feat(honeybar): Adresse auf honeyos.duckdns.org, Schlüssel aus der Bauzeit

HoneyOS liegt auf einer anderen Site als Aether – duckdns.org steht auf der
Public-Suffix-Liste, die gemeinsame Endung zaehlt fuer den Browser also
nicht. Folge: bei der Anfrage der Leiste schickt er die HoneyOS-Sitzung
nicht mit, und ohne zweiten Ausweis bekaeme sie nie eine App-Liste.

- data-key kommt aus HONEYBAR_KEY in der .env und wird beim Bauen von Vite
  in die index.html eingesetzt. Bewusst nicht im Quelltext: er kaeme sonst
  ins Repo und liesse sich nur mit einer Code-Aenderung wechseln.
- Leer gebaut heisst data-key="" – die Leiste bekommt dann keine Liste,
  Aether bleibt davon unberuehrt.

Nach einer Aenderung an HONEYBAR_KEY ist ein `build app` noetig, ein
Neustart genuegt nicht.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

deploy/.env.example

@@ -70,7 +70,14 @@ ADMIN_PASSWORD=changeme_strong_admin_password
 #
 # Muss exakt zur Adresse im <script>-Tag der frontend/index.html passen.
 # Leer = keine Leiste, und die CSP bleibt so eng wie ohne sie.
-HONEYBAR_ORIGIN=https://os.example.com
+HONEYBAR_ORIGIN=https://honeyos.example.com
+# Schlüssel, mit dem sich die Leiste die App-Liste holt. Nötig, weil HoneyOS auf
+# einer anderen Site liegt als Aether und der Browser die HoneyOS-Sitzung dann
+# nicht mitschickt. Muss zu HONEYOS_APPS_KEY drüben passen.
+#
+# Wird beim **Bauen** in die index.html eingesetzt — nach einer Änderung also
+# `docker compose build app`, ein Neustart genügt nicht.
+HONEYBAR_KEY=
 
 # ── Volltextsuche (OCR) ───────────────────────────────────────────────────────
 # Standardmäßig an; fehlen ocrmypdf/tesseract, schaltet es sich selbst ab.