feat: PWA + Mikrofon-Aufnahme + HTTPS via selbst-signiertem Cert

Frontend-Aufnahme (MediaRecorder):
- Aufnahme-Button im Upload-Form, große Touch-Targets
- Start / Pause / Fortsetzen / Stop mit Live-Timer
- Format-Auto-Detect (Opus/WebM, Safari nimmt M4A)
- Wake Lock damit iOS nicht ins Sleep geht
- Aufnahme-Datei landet als File-Objekt im Upload-Flow
- Beim Submit: aufgenommene Datei bevorzugt vor File-Input

PWA:
- manifest.webmanifest, icon.svg + PNG-Icons (192/512)
- apple-mobile-web-app-capable + theme-color
- "Zum Home-Bildschirm" hinzufügen verwandelt Seite in App

Mobile-Layout:
- Single-Column ab 700px, größere Buttons
- Header stapelt sich vertikal
- Tabelle scrollt horizontal statt zu zerquetschen
- Safe-Area-Insets für iPhone-Notch

HTTPS (Pflicht für Mikrofon-Zugriff):
- install.sh erzeugt selbst-signiertes Cert (4096 Bit, 825 Tage, mit
  SAN aus Hostname + LAN-IP)
- Nginx: HTTP → HTTPS Redirect, Cert unter /ssl/voice-agent.crt
  ungesichert abrufbar (für bequemen iOS-Profil-Import)

Backend:
- ALLOWED_EXTS um 'webm' erweitert

deploy/nginx/voice-agent.conf

@@ -1,11 +1,39 @@
+# HTTP — leitet auf HTTPS um, außer für /ssl/voice-agent.crt (Cert-Download)
 server {
     listen 80 default_server;
     server_name _;
 
-    # Upload-Limit muss zu MAX_UPLOAD_MB in .env passen
     client_max_body_size 600M;
+    proxy_read_timeout 1800;
+    proxy_send_timeout 1800;
 
-    # Lange Verarbeitung — Timeouts hoch
+    # Cert für Handy-Import bequem ohne HTTPS abholbar
+    location /ssl/voice-agent.crt {
+        alias /etc/ssl/voice-agent/voice-agent.crt;
+        default_type application/x-x509-ca-cert;
+        add_header Content-Disposition 'attachment; filename="voice-agent.crt"';
+    }
+
+    # Alles andere → HTTPS
+    location / {
+        return 301 https://$host$request_uri;
+    }
+}
+
+# HTTPS mit selbst-signiertem Cert
+server {
+    listen 443 ssl default_server;
+    listen [::]:443 ssl default_server;
+    http2 on;
+    server_name _;
+
+    ssl_certificate     /etc/ssl/voice-agent/voice-agent.crt;
+    ssl_certificate_key /etc/ssl/voice-agent/voice-agent.key;
+    ssl_protocols TLSv1.2 TLSv1.3;
+    ssl_ciphers HIGH:!aNULL:!MD5;
+    ssl_prefer_server_ciphers on;
+
+    client_max_body_size 600M;
     proxy_read_timeout 1800;
     proxy_send_timeout 1800;