feat: PWA + Mikrofon-Aufnahme + HTTPS via selbst-signiertem Cert

Frontend-Aufnahme (MediaRecorder):
- Aufnahme-Button im Upload-Form, große Touch-Targets
- Start / Pause / Fortsetzen / Stop mit Live-Timer
- Format-Auto-Detect (Opus/WebM, Safari nimmt M4A)
- Wake Lock damit iOS nicht ins Sleep geht
- Aufnahme-Datei landet als File-Objekt im Upload-Flow
- Beim Submit: aufgenommene Datei bevorzugt vor File-Input

PWA:
- manifest.webmanifest, icon.svg + PNG-Icons (192/512)
- apple-mobile-web-app-capable + theme-color
- "Zum Home-Bildschirm" hinzufügen verwandelt Seite in App

Mobile-Layout:
- Single-Column ab 700px, größere Buttons
- Header stapelt sich vertikal
- Tabelle scrollt horizontal statt zu zerquetschen
- Safe-Area-Insets für iPhone-Notch

HTTPS (Pflicht für Mikrofon-Zugriff):
- install.sh erzeugt selbst-signiertes Cert (4096 Bit, 825 Tage, mit
  SAN aus Hostname + LAN-IP)
- Nginx: HTTP → HTTPS Redirect, Cert unter /ssl/voice-agent.crt
  ungesichert abrufbar (für bequemen iOS-Profil-Import)

Backend:
- ALLOWED_EXTS um 'webm' erweitert

deploy/install.sh

@@ -61,7 +61,32 @@ systemctl daemon-reload
 systemctl enable voice-agent
 systemctl restart voice-agent
 
-echo "[7/7] Nginx-Reverse-Proxy"
+echo "[7/8] Selbst-signiertes TLS-Zertifikat (für Mikrofon-Zugriff via HTTPS)"
+SSL_DIR="/etc/ssl/voice-agent"
+SSL_CRT="$SSL_DIR/voice-agent.crt"
+SSL_KEY="$SSL_DIR/voice-agent.key"
+mkdir -p "$SSL_DIR"
+
+if [ ! -f "$SSL_CRT" ] || [ ! -f "$SSL_KEY" ]; then
+  apt-get install -y --no-install-recommends openssl >/dev/null
+  HOST_NAME="$(hostname --fqdn 2>/dev/null || hostname)"
+  HOST_SHORT="$(hostname)"
+  HOST_IP="$(hostname -I | awk '{print $1}')"
+  SAN="DNS:${HOST_NAME},DNS:${HOST_SHORT},DNS:voice-agent.local,IP:${HOST_IP}"
+  echo "  Erzeuge Cert für: $SAN"
+  openssl req -x509 -nodes -newkey rsa:4096 -days 825 \
+    -keyout "$SSL_KEY" -out "$SSL_CRT" \
+    -subj "/CN=${HOST_NAME}" -addext "subjectAltName=${SAN}" \
+    -addext "extendedKeyUsage=serverAuth" \
+    -addext "basicConstraints=CA:FALSE" 2>/dev/null
+  chmod 0644 "$SSL_CRT"
+  chmod 0600 "$SSL_KEY"
+  echo "  Cert erzeugt: $SSL_CRT"
+else
+  echo "  Cert bereits vorhanden, behalte: $SSL_CRT"
+fi
+
+echo "[8/8] Nginx-Reverse-Proxy (HTTPS + HTTP-Redirect)"
 cp "$APP_DIR/deploy/nginx/voice-agent.conf" /etc/nginx/sites-available/voice-agent
 ln -sf /etc/nginx/sites-available/voice-agent /etc/nginx/sites-enabled/voice-agent
 rm -f /etc/nginx/sites-enabled/default
@@ -78,10 +103,21 @@ chmod 0755 /usr/local/bin/voice-agent-admin
 
 echo
 echo "Fertig. Health-Check:"
-echo "  curl -s http://localhost/health"
+echo "  curl -sk https://localhost/health"
 echo
-echo "Beim ersten Aufruf im Browser: Initialer Admin wird angelegt — bestehende Jobs"
-echo "werden diesem Account automatisch zugeordnet."
+echo "Aufruf im Browser: https://<LXC-IP>/  (HTTP wird auf HTTPS umgeleitet)"
+echo "Beim ersten Aufruf wird der initiale Admin angelegt."
+echo
+echo "── Mikrofon-Aufnahme von Handys ──────────────────────────────────────"
+echo "Damit iOS/Android das Mikrofon freigibt, MUSS die Seite über HTTPS laufen."
+echo "Das selbst-signierte Zertifikat einmalig auf jedem Gerät installieren:"
+echo
+echo "  iPhone:  Safari öffnen, http://<LXC-IP>/ssl/voice-agent.crt aufrufen"
+echo "           → Profil herunterladen → Einstellungen → Profil installieren"
+echo "           → Allgemein → Info → Zertifikatsvertrauen → 'voice-agent' aktivieren"
+echo
+echo "  Android: Browser öffnen, http://<LXC-IP>/ssl/voice-agent.crt aufrufen"
+echo "           → Cert installieren als 'VPN/Apps' (Variiert je nach Hersteller)"
 echo
 echo "Falls noch nicht geschehen: MAC_API_URL in $APP_DIR/lxc-frontend/.env setzen"
 echo "und Service neu starten:  sudo systemctl restart voice-agent"

deploy/nginx/voice-agent.conf

@@ -1,11 +1,39 @@
+# HTTP — leitet auf HTTPS um, außer für /ssl/voice-agent.crt (Cert-Download)
 server {
     listen 80 default_server;
     server_name _;
 
-    # Upload-Limit muss zu MAX_UPLOAD_MB in .env passen
     client_max_body_size 600M;
+    proxy_read_timeout 1800;
+    proxy_send_timeout 1800;
 
-    # Lange Verarbeitung — Timeouts hoch
+    # Cert für Handy-Import bequem ohne HTTPS abholbar
+    location /ssl/voice-agent.crt {
+        alias /etc/ssl/voice-agent/voice-agent.crt;
+        default_type application/x-x509-ca-cert;
+        add_header Content-Disposition 'attachment; filename="voice-agent.crt"';
+    }
+
+    # Alles andere → HTTPS
+    location / {
+        return 301 https://$host$request_uri;
+    }
+}
+
+# HTTPS mit selbst-signiertem Cert
+server {
+    listen 443 ssl default_server;
+    listen [::]:443 ssl default_server;
+    http2 on;
+    server_name _;
+
+    ssl_certificate     /etc/ssl/voice-agent/voice-agent.crt;
+    ssl_certificate_key /etc/ssl/voice-agent/voice-agent.key;
+    ssl_protocols TLSv1.2 TLSv1.3;
+    ssl_ciphers HIGH:!aNULL:!MD5;
+    ssl_prefer_server_ciphers on;
+
+    client_max_body_size 600M;
     proxy_read_timeout 1800;
     proxy_send_timeout 1800;