feat(web): Remote-Web-UI mit Mikrofon + Forward-Auth (YunoHost-SSO)

- Minimale Web-UI (app/web/, vanilla, same-origin -> kein CORS): Text-Prompt +
  Mikrofon-Button (Aufnahme im Browser -> /ws/voice -> Antwort wird vorgelesen),
  Token-Streaming, PCM-Wiedergabe, Identitaet/Logout/Admin im Menue
- Forward-/Trusted-Header-Auth (app/auth.py): Identitaet aus SSO-Header, nur von
  TRUSTED_PROXY_IPS akzeptiert; sonst Token/Anonymous-Fallback. Auto-Provisioning
  via store.get_or_create_user_by_external_id (+ external_id-Spalte/Migration)
- /api/me um is_admin + sso_logout_url erweitert; GET /api/admin/users (Liste) und
  GET /api/admin/request-headers (SSO-Header-Discovery), Admin-gated
- StaticFiles-Mount; Config: TRUSTED_AUTH_HEADER/_PROXY_IPS, ADMIN_USERS, SSO_LOGOUT_URL
- WS-Auth liest Identitaet aus dem Handshake-Header
- Deploy: nginx-Vorlage (WS-Upgrade!) + deploy/README.md (HTTPS/SSO/Firewall/Discovery)
- Tests: Forward-Auth (Provisioning, Admin-Flag, Proxy-IP-Trust, 401/403, Static)

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>

README.md

@@ -377,10 +377,25 @@ sed -i 's/^PORT=.*/PORT=8003/' .env  # dauerhaft
 PORT=8003 docker compose up         # mit Docker
 ```
 
+## Web-UI & Remote-Zugang
+
+Das Gateway liefert unter `/` eine minimale **Web-Oberfläche** aus (`app/web/`, vanilla,
+kein Build): Text-Eingabe + **Mikrofon-Button** (Aufnahme im Browser → `/ws/voice` →
+Antwort wird vorgelesen) und links ein Menü mit Identität/Logout/Admin.
+
+Für den **Remote-Betrieb** (Handy/Browser von unterwegs) hinter einem Reverse-Proxy mit
+HTTPS + SSO (z. B. YunoHost): siehe **`deploy/README.md`**. Kernpunkte:
+- **HTTPS ist Pflicht** — Browser geben das Mikrofon nur im „secure context" frei.
+- **Forward-/Trusted-Header-Auth**: der Proxy/SSO authentifiziert, reicht die Identität
+  per Header durch (`TRUSTED_AUTH_HEADER`); das Gateway legt Nutzer automatisch an.
+  Akzeptiert wird der Header nur von der Proxy-Quell-IP (`TRUSTED_PROXY_IPS`).
+- **WebSocket-Upgrade** im nginx nicht vergessen (sonst kein Mikrofon).
+
 ## Deployment
 
 - **Docker:** `docker compose up --build` (reicht `OPENROUTER_API_KEY` aus der Shell durch)
 - **systemd:** Vorlagen unter `deploy/` (`voice-assistant.service`, `voice-assistant.env.example`)
+- **Remote über YunoHost/Reverse-Proxy:** `deploy/README.md` (HTTPS, SSO, nginx, Firewall)
 
 ## Projektstruktur (Kurzform)