fix: Gitea CI/CD und Blank-Page-Fehler behoben

- Helmet CSP: upgrade-insecure-requests und HSTS für HTTP-Deployments deaktiviert
  (war die Ursache der leeren Seite - Browser versuchte JS über HTTPS zu laden)
- Backend: statische Dateien werden jetzt in allen NODE_ENV-Modi serviert
- Frontend: IS_DEV erkennt auch VITE_TEST_MODE=true (Build-Zeit Variable)
- Dockerfile: VITE_TEST_MODE=true beim Vite-Build, NODE_ENV=development
- docker-compose.yml: NODE_ENV=development, CORS_ORIGIN=*
- Gitea Workflow: Auth-Token für git clone, Build via Portainer API statt lokaler Docker CLI

Co-Authored-By: Claude Sonnet 4.6 <noreply@anthropic.com>

docker-compose.yml

@@ -8,7 +8,7 @@ services:
     ports:
       - "3301:3001"
     environment:
-      - NODE_ENV=production
+      - NODE_ENV=development
       - PORT=3001
       - DATABASE_URL=${DATABASE_URL}
       - SUPABASE_URL=${SUPABASE_URL}
@@ -17,7 +17,7 @@ services:
       - FOOTBALL_API_KEY=${FOOTBALL_API_KEY}
       - FOOTBALL_API_BASE_URL=https://api.football-data.org/v4
       - ELEVENLABS_API_KEY=${ELEVENLABS_API_KEY}
-      - CORS_ORIGIN=${CORS_ORIGIN:-https://app.staffbase.com,http://localhost:5173}
+      - CORS_ORIGIN=*
       - STAFFBASE_PUBLIC_KEY=${STAFFBASE_PUBLIC_KEY:-}
       - STAFFBASE_PLUGIN_ID=${STAFFBASE_PLUGIN_ID:-}
     healthcheck: