frontend: Notationstext per ?sourceUrl= von einer URL laden

Der Editor kann den Text aus einer externen Textdatei beziehen:
  …/index.html?sourceUrl=https://example.org/plan.txt

- Das Geladene wird als eigenes Dokument (D22) geführt, dessen Name die URL
  ist; die id leitet sich aus der URL ab, derselbe Link aktualisiert also
  dieses Dokument, statt bei jedem Aufruf ein neues anzulegen. Eigene
  Dokumente bleiben unberührt. Die volle URL steht zusätzlich im Tooltip
  (der Name wird in der Titelzeile elidiert).
- Ist der Parameter gesetzt, wird bei jedem Laden neu geholt — die URL ist
  die Quelle der Wahrheit.
- Nur http(s) (relative Angaben werden aufgelöst), credentials:'omit';
  file:/data:/javascript: werden abgewiesen. Fremder Text ist ungefährlich:
  Labels werden escaped, der Parser erkennt als Link nur https?:// (SPEC §1).
- Fehler (CORS, 404, Netz) landen als zeilenlose Warnung `sourceLoad` im
  Warnbereich und nennen CORS ausdrücklich als wahrscheinliche Ursache; der
  bisherige Stand bleibt stehen. i18n in allen 9 Sprachen.
- Nebenbei: checkForUpdates() baut die Cache-Buster-URL nun über
  URL/searchParams — mit vorhandenem Query-String hätte '?t=' ein zweites
  '?' erzeugt.

Verifiziert headless (jsdom gegen den gebauten Bundle: Erfolg, CORS-Fehler,
404, ohne Parameter, verbotenes Schema) und im Browser gegen
raw.githubusercontent.com. Dokumentiert als D23 + SPEC §9 + frontend/CLAUDE.md.

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>

frontend/CLAUDE.md

@@ -110,6 +110,17 @@ verworfene Elemente. Quelle sind ES-Module unter `src/`; `index.html` ist der
   unterdrückt): `renameDoc()` setzt `renamingId`, `renderDocMenu()` rendert dann
   ein `<input class="docrename">` (Enter = `commitRename`, Esc = `cancelRename`,
   Blur = commit). Doc-Namen sind Nutzerdaten und werden **nicht** übersetzt.
+- `?sourceUrl=` (D23): `loadFromSourceUrl()` (Aufruf am Ende des Starts, async)
+  holt eine externe Textdatei und führt sie als Dokument mit `id: 'url:<href>'`,
+  `name`/`source` = URL. Nur `http(s)`, `credentials:'omit'`; bei jedem Laden wird
+  neu geholt (URL = Quelle der Wahrheit, lokale Edits daran gehen verloren).
+  Fehler landen als zeilenlose Warnung `{type:'sourceLoad', url, error}` in
+  `sourceWarning` — ein **persistenter** Kanal, den `render()` jedem Warnungs-Satz
+  voranstellt (überlebt Neu-Renderings, bis das Laden gelingt). Hauptstolperfalle
+  ist **CORS**: fremde Hosts brauchen `Access-Control-Allow-Origin` (raw.github…
+  ja, beliebiger Webserver oft nicht) — der Warntext nennt das ausdrücklich.
+  `updateDocName()` setzt für solche Dokumente den vollen URL-Tooltip und muss
+  deshalb **nach** dem `data-i18n-title`-Durchlauf in `applyLang()` laufen.
 - Kleiner Bildschirm: `body.mobile` (per `matchMedia`, ≤ 640 px) stapelt
   Diagramm/Editor mit **stufenlosem** Splitter (kein Snap/Collapse wie auf
   Desktop): der Gutter-Drag ruft `setMobileDrow()` (klemmt `--drow` zwischen den