feat(honeybar): HoneyOS-Leiste einbinden, CSP-Ausnahme dafür

Die Leiste kommt als Skript von der HoneyOS-Domain und holt sich von dort
ihre App-Liste. Beides blockte die CSP bisher (script-src / connect-src
fielen auf 'self' zurueck) – ohne Ausnahme erschien sie gar nicht.

- HONEYBAR_ORIGIN nimmt genau diesen einen Ursprung in script-src und
  connect-src auf. Leer heisst: keine Leiste, und die Regel bleibt so eng
  wie bisher. Frame-Freigabe erbt sie ausdruecklich nicht.
- SecurityHeaders nimmt die Ausnahmen jetzt als CSP-Struct statt als
  variadische frameSrc-Liste – mit drei Richtungen wurde das sonst unklar.
- Das <script>-Tag steht in der index.html und nicht serverseitig
  eingespritzt: der Service Worker legt die index.html in seinen Vorrat
  (navigateFallback), was zur Bauzeit fehlt, kaeme im Browser nie an.
- defer, damit ein langsames oder abgeschaltetes HoneyOS den Start von
  Aether nicht ausbremst.

Tests fuer die neue Regel: eng ohne Ausnahme, beide Richtungen mit,
Pfad wird auf den Ursprung gekuerzt, Adresse ohne Schema faellt raus.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

backend/pkg/config/config.go

@@ -78,6 +78,14 @@ type Config struct {
 	// eigenen internen Namen – die Adresse muss also umgeschrieben werden.
 	// Leer heißt: dieselbe wie OfficeURL.
 	OfficePublicURL string
+
+	// HoneybarOrigin ist der Ursprung, von dem die HoneyOS-Leiste geladen wird
+	// (z. B. https://os.example.com). Er wird in die CSP aufgenommen — ohne das
+	// blockt der Browser das Skript und dessen Anfragen.
+	//
+	// Muss zur Adresse im <script>-Tag der index.html passen. Leer heißt: keine
+	// Leiste, und die CSP bleibt so eng wie bisher.
+	HoneybarOrigin string
 	// OfficeWopiURL ist die Adresse, unter der der **Office-Server** Aether
 	// erreicht.
 	//
@@ -180,6 +188,7 @@ func Load() (*Config, error) {
 		OfficeProvider:     strings.ToLower(strings.TrimSpace(getEnv("OFFICE_PROVIDER", ""))),
 		OfficeURL:          strings.TrimRight(getEnv("OFFICE_URL", ""), "/"),
 		OfficePublicURL:    strings.TrimRight(getEnv("OFFICE_PUBLIC_URL", ""), "/"),
+		HoneybarOrigin:     strings.TrimRight(getEnv("HONEYBAR_ORIGIN", ""), "/"),
 		OfficeWopiURL:      strings.TrimRight(getEnv("OFFICE_WOPI_URL", ""), "/"),
 		OfficeAllowedHosts: splitList(getEnv("OFFICE_ALLOWED_HOSTS", "")),
 		OfficeInsecureTLS:  getEnv("OFFICE_INSECURE_TLS", "false") == "true",