chore(lint): Backlog auf 0 + golangci-lint als HARTER Gate — v1.3.3

Go-Quality-Baseline-Rollout ABGESCHLOSSEN.

Code-Quality-Backlog (55 → 0):
- errcheck: unbehandelte Close/Rollback/Remove explizit `_ =`; fmt.Sscanf
  `_, _ =` (Zero-Value degradiert sauber).
- unused: toter Code entfernt (nodeIDOrHostname, stripTrailingNewline,
  acme.Service.user, strFold + ungenutzter Import).
- noctx (net/http): http.NewRequestWithContext mit vorhandenem ctx.
- staticcheck: QF1001/S1009/ST1005/SA9003.
- contextcheck: detached-by-design-Stellen mit begründetem //nolint.

Zwei echte Bugs beim Aufräumen gefunden+gefixt:
- backup/remote SFTP-Upload: dst.Close()-Flush-Fehler wurde verschluckt →
  unvollständiges Remote-File galt als Erfolg. Jetzt geprüft+gemeldet.
- haproxy_test: leere if-Assertion (SA9003) testete faktisch nichts →
  echte t.Errorf-Prüfung (kein HSTS für HSTS-disabled Domain).

Bewusste Config-Entscheidungen (.golangci.yml):
- noctx-on-os/exec ausgeschlossen: System-Command-Reloads (systemctl/nft/
  wg/pg) dürfen NICHT an den Request-Context gebunden werden — ein Client-
  Disconnect darf keinen laufenden Reload mitten in der Ausführung killen.
  net/http-noctx bleibt voll aktiv. KEINE exec-Zeile im Code angefasst.
- rowserrcheck/sqlclosecheck raus (database/sql-Linter, bei pgx nur FPs).

Gate scharf gestellt: Makefile release-check ruft golangci-lint jetzt als
HARTEN Gate (install-if-missing, pinned v2.12.2). `make release-check`
grün: vet, golangci-lint, govulncheck, build, test -race.

Co-Authored-By: Claude Opus 4.8 (1M context) <noreply@anthropic.com>

internal/handlers/ntp.go

@@ -100,21 +100,21 @@ func parseChronyTracking(out string) chronyStatus {
 			}
 			s.Synced = val != "00000000 ()"
 		case "Stratum":
-			fmt.Sscanf(val, "%d", &s.Stratum)
+			_, _ = fmt.Sscanf(val, "%d", &s.Stratum)
 			if s.Stratum > 0 && s.Stratum < 16 {
 				s.Synced = true
 			}
 		case "System time":
 			// "0.000012345 seconds fast of NTP time"
 			var v float64
-			fmt.Sscanf(val, "%f", &v)
+			_, _ = fmt.Sscanf(val, "%f", &v)
 			s.OffsetMs = v * 1000
 		case "Frequency":
 			// "-12.345 ppm slow" or "+12.345 ppm fast"
-			fmt.Sscanf(val, "%f", &s.FreqPPM)
+			_, _ = fmt.Sscanf(val, "%f", &s.FreqPPM)
 		case "RMS offset":
 			var v float64
-			fmt.Sscanf(val, "%f", &v)
+			_, _ = fmt.Sscanf(val, "%f", &v)
 			s.RMSOffsetMs = v * 1000
 		}
 	}
@@ -312,8 +312,8 @@ func parseChronymSources(out string) []ntpSource {
 			Reach:  fields[3],
 			LastRx: fields[4],
 		}
-		fmt.Sscanf(fields[1], "%d", &src.Stratum)
-		fmt.Sscanf(fields[2], "%d", &src.Poll)
+		_, _ = fmt.Sscanf(fields[1], "%d", &src.Stratum)
+		_, _ = fmt.Sscanf(fields[2], "%d", &src.Poll)
 		if len(fields) >= 6 {
 			src.Sample = strings.Join(fields[5:], " ")
 		}