docs: Doku-Abgleich mit origin/main (Stand 2026-10-16)

README mit Projektstand (Links auf Issues #33, #32), fehlenden Befehlen und
CI-Gate. BETRIEB: sha-gepinnte Manifeste, DB-Sicherung, Rollout per set image,
Label-Selector im pg_dump-Befehl, Storage Box. k8s/README: Schritt 09,
Warnung vor delete namespace. TESTS, OFFENE-PUNKTE, ARCHITEKTUR (ADR-8, ADR-9)
aktualisiert; Kommentare in .env.example und Worker-CronJob korrigiert.

Refs #31

Co-Authored-By: Claude Opus 5.5 (1M context) <[email protected]>

k8s/07-worker-cronjob.yaml

@@ -1,5 +1,7 @@
-# Alle 10 Minuten: faellige Raten einziehen, abgelaufene Reservierungen
-# freigeben, E-Mails nachsenden. Ohne ihn funktioniert Ratenzahlung nicht.
+# Alle 10 Minuten: abgelaufene Reservierungen freigeben, fehlende
+# Stripe-Ratenplaene anlegen, ueberfaellige Raten mit Stripe abgleichen,
+# E-Mails nachsenden (Einzug der Folgeraten macht Stripe Billing,
+# docs/ARCHITEKTUR.md ADR-3). Ohne ihn funktioniert Ratenzahlung nicht.
 apiVersion: batch/v1
 kind: CronJob
 metadata:

k8s/README.md

@@ -4,6 +4,7 @@ Rohe Manifeste wie bei Wabenhain, Nummerierung = Reihenfolge. Voraussetzungen im
 - **Traefik** als Ingress-Controller (IngressClass `traefik`)
 - **cert-manager** mit dem ClusterIssuer `letsencrypt-prod`
 - **csi-driver-smb** für die SMB-Volumes
+- die StorageClass **`smb-backup`** für den Sicherungs-CronJob (`09-db-backup-cronjob.yaml`); im EnCry-Cluster seit 12.10.2026 vorhanden
 
 Prüfen:
 
@@ -11,8 +12,11 @@ Prüfen:
 kubectl get ingressclass
 kubectl get clusterissuer letsencrypt-prod
 kubectl get csidrivers | grep smb
+kubectl get storageclass smb-backup
 ```
 
+Im EnCry-Cluster läuft die Seite unter `modelcamp.artistasphotography.de`. Der DNS-Eintrag ist bei Cloudflare bewusst nicht geproxyt (DNS-only), deshalb bekommt dieser Ingress keine `cloudflare-only`-Middleware. Im selben Namespace läuft Artista-Telefonie (Repo `Artista-TeleTracking`) mit einer eigenen Datenbank `telefonie` in `artista-modelcamp-postgres`.
+
 ## Einmalige Vorbereitung
 
 1. **Images:** `.gitea/workflows/docker-build.yml` baut bei jedem Push auf `main` die Images `git.encry.de/nick.rosenloecher/artista-modelcamp:latest` und `…-tools:latest`. Voraussetzung ist das Repo-Secret `REGISTRY_TOKEN` (Personal Access Token mit `package`-Scope), wie bei Wabenhain.
@@ -22,8 +26,9 @@ kubectl get csidrivers | grep smb
    helm install csi-driver-smb csi-driver-smb/csi-driver-smb -n kube-system
    ```
 3. **NAS:** Die Ordner `artista/modelcamp-postgres` (leer) und `artista/modelcamp-media` anlegen und SMB-Verschlüsselung erlauben. `nas.example.lan` in `03-storage.yaml` anpassen.
-4. **Domain:** `modelcamp.example.org` in `01-configmap.yaml` (APP_URL) und `06-ingress.yaml` (2×) ersetzen. Der DNS-Eintrag muss auf den Cluster zeigen, sonst stellt cert-manager kein Zertifikat aus.
+4. **Domain:** `modelcamp.example.org` in `01-configmap.yaml` (APP_URL) und `06-ingress.yaml` (2×) ersetzen (im EnCry-Cluster `modelcamp.artistasphotography.de`). Der DNS-Eintrag muss auf den Cluster zeigen, sonst stellt cert-manager kein Zertifikat aus.
 5. **Secrets:** `cp k8s/02-secret.yaml.example k8s/02-secret.yaml` und ausfüllen. Die Datei steht in `.gitignore`, bitte **nie** mit echten Werten committen.
+6. **Image-Tag:** In `05-app-deployment.yaml` (2×) und `07-worker-cronjob.yaml` steht der Platzhalter `sha-REPLACE_ME`. Vor dem ersten Anwenden durch den Tag des letzten grünen CI-Laufs ersetzen (`sha-<commit>`, 7 Zeichen) oder nach dem Anwenden wie unter „Bei einem neuen Image“ setzen.
 
 ## Deployment (auch für einen kompletten Neuaufbau)
 
@@ -38,6 +43,7 @@ kubectl apply -f k8s/05-app-deployment.yaml
 kubectl apply -f k8s/06-ingress.yaml
 kubectl apply -f k8s/07-worker-cronjob.yaml
 kubectl apply -f k8s/08-networkpolicy.yaml
+kubectl apply -f k8s/09-db-backup-cronjob.yaml
 ```
 
 Die Migration läuft automatisch als initContainer vor dem App-Start. Den Stand zeigen:
@@ -47,7 +53,7 @@ kubectl rollout status deployment/artista-modelcamp-app -n artista
 kubectl get certificate -n artista        # READY muss True werden (meist < 2 Minuten)
 ```
 
-**Neuaufbau mit `kubectl delete namespace artista`:** Die PersistentVolumes (`artista-modelcamp-postgres`, `artista-modelcamp-media`) gehören keinem Namespace und bleiben auf `Released` stehen. Die Daten auf dem NAS bleiben erhalten (`Retain`). Damit die neuen Claims sie wieder binden können, vor dem erneuten Anlegen:
+**Neuaufbau mit `kubectl delete namespace artista`:** Achtung, das löscht auch Artista-Telefonie samt deren Secret; deren Datenbank liegt auf demselben Postgres-Volume. Die PersistentVolumes (`artista-modelcamp-postgres`, `artista-modelcamp-media`) gehören keinem Namespace und bleiben auf `Released` stehen. Die Daten auf dem NAS bleiben erhalten (`Retain`). Damit die neuen Claims sie wieder binden können, vor dem erneuten Anlegen:
 
 ```bash
 kubectl patch pv artista-modelcamp-postgres -p '{"spec":{"claimRef":null}}'