security: HTTPS-only-Header per HTTPS_ENABLED-Flag steuern

`upgrade-insecure-requests` (CSP) + HSTS sperrten den Browser bei direktem
http://ip:port-Zugriff aus (ERR_SSL_PROTOCOL_ERROR auf den Vite-Assets,
weil Browser sie via https laden wollte).

Beide Header sind jetzt default OFF und werden nur gesetzt, wenn
HTTPS_ENABLED=true – also sobald ein TLS-Reverse-Proxy (Caddy/Traefik/Nginx)
vor OpenCRM steht. Lokale + non-TLS-Deployments laufen damit ohne Stolperfalle.

Co-Authored-By: Claude Opus 4.7 (1M context) <noreply@anthropic.com>

docker-compose.yml

@@ -65,6 +65,7 @@ services:
       PORT: 3001
       LISTEN_ADDR: 0.0.0.0
       CORS_ORIGINS: ${CORS_ORIGINS:-}
+      HTTPS_ENABLED: ${HTTPS_ENABLED:-false}
       RUN_SEED: ${RUN_SEED:-false}
     ports:
       - "${OPENCRM_PORT:-3010}:3001"