L10b Betrieb & Aufräumen: Deploy – craftvia-worker, CI-Testjob, DEPLOY.md, Certvia-Doku archiviert

- docker-compose.coolify(.prebuilt).yml: Service craftvia-worker (Target worker, Chromium,
  shm_size 1gb, gleiche Härtung), Craftvia-Variablen für app und worker.
- Dockerfile: worker-Stage mit HOME=/home/app (Chromium-Profil für non-root); lokaler
  docker build der Targets runner und worker erfolgreich, PDF-Erzeugung im Image geprüft.
- .env.example/.env.prod.example/.env.coolify.example: alle Craftvia-Variablen inkl. RLS,
  KI-Provider, PDF_CHROMIUM_PATH, OFFLINE_MAX_DAYS, API_RATE_LIMIT_*, AI_GENERATION_RETENTION_DAYS,
  AI_MONTHLY_TOKEN_LIMIT.
- CI (.github, .gitea): Job gate mit Postgres (pgvector) und Redis als Service: migrate deploy,
  seed, Passwort für craftvia_app, tsc, lint, build, npm run test.
- docs/craftvia/DEPLOY.md (aus den Certvia-Deploy-Docs abgeleitet): Architektur, Domains, Secrets,
  Worker, Migrationen, RLS-Aktivierung, Backup/Restore, KI, Rate Limits, Aufbewahrung, Smoke,
  Update/Rollback. build-and-push-images.sh baut craftvia-worker.
- Certvia-/ISMS-Dokumente aus docs/ nach docs/_certvia-archiv/ (mit README); Verweise in README.md
  und Skript-Kommentaren angepasst.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

scripts/bootstrap-admin.ts

@@ -15,7 +15,7 @@ import { provisionTenant } from "@/server/provision";
  * Beide mit denselben Zugangsdaten (BOOTSTRAP_ADMIN_*), analog zum Seed.
  *
  * Ausführung: im migrate-Job nach `prisma migrate deploy`, gesteuert per
- * BOOTSTRAP_ADMIN=true (siehe docker-compose.coolify.yml, docs/DEPLOY-PROD-CONTABO.md).
+ * BOOTSTRAP_ADMIN=true (siehe docker-compose.coolify.yml, docs/_certvia-archiv/DEPLOY-PROD-CONTABO.md).
  *
  * Idempotent: provisionTenant und der platformAdmin.upsert nutzen upserts; ein bereits
  * gesetztes Passwort wird beim erneuten Lauf NICHT überschrieben.

scripts/build-and-push-images.sh

@@ -46,10 +46,12 @@ build_one() {
 build_one runner  craftvia-app
 build_one migrate craftvia-migrate
 build_one garage  craftvia-garage
+# L10b: Hintergrund-Worker (BullMQ: Import-Extraktion, Transkription, Berichts-PDF mit Chromium, KI-Aufbewahrung)
+build_one worker  craftvia-worker
 
 echo
 echo ">> Push ..."
-for name in craftvia-app craftvia-migrate craftvia-garage; do
+for name in craftvia-app craftvia-migrate craftvia-garage craftvia-worker; do
   docker push "$REGISTRY/$name:$TAG"
   [ "$ALSO_MAIN" = "true" ] && docker push "$REGISTRY/$name:main" || true
 done

scripts/garage-provision.ts

@@ -2,7 +2,7 @@ import "dotenv/config";
 
 /**
  * IM/Garage-Migration — idempotentes Provisioning eines Single-Node-Garage
- * (docs/KONZEPT-garage-migration.md §6 Lane B, §7 Runbook).
+ * (docs/_certvia-archiv/KONZEPT-garage-migration.md §6 Lane B, §7 Runbook).
  *
  * Garage verwaltet Buckets/Keys/Rechte NICHT über die S3-API (`CreateBucket` gibt es
  * dort nicht), sondern out-of-band. Dieser Init-Job (Compose-Service „garage-provision",

scripts/test-auth-selfservice.ts

@@ -24,7 +24,7 @@ import { closeMailProvider } from "../src/server/mail/provider-smtp";
  *   9. Enumeration: unbekannte Adresse liefert kein Konto.
  *
  * Die Browser-Abläufe (Reset-Mail → Link → neues Passwort) stehen im Testplan
- * von docs/SEC2-AUTH-SELFSERVICE.md.
+ * von docs/_certvia-archiv/SEC2-AUTH-SELFSERVICE.md.
  */
 
 let failures = 0;

scripts/test-garage-storage.ts

@@ -1,5 +1,5 @@
 // Smoke-Test des S3-Objektspeichers gegen einen echten Garage-Node (Phase C/D der
-// MinIO→Garage-Migration, docs/KONZEPT-garage-migration.md §9).
+// MinIO→Garage-Migration, docs/_certvia-archiv/KONZEPT-garage-migration.md §9).
 //
 // Prüft den realen S3-Pfad (AWS SDK v3, path-style) über die exportierte
 // `resolveBackupStore()`: