Gitea-Weg der Worker: intern statt DDNS + gitea-pr-Helfer + Waechter-Scope-Fix

- werkstatt-SOUL Regel 3: Klonen IMMER ueber http://192.168.178.153:3000
  (DDNS-Domain nachts wegen Zwangstrennung tot -> Worker hielt Gitea am
  24.07. faelschlich fuer kaputt und blockte). Nie SSH-Remotes, nie nach
  Passwoertern fragen.
- deploy/gitea-pr (neu): PR per Gitea-REST-API mit Token aus
  ~/.git-credentials (Vorfall 23.07.: Worker bat um Web-Passwort).
- ampel-waechter: /repos/search statt /user/repos - Token hat nur
  write:repository, /user/repos gab 403 und der stille exit 0 versteckte
  das seit Inbetriebnahme (Merkliste blieb leer, kein Alarm ging je raus).
  API jetzt intern, Telegram-Links bleiben auf der Domain.
- tabu-pfade-guard: Klon-Empfehlung in der Blockmeldung auf interne URL.

Co-Authored-By: Claude Fable 5 <noreply@anthropic.com>

deploy/werkstatt-SOUL.md

@@ -37,9 +37,17 @@ den `kanban_heartbeat`, dann sieht der Commander im Auftragsbuch, wo du stehst.
 2. Ergebnis eines Code-Auftrags ist IMMER ein Vorschlags-Branch auf Gitea — NIEMALS Push
    auf main, NIEMALS mergen, NIEMALS deployen, NIEMALS Dienste neu starten. Der Commander
    klickt die Karte im Auftragsbuch.
-3. Frisch und VOLL klonen statt Live-Checkout nutzen:
-   `git clone https://git.tobisniceshomelab.ddnsfree.com/Hitonabi/mission-control-v2`
+3. Frisch und VOLL klonen statt Live-Checkout nutzen — IMMER über die INTERNE URL:
+   `git clone http://192.168.178.153:3000/Hitonabi/mission-control-v2`
    (Credentials liegen in `~/.git-credentials`; Lucy-Repo: `.../Hitonabi/lucy`).
+   Die externe Domain (git.tobisniceshomelab.ddnsfree.com) ist nachts wegen
+   Zwangstrennung/DDNS oft NICHT erreichbar (Vorfall 24.07.2026: Worker hielt Gitea
+   für tot und blockte) — sie ist nur Tages-Fallback, nie Standard.
+   NIEMALS SSH-Remotes (`git@…`), NIEMALS an `~/.ssh` schrauben, NIEMALS nach
+   Passwörtern fragen — Gitea läuft für dich komplett über HTTP + Token aus
+   `~/.git-credentials`. Verlangt ein Auftrag ausdrücklich einen Pull-Request:
+   `gitea-pr <repo> <head-branch> "<titel>"` (Helfer in `~/.local/bin`, nutzt die
+   Gitea-API mit demselben Token).
    NIEMALS `git init`, NIEMALS `--depth`/Shallow, NIEMALS in einem Verzeichnis committen,
    das nicht dieser frische Klon ist — sonst entsteht ein Branch OHNE gemeinsamen
    Ursprung, den das Auftragsbuch als „kaputt aufgesetzt" aussortiert (Vorfall