fix(honeybar): Ursprung zur Laufzeit statt beim Bauen

Die Adresse im <script>-Tag stand fest in der index.html, waehrend die CSP
aus HONEYBAR_ORIGIN kam. Wer die Leiste woanders betreibt, bekam genau den
Widerspruch: die CSP erlaubte den eigenen Ursprung, geladen wurde der alte.

Der erste Versuch, das ueber ein Bau-Argument zu loesen, half beim fertigen
Abbild nicht — dort ist der Bau vorbei, und ein Umzug haette einen Neubau
verlangt. Ursprung und Schluessel stehen jetzt in /api/v1/public/config, die
Oberflaeche haengt das Skript selbst ein. Beides speist sich aus derselben
Variablen wie die CSP, sie koennen also nicht auseinanderlaufen, und eine
Aenderung wirkt beim Neustart.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

deploy/.env.example

@@ -65,19 +65,19 @@ ADMIN_PASSWORD=changeme_strong_admin_password
 # OIDC_BUTTON_LABEL=Anmelden mit PocketID
 
 # ── HoneyOS-Leiste ────────────────────────────────────────────────────────────
-# Ursprung, von dem die Leiste geladen wird. Landet an zwei Stellen: beim
-# Bauen im <script>-Tag der index.html, zur Laufzeit in der CSP
-# (script-src + connect-src). Leer = keine Leiste, CSP so eng wie ohne sie.
+# Ursprung, von dem die Leiste geladen wird. Wird an zwei Stellen gebraucht und
+# kommt deshalb aus einer Quelle: die CSP erlaubt ihn (script-src +
+# connect-src), und die Oberflaeche laedt das Skript von dort nach.
 #
-# Wird beim **Bauen** eingesetzt — nach einer Änderung also
-# `docker compose build app`, ein Neustart genügt nicht.
-HONEYBAR_ORIGIN=https://honeyos.example.com
-# Schlüssel, mit dem sich die Leiste die App-Liste holt. Nötig, weil HoneyOS auf
-# einer anderen Site liegt als Aether und der Browser die HoneyOS-Sitzung dann
-# nicht mitschickt. Muss zu HONEYOS_APPS_KEY drüben passen.
+# Wirkt beim **Neustart** — kein Neubau noetig.
+# Leer = keine Leiste, und die CSP bleibt so eng wie ohne sie.
+HONEYBAR_ORIGIN=https://os.example.com
+# Ausweis, mit dem sich die Leiste die App-Liste holt. Muss zu HONEYOS_APPS_KEY
+# drueben passen. Nur noetig, wenn HoneyOS auf einer anderen Site liegt als
+# Aether — dann schickt der Browser die HoneyOS-Sitzung nicht mit.
 #
-# Wird beim **Bauen** in die index.html eingesetzt — nach einer Änderung also
-# `docker compose build app`, ein Neustart genügt nicht.
+# Gleiche Site (os.beispiel.duckdns.org + cloud.beispiel.duckdns.org): kann leer
+# bleiben, die Sitzung reicht.
 HONEYBAR_KEY=
 
 # ── Volltextsuche (OCR) ───────────────────────────────────────────────────────