docs: die Leiste per Reverse Proxy in fremde Apps einsetzen

Rezept fuer nginx, geprueft gegen eine App mit gzip und eigener CSP. Die vier
Fallen stehen dabei: Kompression, CSP ersetzen statt ergaenzen, nur HTML
anfassen, Ursprung in HoneyOS eintragen.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

IDEAS.md

@@ -241,6 +241,22 @@ Zu klären, wenn es soweit ist:
 - **Kein Netz, kein Wetter.** Dann verschwindet das Symbol, statt eine Zahl von
   gestern als heutige auszugeben.
 
+### Die Leiste ohne `unsafe-inline`
+
+Fremde Apps bekommen die Leiste über den Reverse Proxy (siehe README). Dabei
+muss deren CSP heute `style-src 'unsafe-inline'` erlauben, weil die Leiste ihre
+Stile im Shadow DOM mitbringt — ohne das erscheint sie schwarz auf schwarz.
+Gemessen am 28.08.2026 an einer nachgebauten fremden App.
+
+**Auflösbar:** Die Stile als eigene Datei neben `honeybar.js` ausliefern und im
+Shadow DOM per `<link>` einbinden. Dann genügt `style-src 'self' https://honeyos…`,
+und die CSP der fremden App bleibt streng. Kostet eine zweite Anfrage, die
+zwischengespeichert wird.
+
+Zu prüfen ist dabei, was sonst noch inline gesetzt wird: die Lage der Leiste
+selbst und der Innenabstand, den sie der Seite verpasst. Über die CSSOM gesetzte
+Stile (`el.style.x = …`) fallen nicht unter die CSP — was im Markup steht, schon.
+
 ### Widgets in der Leiste selbst
 
 Bisher sind Widgets als Fenster auf dem Schreibtisch gedacht. Der Schreibtisch