chore: Manifeste an den laufenden Cluster angleichen

Die Manifeste in k8s/ trugen noch Platzhalter, waehrend im Cluster laengst
die echten Werte stehen. Wer sie unveraendert anwendet, ueberschreibt damit
funktionierende Einstellungen.

- Domain: shop.example.com -> wabenhain.com, in 06-ingress.yaml (host und
  tls.hosts) und in 01-configmap.yaml (NEXT_PUBLIC_SITE_URL). Beide Stellen
  muessen uebereinstimmen; aus NEXT_PUBLIC_SITE_URL entstehen Sitemap,
  Canonical-Tags und jeder Link in jeder Bestellbestaetigung.

- GOOGLE_PLACES_API_KEY von der ConfigMap ins Secret. Das ist ein
  abrechenbarer Zugangsschluessel, und eine ConfigMap ist unverschluesselt
  und in der Cluster-Oberflaeche im Klartext lesbar. Die zugehoerige
  GOOGLE_PLACE_ID ist oeffentlich und bleibt in der ConfigMap. Der Cluster
  handhabt das bereits so.

- APICORE_API_URL vom Secret in die ConfigMap: eine Adresse ist kein
  Geheimnis. Auch das entspricht dem Cluster.

- VIDEO_TRANSCODE_THREADS in die ConfigMap aufgenommen, damit die
  Threadbegrenzung des Video-Transcodes (siehe vorheriger Commit) auch ueber
  das Deployment einstellbar ist.

Gegenprobe: die Vereinigung aller Schluessel aus ConfigMap und Secret deckt
jetzt genau die Umgebungsvariablen ab, die der Code ueber process.env liest
- keine fehlt. Die beiden Ueberhaenge sind beabsichtigt: DB_PASSWORD liest
der Postgres-StatefulSet, STRIPE_PUBLISHABLE_KEY haelt die Konfiguration
vollstaendig fuer eine kuenftige clientseitige Stripe-Einbindung.

Der Hinweistext der Go-Live-Pruefung nannte shop.example.com als
ausgelieferte Vorgabe; das stimmt nicht mehr. Die Pruefung selbst ist
unveraendert.

Co-Authored-By: Claude Opus 5 (1M context) <[email protected]>

k8s/02-secret.example.yaml

@@ -57,12 +57,19 @@ stringData:
   DHL_ACCOUNT_NUMBER: ""
   # Entra-ID-SSO ("Mit Microsoft anmelden"), siehe .env.example fuer die
   # Einrichtung in Azure. ENTRA_REDIRECT_URI muss auf die echte, oeffentliche
-  # Domain zeigen (z.B. https://shop.example.com/api/auth/entra/callback).
+  # Domain zeigen: https://wabenhain.com/api/auth/entra/callback
   ENTRA_TENANT_ID: ""
   ENTRA_CLIENT_ID: ""
   ENTRA_CLIENT_SECRET: ""
   ENTRA_REDIRECT_URI: ""
-  # ApiCore-Ernten-Sync (Admin -> Ernten -> Sync), siehe .env.example.
-  APICORE_API_URL: ""
+  # Abrechenbarer Zugangsschluessel fuer die Google-Places-API (echte
+  # Google-Rezensionen auf der Startseite). Gehoert hierher und NICHT in
+  # 01-configmap.yaml: eine ConfigMap ist unverschluesselt und in der
+  # Cluster-Oberflaeche im Klartext lesbar. Die zugehoerige, oeffentliche
+  # GOOGLE_PLACE_ID steht dort.
+  GOOGLE_PLACES_API_KEY: ""
+  # Zugangsdaten des ApiCore-Sync-Kontos (Admin -> Ernten bzw. Produkte ->
+  # "ApiCore-Synchronisierung"), siehe .env.example. Die zugehoerige Adresse
+  # APICORE_API_URL ist nicht geheim und steht in 01-configmap.yaml.
   APICORE_SYNC_EMAIL: ""
   APICORE_SYNC_PASSWORD: ""