Offene Punkte: API-Key-Leck in argv behoben, Archiv-Handling abgehakt

OFFENE-PUNKTE.md

@@ -11,14 +11,15 @@ Listen-Scroll (Toolbars stehen).
 
 ## Entscheidungen nötig
 
-- [ ] **Archiv-Ordner-Handling.** Beim Setzen explizit bestätigen statt still
-      anlegen; Wechsel eines gesetzten Archiv-Homes braucht eine
-      Migrationsmöglichkeit (Dokumente mitnehmen oder liegen lassen).
-      Kritisch: echte Nutzerdaten, nichts implizit verschieben.
+- [x] **Archiv-Ordner-Handling.** Erledigt mit cf2c25d (Archiv-Wechsel mit
+      Migrations-Option).
 
-- [ ] **macOS: API-Key kurz in der `security`-Kommandozeile sichtbar**
-      (`macos.rs`, `ps`-sichtbar). Vertagt, bis eine macOS-Session zum
-      Testen verfügbar ist.
+- [x] **macOS: API-Key kurz in der `security`-Kommandozeile sichtbar**
+      (`macos.rs`, `ps`-sichtbar). Behoben 2026-07-20: `add-generic-password`
+      bekommt `-w` ohne Wert und liest das Secret über stdin (zweimal, Eingabe
+      und Bestätigung); der Key steht nicht mehr in argv. Am CLI verifiziert
+      (Round-Trip inkl. Sonderzeichen). Der Weg durch die laufende App ist
+      noch nicht durchgespielt.
 
 ## Beobachten (nach den Umbauten vom 2026-07-20)