Frontend-Erneuerung: Mobile, Diät, Tempo, UI-Politur (10-Punkte-Paket)

- Fix: 'Interaktives Terminal' im Cockpit führte ins Leere (#terminal) → Konsole
- Mobile: Off-Canvas-Sidebar mit Hamburger unter md, Inhalt volle Breite
  (vorher: 240px starre Sidebar, 135px Rest mit Quer-Scroll auf dem Handy)
- Dead Weight raus: src/mc3/ (verworfener Prototyp), DashboardView (alte
  Zentrale) + 6 nur dort genutzte Karten, 8 ungenutzte npm-Pakete
  (three, three-vrm, react-three fiber/drei, sigma, graphology ×2, @types/three)
- Code-Splitting: alle Views außer Cockpit per React.lazy → Haupt-Bundle
  983 → 739 KB, jede View ein eigenes Chunk
- Fonts lokal (@fontsource) statt Google-CDN → UI offline identisch
- Polling harmonisiert: EINE Takt-Tabelle in queries.ts (Graphen 3s, Rest
  8-60s), keine Override-Intervalle mehr in Komponenten; Updates-Check
  (apt/git!) von 4s auf 60s
- CSS-Hack-Layer aufgelöst: !important-Klassen-Sniffing → explizite
  .mc-card/.mc-card-sm/.nav-active-Klassen (Look identisch, ungeschichtete
  Regeln statt Utility-Raten); totes .light-Theme raus; Scrollbars 1× definiert
- Aurora: animierte Fullscreen-Blur-Filter → statische radial-gradients
  (gleicher Look, keine Dauer-GPU-Last)
- Sicherheit: Sudo-Passwort/HF-Token nur noch bei mutierenden Requests,
  nicht mehr auf jedem GET-Poll
- Strg+K statt ⌘K auf Windows; dist neu gebaut

Live gegen die Box verifiziert: alle 10 Views + Mobile-Flow, 0 Konsolen-Fehler.

Co-Authored-By: Claude Fable 5 <noreply@anthropic.com>

frontend/src/lib/api.ts

@@ -6,15 +6,18 @@ export async function api<T = unknown>(path: string, init?: RequestInit): Promis
     ...init?.headers,
   } as Record<string, string>
 
-  const sudoPassword = localStorage.getItem("mc_sudo_password")
-  const hfToken = localStorage.getItem("mc_hf_token")
+  const method = init?.method?.toUpperCase() || "GET"
+
+  // Geheimnisse (Box-Passwort, HF-Token) reisen NUR bei mutierenden Requests mit —
+  // die Dauer-Polls (GET) brauchen sie nie und sollen sie auch nie im Netz tragen.
+  const sudoPassword = method === "GET" ? null : localStorage.getItem("mc_sudo_password")
+  const hfToken = method === "GET" ? null : localStorage.getItem("mc_hf_token")
 
   if (sudoPassword) {
     headers["X-Sudo-Password"] = sudoPassword
   }
 
   let body = init?.body
-  const method = init?.method?.toUpperCase() || "GET"
   if (method === "POST") {
     if (typeof body === "string") {
       try {