feat(notify): web push as a notification channel

- VAPID keys from VAPID_* or generated once (push_keys, migration 9);
  devices in push_subscriptions, forgotten on 404/410 from the push service
- push column for every event (also due tasks) and the daily summary,
  bundles as one notification; /push/key, /devices, /subscribe,
  /unsubscribe, /test
- settings: switch push on per device, test it, see the devices; the
  service worker shows notifications and focuses MindSift on click
- tests decrypt a sent push like a browser (RFC 8291) and check VAPID

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

.env.example

@@ -75,6 +75,13 @@ SMTP_TLS=true
 # true = selbstsignierte Zertifikate akzeptieren (nur für interne Mailserver).
 SMTP_SKIP_VERIFY=false
 
+# Web-Push (Benachrichtigungen auf Handy und Desktop, auch bei geschlossener App).
+# Ohne Angabe erzeugt MindSift beim ersten Bedarf ein Schlüsselpaar und speichert es in der Datenbank.
+# VAPID_SUBJECT: Kontakt für die Push-Dienste (mailto: oder https://); Standard ist BASE_URL, wenn https.
+# VAPID_PUBLIC_KEY=
+# VAPID_PRIVATE_KEY=
+# VAPID_SUBJECT=mailto:admin@example.com
+
 # ─── Impressum und Datenschutz (optional) ──────────────────────────────────────────────────────────
 # Werden auf der Anmeldeseite und in den Einstellungen verlinkt. Entweder als Link auf eine externe
 # Seite (nur http/https) oder als Markdown-Text, direkt hier oder als Datei (per Volume einbinden).