fix(doku-lint): exakten PR-Head und Policy-Typ organisationsweit absichern

[Klangschalen]

Ziel

Der zentrale Doku-Lint darf weder GitHubs synthetischen Merge-Commit prüfen noch einen gültigen Richtlinien-Commit wegen einer versteckten Typenliste ablehnen.

Ursachen

1. actions/checkout lief ohne festes ref; bei Pull Requests konnte dadurch der synthetische Merge-Commit statt des eingereichten Head-Commits geprüft werden.
2. Gate 3 hing bisher am gemeinsamen warn_only-Schalter.
3. Die erlaubten Commit-Typen waren nur in einer Regex sichtbar; policy: fehlte.
4. Ein eigener Rückfalltest für diese Vertragsbestandteile existierte nicht.

Umsetzung

• SOURCE_COMMIT bindet Pull Requests an github.event.pull_request.head.sha und Pushes an github.sha.
• Checkout, Diff und Commit-Titel nutzen dieselbe explizite Quell-SHA.
• commit_format_warn_only steuert Gate 3 getrennt und steht standardmäßig auf false.
• allowed_commit_types macht die Typenliste sichtbar und erweiterbar.
• policy gehört zum organisationsweiten Standard; docs(policy): bleibt ebenfalls gültig.
• Fehlermeldungen nennen Quell-SHA, Titel, gefundenen Typ, erlaubte Typen und Beispiele.
• scripts/test_doku_lint_contract.py plus doku-lint-contract.yml verhindern Rückfälle.
• README und CHANGELOG erklären denselben Vertrag.

Belege

Der lokale Vertragstest und die GitHub-Läufe auf demselben Head-Commit b81d77afea1349d0409aec9525d0f90a3e1835c7 waren grün. Der neue PR startet sie erneut.

Rollout-Grenze

Caller mit @main erhalten den neuen zentralen Stand nach dem Merge. Auf alte SHAs gepinnte Caller brauchen einen eigenen Versions-PR. Klangschalen/zentrale nutzt derzeit noch einen lokalen Doku-Lint und wird separat angeglichen.

Betriebsgrenze

Keine Produktions-, Shop-, Datenbank- oder Supabase-Änderung. Nur GitHub-Workflow, Tests und Dokumentation.

Ersetzt den technisch identischen Draft #21, weil GitHubs GraphQL-Limit den Ready-for-review-Schalter blockierte.

[chatgpt-codex-connector]

Codex Review Summary

This comment shows the latest Codex review activity on this pull request.

Review	Status	Commit	Review trigger
🔒 Security Review	✅ Completed 2026-09-04T12:51:01.959436Z	b81d77a	PR opened

ℹ️ About Codex in GitHub

Your team has set up Codex to review pull requests in this repo. Reviews are triggered when you

• Open a pull request for review
• Mark a draft as ready
• Comment "@codex review" or "@codex security review".

Codex reacts with 👀 while any review is running, comments if it has suggestions, and reacts with 👍 once all reviews finish with no findings.