fix(honeybar): Ursprung zur Laufzeit statt beim Bauen

Die Adresse im <script>-Tag stand fest in der index.html, waehrend die CSP
aus HONEYBAR_ORIGIN kam. Wer die Leiste woanders betreibt, bekam genau den
Widerspruch: die CSP erlaubte den eigenen Ursprung, geladen wurde der alte.

Der erste Versuch, das ueber ein Bau-Argument zu loesen, half beim fertigen
Abbild nicht — dort ist der Bau vorbei, und ein Umzug haette einen Neubau
verlangt. Ursprung und Schluessel stehen jetzt in /api/v1/public/config, die
Oberflaeche haengt das Skript selbst ein. Beides speist sich aus derselben
Variablen wie die CSP, sie koennen also nicht auseinanderlaufen, und eine
Aenderung wirkt beim Neustart.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

deploy/.env.example

@@ -65,19 +65,19 @@ ADMIN_PASSWORD=changeme_strong_admin_password
 # OIDC_BUTTON_LABEL=Anmelden mit PocketID
 
 # ── HoneyOS-Leiste ────────────────────────────────────────────────────────────
-# Ursprung, von dem die Leiste geladen wird. Landet an zwei Stellen: beim
-# Bauen im <script>-Tag der index.html, zur Laufzeit in der CSP
-# (script-src + connect-src). Leer = keine Leiste, CSP so eng wie ohne sie.
+# Ursprung, von dem die Leiste geladen wird. Wird an zwei Stellen gebraucht und
+# kommt deshalb aus einer Quelle: die CSP erlaubt ihn (script-src +
+# connect-src), und die Oberflaeche laedt das Skript von dort nach.
 #
-# Wird beim **Bauen** eingesetzt — nach einer Änderung also
-# `docker compose build app`, ein Neustart genügt nicht.
-HONEYBAR_ORIGIN=https://honeyos.example.com
-# Schlüssel, mit dem sich die Leiste die App-Liste holt. Nötig, weil HoneyOS auf
-# einer anderen Site liegt als Aether und der Browser die HoneyOS-Sitzung dann
-# nicht mitschickt. Muss zu HONEYOS_APPS_KEY drüben passen.
+# Wirkt beim **Neustart** — kein Neubau noetig.
+# Leer = keine Leiste, und die CSP bleibt so eng wie ohne sie.
+HONEYBAR_ORIGIN=https://os.example.com
+# Ausweis, mit dem sich die Leiste die App-Liste holt. Muss zu HONEYOS_APPS_KEY
+# drueben passen. Nur noetig, wenn HoneyOS auf einer anderen Site liegt als
+# Aether — dann schickt der Browser die HoneyOS-Sitzung nicht mit.
 #
-# Wird beim **Bauen** in die index.html eingesetzt — nach einer Änderung also
-# `docker compose build app`, ein Neustart genügt nicht.
+# Gleiche Site (os.beispiel.duckdns.org + cloud.beispiel.duckdns.org): kann leer
+# bleiben, die Sitzung reicht.
 HONEYBAR_KEY=
 
 # ── Volltextsuche (OCR) ───────────────────────────────────────────────────────

deploy/Dockerfile

@@ -4,13 +4,6 @@ WORKDIR /app/frontend
 COPY frontend/package*.json ./
 RUN npm ci
 COPY frontend/ ./
-# Ursprung und Schlüssel für die HoneyOS-Leiste. Vite setzt beides in die
-# index.html ein. Ohne Ursprung faellt der Tag weg (keine Leiste), ohne
-# Schlüssel bekommt die Leiste keine App-Liste — Aether bleibt unberührt.
-ARG HONEYBAR_ORIGIN=""
-ARG HONEYBAR_KEY=""
-ENV VITE_HONEYBAR_ORIGIN=$HONEYBAR_ORIGIN
-ENV VITE_HONEYBAR_KEY=$HONEYBAR_KEY
 RUN npm run build
 
 # ── Stage 2: Backend build ────────────────────────────────────────────────────

deploy/docker-compose.yml

@@ -16,10 +16,6 @@ services:
       # frontend/, nicht nur diesen Ordner.
       context: ..
       dockerfile: deploy/Dockerfile
-      args:
-        # Wird in die index.html eingebacken, siehe dort.
-        HONEYBAR_ORIGIN: ${HONEYBAR_ORIGIN:-}
-        HONEYBAR_KEY: ${HONEYBAR_KEY:-}
     image: gitea.honeyy.duckdns.org/docker/aether:latest
     restart: unless-stopped
     env_file: .env