scripts/deploy-prod: Ziel aus git-ignorierter scripts/deploy.env (Fallback)

Ohne Ziel-Argument liest das Skript DEPLOY_TARGET aus scripts/deploy.env
(git-ignoriert; Vorlage scripts/deploy.env.example ist eingecheckt). Argument
hat weiterhin Vorrang.

Der Wert wird bewusst NICHT via `source` gelesen, weil bash bei `host:~/pfad`
die Tilde nach dem ':' lokal expandieren wuerde; stattdessen roh ausgelesen,
Whitespace/CR + umgebende Quotes gestrippt, das ~ bleibt fuer die Remote-Seite
erhalten. Lokal verifiziert: Fallback greift, ~ bleibt in unquoted/single-/
double-quoted erhalten (kein lokales $HOME), Quotes entfernt.

.gitignore: scripts/deploy.env ergaenzt (die vorhandene .env-Regel greift wegen
des abweichenden Dateinamens nicht). README (de/en) aktualisiert; Beispielpfad
auf die htdocs-ssl-Direktaufschaltung umgestellt.

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>

README.de.md

@@ -89,18 +89,24 @@ Workflow ersetzt ihn sonst aus `VERSION` + Commit-Zahl).
 **Bequemer: `scripts/deploy-prod.sh`.** Das Skript macht genau den obigen
 Prod-Build **und** die beiden Nacharbeiten (LICENSE danebenlegen + Link
 geradeziehen, Footer-Version + Commit-Link wie beim Pages-Workflow) und spiegelt
-das Ergebnis per rsync/SSH auf einen Server. Zielpfad als einziges Pflichtargument:
+das Ergebnis per rsync/SSH auf einen Server:
 
 ```bash
-scripts/deploy-prod.sh mih00@mih00.hostsharing.net:~/doms/javagil.de/subs-ssl/werkbaum/
+scripts/deploy-prod.sh mih00@mih00.hostsharing.net:~/doms/werkbaum.javagil.de/htdocs-ssl
 ```
 
+Das Ziel ist entweder dieses Argument oder — ohne Argument — die Variable
+`DEPLOY_TARGET` aus der **git-ignorierten** Datei `scripts/deploy.env` (Vorlage:
+`scripts/deploy.env.example`, einmal kopieren und den Pfad eintragen). Ein
+Argument hat Vorrang.
+
 Ohne `-y` zeigt es zuerst eine `--dry-run`-Vorschau und fragt nach. `rsync
 --delete` sorgt dafür, dass am Ziel **nichts Altes** stehen bleibt — das
-Zielverzeichnis gilt also als exklusiv für Werkbaum. (Hostsharing: für eine
-**Subdomain** wie `werkbank.javagil.de` unter der aufgeschalteten Domain
-`javagil.de` ist das Web-Verzeichnis `…/subs-ssl/<name>/`; eine direkt
-aufgeschaltete Domain läge unter `…/htdocs-ssl/`.)
+Zielverzeichnis gilt also als exklusiv für Werkbaum (eine laufende Let's-Encrypt-
+Challenge unter `.well-known/` wird per `--filter=protect` ausgenommen, web-
+taugliche Rechte 755/644 werden erzwungen). (Hostsharing: eine **direkt
+aufgeschaltete** Domain liefert aus `…/htdocs-ssl/`; als **Subdomain** unter einer
+anderen Domain läge das Web-Verzeichnis in `…/subs-ssl/<name>/`.)
 
 ## Projektdokumente