Issue 72: GITHUB_COM_TOKEN an Renovate durchreichen

Renovate lief ohne Token gegen api.github.com und damit im anonymen
Rate-Limit. Folge laut Lauf-Log 10455: containerbase konnte die
npm-/node-Version nicht aufloesen (containerbase/node-prebuild ueber
github-releases), dadurch "No tool releases found" und "lock file error" -
38 Branches ohne Lockfile-Update, davon 18 in fraley-it/pdfex. Zusaetzlich
40 Abfragen mit "skipReason: github-token-required", darunter der neue
Serverpin pocketbase/pocketbase aus Ticket 69.

Der Secret-Name ist RENOVATE_GITHUB_COM_TOKEN, weil Gitea Secrets mit dem
Praefix GITHUB_ ablehnt und Renovate seine Env-Namen aus dem Optionsnamen
ableitet (githubComToken). Secret-Name und Variablenname sind damit gleich,
ein Mapping-Fehler ist ausgeschlossen.

Zusaetzlich ein Waechter-Step vor dem Lauf: fehlt das Secret oder heisst es
anders, bricht der Workflow sofort ab. Ohne ihn wuerde Renovate einen
unbekannten Env-Namen kommentarlos ignorieren und der heutige Fehlerzustand
bliebe unbemerkt bestehen. Ausgegeben wird nur die Zeichenzahl, nie der Wert.

.gitea/workflows/renovate.yaml

@@ -13,8 +13,34 @@ jobs:
     container: ghcr.io/renovatebot/renovate:44.235.2
     steps:
       - uses: actions/checkout@v6
+
+      # Waechter vor dem eigentlichen Lauf: ein fehlendes oder anders
+      # benanntes Secret muss hier laut scheitern. Renovate selbst wuerde
+      # einen unbekannten Env-Namen kommentarlos ignorieren und eine Stunde
+      # spaeter wieder im anonymen Rate-Limit von api.github.com landen -
+      # ohne Fehler, ohne Warnung, nur ohne Pull Requests.
+      # Ausgegeben wird ausschliesslich die Zeichenzahl, nie der Wert.
+      - name: Token vorhanden?
+        run: |
+          : "${RENOVATE_GITHUB_COM_TOKEN:?Secret RENOVATE_GITHUB_COM_TOKEN fehlt oder heisst anders}"
+          echo "RENOVATE_GITHUB_COM_TOKEN ist gesetzt (${#RENOVATE_GITHUB_COM_TOKEN} Zeichen)."
+        env:
+          RENOVATE_GITHUB_COM_TOKEN: ${{ secrets.RENOVATE_GITHUB_COM_TOKEN }}
+
       - run: renovate
         env:
           RENOVATE_CONFIG_FILE: "/workspace/renovate/renovate-config/config.js" # replace it with your config.js path
           LOG_LEVEL: "debug"
           RENOVATE_TOKEN: ${{ secrets.RENOVATE_TOKEN }} # your Revonate bot token
+          # Hebt die Leseanfragen an api.github.com aus dem anonymen Limit
+          # von 60 Anfragen pro Stunde heraus. Ohne diesen Wert scheitert
+          # nicht nur die Changelog-Anzeige: containerbase loest die
+          # npm-/node-Version ueber die github-releases-Datasource auf
+          # (containerbase/node-prebuild). Lief die ins Limit, gab es kein
+          # Tool und damit keinen Lockfile-Update - in den Pull Requests
+          # sichtbar als "Artifact update problem" ganz ohne Fehlertext.
+          # Zusaetzlich wurde jede github-releases-/github-tags-Abfrage mit
+          # "skipReason: github-token-required" uebersprungen.
+          # Der hinterlegte Token ist bewusst ohne Scopes: er dient nur der
+          # hoeheren Ratenbegrenzung fuer oeffentliche Leseanfragen.
+          RENOVATE_GITHUB_COM_TOKEN: ${{ secrets.RENOVATE_GITHUB_COM_TOKEN }}