chore(lint): Backlog auf 0 + golangci-lint als HARTER Gate — v1.3.3

Go-Quality-Baseline-Rollout ABGESCHLOSSEN.

Code-Quality-Backlog (55 → 0):
- errcheck: unbehandelte Close/Rollback/Remove explizit `_ =`; fmt.Sscanf
  `_, _ =` (Zero-Value degradiert sauber).
- unused: toter Code entfernt (nodeIDOrHostname, stripTrailingNewline,
  acme.Service.user, strFold + ungenutzter Import).
- noctx (net/http): http.NewRequestWithContext mit vorhandenem ctx.
- staticcheck: QF1001/S1009/ST1005/SA9003.
- contextcheck: detached-by-design-Stellen mit begründetem //nolint.

Zwei echte Bugs beim Aufräumen gefunden+gefixt:
- backup/remote SFTP-Upload: dst.Close()-Flush-Fehler wurde verschluckt →
  unvollständiges Remote-File galt als Erfolg. Jetzt geprüft+gemeldet.
- haproxy_test: leere if-Assertion (SA9003) testete faktisch nichts →
  echte t.Errorf-Prüfung (kein HSTS für HSTS-disabled Domain).

Bewusste Config-Entscheidungen (.golangci.yml):
- noctx-on-os/exec ausgeschlossen: System-Command-Reloads (systemctl/nft/
  wg/pg) dürfen NICHT an den Request-Context gebunden werden — ein Client-
  Disconnect darf keinen laufenden Reload mitten in der Ausführung killen.
  net/http-noctx bleibt voll aktiv. KEINE exec-Zeile im Code angefasst.
- rowserrcheck/sqlclosecheck raus (database/sql-Linter, bei pgx nur FPs).

Gate scharf gestellt: Makefile release-check ruft golangci-lint jetzt als
HARTEN Gate (install-if-missing, pinned v2.12.2). `make release-check`
grün: vet, golangci-lint, govulncheck, build, test -race.

Co-Authored-By: Claude Opus 4.8 (1M context) <noreply@anthropic.com>

Makefile

@@ -10,7 +10,7 @@ LDFLAGS  := -s -w -X main.version=$(VERSION)
 GOFLAGS  := -trimpath -mod=readonly
 export CGO_ENABLED ?= 0
 
-.PHONY: all help build test test-race lint vulncheck release-check tidy clean ui \
+.PHONY: all help build test test-race lint golangci vulncheck release-check tidy clean ui \
         build-linux-amd64 build-linux-arm64 \
         deb deb-amd64 deb-arm64 \
         publish publish-amd64 publish-arm64
@@ -64,12 +64,19 @@ test:
 test-race:
 	CGO_ENABLED=1 $(GO) test $(GOFLAGS) -race ./...
 
+GOBIN := $(shell $(GO) env GOPATH)/bin
+GOLANGCI_VERSION := v2.12.2
+
 lint:
 	$(GO) vet ./...
-	@command -v golangci-lint >/dev/null 2>&1 && golangci-lint run \
-	  || echo "golangci-lint nicht installiert (go install github.com/golangci/golangci-lint/v2/cmd/golangci-lint@latest) — übersprungen"
+	@$(MAKE) --no-print-directory golangci
 
-GOBIN := $(shell $(GO) env GOPATH)/bin
+# golangci-lint — HARTER Gate. Tool wird bei Bedarf auf pinned Version
+# installiert; bricht ab, sobald ein Finding auftaucht (Bestand ist 0,
+# Rollout abgeschlossen — siehe .golangci.yml).
+golangci:
+	@command -v golangci-lint >/dev/null 2>&1 || GOFLAGS= $(GO) install github.com/golangci/golangci-lint/v2/cmd/golangci-lint@$(GOLANGCI_VERSION)
+	@PATH="$(GOBIN):$$PATH" golangci-lint run --timeout 6m
 
 # govulncheck — Go-Vuln-DB-Scan. HARTER Release-Gate: bricht ab, wenn der
 # Code eine bekannte Vulnerability tatsächlich aufruft. Tool wird bei Bedarf
@@ -79,17 +86,16 @@ vulncheck:
 	@PATH="$(GOBIN):$$PATH" govulncheck ./...
 
 # Go-Quality-Baseline — läuft automatisch vor jedem Release (deb/publish).
-# Reihenfolge: vet → golangci-lint (Rollout: NON-BLOCKING) → govulncheck (GATE)
-# → build → test -race. govulncheck bricht bei jedem Fund ab; der Linter ist
-# in der Rollout-Phase noch non-blocking (Bestand aufräumen, dann auf Gate).
+# Reihenfolge: vet → golangci-lint (GATE) → govulncheck (GATE) → build →
+# test -race. Alle vier brechen bei jedem Fund ab. Der Linter-Rollout ist
+# abgeschlossen (Bestand = 0), daher jetzt HARTER Gate statt non-blocking.
 release-check:
 	$(GO) vet ./...
-	@command -v golangci-lint >/dev/null 2>&1 && (golangci-lint run || echo "  ⚠ golangci-lint-Findings (non-blocking, Rollout-Phase)") \
-	  || echo "  golangci-lint nicht installiert — übersprungen (Rollout-Phase)"
+	@$(MAKE) --no-print-directory golangci
 	@$(MAKE) --no-print-directory vulncheck
 	$(GO) build ./...
 	CGO_ENABLED=1 $(GO) test $(GOFLAGS) -race ./...
-	@echo "  ✓ Go-Quality-Baseline bestanden (vet, govulncheck, build, test -race)"
+	@echo "  ✓ Go-Quality-Baseline bestanden (vet, golangci-lint, govulncheck, build, test -race)"
 
 tidy:
 	$(GO) mod tidy