fix(ci): restore release gates and contract baseline (fixes #4)

docs/API_CONTRACTS.md

@@ -1097,7 +1097,7 @@ A regional run holds tens of thousands of detections, and these are the
 endpoints the results table and the map overlay call after every run; they
 previously returned all of them.
 
-### GET `/api/v1/projects/{project_id}/quality-checks/{id}/evidence/geojson`
+### GET `/api/v1/projects/{project_id}/quality-checks/{quality_check_id}/evidence/geojson`
 
 Returns the reviewable geometry behind one quality check: the objects the model
 missed, the ones it found without a reference, and the confirmed matches.
@@ -1769,7 +1769,9 @@ Queued jobs are executed by the background analysis worker
 `GEOINTEL_ANALYSIS_WORKER_POLL_SECONDS`), which claims a job before dispatching
 it so the same run is never started twice. Poll the project-bound
 `GET /api/v1/projects/{project_id}/jobs/{job_id}` endpoint for progress.
-`POST /api/v1/segmentation/run-async` behaves identically. Guest sessions may
+### POST `/api/v1/segmentation/run-async`
+
+This endpoint behaves identically to the detection async endpoint. Guest sessions may
 queue and read analysis only for the project id embedded in their signed
 session; query parameters never authorize a run, result or export belonging to
 another project.
@@ -1863,7 +1865,7 @@ Each feature includes:
 
 Returns persisted detections for a dataset as a GeoJSON FeatureCollection. Optional filters match the detection list endpoint.
 
-### GET `/api/v1/projects/{project_id}/quality-checks/{id}/reviews`
+### GET `/api/v1/projects/{project_id}/quality-checks/{quality_check_id}/reviews`
 
 Returns the evidence queue plus a `summary`, which now carries
 `reviewed_metrics`: the score with the operator's verdicts applied, next to the

docs/CODEX_EXECUTION_LOG.md

@@ -1,3 +1,26 @@
+## 2026-08-29 - Gitea release-gateherstel
+
+### Opgeleverd
+
+- De gepinde TruffleHog-scanner draait rechtstreeks als filesystemscan en is
+  niet langer afhankelijk van de incompatibele Docker-actionwrapper die
+  `file:///tmp` probeerde te klonen.
+- De frontend-lock wordt via een npm-override op de gepatchte Nano ID 3.3.18
+  gehouden; de HIGH dependencybevinding is daarmee verwijderd.
+- Syft krijgt de expliciete lokale Docker-imagesource. Daardoor scant de SBOM-
+  gate het zojuist gebouwde image via de gemounte Docker-socket in plaats van
+  de tag als een niet-bestaand containerbestandspad te interpreteren.
+- De functioneel identieke Gitea- en GitHub-workflows blijven synchroon.
+
+### Verificatie
+
+- Pending tijdens implementatie: npm lock/audit, readiness, shellsyntax en de
+  drie externe releasejobs.
+
+### Open en beperkingen
+
+- Geen product-, API-, GIS-, model- of deploymentscope is gewijzigd.
+
 ## 2026-08-21 - Gesynchroniseerde tweeschermwerkruimte
 
 ### Opgeleverd

docs/TODO.md

@@ -1,5 +1,12 @@
 # GeoIntel TODO
 
+## CI-onderhoud (2026-08-29)
+
+- [x] Vervang de Gitea-incompatibele TruffleHog-actionwrapper.
+- [x] Pin de gepatchte Nano ID-transitive in de frontendlock.
+- [x] Maak de Syft-bron expliciet als lokaal Docker-image.
+- [ ] Bevestig de drie releasejobs op Gitea.
+
 ## Tweeschermwerkruimte (2026-08-21)
 
 - [x] Voeg een gesynchroniseerde analyseconsole voor een tweede beeldscherm toe.