Harte Regeln (Ampel-Pflicht, Spec-Stopp, deploy.sh-only, keine

erfundenen APIs) + idempotentes deploy.sh

Lehren aus dem Review 22.07.: stille MakeMKV->HandBrake-Abweichung,
Doppel-Anlage auf der VM, halluzinierte Celery/abcde-Schnittstellen.

AGENTS.md

@@ -7,6 +7,24 @@
 **3. Beweisen statt behaupten.** Testen, was gebaut wurde. Keine "es sollte funktionieren"-Commits.
 **4. Deutsch-Nicht-Entwickler.** Der Commander liest alles — Variablennamen auf Englisch, aber Kommentare und Docs auf Deutsch.
 
+## ⛔ HARTE Regeln (mechanisch geprüft — seit 22.07.2026)
+
+**A. Die CI-Ampel muss GRÜN sein, bevor irgendetwas „fertig" heißt.**
+`.gitea/workflows/ci.yml` läuft bei jedem Push auf dem Gitea-Runner (NICHT löschen, NICHT
+abschwächen). Keine Tests = rot = nicht fertig. Der Commander liest die Ampel, nicht den Code.
+
+**B. Abweichung vom KONZEPT = STOPP + fragen.** Anderes Werkzeug, andere Bibliothek,
+gestrichenes Muss-Feature → erst den Commander fragen, NIE still ersetzen.
+(Vorgefallen: Muss-Feature „MakeMKV lossless" wurde still durch lossy HandBrake ersetzt.)
+
+**C. Deployment NUR über `./deploy.sh`.** Idempotent, EIN fester Compose-Projektname
+(`rippy`), EIN Pfad (`~/projects/rippy`). Nie freihändig per SSH auf der VM bauen.
+(Vorgefallen: Doppel-Anlage `Rippy` + `rippy` auf der arcane-VM.)
+
+**D. Externe Schnittstellen NIE aus dem Kopf.** Vor Nutzung fremder CLI-Flags oder
+Bibliotheks-APIs: `--help`/Doku prüfen und die Fundstelle im Commit nennen.
+(Vorgefallen: erfundene Celery-Methode `self.send_task`, erfundene abcde-Flags.)
+
 ## Workflow
 
 1. **Read:** KONZEPT.md + ROADMAP.md lesen. Verstehen, welche Etappe dran ist.