Add owned OpenAI endpoint and coordinated native model switching

ACCESS.md

@@ -51,9 +51,8 @@ API-Clients verwenden `Authorization: Bearer <API-TOKEN>`. Aktuell erlaubt sind:
 |---|---|
 | GET | `/api/v1/status` |
 | GET | `/api/v1/hardware` |
-| GET | `/api/v1/demo` |
-| POST | `/api/v1/demo/start` |
-| POST | `/api/v1/demo/stop` |
+| GET | API-Port: `/v1/models`, `/health` |
+| POST | API-Port: `/v1/chat/completions`, `/v1/images/generations` |
 
 API-Clients brauchen weder Cookie noch Browser-CSRF-Header. Ein vorhandener
 Authorization-Header wird ausdrücklich geprüft; ein ungültiger Token wird nicht
@@ -66,10 +65,11 @@ Beispiel (Platzhalter ersetzen):
 curl -H 'Authorization: Bearer <API-TOKEN>' http://127.0.0.1:8108/api/v1/status
 ```
 
-Die späteren Modell-/Inferenz-Endpunkte existieren noch nicht. Ihre Autorisierung
-muss beim Ergänzen explizit an die Token-Prüfung angeschlossen werden. Es wird kein
-produktiver Router-Token verändert. Der WireGuard-Zugriffsmodus gilt weiterhin vor
-der Authentifizierung: ein gültiger Token umgeht keine gesperrte LAN-/Tunnelroute.
+Der separate Inferenz-Listener prüft denselben Deck-Token bei jeder Anfrage.
+Endpunkt starten/stoppen, Port und Profilfreigaben ändern erfordert weiterhin die
+Admin-Sitzung. Der alte produktive Router-Token wird nicht geändert. Der neue
+Listener ist zunächst nur via Loopback/SSH erreichbar; das bestehende
+WireGuard-Modul wird nicht automatisch erweitert. Details: [ENDPOINT.md](ENDPOINT.md).
 
 ## Speicherung und Serverbetrieb