Document release verification and registry configuration blocker [skip ci]

docs/VEROEFFENTLICHUNG-2026-09-14.md

@@ -0,0 +1,37 @@
+# Veröffentlichungsprüfung vom 14.09.2026
+
+## Erfolgreich
+
+- Quellcode-Commit: 265ca8ac38a02962c7523f64f0b8b230882e1069.
+- [Gitea-Workflow 12](https://git.jfritzsche.de/jf/syncova-policies/actions/runs/12): Success.
+- Registry-Tags git.jfritzsche.de/jf/syncova-policies:265ca8a und :latest vorhanden; beide Manifestabfragen liefern denselben Konfigurationsdigest.
+- Sechs Unit-/Integrationstests und acht Produktions-Browser-/API-Tests erfolgreich.
+- Zusätzliche axe-Prüfung der gepflegten lokalen Seiten /, /barrierefreiheit, /leichte-sprache und /gebaerdensprache bei 320 und 1440 Pixeln: keine gemeldeten WCAG-A/AA-Verstöße und keine horizontalen Überläufe. Externe Videoinhalte sind dadurch nicht vollständig geprüft.
+- Lokales, aus demselben Commit gebautes Image läuft auf Port 3001.
+- Backup und getrennte Wiederherstellung des Datenbestands erfolgreich; siehe BETRIEB.md.
+
+## Registry-Konfiguration blockiert lokalen Pull
+
+Der Docker-Daemon 29.6.2 kann das veröffentlichte Image aktuell nicht herunterladen:
+
+```text
+failed to fetch oauth token: authorization server did not include a token in the response
+```
+
+Die über HTTPS abgerufene Registry liefert diese Challenge:
+
+```text
+Www-Authenticate: Bearer realm="http://git.jfritzsche.de/v2/token",service="container_registry",scope="*"
+```
+
+Die HTTP-Token-Adresse ist eine Fehlkonfiguration für die öffentliche HTTPS-Registry und muss serverseitig geprüft werden. Es wurde kein unsicherer Registry-Modus aktiviert und keine TLS-Prüfung abgeschaltet.
+
+Zu prüfen sind insbesondere Giteas öffentliche server.ROOT_URL (https://git.jfritzsche.de/) und die Protokollweitergabe durch den Reverse-Proxy. Bei Gitea-Konfiguration über Umgebungsvariablen entspricht dies GITEA__server__ROOT_URL. Ein interner HTTP-Upstream kann weiterhin korrekt sein; maßgeblich ist hier die öffentlich beworbene Adresse.
+
+Nach der Korrektur die Challenge erneut prüfen, docker pull für den Commit-Tag wiederholen und das heruntergeladene Image starten und prüfen. Der erfolgreiche Workflow und die Manifestabfragen allein bestätigen noch keinen erfolgreichen Pull auf dem Zielhost.
+
+## Ausstehende Infrastrukturarbeiten
+
+Für die serverseitige Registry-Korrektur, das Produktivdeployment und tägliche externe Backups fehlen Hostzugang und Sicherungsziel. Es wurde noch keine zeitgesteuerte externe Sicherung eingerichtet. Die lokale Sicherung ist kein Ersatz dafür.
+
+DSB-Freigabe und vollständige manuelle Barrierefreiheitsabnahme stehen weiterhin aus.