Index: src/routes/activitypub.js
===================================================================
--- src/routes/activitypub.js	(revision a8364eebcd86a4ed81e5828536e10f189505da2e)
+++ src/routes/activitypub.js	(revision a39c9bdab08647949b6c79b4758bd373bc6c27a0)
@@ -630,4 +630,28 @@
 });
 
+// ── Playlist als dereferenceerbare AP-collectie (shaer-ayc) ───────
+// De eerste stap van het Funkwhale-spoor: een playlist heeft een id, dus een
+// stabiele URI. Alleen het fedi_open-deel staat erin (de poort is per bestand
+// en eenrichtings; zie setAudioFediOpen in routes/posts.js) — een collectie
+// zonder open tracks bestaat wel maar is leeg, want de playlist zelf is niet
+// geheim, alleen de bestanden erachter.
+// De lijst van alle playlist-collecties (shaer-ayc, stap 2). De actor wijst
+// hierheen via AS2 `streams`. Kaal standaard; verrijkte stubs op verzoek
+// (FEP-9876), dezelfde conventie als followers/following.
+router.get('/ap/users/:slug/playlists', (req, res) => {
+  const site = publicSite(req.params.slug);
+  if (!site) return res.status(404).end();
+  AP.sendAP(res, AP.listPlaylistsAP(baseUrl(req), site, wantsEnriched(req, res)));
+});
+
+router.get('/ap/users/:slug/playlists/:id', (req, res) => {
+  const site = publicSite(req.params.slug);
+  if (!site) return res.status(404).end();
+  const pl = db.prepare('SELECT id, title, artist, year, cover_url, kind FROM playlists WHERE id = ? AND site_id = ?')
+    .get(req.params.id, site.id);
+  if (!pl) return res.status(404).end();
+  AP.sendAP(res, AP.buildPlaylistCollection(baseUrl(req), site, pl, AP.playlistOpenTracks(pl.id)));
+});
+
 // ── Note ──────────────────────────────────────────────────────────
 router.get('/ap/notes/:id', async (req, res) => {
Index: src/services/ActivityPubService.js
===================================================================
--- src/services/ActivityPubService.js	(revision a8364eebcd86a4ed81e5828536e10f189505da2e)
+++ src/services/ActivityPubService.js	(revision a39c9bdab08647949b6c79b4758bd373bc6c27a0)
@@ -195,4 +195,8 @@
     following: `${id}/following`,
     featured: `${id}/featured`,
+    // AS2-kern `streams`: "supplementary Collections which may be of
+    // interest" -- precies wat de playlist-lijst is (shaer-ayc, stap 2).
+    // Geen eigen vocabulaire nodig, en wie het niet kent negeert het.
+    streams: [`${id}/playlists`],
     // AP §5.6: the private blocked collection (owner-only GET). The server
     // list is the source of truth for Shaer's "in Orbit"; clients keep no
@@ -548,5 +552,5 @@
       ...((post.fan_only || post.ap_visibility === 'quiet') ? [] : [`${aId}/followers`]),
       ..._mentionCc])],
-    tag: [...buildHashtagList(base, post.tags, body), ..._mentionTags],
+    tag: [...buildHashtagList(base, post.tags, body), ..._mentionTags, ...playlistLinkTags(base, site, post.content)],
     replies: `${id}/replies`,
     // NSFW → Mastodon-style content warning: sensitive (blurs media) + a summary/spoiler
@@ -868,4 +872,119 @@
     orderedItems: items,
   };
+}
+
+// ── Playlist als AP-collectie (shaer-ayc, stap 1 van het Funkwhale-spoor) ──
+// Een playlist heeft, anders dan een album-als-tekstveld, een id — dus kan hij
+// een stabiele URI dragen en federeren. De vorm is bewust kaal AS2: een
+// OrderedCollection van Audio-objecten, dezelfde rijvorm die een post als
+// attachment meestuurt, zodat elke client die post-audio al speelt dit ook
+// speelt.
+//
+// De poortregel verandert hier NIET: alleen fedi_open-tracks staan erin, met
+// echte bestands-URL. Een gated track is niet "een rij zonder url" maar
+// afwezig — wie de collectie leest ziet het open deel en kan niet aftellen
+// hoeveel er achter de poort staat. totalItems telt daarom ook alleen het
+// open deel: een eerlijke telling over wat er werkelijk in de collectie staat,
+// niet over wat wij thuis in de kast hebben.
+export function playlistOpenTracks(playlistId) {
+  return db.prepare(
+    `SELECT t.title, t.artist, t.duration, t.cover_url, m.filename, m.storage_path, m.mime_type
+     FROM playlist_tracks pt
+     JOIN audio_tracks t ON t.id = pt.track_id
+     JOIN media m ON m.id = t.media_id
+     WHERE pt.playlist_id = ? AND t.fedi_open = 1
+     ORDER BY pt.position`
+  ).all(playlistId);
+}
+
+// Een post die een playlist insluit wijst in zijn AS2 ook naar de collectie
+// (shaer-ayc, stap 2): een Link-tag per ingesloten playlist. Mastodon
+// parseert alleen Mention/Hashtag/Emoji en negeert een Link geruisloos; een
+// client die hem kent haalt de collectie op. Opgelost uit post.content en
+// ALLEEN binnen de eigen site: playlist-ids zijn een globale primary key, dus
+// zonder site-check zou een post van site A naar de collectie van site B
+// kunnen wijzen.
+export function playlistLinkTags(base, site, content) {
+  const out = [];
+  const seen = new Set();
+  try {
+    for (const m of (content || '').matchAll(/\[\[playlist:([A-Za-z0-9_-]+)\]\]/g)) {
+      if (seen.has(m[1])) continue;
+      seen.add(m[1]);
+      const pl = db.prepare('SELECT id, title FROM playlists WHERE id = ? AND site_id = ?').get(m[1], site.id);
+      if (!pl) continue;
+      out.push({ type: 'Link', href: `${actorId(base, site.slug)}/playlists/${pl.id}`, mediaType: 'application/activity+json', name: pl.title });
+    }
+  } catch { /* niet-fataal: een tag minder, geen kapotte Note */ }
+  return out;
+}
+
+// De lijst van alle playlist-collecties van een site (shaer-ayc, stap 2).
+// Kaal standaard (URI's), verrijkt op verzoek (FEP-9876, zelfde conventie als
+// followers/following): een stub per playlist met naam, hoes en de EERLIJKE
+// telling -- totalItems van de stub telt het open deel, dezelfde regel als de
+// collectie zelf, want ook een lijst mag niet verklappen wat er achter de
+// poort staat.
+export function listPlaylistsAP(base, site, enriched) {
+  const rows = db.prepare(
+    'SELECT id, title, artist, year, cover_url FROM playlists WHERE site_id = ? ORDER BY created_at, id'
+  ).all(site.id);
+  const colId = `${actorId(base, site.slug)}/playlists`;
+  const items = rows.map((p) => {
+    const uri = `${actorId(base, site.slug)}/playlists/${p.id}`;
+    if (!enriched) return uri;
+    const stub = buildPlaylistCollection(base, site, p, playlistOpenTracks(p.id));
+    delete stub['@context'];       // genest object draagt de context van zijn omhulsel
+    delete stub.orderedItems;      // stub: wie de tracks wil, haalt de collectie op
+    return stub;
+  });
+  return {
+    '@context': AP_CONTEXT,
+    id: colId,
+    type: 'OrderedCollection',
+    attributedTo: actorId(base, site.slug),
+    totalItems: items.length,
+    orderedItems: items,
+  };
+}
+
+export function buildPlaylistCollection(base, site, playlist, rows) {
+  const abs = (u) => !u ? null : (/^https?:/i.test(u) ? u : `${base}${u.startsWith('/') ? '' : '/'}${u}`);
+  // Zelfde afleiding als in buildNote; die daar is functie-lokaal.
+  const mediaType = (u) => {
+    const e = ((u || '').split('?')[0].match(/\.(\w+)$/) || [])[1];
+    return ({ jpg: 'image/jpeg', jpeg: 'image/jpeg', png: 'image/png', gif: 'image/gif', webp: 'image/webp', avif: 'image/avif' })[(e || '').toLowerCase()] || 'image/jpeg';
+  };
+  const items = (rows || []).map((r) => {
+    const fn = r.filename || (r.storage_path || '').split('/').pop();
+    const a = {
+      type: 'Audio',
+      mediaType: r.mime_type || 'audio/mpeg',
+      url: `${base}/audio/stream/${encodeURIComponent(fn)}`,
+      name: r.title || 'Audio',
+    };
+    if (r.artist) a.summary = r.artist; // artiest als summary: kaal AS2, geen eigen vocab
+    if (r.duration) a.duration = `PT${Math.round(r.duration)}S`;
+    const art = abs(r.cover_url || playlist.cover_url || null);
+    if (art) a.icon = { type: 'Image', mediaType: mediaType(art), url: art };
+    return a;
+  });
+  const out = {
+    '@context': AP_CONTEXT,
+    id: `${actorId(base, site.slug)}/playlists/${playlist.id}`,
+    type: 'OrderedCollection',
+    name: playlist.title,
+    attributedTo: actorId(base, site.slug),
+    totalItems: items.length,
+    orderedItems: items,
+  };
+  // Album of playlist is presentatie; op de draad is het één samenvattingsveld.
+  const parts = [];
+  if (playlist.artist) parts.push(playlist.artist);
+  if (playlist.year) parts.push(String(playlist.year));
+  if (parts.length) out.summary = parts.join(' · ');
+  const cover = abs(playlist.cover_url || null);
+  if (cover) out.icon = { type: 'Image', mediaType: mediaType(cover), url: cover };
+  return out;
 }
 
@@ -5418,4 +5537,5 @@
   AP_CONTEXT, getOrCreateKeys, apWants, sendAP, actorId, noteId, stripLeadingMentions,
   buildActor, buildNote, buildCreate, buildOutbox, buildFollowers, buildFollowing, buildFeatured,
+  buildPlaylistCollection, playlistOpenTracks, listPlaylistsAP, playlistLinkTags,
   followerCount, deliver, fetchActor, verifyRequest, handleInbox, deliverCreate, deliverDelete, deliverUpdate, deliverActorUpdate, resyncFeaturedPins,
   feedCursor, feedChangesSince, waitForFeedChange,
Index: test/activitypub-as2.test.js
===================================================================
--- test/activitypub-as2.test.js	(revision a8364eebcd86a4ed81e5828536e10f189505da2e)
+++ test/activitypub-as2.test.js	(revision a39c9bdab08647949b6c79b4758bd373bc6c27a0)
@@ -32,4 +32,7 @@
   // ActivityPub §5.6: the private blocked collection (owner-only GET).
   'blocked',
+  // ActivityPub §4.1: supplementary collections on the actor — Klonkt wijst
+  // ermee naar de playlist-lijst (shaer-ayc).
+  'streams',
   // FEP-633c (Guardians): the owner-only dashboard queues on the actor; the
   // sub-keys are the daemon-contract collection names the Shaer clients read.
Index: test/ap-playlist-discovery.test.js
===================================================================
--- test/ap-playlist-discovery.test.js	(revision a39c9bdab08647949b6c79b4758bd373bc6c27a0)
+++ test/ap-playlist-discovery.test.js	(revision a39c9bdab08647949b6c79b4758bd373bc6c27a0)
@@ -0,0 +1,111 @@
+// Vindbaarheid van playlist-collecties (shaer-ayc, stap 2).
+//
+// Drie wegen ernaartoe, elk getest: de actor wijst via AS2 `streams` naar de
+// lijst; de lijst geeft kaal URI's en verrijkt stubs (FEP-9876), waarbij ook
+// een stub alleen het open deel telt; en een post die een playlist insluit
+// draagt een Link-tag naar de collectie -- maar nooit naar die van een andere
+// site, want playlist-ids zijn een globale primary key.
+import { test } from 'node:test';
+import assert from 'node:assert/strict';
+
+process.env.DATABASE_PATH = ':memory:';
+process.env.PUBLIC_BASE_URL = 'https://test.example';
+
+const dbMod = await import('../src/config/database.js');
+const db = dbMod.default;
+dbMod.initializeDatabase();
+const AP = (await import('../src/services/ActivityPubService.js')).default;
+const express = (await import('express')).default;
+const routes = (await import('../src/routes/activitypub.js')).default;
+
+db.prepare('INSERT INTO users (id, username, email, password_hash, role) VALUES (?,?,?,?,?)')
+  .run('u1', 'u1', 'u1@t', 'x', 'god');
+db.prepare('INSERT INTO sites (id, slug, title, owner_id, is_public) VALUES (?,?,?,?,1)')
+  .run('s1', 'band', 'De Band', 'u1');
+db.prepare('INSERT INTO sites (id, slug, title, owner_id, is_public) VALUES (?,?,?,?,1)')
+  .run('s2', 'ander', 'Andere Site', 'u1');
+
+const insMedia = db.prepare('INSERT INTO media (id, site_id, filename, storage_path, mime_type, size) VALUES (?,?,?,?,?,1000)');
+const insTrack = db.prepare('INSERT INTO audio_tracks (id, site_id, title, artist, duration, media_id, fedi_open) VALUES (?,?,?,?,?,?,?)');
+insMedia.run('m1', 's1', 'een.mp3', 'audio/een.mp3', 'audio/mpeg');
+insMedia.run('m2', 's1', 'twee.mp3', 'audio/twee.mp3', 'audio/mpeg');
+insTrack.run('t1', 's1', 'Open nummer', 'De Band', 200, 'm1', 1);
+insTrack.run('t2', 's1', 'Dicht nummer', 'De Band', 180, 'm2', 0);
+
+// Twee playlists op band, een op ander. Expliciete created_at: de lijst
+// sorteert erop, en twee inserts in dezelfde seconde maken die volgorde
+// anders een muntworp.
+db.prepare("INSERT INTO playlists (id, site_id, title, kind, created_at) VALUES ('eerste','s1','Eerste Plaat','album','2026-01-01 00:00:00')").run();
+db.prepare("INSERT INTO playlists (id, site_id, title, kind, created_at) VALUES ('tweede','s1','Tweede Plaat','album','2026-02-01 00:00:00')").run();
+db.prepare("INSERT INTO playlists (id, site_id, title, kind, created_at) VALUES ('vreemd','s2','Van De Ander','album','2026-03-01 00:00:00')").run();
+const insPT = db.prepare('INSERT INTO playlist_tracks (playlist_id, track_id, position) VALUES (?,?,?)');
+insPT.run('eerste', 't1', 1);
+insPT.run('eerste', 't2', 2);
+
+const app = express();
+app.use(routes);
+const server = app.listen(0);
+await new Promise((r) => server.once('listening', r));
+const base = `http://127.0.0.1:${server.address().port}`;
+const getJson = async (path, headers = {}) => {
+  const r = await fetch(base + path, { headers: { Accept: 'application/activity+json', ...headers } });
+  return { status: r.status, body: r.status === 200 ? await r.json() : null, headers: r.headers };
+};
+
+test('de actor wijst via streams naar de playlist-lijst', async () => {
+  const { body } = await getJson('/ap/users/band');
+  assert.deepEqual(body.streams, ['https://test.example/ap/users/band/playlists']);
+});
+
+test('de lijst is kaal standaard: URI-per-playlist, alleen van deze site, in vaste volgorde', async () => {
+  const { body } = await getJson('/ap/users/band/playlists');
+  assert.equal(body.type, 'OrderedCollection');
+  assert.equal(body.totalItems, 2);
+  assert.deepEqual(body.orderedItems, [
+    'https://test.example/ap/users/band/playlists/eerste',
+    'https://test.example/ap/users/band/playlists/tweede',
+  ]);
+});
+
+test('verrijkt (FEP-9876) geeft stubs zonder tracks, en ook de stub telt alleen het open deel', async () => {
+  const { body, headers } = await getJson('/ap/users/band/playlists', { Prefer: 'return=representation' });
+  assert.equal(headers.get('preference-applied'), 'return=representation');
+  assert.match(headers.get('vary') || '', /Prefer/);
+  const stub = body.orderedItems[0];
+  assert.equal(stub.name, 'Eerste Plaat');
+  assert.equal(stub.totalItems, 1, 'een open en een gated track: de stub telt er een');
+  assert.equal(stub.orderedItems, undefined, 'een stub draagt geen tracks');
+  assert.equal(stub['@context'], undefined, 'genest object draagt de context van zijn omhulsel');
+  assert.ok(!JSON.stringify(body).includes('Dicht nummer'), 'de gated titel lekt ook hier niet');
+});
+
+test('een lege site heeft een lege lijst, geen 404 -- de lijst zelf is niet geheim', async () => {
+  const { status, body } = await getJson('/ap/users/ander/playlists');
+  assert.equal(status, 200);
+  assert.equal(body.totalItems, 1); // de eigen playlist van s2 staat er wel in
+});
+
+test('een post met [[playlist:id]] draagt een Link-tag naar de collectie', () => {
+  const site = db.prepare("SELECT * FROM sites WHERE id = 's1'").get();
+  const post = { id: 'p1', slug: 'p1', title: 'Luister', content: 'Nieuw album! [[playlist:eerste]] en nogmaals [[playlist:eerste]]', status: 'published' };
+  const note = AP.buildNote('https://test.example', site, post);
+  const links = (note.tag || []).filter((t) => t.type === 'Link');
+  assert.equal(links.length, 1, 'dubbel insluiten geeft een tag');
+  assert.equal(links[0].href, 'https://test.example/ap/users/band/playlists/eerste');
+  assert.equal(links[0].name, 'Eerste Plaat');
+});
+
+test('een playlist van een ANDERE site levert geen tag -- de site-check is de tenancy-grens', () => {
+  const site = db.prepare("SELECT * FROM sites WHERE id = 's1'").get();
+  const post = { id: 'p2', slug: 'p2', title: 'Fout', content: 'Kijk: [[playlist:vreemd]]', status: 'published' };
+  const note = AP.buildNote('https://test.example', site, post);
+  assert.equal((note.tag || []).filter((t) => t.type === 'Link').length, 0);
+});
+
+test('een post zonder playlist heeft geen Link-tags', () => {
+  const site = db.prepare("SELECT * FROM sites WHERE id = 's1'").get();
+  const note = AP.buildNote('https://test.example', site, { id: 'p3', slug: 'p3', title: 'Los', content: 'Gewoon tekst met [[track:t1]]', status: 'published' });
+  assert.equal((note.tag || []).filter((t) => t.type === 'Link').length, 0);
+});
+
+test.after(() => server.close());
Index: test/ap-playlist.test.js
===================================================================
--- test/ap-playlist.test.js	(revision a39c9bdab08647949b6c79b4758bd373bc6c27a0)
+++ test/ap-playlist.test.js	(revision a39c9bdab08647949b6c79b4758bd373bc6c27a0)
@@ -0,0 +1,101 @@
+// Een playlist als AP-collectie (shaer-ayc, stap 1 van het Funkwhale-spoor).
+//
+// Vier beloftes: de collectie bestaat op een stabiele URI; alleen fedi_open-
+// tracks staan erin, met echte bestands-URL, en totalItems telt alleen die --
+// wie leest kan niet aftellen wat er achter de poort staat; de volgorde is de
+// playlist-volgorde, niet de invoegvolgorde; en een playlist van site A is op
+// de actor van site B een 404, want tenancy loopt door alles heen.
+import { test } from 'node:test';
+import assert from 'node:assert/strict';
+
+process.env.DATABASE_PATH = ':memory:';
+process.env.PUBLIC_BASE_URL = 'https://test.example';
+
+const dbMod = await import('../src/config/database.js');
+const db = dbMod.default;
+dbMod.initializeDatabase();
+const express = (await import('express')).default;
+const routes = (await import('../src/routes/activitypub.js')).default;
+
+db.prepare('INSERT INTO users (id, username, email, password_hash, role) VALUES (?,?,?,?,?)')
+  .run('u1', 'u1', 'u1@t', 'x', 'god');
+db.prepare('INSERT INTO sites (id, slug, title, owner_id, is_public) VALUES (?,?,?,?,1)')
+  .run('s1', 'band', 'De Band', 'u1');
+db.prepare('INSERT INTO sites (id, slug, title, owner_id, is_public) VALUES (?,?,?,?,1)')
+  .run('s2', 'ander', 'Andere Site', 'u1');
+
+// Drie tracks: twee open, een gated. De gated staat MIDDEN in de volgorde,
+// zodat een fout die hem als lege rij meetelt ook de volgorde zou breken.
+const insMedia = db.prepare('INSERT INTO media (id, site_id, filename, storage_path, mime_type, size) VALUES (?,?,?,?,?,1000)');
+const insTrack = db.prepare('INSERT INTO audio_tracks (id, site_id, title, artist, duration, media_id, fedi_open, cover_url) VALUES (?,?,?,?,?,?,?,?)');
+insMedia.run('m1', 's1', 'een.mp3', 'audio/een.mp3', 'audio/mpeg');
+insMedia.run('m2', 's1', 'twee.mp3', 'audio/twee.mp3', 'audio/mpeg');
+insMedia.run('m3', 's1', 'drie.mp3', 'audio/drie.mp3', 'audio/mpeg');
+insTrack.run('t1', 's1', 'Opening', 'De Band', 215, 'm1', 1, '/media/hoes1.jpg');
+insTrack.run('t2', 's1', 'Achter de poort', 'De Band', 180, 'm2', 0, null);
+insTrack.run('t3', 's1', 'Finale', 'De Band', 240, 'm3', 1, null);
+
+db.prepare("INSERT INTO playlists (id, site_id, title, artist, year, cover_url, kind) VALUES ('nachtlicht','s1','Nachtlicht','De Band',2026,'/media/album.jpg','album')").run();
+const insPT = db.prepare('INSERT INTO playlist_tracks (playlist_id, track_id, position) VALUES (?,?,?)');
+// Invoegvolgorde is met opzet NIET de positievolgorde.
+insPT.run('nachtlicht', 't3', 3);
+insPT.run('nachtlicht', 't1', 1);
+insPT.run('nachtlicht', 't2', 2);
+
+const app = express();
+app.use(routes);
+const server = app.listen(0);
+await new Promise((r) => server.once('listening', r));
+const base = `http://127.0.0.1:${server.address().port}`;
+const getJson = async (path) => {
+  const r = await fetch(base + path, { headers: { Accept: 'application/activity+json' } });
+  return { status: r.status, body: r.status === 200 ? await r.json() : null, type: r.headers.get('content-type') || '' };
+};
+
+test('de collectie bestaat, als AS2, met stabiele id en attributedTo de actor', async () => {
+  const { status, body, type } = await getJson('/ap/users/band/playlists/nachtlicht');
+  assert.equal(status, 200);
+  assert.match(type, /application\/activity\+json/);
+  assert.equal(body.type, 'OrderedCollection');
+  assert.equal(body.id, 'https://test.example/ap/users/band/playlists/nachtlicht');
+  assert.equal(body.attributedTo, 'https://test.example/ap/users/band');
+  assert.equal(body.name, 'Nachtlicht');
+  assert.equal(body.summary, 'De Band · 2026');
+  assert.equal(body.icon.url, 'https://test.example/media/album.jpg');
+});
+
+test('alleen fedi_open-tracks, totalItems telt alleen die, en de poort lekt geen bestandsnaam', async () => {
+  const { body } = await getJson('/ap/users/band/playlists/nachtlicht');
+  assert.equal(body.totalItems, 2, 'de gated track telt niet mee');
+  assert.equal(body.orderedItems.length, 2);
+  const alles = JSON.stringify(body);
+  assert.ok(!alles.includes('twee.mp3'), 'de gated bestandsnaam staat nergens in de collectie');
+  assert.ok(!alles.includes('Achter de poort'), 'ook de titel van de gated track niet');
+});
+
+test('de volgorde is de playlist-volgorde, en elke rij is een speelbare Audio', async () => {
+  const { body } = await getJson('/ap/users/band/playlists/nachtlicht');
+  assert.deepEqual(body.orderedItems.map((a) => a.name), ['Opening', 'Finale']);
+  for (const a of body.orderedItems) {
+    assert.equal(a.type, 'Audio');
+    assert.match(a.url, /^https:\/\/test\.example\/audio\/stream\//);
+    assert.equal(a.mediaType, 'audio/mpeg');
+  }
+  assert.equal(body.orderedItems[0].duration, 'PT215S');
+  assert.equal(body.orderedItems[0].summary, 'De Band');
+  // Track zonder eigen hoes erft de albumhoes -- zelfde regel als post-audio,
+  // waar de postcover invalt.
+  assert.equal(body.orderedItems[1].icon.url, 'https://test.example/media/album.jpg');
+});
+
+test('tenancy: dezelfde playlist op de verkeerde actor is een 404', async () => {
+  const { status } = await getJson('/ap/users/ander/playlists/nachtlicht');
+  assert.equal(status, 404);
+});
+
+test('onbekende playlist en onbekende site zijn allebei een 404', async () => {
+  assert.equal((await getJson('/ap/users/band/playlists/bestaat-niet')).status, 404);
+  assert.equal((await getJson('/ap/users/niemand/playlists/nachtlicht')).status, 404);
+});
+
+test.after(() => server.close());