Add a KantTresor tab to the central registry

KantTresor instances (from 1.82.0) report to /api/kanttresor/melden with the
same key-then-HMAC protocol. The new tab lists them with tenants, disk usage
and failing services; it never offers or accepts an update order, since
KantTresor is updated with ./update.sh on the server. See ADR 124.

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

zentrale/README.md

@@ -61,6 +61,27 @@ Einschränkungen:
   Besucher oder Cron-Aufruf das Update ab. So lange zeigt sie die Wartungsseite.
 - Ein abgeholter Auftrag ohne Ergebnis nach 2 Stunden erscheint als „keine Rückmeldung“.
 
+## KantTresor
+
+Der Reiter **KantTresor** (`/kanttresor`) zeigt die KantTresor-Instanzen. Ab KantTresor
+**1.82.0** meldet sich jede Instanz alle 15 Minuten über den beat-Task
+`controlplane.zentrale_melden` an `POST /api/kanttresor/melden` – gleiches Verfahren wie
+KantSites (Schlüssel bei der ersten Meldung, danach HMAC-Unterschrift in beide Richtungen).
+
+Übertragen werden: Adresse, Fassung, Python/Django, Datenbank, Anzahl aktiver Mandanten,
+Namen gestörter Dienste und belegter Speicher in Prozent. Keine Mandantennamen, Dokumente
+oder Zugangsdaten.
+
+Unterschiede zu KantSites:
+
+- **Kein Update von hier.** Die Zentrale gibt KantTresor nie einen Auftrag; aktualisiert wird
+  auf dem Server mit `./update.sh`.
+- „Aktuell“ und „veraltet“ richten sich nach der **höchsten gemeldeten Fassung** – die
+  KantArchiv-Releaseseite ist nicht öffentlich.
+- Statt der PHP-Kachel gibt es **„Dienst gestört oder Speicher knapp“** (ab 90 % belegt).
+- Abschalten pro Instanz: `ZENTRALE_URL=aus` in `.env.prod`. Instanzen mit
+  `DJANGO_DEBUG=True` oder nur lokaler Adresse melden nie.
+
 ## Fremde Installationen erkennen
 
 Jede Installation, der in der Detailansicht kein Kunde zugeordnet ist, steht als