deploy: consolidate Unraid stack in Dockerman

docs/ai/PROJECT_STATE.md

@@ -1,6 +1,6 @@
 # Projectstatus
 
-- Laatst bijgewerkt: 2026-07-22
+- Laatst bijgewerkt: 2026-07-25
 - Repositoryversie: 0.3.0 volledige Stitch Intelligence Cockpit
 - Uitvoeringsmodus: autonome backlog
 - Eerste uitvoerbare taak: controleer met `python scripts/backlog.py next`
@@ -184,7 +184,8 @@ VR-208-herverificatie op 2026-07-22:
 ## Deploymentstatus
 
 - `main` is via de bestaande Gitea-SSH-sleutel naar `NuklearRabbit/VacatureRadar` gepusht.
-- De applicatie draait op de Unraid-server via `http://192.168.10.150:1226/` met PostgreSQL, Redis, web, worker en scheduler.
+- De applicatie draait op de Unraid-server via `http://192.168.10.150:1226/` als één Dockerman-container; Supervisor bewaakt intern PostgreSQL 17, Redis, web, worker en scheduler.
+- De Dockerman-tegel gebruikt de lokale VacatureRadar-favicon en opent rechtstreeks de WebUI op poort 1226.
 - De server-side `.env` heeft rechten `0600`; gegenereerde secrets zijn niet naar Git of logs gekopieerd.
 - De self-hosted Gitea Actions-runner is niet actief. Deze sessie gebruikte daarom een directe, commitgebonden SSH-deploy; push-to-deploy vereist nog runnerherstel/registratie.
 - De huidige uitrol is alleen geschikt voor het beheerde LAN. Publieke productie vereist eerst een gekozen domein, reverse proxy/TLS en `DJANGO_DEBUG=0` met secure cookies.

docs/operations/UNRAID_DEPLOYMENT.md

@@ -1,6 +1,6 @@
 # Unraid-deployment
 
-Deze handleiding gebruikt `docker-compose.unraid.yml` als declaratieve bron van waarheid. Unraid-installaties verschillen in gebruikte Compose Manager, reverse proxy en shares; behoud de hieronder genoemde volumes, secrets en netwerkgrenzen ook wanneer de UI de services afzonderlijk aanmaakt.
+Deze handleiding gebruikt `docker-compose.unraid.yml` als declaratieve bron van waarheid. De Unraid-variant bundelt web, worker, scheduler, PostgreSQL en Redis bewust in één Dockerman-container met Supervisor als procesbewaker. De gewone `docker-compose.yml` behoudt de gescheiden productieprocessen voor andere hosts.
 
 ## Vooraf
 
@@ -10,17 +10,25 @@ Maak deze directories:
 /mnt/user/appdata/vacatureradar/config
 /mnt/user/appdata/vacatureradar/media
 /mnt/user/appdata/vacatureradar/logs
-/mnt/user/appdata/vacatureradar/postgres
-/mnt/user/appdata/vacatureradar/redis
+/mnt/user/appdata/vacatureradar/source/local/postgres-aio17
+/mnt/user/appdata/vacatureradar/source/local/redis-aio
 /mnt/user/appdata/vacatureradar/ollama       # alleen bij lokale AI
 /mnt/user/backups/vacatureradar
 ```
 
 Gebruik bij voorkeur een cache-backed `appdata`-share en neem die afzonderlijk in je back-upregime op. De PostgreSQL-datadir mag niet gelijktijdig door file-syncsoftware worden gemuteerd.
 
+## Dockerman
+
+De container verschijnt als **VacatureRadar** en bevat metadata voor:
+
+- WebUI: `http://[IP]:1226/`;
+- icoon: het lokale VacatureRadar-favicon op `/static/favicon.svg`;
+- één herstart- en healthcheckpunt voor alle interne processen.
+
 ## Imagekeuze
 
-De Unraid-compose bevat bewust `ghcr.io/CHANGE_ME/vacatureradar:latest`. Codex kan code, Dockerfile en CI afwerken zonder registrycredentials, maar voor productie moet een van deze paden worden gekozen:
+De Unraid-compose bouwt lokaal met `Dockerfile.unraid` en tagt de image als `vacatureradar:unraid`. Pin voor reproduceerbare releases aanvullend een commitgebonden tag.
 
 1. bouw lokaal op de Unraid-host en vervang `image:` door een vaste lokale tag;
 2. publiceer vanuit CI naar een private registry en pin op een immutable digest;
@@ -61,9 +69,7 @@ SESSION_COOKIE_SECURE=1 CSRF_COOKIE_SECURE=1 SECURE_SSL_REDIRECT=1 \
 bash scripts/deploy_docker.sh
 ```
 
-3. Start eerst PostgreSQL en Redis.
-4. Start web; de entrypoint voert migraties uit.
-5. Start worker en scheduler.
+3. Start de ene appcontainer; de entrypoint initialiseert PostgreSQL, voert migraties uit en start daarna alle processen onder Supervisor.
 6. Controleer `GET /health/live/` en `GET /health/ready/`.
 6. Voer eenmalig in de webcontainer uit:
 
@@ -144,10 +150,10 @@ Pin een modelnaam in `OLLAMA_MODEL`; zonder model blijft `OLLAMA_ENABLED=0`. Ste
 2. Lees `CHANGELOG.md` en de releaseartefacten.
 3. Als de release nog niet geverifieerd is, voer `./scripts/release_verify.sh` lokaal uit.
 4. Pull/bouw de nieuwe immutable image.
-5. Stop scheduler en worker, daarna web.
-6. Start web en laat migraties uitvoeren.
+5. Stop de appcontainer.
+6. Start de nieuwe appcontainer en laat de entrypoint migraties uitvoeren.
 7. Controleer health, login en release-smoke-rapport.
-8. Start worker en scheduler.
+8. Controleer in de containerlogs dat web, worker en scheduler actief zijn.
 9. Bewaar de vorige image/digest totdat één volledige schedulercyclus goed verliep.
 
 ## Rollback