fix(frontend): Ursprung der HoneyOS-Leiste kommt aus der .env

Die Adresse im <script>-Tag stand fest im Quelltext, waehrend die CSP aus
HONEYBAR_ORIGIN kam. Wer die Leiste woanders betreibt, bekam genau den
Widerspruch: die CSP erlaubte den eigenen Ursprung, geladen wurde der alte.

Beides speist sich jetzt aus derselben Variablen. Ist sie leer, nimmt
vite.config.ts den Tag ganz heraus — sonst bliebe src="/honeybar/honeybar.js"
stehen und der Service Worker beantwortete das mit index.html.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

deploy/.env.example

@@ -65,11 +65,12 @@ ADMIN_PASSWORD=changeme_strong_admin_password
 # OIDC_BUTTON_LABEL=Anmelden mit PocketID
 
 # ── HoneyOS-Leiste ────────────────────────────────────────────────────────────
-# Ursprung, von dem die Leiste geladen wird. Nimmt ihn in die CSP auf
-# (script-src + connect-src) — ohne das blockt der Browser das Skript.
+# Ursprung, von dem die Leiste geladen wird. Landet an zwei Stellen: beim
+# Bauen im <script>-Tag der index.html, zur Laufzeit in der CSP
+# (script-src + connect-src). Leer = keine Leiste, CSP so eng wie ohne sie.
 #
-# Muss exakt zur Adresse im <script>-Tag der frontend/index.html passen.
-# Leer = keine Leiste, und die CSP bleibt so eng wie ohne sie.
+# Wird beim **Bauen** eingesetzt — nach einer Änderung also
+# `docker compose build app`, ein Neustart genügt nicht.
 HONEYBAR_ORIGIN=https://honeyos.example.com
 # Schlüssel, mit dem sich die Leiste die App-Liste holt. Nötig, weil HoneyOS auf
 # einer anderen Site liegt als Aether und der Browser die HoneyOS-Sitzung dann