helmd hub: central server på Pi5 + agent-uplink + helmd ctl + web-login

Hub-läge i samma binär (doc/hub-plan.md): agenter ansluter utåt med
delad agent-nyckel (hub-sektion i config.json), web-/CLI-klienter
loggar in (lokala konton, pbkdf2; Authenticator-interface för LDAP
senare) och styr alla agenters sessioner via proxy + merged SSE.
Webbklienten autodetekterar hub/local via /api/mode. Nya kommandon:
helmd hub [setpass|users|agentkey], helmd ctl (login/agents/sessions/
prompt/screen/answer/events …). Enhetstester + scripts/run-hub-smoke.sh
(15-stegs e2e: hub + agent + ctl).

Co-Authored-By: Claude Fable 5 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_011KikHkfCiC3yELbsMN8fT9

README.md

@@ -22,6 +22,10 @@ tmux-skärmen är sanningskällan i stället för agent-specifika hooks.
   deployat, verifierat och vad som återstår)
 - Server + webbklient: klara — se [`helmd/README.md`](helmd/README.md)
   (API, säkerhet, test)
+- **Hub**: central server på Pi5 som alla agenter ansluter utåt till
+  (delad agent-nyckel via configfil) och där web-/CLI-klienter loggar
+  in och styr allt — design i [`doc/hub-plan.md`](doc/hub-plan.md),
+  CLI-klient `helmd ctl`
 - Plan (server → webbklient → Android): [`doc/plan.md`](doc/plan.md)
 - Release: rullande [`helmd-latest`](https://gitea.brasse-pc.eu/brasse/agent-helm/releases)
   (`helmd-linux-x64` + arm64, webbklienten inbyggd); Pi5-instans på