docs: Auth-Abschnitt, korrigierte Test-Anleitung, Phase 9

deployment.md bekommt einen eigenen Abschnitt zur Authentifizierung
(Schlüsselweg, geschützte Endpoints, Fehlercodes, der Schalter für
VPN-Instanzen) und eine CORS-Beschreibung, die die Allowlist statt des
alten Wildcards erklärt — inklusive der Tauri-Origins, die sonst am
Preflight scheitern.

Im README steht jetzt der Hinweis, der diese Runde am meisten gekostet
hat: ohne DATABASE_URL_APPVIEW in der Umgebung überspringen sich die
DB-Tests selbst und `cargo test --workspace` meldet grün, ohne sie
ausgeführt zu haben.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_013HC9HLrUU1LNwkzp8nkDLX

docs/architecture.md

@@ -19,11 +19,12 @@ auf welchem Weg kommt ein Post vom Client bis in die Timeline zurück.
     ┌──────────────────────────────────┐   ┌──────────────────────────────┐
     │ pds-server  (axum, :2583)        │   │ appview  (axum, :2584)       │
     │                                  │   │                              │
-    │  /xrpc/com.atproto.*             │   │  GET /api/timeline/home      │
+    │  /xrpc/com.atproto.*             │   │  GET /api/timeline/home  🔒  │
     │  /xrpc/app.bsky.actor.profile.*  │   │  GET /api/profile[/:handle]  │
     │  /blob/:cid                      │   │  GET /api/search             │
     │  /healthz                        │   │  GET /api/post|thread/*uri   │
-    │                                  │   │  GET /api/notifications…     │
+    │  /.well-known/did.json ──────────┼───┼─▶ Schlüssel für 🔒           │
+    │                                  │   │  GET /api/notifications…  🔒 │
     │                                  │   │  GET /api/followers|following│
     │                                  │   │  GET /healthz                │
     │  at-lexicon  Validierung (160)   │   │                              │
@@ -50,6 +51,11 @@ auf welchem Weg kommt ein Post vom Client bis in die Timeline zurück.
    └──────────────────────────────────────────┘   JetstreamConsumer
 ```
 
+🔒 = Bearer-Token nötig, und der `sub` des Tokens muss der angefragten DID
+entsprechen. Die AppView verifiziert die ES256-Signatur mit dem öffentlichen
+Schlüssel, den die PDS in ihrem DID-Dokument veröffentlicht — `PDS_JWT_SECRET`
+verlässt die PDS nie. Details in [`deployment.md`](deployment.md), Abschnitt 6.
+
 Zwei Wege führen in die AppView, und das ist Absicht:
 
 1. **Direkter Push (schnell, lokal).** Jeder erfolgreiche Commit auf der PDS