Moderation entfernt, JSON-API unter /api

- Moderationsseite und Melde-Funktion (report) komplett ausgebaut; folgt
  als eigenständiges Projekt
- alle API-Endpunkte unter /api, dort ausschließlich JSON: auch 404, 405,
  Rate-Limit (429) und Panics (500)
- Fehler nur über HTTP-Status; stille DB-Fehler in stats, logout und
  Vote-Zählern liefern jetzt 500 statt Nullen
- /auth/headerbar entfernt (Frontend nutzt /api/user/info)
- Frontend auf /api und statusbasierte Auswertung umgestellt
- notes/api.md neu als Referenz der aktuellen API

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_01TiXsPUqw7oeomZ8wZrQW5q

user.go

@@ -89,14 +89,18 @@ func handleUserPage(w http.ResponseWriter, r *http.Request) error {
 
 // handleStats liefert die Kennzahlen für die Statuszeile unter dem Titel:
 // registrierte Nutzer und nicht-gelöschte Beiträge.
-func handleStats(w http.ResponseWriter, r *http.Request) {
+func handleStats(w http.ResponseWriter, r *http.Request) error {
 	var users, entries int64
-	db.QueryRow(`SELECT COUNT(*) FROM account`).Scan(&users)
-	db.QueryRow(`SELECT COUNT(*) FROM entry WHERE deleted = 0`).Scan(&entries)
+	if err := db.QueryRow(
+		`SELECT (SELECT COUNT(*) FROM account), (SELECT COUNT(*) FROM entry WHERE deleted = 0)`).
+		Scan(&users, &entries); err != nil {
+		return Internal(err)
+	}
 	writeJSON(w, http.StatusOK, map[string]any{
 		"users":   users,
 		"entries": entries,
 	})
+	return nil
 }
 
 func handleUserInfo(w http.ResponseWriter, r *http.Request) error {