Publish LumaOps source

docs/PUBLIC_RELEASE.md

@@ -0,0 +1,22 @@
+# Public release boundary
+
+De ontwikkelrepository bevat in oudere commits interne deployment-URL's en mag
+daarom niet met volledige historiek openbaar worden gemaakt. Publiceer in plaats
+daarvan een gecontroleerde, parentless bronexport van een gereviewde releasecommit:
+
+```sh
+bash scripts/export-public-source.sh /path/to/new-lumaops-public
+gitleaks git /path/to/new-lumaops-public --config /path/to/new-lumaops-public/.gitleaks.toml --redact
+```
+
+De export neemt de actuele getrackte bron op, verwijdert de private automatische
+deploymentworkflow, weigert runtime-secrets, bekende interne markers en onverwacht
+grote bestanden, en schrijft een SHA-256-manifest. Het resultaat heeft één rootcommit
+zonder ouders en tagt die als `public-release-baseline`, zodat de upstream-guard ook
+toekomstige publieke bijdragen kan begrenzen. Controleer daarna de manifest-, test-, build-, lint- en secretscan
+voordat de nieuwe publieke remote wordt toegevoegd.
+
+Het vaste securitycontact is `security@itworx.tech`. Voor de eerste release
+moeten alleen de publieke project- en support-URL nog naar de definitieve naam
+van de nieuwe publieke exportrepository wijzen; de private ontwikkelrepository
+blijft daarvan gescheiden.