renovate: Kritische Kerninfra aus minor-patch-Sammel-PR ausgliedern

Traefik (Public-Entrypoint), Unbound (DNS), n8n und Nextcloud bekommen eigene PRs statt im gruppierten minor-and-patch-updates-PR zu landen. Erzwingt kontrollierten, einzeln reviewbaren Merge pro kritischem Dienst (WORKFLOW.md: keine mehreren kritischen Dienste gleichzeitig migrieren).

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>

renovate.json

@@ -38,6 +38,19 @@
       "automerge": false,
       "labels": ["dependencies", "minor-patch"]
     },
+    {
+      "description": "Kritische Kerninfra (Traefik=Public-Entrypoint, Unbound=DNS, n8n, Nextcloud): nicht im Sammel-PR, eigene einzeln reviewbare PRs, kein Auto-Merge",
+      "matchManagers": ["docker-compose", "dockerfile"],
+      "matchPackageNames": [
+        "traefik",
+        "shaanmajid/unbound",
+        "docker.n8n.io/n8nio/n8n",
+        "nextcloud"
+      ],
+      "groupName": null,
+      "automerge": false,
+      "labels": ["dependencies", "core-critical"]
+    },
     {
       "description": "Stateful Tier-1 (Postgres, Mongo, Redis): keine Auto-Group, einzelne PRs, kein Auto-Merge",
       "matchPackageNames": [