fix(api): Bildmaße prüfen, Dateien ohne delete(owner), Limits, Melder-Netz

- Beim Veröffentlichen liest die API die ersten 64 Bytes beider Dateien (PNG-IHDR, WebP VP8/VP8L/VP8X) und verlangt Bild 1536x969,
  Vorschau 480x302-304, sonst 400 "Das Bild hat nicht das Kartenformat."
- Veröffentlichte und ausgeblendete Dateien tragen kein delete(owner) mehr (Abweichung von Spec §7): kein Löschen und Neuanlegen
  derselben Datei-ID nach dem Veröffentlichen; scheitert das Festlegen, bekommen die Dateien delete(owner) für den Client-Aufräumer zurück
- Melder-Identität aus dem IPv4-/24 bzw. IPv6-/48; das Rate-Limit zählt weiter je Anschluss
- Höchstens 20 Veröffentlichungen je Konto (429); sourceCardId muss eine eigene Zeile in `cards` sein (403)
- Steuer-, Nullbreiten- und Bidi-Zeichen in Titel, Herausgeber, Anzeigename und Tags abgelehnt
- Tags als ",a,b," gespeichert (exakter Tag-Filter)
- fehlgeschlagenes Zurücknehmen wird mit `rollback failed for card <id>` protokolliert
- README: Endpunkt-Tabelle, Regeln, Scopes (documents.*), akzeptiertes Risiko X-Real-Ip im Docker-Netz

Co-Authored-By: Claude Sonnet 5.5 <noreply@anthropic.com>

deploy/api/appwrite.test.js

@@ -149,6 +149,36 @@ test('Dateien: lesen, Rechte setzen, löschen', async () => {
   assert.equal(fake.file('f1'), null);
 });
 
+test('readFileHead: liefert nur die ersten Bytes, mit Server-Key, auch bei einer großen Datei', async () => {
+  const { fake, appwrite } = await setup();
+  const content = Buffer.concat([Buffer.from('HEADBYTES'), Buffer.alloc(2 * 1024 * 1024, 7)]);
+  fake.addFile({ id: 'big', owner: 'u1', content, size: content.length });
+
+  const head = await appwrite.readFileHead('gallery-images', 'big', 9);
+  assert.ok(Buffer.isBuffer(head));
+  assert.equal(head.toString('latin1'), 'HEADBYTES');
+  assert.equal(lastCall(fake).method, 'GET');
+  assert.equal(lastCall(fake).path, '/v1/storage/buckets/gallery-images/files/big/view');
+  assert.equal(lastCall(fake).headers['x-appwrite-key'], fake.key);
+
+  const sixtyFour = await appwrite.readFileHead('gallery-images', 'big');
+  assert.equal(sixtyFour.length, 64, 'Standard: 64 Bytes');
+
+  fake.addFile({ id: 'small', owner: 'u1', content: Buffer.from('abc'), size: 3 });
+  assert.equal((await appwrite.readFileHead('gallery-images', 'small', 64)).toString(), 'abc', 'kürzere Datei: alles');
+});
+
+test('readFileHead: fehlende Datei ist null, andere Fehler werfen AppwriteError', async () => {
+  const { fake, appwrite } = await setup();
+  assert.equal(await appwrite.readFileHead('gallery-images', 'nope'), null);
+  fake.addFile({ id: 'f1', owner: 'u1' });
+  fake.failNext((c) => c.path.endsWith('/files/f1/view'), { status: 500 });
+  await assert.rejects(() => appwrite.readFileHead('gallery-images', 'f1'), (err) => err instanceof AppwriteError && err.status === 500);
+  const wrongKey = createAppwrite({ endpoint: fake.endpoint, project: fake.project, key: 'falscher-key' });
+  await assert.rejects(() => wrongKey.readFileHead('gallery-images', 'f1'), (err) => err instanceof AppwriteError && err.status === 401);
+  await assert.rejects(() => appwrite.readFileHead('gallery-images', '..'), TypeError);
+});
+
 test('accountFromJwt: JWT-Header ohne Key; 401 gibt null, andere Fehler werfen', async () => {
   const { fake, appwrite } = await setup();
   fake.addUser('aaa.bbb.ccc', { id: 'u1', labels: ['admin'] });