Betrieb: Dockge-Stack, Images, Prüfung

compose.yaml aus docs/11-betrieb.md, ergänzt um Healthchecks für db-backup und
offsite-backup. Das Dokument verlangt für jeden Dienst einen, die abgedruckte
Fassung hatte für die beiden keinen, und ohne ihn zeigt Dockge nur "läuft",
auch wenn seit Wochen nichts mehr gesichert wird.

Die Migration läuft im Startkommando von web, nicht in einem Init-Container.
Die Prisma-CLI samt Schema-Engine liegt dafür unter /app/migrator im Image:
ein Container, der nur startet, wenn gerade eine Registry erreichbar ist, wäre
auf einem Homeserver die falsche Bauart.

Alle drei Images gebaut und laufen gegen eine echte Postgres-Instanz geprüft:
web wendet Migrationen an und liefert /api/health aus, worker schreibt sein
Lebenszeichen, pdf rendert ein echtes PDF.

Die CI prüft Lint, Typen, Tests und E2E gegen den Standalone-Server, also so,
wie der Container startet, und hält das Bündel-Budget aus
docs/09-performance-und-ux.md ein.

Phase 0 aus TASKS.md ist damit abgehakt.

.env.example

@@ -0,0 +1,49 @@
+# AfiS-Aktensystem — Vorlage für den .env-Reiter in Dockge.
+# Diese Datei enthält nur Platzhalter. Die echten Werte gehören nach
+# /opt/stacks/afis/.env und niemals ins Repository. Siehe docs/11-betrieb.md.
+
+# --- Zeitzone -----------------------------------------------------------------
+TZ=Europe/Berlin
+
+# --- Datenbank ----------------------------------------------------------------
+# Wird von db, pgbouncer, web, worker und den Backups gelesen.
+POSTGRES_PASSWORD=hier-ein-langes-zufaelliges-passwort
+
+# Die Anwendung spricht über pgbouncer im Transaktionsmodus, deshalb pgbouncer=true.
+DATABASE_URL=postgresql://afis:hier-ein-langes-zufaelliges-passwort@pgbouncer:6432/afis?pgbouncer=true&connection_limit=1
+# Migrationen und LISTEN/NOTIFY brauchen eine Verbindung an pgbouncer vorbei.
+DIRECT_DATABASE_URL=postgresql://afis:hier-ein-langes-zufaelliges-passwort@db:5432/afis
+
+# --- Anwendung ----------------------------------------------------------------
+APP_URL=https://afis.example.de
+# 32+ Zeichen. Erzeugen mit: openssl rand -base64 48
+AUTH_SECRET=hier-ein-langes-zufaelliges-geheimnis-mit-mindestens-32-zeichen
+
+# --- Discord ------------------------------------------------------------------
+# Aus dem Developer Portal. Das Server Members Intent muss aktiviert sein,
+# sonst liefert der Bot keine Rollen. Siehe docs/03-auth-und-rechte.md.
+DISCORD_CLIENT_ID=
+DISCORD_CLIENT_SECRET=
+DISCORD_BOT_TOKEN=
+DISCORD_GUILD_ID=
+# Kanal, in den der Worker Start, Verbindungsabbruch und fehlgeschlagenen
+# Voll-Abgleich meldet. Das ist die eigentliche Alarmierung.
+DISCORD_ADMIN_CHANNEL_ID=
+
+# --- Notfallzugang ------------------------------------------------------------
+# Eine oder zwei Discord-IDs, kommagetrennt. Diese Nutzer haben immer Stufe 5
+# und alle Rechte, unabhängig vom Rollen-Mapping. Ohne das sperrt man sich beim
+# ersten Fehler in der Rollenverwaltung selbst aus.
+BOOTSTRAP_ADMIN_IDS=
+
+# --- Dateien und Prüfkette ----------------------------------------------------
+FILES_DIR=/data/files
+CLAMAV_SOCKET=/var/run/clamav/clamd.sock
+PDF_SERVICE_URL=http://pdf:3000
+
+# --- Cloudflare Tunnel --------------------------------------------------------
+CLOUDFLARE_TUNNEL_TOKEN=
+
+# --- Auslagerungs-Backup ------------------------------------------------------
+RESTIC_REPOSITORY=
+RESTIC_PASSWORD=