feat!: Token-Schluessel und Wer-bin-ich entfernt, Version 1.0

Beides brachte allein einen Anzeigenamen. Seit der Benutzer als Widget auf dem
Schreibtisch steht, kommt der aus der HoneyOS-Anmeldung — keine App muss mehr
etwas dafuer bereitstellen, und beide Leisten tragen ueberall dasselbe.

Der Token-Schluessel hatte zudem eine scharfe Kante: Zeigte das Feld
Wer-bin-ich auf eine fremde Adresse, ging der Ausweis der App dorthin.

Weg sind damit auch checkAuth, askMe und die Anmeldezeile auf den Kacheln. Alte
honeyos.json-Dateien werden weiter gelesen; die Felder verfallen beim naechsten
Speichern still.

1.0, weil die Bedienung sich aendert und der Stand rund ist: zwei Leisten mit
gleichem Inhalt, Widgets fuer Benutzer und Wetter, die HoneyBar auch in fremden
Apps.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

README.md

@@ -109,8 +109,6 @@ entfällt der Schlüssel und alles funktioniert ohne Einschränkung.
 | Adresse | wohin der Start springt |
 | Symbol | cloud · note · box · chip · folder · gear · globe · disk |
 | Taste | Zifferntaste im Terminal-Modus |
-| Wer-bin-ich | optional, siehe unten |
-| Token-Schlüssel | nur für Apps mit Bearer-Token im localStorage statt Cookie |
 
 Gespeichert wird die Liste als Ganzes; der Server prüft sie noch einmal und antwortet mit
 dem, was er wirklich behalten hat. Eine Adresse ohne `https://` kommt als Fehlermeldung
@@ -388,25 +386,21 @@ nur, wessen App selbst eine schickt.
 - **Andere Proxys:** Caddy braucht ein Zusatzmodul (`replace-response`),
   Traefik ein Plugin für den Antwortkörper. nginx kann es ohne Erweiterung.
 
-## Wer ist wo angemeldet
+## Wer angemeldet ist
 
-Das Feld **Wer-bin-ich** ist der Pfad, unter dem eine App „wer bin ich" beantwortet
-(relativ zur Adresse oder absolut). Aus der Antwort wird der Anzeigename gefischt —
-`display_name`, `displayName`, `name`, `username`, auch verschachtelt unter `user`.
+Steht auf dem Schreibtisch, als eigenes Widget: Bild, Name und Begrüßung, aus
+der HoneyOS-Anmeldung. In den Apps steht es **nicht** — die HoneyBar dort trägt
+genau dasselbe wie die Menüleiste hier, sonst merkt man beim Wechsel, dass es
+zwei verschiedene Leisten sind.
 
-Gelesen wird das an zwei Stellen, und die verhalten sich **unterschiedlich**:
+Früher konnte jede App einen „Wer-bin-ich"-Pfad und einen Token-Schlüssel
+mitbringen; die HoneyBar fragte damit die App nach dem Anzeigenamen. Beides ist
+seit dem 29.08.2026 **entfernt**. Es brachte allein einen Namen, wirkte je nach
+Domain unterschiedlich, und der Token-Schlüssel hatte eine scharfe Kante: Zeigte
+das Wer-bin-ich-Feld auf eine fremde Adresse, ging der Ausweis der App dorthin.
+Wer die Felder in seiner `honeyos.json` noch stehen hat, braucht nichts zu tun —
+sie werden beim nächsten Speichern still verworfen.
 
-1. **Die HoneyBar in der App** fragt ihre eigene App. Gleicher Ursprung → funktioniert
-   sofort, ohne Änderung an Aether oder InkNote.
-2. **Der Desktop auf `os.…`** fragt über die Domaingrenze. Dafür muss die App diesen
-   Ursprung erlauben:
-   - InkNote: `ALLOWED_ORIGINS=https://os.honeyy.duckdns.org`
-   - Aether: CORS mit `Access-Control-Allow-Credentials` — noch nicht vorhanden
-
-Fehlt das, bleibt die Anzeige leer und sonst passiert nichts.
-
-**Voraussetzung:** alle Adressen unter derselben Domain (`*.honeyy.duckdns.org`). Sonst
-behandelt der Browser sie als fremde Site und schickt die Sitzung gar nicht erst mit.
 
 ## Entwickeln