Moderation entfernt, JSON-API unter /api

- Moderationsseite und Melde-Funktion (report) komplett ausgebaut; folgt
  als eigenständiges Projekt
- alle API-Endpunkte unter /api, dort ausschließlich JSON: auch 404, 405,
  Rate-Limit (429) und Panics (500)
- Fehler nur über HTTP-Status; stille DB-Fehler in stats, logout und
  Vote-Zählern liefern jetzt 500 statt Nullen
- /auth/headerbar entfernt (Frontend nutzt /api/user/info)
- Frontend auf /api und statusbasierte Auswertung umgestellt
- notes/api.md neu als Referenz der aktuellen API

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_01TiXsPUqw7oeomZ8wZrQW5q

kver.env.example

@@ -12,12 +12,6 @@
 # Postgres-Verbindung. PFLICHT. Sonderzeichen im Passwort URL-kodieren.
 KVER_DSN=postgres://kver:passwort@host:5432/kontrollverlust?sslmode=disable
 
-# Basic-Auth für die Moderationsseite /moderation. PFLICHT: ohne diese beiden
-# Werte bleibt /moderation gesperrt (HTTP 503, fail-closed). Langes Zufalls-
-# passwort verwenden.
-KVER_MOD_USER=moderator
-KVER_MOD_PASS=hier-ein-langes-zufallspasswort
-
 # Optional: Pfad zur GeoLite2-ASN-DB im Container (leer = ASN-Auflösung aus).
 #KVER_GEOIP_ASN=/app/data/GeoLite2-ASN.mmdb