$mk('a.php', '<?php')]), $pol);
+$check(count($e) === 1 && $a === [], 'Anhänge: .php wird abgelehnt');
+[$e, $a] = Deskhub_Tickets_Form::collect_attachments($files([$mk('a.docx', 'x')]), $pol);
+$check(count($e) === 1 && $a === [], 'Anhänge: nicht freigegebener Typ (.docx) wird abgelehnt');
+[$e, $a] = Deskhub_Tickets_Form::collect_attachments($files([$mk('gross.pdf', str_repeat('x', 1048577))]), $pol);
+$check(count($e) === 1 && str_contains($e[0], 'zu groß') && $a === [], 'Anhänge: zu große Datei wird abgelehnt');
+[$e, $a] = Deskhub_Tickets_Form::collect_attachments($files([$mk('1.txt', 'a'), $mk('2.txt', 'b'), $mk('3.txt', 'c'), $mk('4.txt', 'd')]), $pol);
+$check(count($e) === 1 && str_contains($e[0], 'höchstens 3') && count($a) === 3, 'Anhänge: mehr als erlaubt wird abgelehnt');
+[$e, $a] = Deskhub_Tickets_Form::collect_attachments($files([$mk('a.txt', str_repeat('x', 900000)), $mk('b.txt', str_repeat('x', 900000)), $mk('c.txt', str_repeat('x', 900000))]), $pol);
+$check(count($e) === 1 && str_contains($e[0], 'zusammen'), 'Anhänge: zusammen zu groß wird abgelehnt');
+[$e, $a] = Deskhub_Tickets_Form::collect_attachments($files([['name' => '', 'tmp' => '', 'size' => 0, 'error' => UPLOAD_ERR_NO_FILE]]), $pol);
+$check($e === [] && $a === [], 'Anhänge: nichts ausgewählt ist kein Fehler');
+[$e, $a] = Deskhub_Tickets_Form::collect_attachments($files([['name' => 'a.pdf', 'tmp' => '', 'size' => 0, 'error' => UPLOAD_ERR_INI_SIZE]]), $pol);
+$check(count($e) === 1 && str_contains($e[0], 'zu groß'), 'Anhänge: vom Server abgelehnte Größe wird verständlich gemeldet');
+[$e] = Deskhub_Tickets_Form::collect_attachments($files([$mk('a.pdf', 'x')]), Deskhub_Tickets_Form::normalize_attachments(null));
+$check(count($e) === 1, 'Anhänge: ohne Angebot kein Anhang');
+[$e, $a] = Deskhub_Tickets_Form::collect_attachments($files([$mk('../../etc/passwd.txt', 'x')]), $pol);
+$check($e === [] && $a[0]['name'] !== '' && !str_contains($a[0]['name'], '/'), 'Anhänge: Pfadanteile im Dateinamen werden entfernt: ' . ($a[0]['name'] ?? ''));
+
+// Formular zeigt das Dateifeld nur, wenn DeskHub und Plugin es anbieten; Absenden schickt die Anhänge mit
+$fx = form_fixture();
+$fxAtt = $fx;
+$fxAtt['attachments'] = $policy;
+reset_wp(['attachments' => 1]);
+$log = [];
+$GLOBALS['wp_http_handler'] = new_server($log, [3 => $fxAtt]);
+$html = render_form(['topic' => '3']);
+$check(str_contains($html, 'enctype="multipart/form-data"') && str_contains($html, 'name="dht_files[]"') && str_contains($html, 'accept=".pdf,.png,.txt"') && str_contains($html, 'Bis zu 3 Dateien'), 'Formular: Dateifeld mit Hinweis, erlaubten Typen und Formularkodierung');
+reset_wp(['attachments' => 0]);
+$GLOBALS['wp_http_handler'] = new_server($log, [3 => $fxAtt]);
+$check(!str_contains(render_form(['topic' => '3']), 'dht_files'), 'Formular: Option aus: kein Dateifeld');
+reset_wp(['attachments' => 1]);
+$GLOBALS['wp_http_handler'] = new_server($log, [3 => $fx]);
+$check(!str_contains(render_form(['topic' => '3']), 'dht_files'), 'Formular: Server bietet keine Anhänge an: kein Dateifeld');
+
+reset_wp(['attachments' => 1]);
+$log = [];
+$GLOBALS['wp_http_handler'] = new_server($log, [3 => $fxAtt]);
+$html = render_form(['topic' => '3']);
+$_FILES = ['dht_files' => $files([$mk('Foto.png', 'PNGDATA'), $mk('Notiz.txt', 'Text')])];
+$loc = run_form_post(valid_post($html, ['dht_f' => [11 => 'Drucker', 14 => '1']]));
+$st = state_from($loc);
+$sent = $posts($log)[0]['body'] ?? [];
+$check($st && !empty($st['ok']) && count($sent['attachments'] ?? []) === 2 && $sent['attachments'][0]['name'] === 'Foto.png' && base64_decode($sent['attachments'][1]['data']) === 'Text', 'Absenden: die Anhänge gehen Base64-kodiert an DeskHub: ' . json_encode($st));
+$_FILES = ['dht_files' => $files([$mk('boese.exe', 'MZ')])];
+$log = [];
+$GLOBALS['wp_http_handler'] = new_server($log, [3 => $fxAtt]);
+$loc = run_form_post(valid_post($html, ['dht_f' => [11 => 'Drucker', 14 => '1']]));
+$st = state_from($loc);
+$check($st && empty($st['ok']) && $posts($log) === [] && str_contains(implode(' ', $st['errors'] ?? []), 'nicht erlaubt'), 'Absenden: ein gesperrter Dateityp stoppt vor dem Senden mit verständlicher Meldung');
+$_FILES = [];
+
+// ── Verbindungstest ─────────────────────────────────────────────────────────
+reset_wp();
+foreach ([[404, true, 'Tickets lesen'], [403, true, 'keine Tickets lesen'], [401, false, 'abgelehnt'], [500, false, '500']] as [$code, $ok, $needle]) {
+    $GLOBALS['wp_http_handler'] = fn($u, $a) => wp_stub_response($code, ['error' => ['code' => 'X', 'message' => 'm']]);
+    $r = Deskhub_Tickets_Client::from_settings()->test_connection();
+    $check($r['ok'] === $ok && str_contains($r['message'], $needle), "Verbindungstest bei HTTP $code");
+}
+$GLOBALS['wp_http_handler'] = fn($u, $a) => new WP_Error('x', 'y');
+$check(Deskhub_Tickets_Client::from_settings()->test_connection()['ok'] === false, 'Verbindungstest: Server nicht erreichbar');
+$check(!str_contains(json_encode($GLOBALS['wp_http_log']), 'redirection":1'), 'Es werden keine Weiterleitungen verfolgt');
+$check(($GLOBALS['wp_http_log'][0]['args']['redirection'] ?? null) === 0, 'Anfragen folgen keinen Weiterleitungen (redirection = 0)');
+
+// ── Verbindungstest: verständliche Meldungen ────────────────────────────────
+reset_wp();
+$GLOBALS['wp_http_handler'] = fn($u, $a) => wp_stub_response(401, ['error' => ['code' => 'IP_NOT_ALLOWED', 'message' => 'Der Schlüssel ist gültig, aber für die IP-Adresse 203.0.113.9 nicht freigegeben.']]);
+$r = Deskhub_Tickets_Client::from_settings()->test_connection();
+$check($r['ok'] === false && str_contains($r['message'], '203.0.113.9') && str_contains($r['message'], 'lässt diese Adresse nicht zu'), 'Verbindungstest: gültiger Schlüssel, falsche IP: Meldung nennt die Adresse, die DeskHub sieht');
+$GLOBALS['wp_http_handler'] = fn($u, $a) => wp_stub_response(401, ['error' => ['code' => 'UNAUTHENTICATED', 'message' => 'x']]);
+$r = Deskhub_Tickets_Client::from_settings()->test_connection();
+$check($r['ok'] === false && str_contains($r['message'], 'Erlaubte IPs') && !str_contains($r['message'], 'dh_geheimer'), 'Verbindungstest: abgelehnter Schlüssel nennt die möglichen Ursachen (auch Erlaubte IPs)');
+$GLOBALS['wp_http_handler'] = fn($u, $a) => new WP_Error('http_request_failed', "cURL error 28:\nConnection timed out after 15001 milliseconds");
+$r = Deskhub_Tickets_Client::from_settings()->test_connection();
+$check($r['ok'] === false && str_contains($r['message'], 'nicht erreichbar') && str_contains($r['message'], 'timed out') && !str_contains($r['message'], "\n"), 'Verbindungstest: bei einem Verbindungsfehler steht die technische Ursache dabei');
+
+// ── „Speichern und Verbindung testen“ prüft die gerade eingegebenen Werte ───
+reset_wp(['server_url' => '', 'api_key' => '']);
+$GLOBALS['wp_user'] = ['id' => 5, 'caps' => ['manage_options'], 'name' => 'Admin', 'email' => 'a@example.de'];
+$GLOBALS['wp_http_handler'] = fn($u, $a) => (($a['headers']['X-API-Key'] ?? '') === 'dh_neu_eingegeben') ? wp_stub_response(404, ['error' => ['code' => 'NOT_FOUND', 'message' => 'x']]) : wp_stub_response(401, ['error' => ['code' => 'UNAUTHENTICATED', 'message' => 'x']]);
+$_POST = ['dht_test_after' => '1'];
+Deskhub_Tickets_Settings::sanitize(['server_url' => 'https://support.example.de', 'api_key' => 'dh_neu_eingegeben']);
+$res = get_transient('deskhub_tickets_test_5');
+$check(is_array($res) && $res['ok'] === true, 'Speichern und testen: der neu eingegebene Schlüssel wird sofort geprüft (noch bevor er gespeichert ist)');
+delete_transient('deskhub_tickets_test_5');
+Deskhub_Tickets_Settings::sanitize(['server_url' => 'https://support.example.de', 'api_key' => '']);
+$res = get_transient('deskhub_tickets_test_5');
+$check(is_array($res) && $res['ok'] === false && str_contains($res['message'], 'eintragen'), 'Speichern und testen: ohne Schlüssel kommt die Aufforderung, ihn einzutragen');
+delete_transient('deskhub_tickets_test_5');
+$_POST = [];
+Deskhub_Tickets_Settings::sanitize(['server_url' => 'https://support.example.de', 'api_key' => 'dh_neu_eingegeben']);
+$check(get_transient('deskhub_tickets_test_5') === false, 'Normales Speichern testet nichts');
+$GLOBALS['wp_user']['caps'] = [];
+$_POST = ['dht_test_after' => '1'];
+Deskhub_Tickets_Settings::sanitize(['server_url' => 'https://support.example.de', 'api_key' => 'dh_neu_eingegeben']);
+$check(get_transient('deskhub_tickets_test_5') === false, 'Ohne Berechtigung wird nichts getestet');
+$_POST = [];
+$GLOBALS['wp_user']['caps'] = ['manage_options'];
+$GLOBALS['wp_http_handler'] = fn($u, $a) => wp_stub_response(404, ['error' => ['code' => 'NOT_FOUND', 'message' => 'x']]);
+ob_start(); Deskhub_Tickets_Settings::render(); $page = (string) ob_get_clean();
+$check(str_contains($page, 'Speichern und Verbindung testen') && !str_contains($page, 'deskhub_tickets_test"'), 'Einstellungsseite: Speichern und testen in einem Schritt, kein getrennter Test-Knopf mehr');
+$GLOBALS['wp_user']['caps'] = [];
+// ── Einstellungen speichern ─────────────────────────────────────────────────
+reset_wp(['api_key' => 'dh_alt', 'turnstile_secret' => 'ts_alt', 'server_url' => 'https://alt.example.de']);
+$out = Deskhub_Tickets_Settings::sanitize(['server_url' => 'neu.example.de', 'api_key' => '', 'department_id' => '3x', 'min_seconds' => '500', 'rate_limit_per_hour' => '-4',
+    'consent_text' => 'Text <a href="/x" onclick="e()">Link</a><iframe src=x></iframe>', 'status_page_url' => 'javascript:alert(1)', 'turnstile_site' => '<b>abc</b>', 'turnstile_secret' => '']);
+$check($out['server_url'] === 'https://neu.example.de', 'Einstellungen: Adresse wird bereinigt');
+$check($out['api_key'] === 'dh_alt' && $out['turnstile_secret'] === 'ts_alt', 'Einstellungen: Leere Schlüsselfelder behalten den gespeicherten Wert');
+$check($out['department_id'] === 3 && $out['min_seconds'] === 60 && $out['rate_limit_per_hour'] === 4, 'Einstellungen: Zahlen werden begrenzt');
+$check(!str_contains($out['consent_text'], 'onclick') && !str_contains($out['consent_text'], 'iframe') && str_contains($out['consent_text'], 'href="/x"'), 'Einstellungen: Einwilligungstext wird bereinigt');
+$check($out['status_page_url'] === '' && $out['turnstile_site'] === 'abc', 'Einstellungen: gefährliche Adresse und HTML werden entfernt');
+$out = Deskhub_Tickets_Settings::sanitize(['server_url' => 'http://evil.example', 'api_key' => ' dh_neu\n123 ', 'clear_turnstile' => '1']);
+$check($out['server_url'] === 'https://alt.example.de' && $GLOBALS['wp_settings_errors'], 'Einstellungen: ungültige Adresse behält die alte und meldet einen Fehler');
+$check($out['api_key'] === 'dh_neun123' || $out['api_key'] === 'dh_neu\n123' || preg_match('/^[\x21-\x7E]+$/', $out['api_key']) === 1, 'Einstellungen: Schlüssel enthält nur sichtbare Zeichen');
+$check($out['turnstile_secret'] === '', 'Einstellungen: Turnstile-Schlüssel lässt sich entfernen');
+$out = Deskhub_Tickets_Settings::sanitize(['clear_key' => '1', 'api_key' => 'dh_x']);
+$check($out['api_key'] === '', 'Einstellungen: Schlüssel entfernen');
+
+// ── Gegen den echten DeskHub-Server ─────────────────────────────────────────
+$url = getenv('DESKHUB_URL') ?: '';
+$key = getenv('DESKHUB_KEY') ?: '';
+if ($url !== '' && $key !== '') {
+    $curl = function (string $u, array $args) {
+        $ch = curl_init($u);
+        $hdr = [];
+        foreach ($args['headers'] ?? [] as $k => $v) $hdr[] = "$k: $v";
+        curl_setopt_array($ch, [CURLOPT_RETURNTRANSFER => true, CURLOPT_CUSTOMREQUEST => $args['method'] ?? 'GET', CURLOPT_HTTPHEADER => $hdr, CURLOPT_TIMEOUT => 30, CURLOPT_FOLLOWLOCATION => false]);
+        if (isset($args['body'])) curl_setopt($ch, CURLOPT_POSTFIELDS, $args['body']);
+        $body = (string) curl_exec($ch);
+        $code = (int) curl_getinfo($ch, CURLINFO_RESPONSE_CODE);
+        $err = curl_error($ch);
+        curl_close($ch);
+        return $code === 0 ? new WP_Error('http_request_failed', $err) : wp_stub_response($code, $body);
+    };
+    reset_wp(['server_url' => $url, 'api_key' => $key]);
+    $GLOBALS['wp_http_handler'] = $curl;
+    $client = Deskhub_Tickets_Client::from_settings();
+    $t = $client->test_connection();
+    $check($t['ok'] === true, 'ECHT: Verbindungstest erfolgreich (' . $t['message'] . ')');
+    $res = $client->create_ticket(['name' => 'WordPress-Test', 'email' => 'wp-test@example.com', 'subject' => 'Test aus dem WordPress-Plugin', 'message' => "Zeile 1\nZeile 2 mit Umlauten äöü und <b>HTML</b>"]);
+    $check(is_array($res) && preg_match('/^\d{6}-\d{4}$/', $res['number'] ?? '') === 1, 'ECHT: Ticket angelegt: ' . (is_array($res) ? $res['number'] : $res->get_error_message()));
+    if (is_array($res)) {
+        $got = $client->get_ticket($res['number'], 'WP-Test@Example.com');
+        $check(is_array($got) && $got['subject'] === 'Test aus dem WordPress-Plugin' && ($got['messages'][0]['author'] ?? '') === 'customer', 'ECHT: Status und Verlauf abgerufen (E-Mail ohne Beachtung der Groß-/Kleinschreibung)');
+        $check(is_array($got) && str_contains($got['messages'][0]['message'], 'äöü'), 'ECHT: Umlaute kommen unverändert an');
+        $wrong = $client->get_ticket($res['number'], 'andere@example.com');
+        $check(is_wp_error($wrong) && Deskhub_Tickets_Client::user_message($wrong) !== '' && str_contains(Deskhub_Tickets_Client::user_message($wrong), 'nichts gefunden'), 'ECHT: Falsche E-Mail-Adresse liefert nichts');
+        // Der ganze Weg über das Formular
+        $GLOBALS['wp_transients'] = [];
+        $html = render_form();
+        $st = state_from(run_form_post(valid_post($html, ['dht_email' => 'form-test@example.com', 'dht_subject' => 'Formular-Test'])));
+        $check(!empty($st['ok']) && preg_match('/^\d{6}-\d{4}$/', $st['number']) === 1, 'ECHT: Ganzer Weg über das Formular, Ticket ' . ($st['number'] ?? '?'));
+        $st = state_from(run_form_post(valid_post($html, ['dht_email' => 'form-test@example.com', 'dht_subject' => 'Zweiter Test'])));
+        $_SERVER['REQUEST_METHOD'] = 'POST';
+        $_POST = ['dht_status_submit' => '1', 'dht_number' => $st['number'] ?? 'x', 'dht_status_email' => 'form-test@example.com'];
+        $out = Deskhub_Tickets_Form::render_status_form();
+        $check(str_contains($out, 'Zweiter Test') && str_contains($out, 'Offen'), 'ECHT: Statusseite zeigt das neue Ticket');
+    }
+    $bad = (new Deskhub_Tickets_Client($url, 'dh_falscher_schluessel'))->test_connection();
+    $check($bad['ok'] === false && str_contains($bad['message'], 'abgelehnt'), 'ECHT: Falscher Schlüssel wird erkannt');
+    $inv = $client->create_ticket(['name' => 'X', 'email' => 'kaputt', 'subject' => 'S', 'message' => 'M']);
+    $check(is_wp_error($inv) && str_contains(Deskhub_Tickets_Client::user_message($inv), 'gültige E-Mail'), 'ECHT: Ungültige E-Mail-Adresse wird vom Server abgelehnt');
+    $down = (new Deskhub_Tickets_Client('http://127.0.0.1:1', $key))->test_connection();
+    $check($down['ok'] === false, 'ECHT: Nicht erreichbarer Server wird gemeldet');
+
+    $keyIp = getenv('DESKHUB_KEY_IP') ?: '';
+    if ($keyIp !== '') {
+        $r = (new Deskhub_Tickets_Client($url, $keyIp))->test_connection();
+        $check($r['ok'] === false && str_contains($r['message'], '127.0.0.1') && str_contains($r['message'], 'lässt diese Adresse nicht zu'), 'ECHT: Schlüssel mit anderer erlaubter IP: die Meldung nennt die Adresse, die DeskHub sieht (' . $r['message'] . ')');
+    }
+    // Eigenes Formular eines Hilfethemas (nur wenn die Testinstallation eines hat: DESKHUB_TOPIC, DESKHUB_F_SELECT, DESKHUB_F_DATE, DESKHUB_F_CHECK, DESKHUB_DB)
+    $topic = (int) (getenv('DESKHUB_TOPIC') ?: 0);
+    if ($topic > 0) {
+        $fSel = (int) getenv('DESKHUB_F_SELECT'); $fDate = (int) getenv('DESKHUB_F_DATE'); $fChk = (int) getenv('DESKHUB_F_CHECK');
+        $pdoReal = new PDO('sqlite:' . getenv('DESKHUB_DB'));
+        $pdoReal->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);
+        $topics = $client->get_topics();
+        $check(is_array($topics) && in_array($topic, array_column($topics, 'id'), true), 'ECHT: Hilfethemen werden geholt');
+        $form = $client->get_form($topic, null);
+        $check(is_array($form) && !empty($form['ownForm']) && ($form['title'] ?? '') === 'Störungsmeldung' && count($form['fields']) === 3, 'ECHT: Formular des Hilfethemas wird geholt (eigenes Formular mit 3 Feldern)');
+        $GLOBALS['wp_transients'] = [];
+        $html = render_form(['topic' => (string) $topic]);
+        $check(str_contains($html, 'Störungsmeldung') && str_contains($html, 'name="dht_f[' . $fSel . ']"') && str_contains($html, '<option value="Router"') && str_contains($html, 'Störung melden</button>')
+            && preg_match('/class="dht-subject-wrap" hidden/', $html) === 1, 'ECHT: Das Formular zeigt Texte und Felder aus DeskHub (ohne Betreff und Beschreibung)');
+        // zuerst falsch (Pflichtfelder fehlen), dann richtig
+        $st = state_from(run_form_post(valid_post($html, ['dht_subject' => '', 'dht_message' => '', 'dht_f' => [(string) $fDate => '2026-10-31']])));
+        $check(!empty($st['errors']) && empty($st['ok']), 'ECHT: Fehlende Pflichtfelder werden abgelehnt');
+        $st = state_from(run_form_post(valid_post($html, ['dht_email' => 'stoerung@example.com', 'dht_subject' => '', 'dht_message' => '', 'dht_f' => [(string) $fSel => 'Router', (string) $fDate => '2026-10-31', (string) $fChk => '1']])));
+        $check(!empty($st['ok']) && preg_match('/^\d{6}-\d{4}$/', $st['number'] ?? '') === 1, 'ECHT: Störung über das Formular gemeldet, Ticket ' . ($st['number'] ?? '?'));
+        $t = $pdoReal->query('SELECT * FROM tickets WHERE ticket_number = ' . $pdoReal->quote((string) ($st['number'] ?? '')))->fetch(PDO::FETCH_ASSOC);
+        $check(is_array($t) && $t['subject'] === 'Anfrage Störungen' && (int) $t['help_topic_id'] === $topic, 'ECHT: Betreff „Anfrage Störungen“ und Hilfethema sind gesetzt');
+        $vals = $t ? $pdoReal->query('SELECT custom_field_id, value FROM ticket_field_values WHERE ticket_id = ' . (int) $t['id'])->fetchAll(PDO::FETCH_KEY_PAIR) : [];
+        $check(($vals[$fSel] ?? '') === 'Router' && ($vals[$fDate] ?? '') === '2026-10-31' && ($vals[$fChk] ?? '') === '1', 'ECHT: Die Angaben der Felder sind im Ticket gespeichert');
+        $msg = $t ? (string) $pdoReal->query('SELECT message FROM ticket_threads WHERE ticket_id = ' . (int) $t['id'])->fetchColumn() : '';
+        $check(str_contains($msg, 'Gerät: Router') && str_contains($msg, 'Dringend: Ja') && str_contains($msg, 'Gesendet über das Formular'), 'ECHT: Ticket-Text besteht aus den Angaben der Felder');
+    }
+} else {
+    fwrite(STDOUT, "(Prüfungen gegen den echten Server übersprungen: DESKHUB_URL und DESKHUB_KEY nicht gesetzt)\n");
+}
+
+// Zuletzt: Die Konstante bleibt für den Rest des Prozesses gesetzt
+// ── Schlüssel aus der wp-config.php ─────────────────────────────────────────
+reset_wp(['api_key' => 'aus_datenbank']);
+define('DESKHUB_TICKETS_API_KEY', 'aus_config');
+$check(deskhub_tickets_option('api_key') === 'aus_config' && deskhub_tickets_key_from_config(), 'Schlüssel aus der wp-config.php hat Vorrang');
+
+if ($failures) {
+    fwrite(STDERR, "Fehlgeschlagen (" . count($failures) . " von $total):\n - " . implode("\n - ", $failures) . "\n");
+    exit(1);
+}
+echo "WordPress-Plugin: alle $total Prüfungen bestanden.\n";
diff --git a/wordpress-plugin/tests/wp-stub.php b/wordpress-plugin/tests/wp-stub.php
index 702e68b9..8efd21a1 100644
--- a/wordpress-plugin/tests/wp-stub.php
+++ b/wordpress-plugin/tests/wp-stub.php
@@ -151,3 +151,6 @@ if (!function_exists('sanitize_hex_color')) {
 if (!function_exists('checked')) {
     function checked($a, $b = true, $echo = true) { $r = (string) $a === (string) $b ? " checked='checked'" : ''; if ($echo) echo $r; return $r; }
 }
+if (!function_exists('sanitize_file_name')) {
+    function sanitize_file_name($f) { $f = basename(str_replace(chr(92), '/', (string) $f)); $f = preg_replace('/[^A-Za-z0-9._ -]+/', '-', $f); return trim((string) $f, '.- ') === '' ? '' : (string) $f; }
+}
diff --git a/wordpress-plugin/tools/en.json b/wordpress-plugin/tools/en.json
index 461a61ca..99e0093a 100644
--- a/wordpress-plugin/tools/en.json
+++ b/wordpress-plugin/tools/en.json
@@ -2,10 +2,15 @@
   "API-Schlüssel": "API key",
   "Abteilung": "Department",
   "Adresse des DeskHub-Servers": "DeskHub server address",
+  "Akzentfarbe": "Accent color",
   "Anfrage ohne weitere Angaben": "Request without further details",
+  "Automatisch vom Theme übernehmen": "Take automatically from the theme",
   "Beantwortet": "Answered",
+  "Bei diesem Formular können keine Dateien angehängt werden.": "Files cannot be attached to this form.",
+  "Besucher dürfen Dateien anhängen": "Visitors may attach files",
   "Besucher wählen ein Thema aus (Bezeichnung:Nummer des Hilfethemas)": "visitors choose a topic (label:number of the help topic)",
   "Betreff": "Subject",
+  "Bis zu %1$d Dateien, je höchstens %2$s, zusammen höchstens %3$s. Erlaubt: %4$s": "Up to %1$d files, %2$s each at most, %3$s in total. Allowed: %4$s",
   "Bitte Server-Adresse und API-Schlüssel eintragen.": "Please enter the server address and API key.",
   "Bitte beschreiben Sie Ihr Anliegen.": "Please describe your request.",
   "Bitte bestätigen Sie „%s“.": "Please confirm “%s”.",
@@ -19,6 +24,7 @@
   "Bitte geben Sie eine gültige E-Mail-Adresse an.": "Please enter a valid email address.",
   "Bitte geben Sie einen Betreff an (höchstens 255 Zeichen).": "Please enter a subject (at most 255 characters).",
   "Bitte geben Sie einen Betreff an.": "Please enter a subject.",
+  "Bitte hängen Sie höchstens %d Dateien an.": "Please attach no more than %d files.",
   "Bitte prüfen Sie Ihre Angaben.": "Please check your details.",
   "Bitte stimmen Sie der Verarbeitung Ihrer Angaben zu.": "Please agree to the processing of your data.",
   "Bitte wählen Sie bei „%s“ eine der angebotenen Möglichkeiten.": "Please choose one of the offered options for “%s”.",
@@ -28,7 +34,10 @@
   "Dafür fehlt die Berechtigung.": "You do not have permission to do this.",
   "Das Formular ist abgelaufen. Bitte laden Sie die Seite neu und versuchen Sie es noch einmal.": "The form has expired. Please reload the page and try again.",
   "Das ging etwas zu schnell. Bitte prüfen Sie Ihre Angaben und senden Sie noch einmal ab.": "That was a bit too fast. Please check your details and submit again.",
+  "Dateianhänge": "File attachments",
+  "Dateien anhängen (optional)": "Attach files (optional)",
   "Dazu kommt ein unsichtbares Feld, das nur Roboter ausfüllen. Das Formular funktioniert auch mit Seiten-Cache.": "In addition there is an invisible field that only robots fill in. The form also works with page caching.",
+  "Der Dateityp von „%1$s“ ist nicht erlaubt. Erlaubt: %2$s": "The file type of “%1$s” is not allowed. Allowed: %2$s",
   "Der DeskHub-Server ist nicht erreichbar.": "The DeskHub server cannot be reached.",
   "Der DeskHub-Server kennt die Formular-Schnittstelle noch nicht (bitte DeskHub aktualisieren). Bis dahin wird das einfache Formular ohne eigene Felder gezeigt. (Diese Meldung sehen nur Administratoren.)": "The DeskHub server does not know the form interface yet (please update DeskHub). Until then the simple form without custom fields is shown. (Only administrators see this message.)",
   "Der DeskHub-Server kennt die Formular-Schnittstelle noch nicht.": "The DeskHub server does not know the form interface yet.",
@@ -44,6 +53,11 @@
   "DeskHub Tickets ist noch nicht eingerichtet: Bitte unter Einstellungen → DeskHub Tickets Server-Adresse und API-Schlüssel eintragen. (Diese Meldung sehen nur Administratoren.)": "DeskHub Tickets is not set up yet: please enter the server address and API key under Settings → DeskHub Tickets. (Only administrators see this message.)",
   "DeskHub entscheidet": "DeskHub decides",
   "Die Adresse, unter der Ihr DeskHub erreichbar ist. Nur https (http nur für lokale Tests).": "The address where your DeskHub can be reached. https only (http only for local tests).",
+  "Die Datei „%1$s“ ist zu groß (höchstens %2$s).": "The file “%1$s” is too large (%2$s at most).",
+  "Die Datei „%s“ ist zu groß (höchstens %s).": "The file “%s” is too large (%s at most).",
+  "Die Datei „%s“ konnte nicht gelesen werden.": "The file “%s” could not be read.",
+  "Die Datei „%s“ konnte nicht hochgeladen werden.": "The file “%s” could not be uploaded.",
+  "Die Dateien sind zusammen zu groß (höchstens %s).": "The files together are too large (%s at most).",
   "Die Formulare werden beim nächsten Aufruf neu aus DeskHub geladen.": "The forms will be reloaded from DeskHub on the next request.",
   "Die Nummern stehen in DeskHub bei der jeweiligen Abteilung, dem Hilfethema und der Priorität. 0 = DeskHub entscheidet (Standardabteilung, Regeln des Hilfethemas). Im Shortcode lassen sich die Werte je Formular überschreiben.": "The numbers are shown in DeskHub next to each department, help topic and priority. 0 = DeskHub decides (default department, rules of the help topic). The values can be overridden per form in the shortcode.",
   "Die Server-Adresse ist ungültig.": "The server address is invalid.",
@@ -57,6 +71,7 @@
   "Eingebaut": "Built in",
   "Einstellungen": "Settings",
   "Einwilligung (Datenschutz)": "Consent (data protection)",
+  "Erlaubte Dateitypen und Größen bestimmt DeskHub (Einstellungen → Uploads): höchstens 5 Dateien, zusammen 10 MB. Braucht DeskHub 1.0.67 oder neuer, sonst bleibt das Feld unsichtbar.": "DeskHub decides the allowed file types and sizes (Settings → Uploads): at most 5 files, 10 MB in total. Needs DeskHub 1.0.67 or newer, otherwise the field stays hidden.",
   "Formular": "Form",
   "Formular zum Anlegen eines Tickets": "form for creating a ticket",
   "Formulare neu laden": "Reload forms",
@@ -84,6 +99,7 @@
   "Optional: Nach dem Absenden erscheint ein Link „Stand abfragen“ zu dieser Seite (dort steht der Shortcode [deskhub_status]).": "Optional: after submitting, a link “Check status” to this page appears (it contains the shortcode [deskhub_status]).",
   "Priorität": "Priority",
   "Schlüssel entfernen": "Remove key",
+  "Schrift, Hintergrund und Rahmen übernimmt das Formular immer vom Theme. Die Akzentfarbe (Knopf, Hervorhebung) wird automatisch aus Knöpfen und Links der Seite gelesen; hier lässt sie sich fest vorgeben.": "The form always takes font, background and border from the theme. The accent color (button, highlights) is read automatically from buttons and links of the page; you can set it here.",
   "Seite mit der Statusabfrage": "Page with the status lookup",
   "Sekunden": "seconds",
   "Sie": "You",
@@ -117,8 +133,5 @@
   "aus der wp-config.php": "from wp-config.php",
   "entfernen": "remove",
   "gespeichert, zum Ändern neuen Schlüssel eintragen": "saved, enter a new key to change it",
-  "mit festen Voreinstellungen für dieses Formular": "with fixed defaults for this form",
-  "Akzentfarbe": "Accent color",
-  "Automatisch vom Theme übernehmen": "Take automatically from the theme",
-  "Schrift, Hintergrund und Rahmen übernimmt das Formular immer vom Theme. Die Akzentfarbe (Knopf, Hervorhebung) wird automatisch aus Knöpfen und Links der Seite gelesen; hier lässt sie sich fest vorgeben.": "The form always takes font, background and border from the theme. The accent color (button, highlights) is read automatically from buttons and links of the page; you can set it here."
+  "mit festen Voreinstellungen für dieses Formular": "with fixed defaults for this form"
 }
\ No newline at end of file