helmd: inbäddad webbklient (vanilla SPA) + Docker-image för Pi5 (LAN-only)

- web/: token-login, sessionslista, ANSI-skärmvy (SSE+poll), promptfält,
  frågekort, tangentrad, delningsflik (bild/HTML-sandbox/markdown), inställningar
- go:embed via webfs.go — servern förblir en enda binär, strikt CSP
- browser-verifierad mot riktig agy (fråga -> kort -> svar -> kört)
- Dockerfile (alpine + tmux/bash) + helmd-image.yaml -> localhost:5000/helmd
- integrationstest utökat till 29 gröna

Co-Authored-By: Claude Fable 5 <noreply@anthropic.com>

helmd/README.md

@@ -107,6 +107,25 @@ kommandogodkännande) och mot mock i integrationstestet.
 }
 ```
 
+## Webbklienten
+
+Inbäddad i binären (`web/` + `go:embed`) och serveras på `/` — surfa
+till servern (t.ex. `http://127.0.0.1:8788` genom en SSH-tunnel) och
+klistra in din token. Ramverksfri (ren ES-moduler): sessionslista,
+ANSI-färgad skärmvy (SSE + poll), promptfält, frågekort med knappar,
+tangent-verktygsrad, delningsflik (bilder, sandboxad HTML, markdown)
+och inställningar. Statiska filer kräver ingen auth (koden är publik);
+allt data går genom det token-skyddade API:et.
+
+## Docker på Pi5 (LAN-only)
+
+`Dockerfile` bygger en arm64-image med tmux+bash via
+`.gitea/workflows/helmd-image.yaml` → `localhost:5000/helmd:latest`.
+Stack: `/srv/dockge-staks/helmd/` med host-port **8788** och volym
+`/srv/docker/helmd → /data`. **Ingen NPM-vhost** — nås bara på LAN
+(`http://192.168.0.19:8788`) eller via SSH-tunnel utifrån. Sessionerna
+kör i containern (bash tills en agent installeras där).
+
 ## Bygga & testa
 
 ```bash