docs: Standalone als Alternative beim Onboarding, Tokenschutz am Geraet belegt

README.md

@@ -65,6 +65,15 @@ Verfügbare Befehle in der Konsole: `help`.
   gespeicherten Zugangsdaten). Im Fallback-AP (Router war > 5 min weg, Lampe hat aber bereits
   Zugangsdaten) ist der Token-Header wie bei jedem anderen Endpunkt erforderlich.
   Nach Erfolg schließt der AP nach 60 s. Ohne Verbindung für 5 min öffnet die Lampe den AP zusätzlich (Fallback).
+
+  **Alternative beim Einrichten:** Statt ein WLAN anzugeben, kann man die Lampe im selben Schritt
+  dauerhaft auf ihren eigenen Zugangspunkt festlegen — dann braucht sie überhaupt keinen Router.
+  Im unkonfigurierten AP geht das wie das WLAN-Onboarding ohne Token:
+
+      curl -X PUT http://192.168.4.1:3333/api/v1/system/settings \
+           -d '{"type":"standalone","enabled":true,"password":"geheim123"}'
+
+  Einzelheiten unter [Standalone-AP](#standalone-ap).
 - REST auf Port 3333, Präfix `/api/v1`: `GET|POST device/state`, `GET system/info`, `GET|PUT system/settings` (kennt u.a. die Typen `sacn` und `standalone`, siehe unten) und `PUT system/command` (beide mit Header `Authorization: <token>`, Default-Token `aabbccddeeff0011223344`).
 - Beispiel: `curl -X POST http://ninlight-681f.local:3333/api/v1/device/state -d '{"on":true,"brightness":40,"color_temp":2700}'`
 - Suchen: `dns-sd -B _ninlight._tcp` (macOS), Details `dns-sd -L ninlight-681f _ninlight._tcp`.
@@ -120,9 +129,11 @@ Einschalten:
          -H 'Authorization: <token>' \
          -d '{"type":"standalone","enabled":true,"ssid":"Buehne","password":"geheim123","channel":6}'
 
-Antwort `202 {"status":"standalone"}`. Anders als der unkonfigurierte Onboarding-AP ist der
+Antwort `202 {"status":"standalone"}`. Der Aufruf braucht den Token, sobald die Lampe konfiguriert
-Standalone-AP nicht token-frei: der Tokenschutz gilt dort wie im Normalbetrieb (am Gerät noch nicht
+ist; im unkonfigurierten Onboarding-AP geht er ohne. Anders als dieser ist der Standalone-AP
-nachgemessen, siehe Abnahmeliste). Felder:
+anschließend **nicht** token-frei: der Tokenschutz gilt dort wie im Normalbetrieb. Am Gerät
+gemessen (2026-10-02, EVK und eine E27 RGB): `GET system/settings` ohne Token → 401 im
+Standalone-AP, 200 im unkonfigurierten Onboarding-AP. Felder:
 
 | Feld | Pflicht | Bedeutung |
 |---|---|---|