Abmelden nur noch in den Einstellungen, App-Menue statt Zahnrad

Marcs Entscheidung: In der HoneyBar fremder Apps steht kein Abmelden mehr
— es war dort ohnehin nur ein Link auf den Schreibtisch. Als einzige
Schaltflaeche, die eine Sitzung beendet, steht es jetzt an genau einer
Stelle: unten in den Einstellungen, sichtbar nur bei eigener Anmeldung.
Damit faellt auch der ?abmelden=1-Pfad wieder weg und /api/apps braucht
das oidc-Feld nicht mehr.

Das Zahnrad rechts in der Menueleiste ist durch den Pfeil mit der
App-Liste ersetzt — derselbe wie in der HoneyBar. Beide Leisten tragen
damit dieselben vier Dinge: Logo, Apps, Wetter/Uhr, Aufklappmenue.

README.md

@@ -395,25 +395,28 @@ Das `■ HONEYOS` links ist ein Menü — auf dem Schreibtisch wie in jeder App:
 | Schreibtisch | Über HoneyOS |
 | Einstellungen … | Einstellungen |
 | HoneyBar einklappen | Terminal-/Desktop-Modus |
-| Abmelden | Abmelden |
 
-Rechts daneben bleibt der Pfeil mit den Apps. Eines auf heißt anderes zu.
+Rechts daneben klappt ein Pfeil die App-Liste auf — in beiden Leisten gleich.
+Das Zahnrad, das dort früher stand, ist weg: Einstellungen stehen jetzt links
+im Systemmenü, wo sie in jeder App auch stehen.
 
-**In den Apps sind es Links auf den Schreibtisch, keine Handlungen** — und das
-ist eine Grenze, keine Bequemlichkeit. Einstellungen und Abmelden schreiben, und
+**In den Apps sind die Punkte Links auf den Schreibtisch, keine Handlungen** —
+und das ist eine Grenze, keine Bequemlichkeit. Einstellungen schreiben, und
 dafür braucht der Server die HoneyOS-Sitzung: Aus einer fremden Site schickt der
 Browser sie nicht mit, und selbst unter einer Domain liegt das CSRF-Prüfwort in
-einem Cookie, das nur HoneyOS' eigene Seiten lesen dürfen. Ein Abmelden, das ein
-einfacher Aufruf erledigt, könnte außerdem jede beliebige Seite auslösen.
+einem Cookie, das nur HoneyOS' eigene Seiten lesen dürfen. Also stellt die
+HoneyBar die Frage in der Adresse (`?einstellungen=1`), und der Schreibtisch
+beantwortet sie: Er macht dasselbe Feld auf, das auch `[S]` öffnet, und nimmt
+den Anhang danach wieder aus der Adresse.
 
-Also stellt die HoneyBar die Frage in der Adresse (`?einstellungen=1`,
-`?abmelden=1`), und der Schreibtisch beantwortet sie: Er macht dasselbe
-Einstellungsfeld auf, das auch `[S]` öffnet, und meldet mit einem echten POST
-ab. Danach nimmt er den Anhang aus der Adresse wieder heraus.
-
-`Abmelden` steht nur da, wenn HoneyOS überhaupt anmeldet — im offenen Betrieb
-oder hinter einem Proxy fehlt der Punkt. Deshalb gibt `/api/apps` neben Liste
-und Aussehen auch `oidc` heraus.
+**Abmelden steht in den Einstellungen, ganz unten — und sonst nirgends.** Nicht
+in der HoneyBar fremder Apps, nicht im Systemmenü, nicht im Startmenü. Es ist
+die einzige Schaltfläche, die eine Sitzung beendet statt etwas einzustellen, und
+sie gehört dorthin, wo man sich angemeldet hat. Wer es aus einer App heraus
+braucht, geht über „Einstellungen …" — ein Klick mehr, dafür kann kein
+eingebettetes Bild einer fremden Seite eine Abmeldung auslösen. Der Punkt
+erscheint nur, wenn HoneyOS selbst anmeldet; hinter einem Proxy oder im offenen
+Betrieb fehlt er.
 
 ## Wer angemeldet ist