Releases on Gitea, one-line installer and auto-update (1.1.0)

- .github/workflows/release.yml: a tag vX.Y.Z runs the tests, publishes
  daynivo-kiosk-os-X.Y.Z.tar.gz (+ .sha256) and install-online.sh as a
  Gitea release, then builds the SD image with pi-gen and attaches it.
- install-online.sh: curl | sudo bash installer for the latest release.
- voxip-kiosk-updater: checks the latest release, verifies and unpacks a
  newer one under /opt/daynivo-kiosk-os and runs its update.sh. A daily
  timer checks around 03:00 and installs when auto_update is on.
- Web interface: Systeem -> Software-updates with the auto-update switch,
  check now and install now (helper verbs update-check / update-install).
- CI checks out with plain git, so it runs on Gitea's act_runner too.

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

docs/ARCHITECTURE.md

@@ -50,7 +50,8 @@ samenwerken en waarom bepaalde keuzes zijn gemaakt.
 | `voxip-kiosk-browser` | `kiosk` | Past rotatie/resolutie/DPMS toe (xrandr/xset), ruimt een vastgelopen profiel op en start Chromium. |
 | `voxip-kiosk-agent` | `kiosk` | Bestuurt Chromium via het DevTools Protocol op localhost: offline-pagina, URL-wissel zonder herstart, periodiek verversen, hang-detectie. |
 | `voxip-kiosk-manager` | `voxip` | Flask-webinterface (gunicorn, 1 worker, 4 threads). |
-| `voxip-kiosk-helper` | `root` (via sudo) | Enige geprivilegieerde ingang: reboot, uitschakelen, Chromium herstarten, hostname, wifi-land, wifi-scan, netwerkconfiguratie + rollback. |
+| `voxip-kiosk-helper` | `root` (via sudo) | Enige geprivilegieerde ingang: reboot, uitschakelen, Chromium herstarten, hostname, wifi-land, wifi-scan, netwerkconfiguratie + rollback, updates controleren en starten. |
+| `voxip-kiosk-updater` | `root` (timer, of eigen transient unit via de helper) | Haalt de nieuwste release op (HTTPS, SHA-256), pakt hem uit in `/opt/daynivo-kiosk-os/<versie>` en draait `update.sh --no-pull`. Nooit een oudere of gelijke versie. |
 | `voxip-kiosk-healthcheck` | `root` | Bewaakt alle services en herstelt ze, met logging. |
 
 De webinterface draait **nooit** als root. De sudoers-regel staat
@@ -130,8 +131,11 @@ draait) kan het apparaat dus claimen, iemand anders op het netwerk niet.
   bij het laden terug op de standaard, zodat de kiosk altijd start.
   Onbekende sleutels blijven bewaard (vooruit-/achteruitcompatibel).
 - `/etc/voxip-kiosk/admin.json`: Argon2id-hash, 0600, alleen `voxip`.
-- Updates (`install.sh --upgrade` / `update.sh`) overschrijven nooit
-  bestaande configuratie.
+- Updates (`install.sh --upgrade` / `update.sh` / de updater) overschrijven
+  nooit bestaande configuratie. De updater draait in een eigen systemd-unit,
+  zodat het herstarten van de beheerinterface tijdens `install.sh` de update
+  niet afbreekt. De checksum komt van dezelfde server als de download: hij
+  vangt een kapotte download af, geen gehackte releaseserver.
 
 ### Betrouwbaarheid (24/7)