Release 1.0.0: Builds ausschließlich für Release-Tags

docs/distribution.md

@@ -2,6 +2,10 @@
 
 Change 06 baut ausschließlich am Origin `git.rfc1437.de/hugo/TerminalBasic`.
 Die Actions verwenden das bestätigte Label `linux-arm64` und vier Zieltriple.
+Build, Pflichtabnahme und Artefaktuploads starten ausschließlich bei neuen
+Release-Tags `vX.Y.Z`, erstmals `v1.0.0`. Normale Commits und PRs starten
+keine CI. Tagformat und Übereinstimmung mit der Workspace-Version werden
+vor dem Cargo-Build geprüft; ein manueller Paketbuild ist nicht vorgesehen.
 Kein Cross-Build ist ein Windows-/macOS-/Linux-Emulatornachweis.
 
 ## Buildumgebung
@@ -51,13 +55,15 @@ Erforderliche Konfiguration:
   `foreign.rs` fixierten Referenzprojekts. Der Checkout muss exakt
   `1cdd2b32b829fe1721d0b6aecc433abc47a96fb6` liefern. Fehlende Konfiguration
   lässt den Pflichtjob scheitern; Fremdprogramme werden nicht übersprungen.
-- Secret `TB_RELEASE_TOKEN`: Gitea-Zugang nur für dieses Repository und die
-  Releaseverwaltung. Nur der Tag-Entwurfsjob und der manuelle Freigabeworkflow
-  referenzieren es. Es wird weder im Checkout gespeichert noch geloggt.
-- PRs aus fremden Repositories führen keinen unkontrollierten Code auf dem
-  gemeinsamen persönlichen Runner aus. Interne PRs/Pushes erhalten keine
-  Veröffentlichungsschritte. Die tatsächliche Gitea-/Runner-Kompatibilität
-  einschließlich Jobrechten muss der erste Origin-Lauf bestätigen.
+- Releasezugriff: standardmäßig der eingebaute repositorygebundene
+  `gitea.token`, optional ein explizites Secret `TB_RELEASE_TOKEN`.
+  Nur Upload/Freigabe verwenden ihn für Releasezugriffe; der Checkout
+  speichert keine Credentials. Die tatsächliche Uploadberechtigung wird
+  im Taglauf geprüft. Gitea 1.25 ignoriert die deklarativen `permissions`-
+  Angaben; diese allein sind kein Nachweis getrennter Jobrechte.
+  Siehe [Gitea-1.25-Kompatibilität](https://docs.gitea.com/1.25/usage/actions/comparison/).
+- Keine Branch-/PR-Trigger und kein manueller Buildtrigger. Der manuelle
+  Freigabeworkflow verarbeitet nur vorhandene taggebundene Originalpakete.
 
 Die Actions-URLs sind explizite Gitea-URLs mit festen Commit-IDs.
 [Absolute Action-URLs](https://docs.gitea.com/usage/actions/comparison/)
@@ -77,7 +83,7 @@ Auf dem passenden Prüfsystem das unveränderte Paket herunterladen und ausführ
 
 ```sh
 python3 .gitea/scripts/distribution.py target-check \
-  --archive /pakete/terminalbasic-0.1.0-macos-arm64.tar.gz \
+  --archive /pakete/terminalbasic-1.0.0-macos-arm64.tar.gz \
   --target aarch64-apple-darwin --output /nachweise/aarch64-apple-darwin
 ```
 
@@ -122,7 +128,7 @@ keine Durchführung. Herkunft wird über den geprüften Origin-Commit gebunden.
 
 ## Entwurf und Veröffentlichung
 
-Ein Push des passenden Tags `v<version>` baut/testet alle vier Ziele und lädt
+Ein Push eines neuen passenden Tags `vX.Y.Z` (beispielsweise `v1.0.0`) baut/testet alle vier Ziele und lädt
 erst danach neun Assets in einen Gitea-Entwurf: vier Pakete, vier SHA-Dateien,
 `acceptance.json`. Dessen Referenzlauf enthält Fremdprogramme, Inventar,
 Workspace/Clippy/Format, Compile-/VM-Benchmarks und die ausdrücklich gestartete