fix(leiste): mit Cross-Origin-Resource-Policy ausliefern

Apps, die COEP „require-corp" setzen — alles mit WASM oder SharedArrayBuffer,
etwa BentoPDF — lehnen jede fremde Datei ab, die sich nicht ausdruecklich zur
Einbettung bekennt. Genau das ist der Zweck der Leiste, also sagt sie es jetzt.

Die Alternative waere gewesen, im Proxy das COEP der App zu entfernen. Das
haette ihr die Faehigkeiten genommen, fuer die sie es setzt.

Gefunden beim Einsetzen in BentoPDF hinter einem nginx.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

main.go

@@ -240,6 +240,12 @@ func (s *Server) cors(next http.Handler) http.Handler {
 func noCache(next http.Handler) http.Handler {
 	return http.HandlerFunc(func(w http.ResponseWriter, r *http.Request) {
 		w.Header().Set("Cache-Control", "no-cache")
+		// Die Leiste wird von fremden Ursprüngen geladen — das ist ihr Zweck.
+		// Apps, die selbst COEP „require-corp" setzen (alles mit WASM oder
+		// SharedArrayBuffer, etwa BentoPDF), lehnen sonst jede fremde Datei ab,
+		// die sich nicht ausdrücklich dazu bekennt. Ohne diese Zeile erscheint
+		// dort keine Leiste, und im Fehlerprotokoll steht nur ein Kürzel.
+		w.Header().Set("Cross-Origin-Resource-Policy", "cross-origin")
 		next.ServeHTTP(w, r)
 	})
 }