Harden Gitea webhooks and Docker log limits

docs/SERVICE_CATALOG.md

@@ -87,6 +87,14 @@ Secret-Werte sind nicht enthalten. Es werden nur Secret-Namen, Env-Key-Namen und
 - Raw Live-DB-Pfade sind meist nicht der primaere Restore-Weg; bevorzugt werden Dumps plus Appdaten.
 - Borg UI nimmt bewusst `/local/secrets` in den DR-Scope auf.
 
+## Logging-Resilienz
+
+- Docker-Rohlogs bleiben die erste Fallback-Ebene: `docker logs <container>` funktioniert unabhaengig von Loki/Grafana.
+- Loki-Chunks liegen unter `/mnt/user/appdata/loki/data` und koennen durch Neustart des internen Loki-Stacks wieder genutzt werden.
+- Host-Logs wie `/var/log/syslog` und `dmesg` bleiben die Quelle fuer Kernel-, OOM- und Docker-Daemon-Ereignisse.
+- Critical-Events werden zusaetzlich ueber ntfy extern sichtbar, wenn `services/posture-check/docker-critical-events.sh` als Host-Watcher laeuft.
+- Docker `json-file` Logs werden ueber `host-services/docker/daemon.json` auf `max-size=50m` und `max-file=5` begrenzt; Aenderungen greifen nach geplantem Docker-/Host-Restart.
+
 ## Bekannte offene Fragen
 
 - Authelia Repo-Baseline, Host-Config und Compose-Middlewares sollten bei Auth-Aenderungen explizit abgeglichen werden.