docs (CLAUDE.md): documenteer health check gedrag en helper architectuur

Beschrijf dat systemd_user.reachable afgeleid is van helper.ok,
dat de container zelf geen D-Bus/systemctl aanroepen doet, en dat
alle systemctl-acties (incl. daemon-reload) via de helper-socket lopen.

Co-Authored-By: Claude Sonnet 4.6 <noreply@anthropic.com>

CLAUDE.md

@@ -72,6 +72,20 @@ curl -fsS http://127.0.0.1:8081/api/networks/meta | jq
 
 All test/verification URLs must target `127.0.0.1:8081` (the proxy), not port 8000 directly.
 
+## Health Check (`/api/health`)
+
+`GET /api/health` geeft drie deelresultaten terug:
+
+| Veld | Wat het meet | Techniek |
+|---|---|---|
+| `podman.ok` | Podman API bereikbaar | HTTP GET `/libpod/info` op Unix socket |
+| `helper.ok` | podman-helper socket bereikbaar | TCP connect op `/run/podman-mvp/podman-helper.sock` |
+| `systemd_user.reachable` | Afgeleid van `helper.ok` | Identiek — helper draait als host-user en voert `systemctl --user` uit, dus bereikbaarheid van helper impliceert bereikbaarheid van systemd |
+
+`ok` (toplevel) is `true` als én `podman.ok` én `helper.ok` waar zijn.
+
+De container voert zelf **geen** `systemctl --user` of D-Bus aanroepen uit. Alle systemctl-acties (start/stop/restart/daemon-reload) gaan via de helper-socket. D-Bus en `/run/user/1000/bus` zijn niet gemount.
+
 ## Hard Rules
 
 ### Module placement