feat: add monitoring dashboard under /monitor/

Status page and JSON API read from private/data; root index.php stays a placeholder. Mark todo 06 done.

Co-authored-by: Cursor <cursoragent@cursor.com>

SITE.md

@@ -2,15 +2,22 @@
 
 **0012.de ist eine eigene Website** — Inhalt noch offen. Kein Monitoring-Dashboard auf der Root-Domain.
 
-Monitoring, Status-Beacons, `ingest.php` usw. laufen später in **Unterverzeichnissen oder Subdomains** (z. B. `status.0012.de`, `/ops/` — noch festzulegen).
+Monitoring und Status laufen unter **`/monitor/`** (nicht auf `/`).
 
 ## Aktuell (Platzhalter)
 
-Brutalistische Startseite: scharf, dunkel, sarkastisch. Keine Secrets, keine Ops-Daten.
+[`public/index.php`](public/index.php) ist eine brutalistische Baustellenseite: scharf, dunkel, sarkastisch. Keine Secrets, keine Ops-Daten. Irgendwann kommt hier vermutlich eine eigenständige Website — Inhalt und Form noch offen.
 
-## Später: Status / Monitoring (nicht Root)
+## Status / Monitoring (`/monitor/`)
 
-Siehe [`MONITORING.md`](MONITORING.md) und [`todo/06-site-0012-landing.md`](todo/06-site-0012-landing.md) — Zielpfad anpassen, wenn Subdomain/Pfad steht.
+Öffentliches Ops-Dashboard (read-only, `noindex`):
+
+- `https://0012.de/monitor/` — HTML-Statusraster aus Pull-Checks + boka-Heartbeat
+- `https://0012.de/monitor/status.php` — JSON-API (Alias: `/monitor/status.json` via `.htaccess`)
+
+Siehe [`MONITORING.md`](MONITORING.md) und [`todo/06-site-0012-landing.md`](todo/06-site-0012-landing.md).
+
+Cron/Ingest bleiben auf Root: `monitor.php`, `ingest.php`.
 
 ## Was 0012.de werden könnte
 
@@ -18,6 +25,6 @@ Noch unklar. Die Domain bleibt frei für etwas Eigenes — Portfolio, Experiment
 
 ## Was bewusst nicht auf 0012.de /
 
-- Öffentliche Monitoring-Kacheln (→ Subdomain/Pfad)
+- Öffentliche Monitoring-Kacheln (→ `/monitor/`)
 - IPs, Tokens, `.env`-Inhalte
 - Comic Sans (never again)