SSR-Renderer entfernt, Fokus auf SPA + JSON-API

Die Kernlogik bleibt von der Schnittstelle getrennt; der letzte SSR-Stand
liegt im Tag ssr-archiv. Die Moderationsseite bleibt, liefert Fehler aber
als JSON.

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_01TiXsPUqw7oeomZ8wZrQW5q

moderation.go

@@ -14,7 +14,8 @@ import (
 // laufen -- der proxy-seitige Schutz greift dort also nicht. Credentials kommen
 // aus KVER_MOD_USER/KVER_MOD_PASS und werden einmalig beim Routing-Aufbau
 // gelesen. Fail-closed: sind sie nicht gesetzt, bleibt die Seite gesperrt (503),
-// damit sie nie versehentlich offen ist. Vergleich über SHA-256 + ConstantTime,
+// damit sie nie versehentlich offen ist. Fehler gehen wie überall als JSON
+// hinaus; der Browser zeigt den Login-Dialog trotzdem (WWW-Authenticate). Vergleich über SHA-256 + ConstantTime,
 // damit weder Inhalt noch Länge der Credentials über Timing durchsickern.
 func modBasicAuth(next http.Handler) http.Handler {
 	wantUser := envOr("KVER_MOD_USER", "")
@@ -26,7 +27,7 @@ func modBasicAuth(next http.Handler) http.Handler {
 	if wantUser == "" || wantPass == "" {
 		log.Printf("moderation gesperrt: KVER_MOD_USER/KVER_MOD_PASS nicht gesetzt")
 	}
-	return pageMiddleware(func(w http.ResponseWriter, r *http.Request) error {
+	return guard(func(w http.ResponseWriter, r *http.Request) error {
 		if wantUser == "" || wantPass == "" {
 			return Unavailable("mod.not_configured", "Die Moderationsseite ist nicht konfiguriert.")
 		}