ci(quick-260914-ku1): zwei Kanaele — main -> beta+latest, Tag v* -> live+vX.Y.Z, Versionsstempel als Build-Args in beide Dockerfiles, IMAGE_TAG in docker-compose.prod.yml

- Dockerfiles: globale ARG APP_VERSION/APP_CHANNEL/APP_COMMIT/APP_BUILD_TIME (Vorgabe dev),
  web-builder setzt NEXT_PUBLIC_APP_* vor pnpm build (Bauzeit-Einbettung), runner-Stufen
  setzen ENV APP_* fuer die Laufzeit
- .gitea/scripts/publish-images.sh: Kanal und Etiketten allein aus GITHUB_REF, --print-plan
  ohne Docker, Zweig live ohne Tag = nichts zu tun (T-KU1-07)
- ci.yml: Trigger main, live und Tags v*; publish mit fetch-depth: 0 und Skriptaufruf
- docker-compose.prod.yml: image ...:${IMAGE_TAG:-beta} fuer web und api
- Falsifizierung lokal: mit Build-Args v9.9.9-test in API-Env, dist-Zeile und Web-Bundle
  (1 Datei), ohne Build-Args dev/dev und 0 Treffer im Bundle

Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_018N9CD3ebPKm1b32bPpBknY

docker-compose.prod.yml

@@ -1,6 +1,8 @@
 services:
   web:
-    image: git.vicolab.de/schalli/tessera-ctl/web:latest
+    # IMAGE_TAG in .env selects the delivery channel: beta (alpha, all new
+    # changes) or live (released versions only). Defaults to beta.
+    image: git.vicolab.de/schalli/tessera-ctl/web:${IMAGE_TAG:-beta}
     restart: unless-stopped
     ports:
       - "3000:3000"
@@ -20,7 +22,8 @@ services:
         condition: service_healthy
 
   api:
-    image: git.vicolab.de/schalli/tessera-ctl/api:latest
+    # Same channel as web, see IMAGE_TAG above.
+    image: git.vicolab.de/schalli/tessera-ctl/api:${IMAGE_TAG:-beta}
     restart: unless-stopped
     ports:
       - "3001:3001"