Split renovate config: repo config in renovate.json, bot config in ops/

Renovate liest die repo-eigene renovate.json als REPO-Config, nicht
als BOT-Config. Bot-spezifische Felder (platform, endpoint,
repositories, autodiscover, gitAuthor, prHourlyLimit, ...) gehoeren
nicht hinein und werden als "this repo is forbidden / disabled"
fehlinterpretiert.

Saubere Trennung:
- renovate.json (Repo-Root): nur extends, packageRules,
  ignorePaths, manager file patterns, labels, rangeStrategy
- ops/renovate/bot-config.js: Plattform, Endpoint, Username,
  gitAuthor, autodiscover=false, repositories=[Micha/homelab-infra],
  Concurrent-/Hourly-Limits

bot-config.js statt config.json, weil Renovate Module-exports als
config-file akzeptiert (offizielle Variante).

Co-Authored-By: Claude Opus 4.7 <noreply@anthropic.com>

ops/renovate/bot-config.js

@@ -0,0 +1,26 @@
+// Renovate Bot-Config (NICHT die Repo-Config).
+//
+// Die Repo-Config liegt im Repository selbst unter `renovate.json` und
+// enthaelt nur Repo-spezifische Sachen (extends, packageRules, ignorePaths,
+// docker-compose patterns).
+//
+// Diese Bot-Config hier wird ueber RENOVATE_CONFIG_FILE in den Renovate-
+// Container gemountet. Sie enthaelt nur Plattform-, Discovery- und Limits-
+// Einstellungen. Den Auth-Token uebergeben wir ueber --env-file.
+module.exports = {
+  platform: "gitea",
+  endpoint: "https://git.kaleschke.info/api/v1",
+  username: "renovate",
+  gitAuthor: "Renovate Bot <renovate@kaleschke.info>",
+  onboarding: false,
+  requireConfig: "optional",
+  // Autodiscover funktioniert in Gitea nur fuer eigene/Org-Repos; unser
+  // Service-Account hat nur Collaborator-Rechte. Daher explicit list.
+  autodiscover: false,
+  repositories: ["Micha/homelab-infra"],
+  // Limits konservativ: wenig PRs gleichzeitig, damit das Review-Volumen
+  // handhabbar bleibt.
+  prHourlyLimit: 0,
+  prConcurrentLimit: 5,
+  branchConcurrentLimit: 10,
+};