helmd hub: central server på Pi5 + agent-uplink + helmd ctl + web-login

Hub-läge i samma binär (doc/hub-plan.md): agenter ansluter utåt med
delad agent-nyckel (hub-sektion i config.json), web-/CLI-klienter
loggar in (lokala konton, pbkdf2; Authenticator-interface för LDAP
senare) och styr alla agenters sessioner via proxy + merged SSE.
Webbklienten autodetekterar hub/local via /api/mode. Nya kommandon:
helmd hub [setpass|users|agentkey], helmd ctl (login/agents/sessions/
prompt/screen/answer/events …). Enhetstester + scripts/run-hub-smoke.sh
(15-stegs e2e: hub + agent + ctl).

Co-Authored-By: Claude Fable 5 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_011KikHkfCiC3yELbsMN8fT9

doc/plan.md

@@ -60,6 +60,11 @@ webb-PWA (LAN/tunnel) ─────┼──► helmd :8788 (Go, REST+SSE, tok
 3. ⬜ **Android-klient**: nytt projekt eller Capacitor-port av PWA:n.
    - Egen SSH-tunnel (t.ex. sshj/JSch) → Pi5 → helmd; token +
      värdprofil i appen; push via ntfy-appen eller UnifiedPush.
+4. 🔨 **Hub på Pi5** (påbörjad 2026-08-06): central server som alla
+   agenter ansluter utåt till (delad agent-nyckel, inga konton) och
+   där web-/CLI-klienter loggar in (lokalt admin-konto →
+   `Authenticator`-interface för LDAP senare) och styr alla agenters
+   sessioner. Full design: **[hub-plan.md](hub-plan.md)**.
 
 ## Beslut