Document review matrix and drift checks

docs/WORKFLOW.md

@@ -262,6 +262,7 @@ Diese Ausnahme bleibt bewusst bestehen. Der File-Provider wird weiterhin nur fue
 | `traefik/dynamic/middlewares.yml` | `/mnt/user/appdata/traefik/dynamic/middlewares.yml` |
 | `traefik/dynamic/tls.yml` | `/mnt/user/appdata/traefik/dynamic/tls.yml` |
 | `traefik/dynamic/dashboards.yml` | `/mnt/user/appdata/traefik/dynamic/dashboards.yml` |
+| `traefik/dynamic/plex.yml` | `/mnt/user/appdata/traefik/dynamic/plex.yml` |
 
 ### Pflicht-Workflow bei Aenderungen an Traefik Dynamic Config
 
@@ -269,10 +270,15 @@ Diese Ausnahme bleibt bewusst bestehen. Der File-Provider wird weiterhin nur fue
 2. Commit + Push
 3. Datei manuell auf den Host kopieren
 4. Traefik laedt dynamic config automatisch neu
-5. Aenderung testen
+5. `services/traefik-dynamic-diff.sh` muss `exit 0` liefern
+6. Aenderung testen
 
 > **Merksatz:** Git-Commit allein reicht hier nicht. Ohne den manuellen Kopier-Schritt wirkt die Aenderung nicht.
 
+Der Posture-Check (`services/posture-check/posture-check.sh`) ruft
+`services/traefik-dynamic-diff.sh` als Check `traefik_dynamic_drift` auf und
+meldet Repo-zu-Host-Drift als Warning via ntfy.
+
 ---
 
 ## Ausnahme: Authelia configuration.yml