feat(agent): add test frontend and Docker stack

docs/API.md

@@ -21,6 +21,7 @@ Aufbewahrung. Ein allgemeiner API-Key allein reicht dafür nicht aus.
 
 | Methode | Pfad | Auth | Zweck |
 |---|---|---|---|
+| `GET` | `/` | Eingabe im UI | Test-Frontend |
 | `POST` | `/v1/ask` | Service-Key | belegte Wissensantwort |
 | `GET` | `/v1/health` | öffentlich | Readiness ohne interne Hostdetails |
 | `POST` | `/v1/reindex` | Admin-Key | Index nach KB-Änderung neu aufbauen |
@@ -28,6 +29,28 @@ Aufbewahrung. Ein allgemeiner API-Key allein reicht dafür nicht aus.
 Die bisherigen Pfade `/ask`, `/health` und `/reindex` bleiben vorläufig als
 `deprecated` Kompatibilitätsrouten erhalten und liefern denselben Vertrag.
 
+## Test-Frontend
+
+Das dependency-freie Frontend wird vom API-Prozess same-origin unter `/`
+ausgeliefert. Dadurch sind keine CORS-Freigaben nötig. Es zeigt Dienststatus,
+Antwort, zitierte Quellen, Quellenkonflikte, Rückfragen und technische
+Grounding-Metadaten. Modellantworten werden nur als Text gerendert; HTML aus
+einer Antwort wird nicht ausgeführt.
+
+Für den vorgesehenen Tailscale-Host:
+
+```bash
+export PV_API_KEY='service-key-aus-secret-store'
+python -m agent.cli serve --host 100.103.83.12
+```
+
+Danach ist die Oberfläche unter `http://100.103.83.12:8080/` erreichbar. Der
+Service-Key wird vom Benutzer im Frontend eingegeben und niemals serverseitig
+in HTML oder JavaScript eingebettet. Optional speichert ihn die Oberfläche nur
+im `sessionStorage` des aktuellen Browser-Tabs; Chatverlauf und Fragen werden
+nicht im Browser gespeichert. Außerhalb eines verschlüsselten Tailnets ist vor
+den Dienst ein TLS-Reverse-Proxy zu setzen.
+
 ## Authentisierung
 
 ```bash