feat(agent): add index bootstrap and answer feedback

docs/API.md

@@ -23,6 +23,7 @@ Aufbewahrung. Ein allgemeiner API-Key allein reicht dafür nicht aus.
 |---|---|---|---|
 | `GET` | `/` | Eingabe im UI | Test-Frontend |
 | `POST` | `/v1/ask` | Service-Key | belegte Wissensantwort |
+| `POST` | `/v1/ratings` | Service-Key | Antwort bewerten |
 | `GET` | `/v1/health` | öffentlich | Readiness ohne interne Hostdetails |
 | `POST` | `/v1/reindex` | Admin-Key | Index nach KB-Änderung neu aufbauen |
 
@@ -147,10 +148,40 @@ Response (gekürzt):
   in v1 aber leer. Der Dienst errät diese Strukturen nicht aus Freitext; ihre
   spätere Befüllung benötigt einen eigenen belegbaren Generierungsvertrag.
 - `grounding.data_scope=knowledge_base_only` ist in v1 unveränderlich.
+- `ratings_enabled` zeigt, ob diese Antwort über `/v1/ratings` bewertet werden
+  kann.
 
 Der Client darf `verified=false` nicht als normale Fachantwort darstellen.
 Empfohlen ist ein sichtbarer Warnzustand ohne automatische Folgeverarbeitung.
 
+## `POST /v1/ratings`
+
+Eine zuvor protokollierte Antwort kann über ihre `request_id` bewertet werden:
+
+```json
+{
+  "request_id": "odoo-request-123",
+  "rating": "up",
+  "feedback": "Die Quellen beantworten die Frage nachvollziehbar."
+}
+```
+
+`rating` ist `up` oder `down`, `feedback` optional und auf 1.000 Zeichen
+begrenzt. Pro Antwort wird eine Bewertung gespeichert; ein weiterer Request
+aktualisiert sie. Unbekannte Request-IDs liefern `404`, deaktiviertes Audit
+`503`. Das Frontend blendet die Bewertungsfunktion nur bei
+`ratings_enabled=true` ein.
+
+## Audit-Protokoll
+
+Bei `PV_AUDIT_ENABLED=true` werden Interaktionen und Bewertungen in der über
+`PV_AUDIT_DB_PATH` festgelegten SQLite-Datei gespeichert. Mit
+`PV_AUDIT_STDOUT=true` werden strukturierte JSON-Ereignisse zusätzlich mit dem
+Präfix `AUDIT ` nach stdout geschrieben. `PV_AUDIT_LOG_CONTENT=false` entfernt
+Freitext einschließlich Frage, Antwort, Quellenbeschreibungen, Konflikten,
+Suchplan und Bewertungskommentar; technische Metriken und KB-IDs bleiben.
+API-Key und Authorization-Header werden nie protokolliert.
+
 ## Request-Korrelation
 
 Ein Client kann einen technisch neutralen Header mitsenden: