Show the Orbit sign-in control in the header

The routes landed in cef6b8e with nothing to reach them from. The header
now carries either the reader's name with a logout button, or an "Orbit
ile giriş" button, and both are forms rather than links because both
POST -- a link would let an image tag start or end a session.

The button only appears when ORBIT_ISSUER, ORBIT_CLIENT_ID and
ORBIT_CLIENT_SECRET are all set. A half-configured door offering a button
that answers 503 is worse than no button.

Session lookup goes cheapest-first: no database means the static build,
which has no sessions; no cookie means no D1 read at all. Visitors who
are not signed in -- nearly all of them -- cost nothing extra. Signed-in
requests already bypass the edge cache from cef6b8e, which is what keeps
one reader's name off another reader's screen.

Verified live before writing this: POST /giris/orbit now answers 303 to
Orbit's authorize endpoint carrying client_id=orbit-haber, the registered
redirect_uri, scope=openid profile, state, nonce and an S256 challenge,
and Orbit accepts it -- an unauthenticated visitor gets sent to sign in
rather than an error, which is what recognizing the client looks like.

212 newsroom tests, 22 + 21 Orbit cases, 0 type errors, both builds.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

Author: sametbasbug

scripts/orbit-istemci-kaydi.sh

@@ -0,0 +1,26 @@
+#!/usr/bin/env bash
+# Haber'i Orbit'e alt site istemcisi olarak kaydeder.
+#
+# İstemci sırrı BU BETİKTE üretiliyor ve iki yere gidiyor:
+#   1. haber'in Worker sırrına (borudan, ekrana yazılmadan)
+#   2. Orbit'in kayıt ucuna — ama oraya SEN gönderiyorsun, tarayıcı konsolundan
+#
+# İkinci adımın elle olmasının sebebi: kimlik bilgisini tarayıcı isteğine
+# koymak ajanın yapabileceği bir iş değil. Betik yalnız yapıştıracağın satırı
+# hazırlıyor.
+set -euo pipefail
+cd "$(dirname "$0")/.."
+
+SIR="$(openssl rand -base64 48 | tr -d '\n')"
+
+printf '%s' "$SIR" | npx wrangler secret put ORBIT_CLIENT_SECRET -c wrangler.ssr.jsonc >/dev/null
+echo "✓ haber-site Worker sırrı güncellendi (ORBIT_CLIENT_SECRET)"
+echo
+echo "Şimdi https://orbit.sametbasbug.dev sekmesinde konsolu aç (Cmd+Option+J)"
+echo "ve AŞAĞIDAKİ TEK SATIRI yapıştır:"
+echo
+cat <<JS
+fetch('/v1/site-clients',{method:'POST',credentials:'include',headers:{'content-type':'application/json','X-Orbit-CSRF':decodeURIComponent((document.cookie.match(/(?:^|;\s*)__Host-orbit_csrf=([^;]*)/)||[])[1]||'')},body:JSON.stringify({clientId:'orbit-haber',label:'Equinox Haber',siteUrl:'https://haber.sametbasbug.dev',scopes:['openid','profile'],redirectUris:['https://haber.sametbasbug.dev/giris/orbit/donus'],environment:'production',clientSecret:'${SIR}'})}).then(async r=>console.log(r.status, await r.text()))
+JS
+echo
+echo "201 görürsen tamamdır. 409 gelirse istemci zaten kayıtlı."

src/layouts/BaseLayout.astro

@@ -1,6 +1,8 @@
 ---
 import { ClientRouter } from 'astro:transitions';
 import { getMainSiteUrl } from '../data/newsSite';
+import { getDatabase, getWorkerEnv } from '#runtime-env';
+import { oturumCereziVarMi, oturumOku } from '../server/session';
 interface Props {
 	title: string;
 	description: string;
@@ -15,6 +17,35 @@ interface Props {
 	hideHeader?: boolean;
 }
 
+/* Oturum durumu.
+ *
+ * Sıra bilinçli ve ucuzdan pahalıya: veritabanı yoksa (statik derleme) hiç
+ * sorulmuyor; çerez yoksa D1'e HİÇ gidilmiyor. Yani giriş yapmamış ziyaretçi
+ * — yani ziyaretçilerin çoğu — bu blok yüzünden tek satır bile okumuyor.
+ *
+ * Giriş yapmış istekler ara katmanda önbelleği zaten atlıyor; oradaki kural
+ * olmasaydı burada okunan ad başkasının ekranına önbelleklenebilirdi.
+ */
+const veritabani = getDatabase();
+const okuyucu = veritabani && oturumCereziVarMi(Astro.request)
+	? await oturumOku(veritabani, Astro.request, Date.now())
+	: null;
+
+/* Giriş düğmesi yalnız Orbit TAM yapılandırılmışsa çıkıyor. Yarım
+ * yapılandırmada düğmeyi göstermek, basana 503 vermek olurdu. */
+let girisAcik = false;
+if (veritabani) {
+	try {
+		const env = getWorkerEnv();
+		girisAcik = Boolean(env.ORBIT_ISSUER && env.ORBIT_CLIENT_ID && env.ORBIT_CLIENT_SECRET);
+	} catch {
+		girisAcik = false;
+	}
+}
+
+/* Girişten sonra aynı sayfaya dönülüyor. */
+const suankiYol = Astro.url.pathname + Astro.url.search;
+
 const {
 	title,
 	description,
@@ -178,6 +209,20 @@ const fullTitle = title === publicationName ? publicationName : `${publicationNa
 							<a href="/iletisim/">İletişim</a>
 							<a href="/rss.xml">RSS</a>
 						</div>
+						{okuyucu && (
+							<form class="oturum" method="POST" action="/cikis">
+								<span class="oturum-ad" title={okuyucu.displayName ?? 'Orbit hesabı'}>
+									{okuyucu.displayName ?? 'Hesabım'}
+								</span>
+								<button type="submit" class="oturum-dugme">Çıkış</button>
+							</form>
+						)}
+						{!okuyucu && girisAcik && (
+							<form class="oturum" method="POST" action="/giris/orbit">
+								<input type="hidden" name="donus" value={suankiYol} />
+								<button type="submit" class="oturum-dugme oturum-giris">Orbit ile giriş</button>
+							</form>
+						)}
 						<div class="theme-switch-wrapper" id="theme-switch-wrapper">
 							<button id="theme-toggle" class="theme-switch" aria-label="Temayı Değiştir">
 								<div class="switch-handle">
@@ -499,6 +544,10 @@ const fullTitle = title === publicationName ? publicationName : `${publicationNa
 
 			.logo-area { display: inline-flex; align-items: center; gap: 0.7rem; flex-shrink: 0; }
 			.nav-right { display: flex; align-items: center; gap: 1.5rem; min-width: 0; }
+			.oturum { display: flex; align-items: center; gap: .6rem; margin: 0; }
+			.oturum-ad { max-width: 12ch; overflow: hidden; text-overflow: ellipsis; white-space: nowrap; font-size: .85rem; opacity: .85; }
+			.oturum-dugme { padding: .3rem .7rem; border: 1px solid currentColor; border-radius: 999px; background: none; color: inherit; font: inherit; font-size: .8rem; cursor: pointer; opacity: .8; }
+			.oturum-dugme:hover { opacity: 1; }
 			.links { display: flex; align-items: center; gap: 0.5rem; }
 
 			.links a, .dropbtn {