[DTP-Worker] Sprint 1 · CI/CD Gitea Actions (gate qualité 4Big · DevOps)

Débloque le dernier livrable DevOps Sprint 1 authorable en-repo (GAP §7).

- .gitea/workflows/ci.yml : pipeline Gitea Actions (Gitea ONLY, jamais GitHub)
  4 jobs : constraints-guard · validate-json · check-docs · gate agrégat.
- ci/guard_constraints.sh : enforce contraintes NON-NÉGOCIABLES CLAUDE.md
  (GitHub/GitLab/Bitbucket #2 · EspoCRM/HubSpot #3 · Stripe #10 ·
  /var/www/html/static · git clean · remote non-Gitea).
  Heuristique zéro faux positif (ignore lignes de prohibition) + escape ci-allow.
- ci/validate_json.sh : parse strict schémas Faisabilité↔Publiciste.
- ci/check_docs.sh : liens Markdown internes [HARD] + auto-score 4Big [SOFT].
- ci/README.md : doc pipeline + procédure enregistrement act_runner (VPS/DevOps).
- GAP_ANALYSIS §7 : critère CI/CD Gitea Actions -> done (runner VPS restant).

Validé localement : 3 scripts verts (exit 0) sans faux positif ;
test négatif (hubspot+github.com) -> guard exit 1 correct.

Co-Authored-By: Claude Opus 4.8 (1M context) <noreply@anthropic.com>

.gitea/workflows/ci.yml

@@ -0,0 +1,52 @@
+# ============================================================================
+# CI · OTO Enterprise OS DTP · Gitea Actions
+# ----------------------------------------------------------------------------
+# Gate qualité DevOps (roadmap Sprint 1 · GAP_ANALYSIS §7).
+# Plateforme : Gitea Actions UNIQUEMENT (CLAUDE.md #2 · JAMAIS GitHub).
+# Runner : act_runner enregistré sur le VPS avec le label « ubuntu-latest ».
+#          Voir ci/README.md pour l'enregistrement du runner.
+# Aucune dépendance réseau/marketplace externe hors actions/checkout.
+# ============================================================================
+name: CI
+
+on:
+  push:
+    branches: [main]
+  pull_request:
+    branches: [main]
+  workflow_dispatch:
+
+jobs:
+  constraints-guard:
+    name: Contraintes NON-NÉGOCIABLES (CLAUDE.md)
+    runs-on: ubuntu-latest
+    steps:
+      - uses: actions/checkout@v4
+        with:
+          fetch-depth: 0
+      - name: Guard des contraintes
+        run: bash ci/guard_constraints.sh
+
+  validate-json:
+    name: Validation JSON (schémas Faisabilité)
+    runs-on: ubuntu-latest
+    steps:
+      - uses: actions/checkout@v4
+      - name: Valider les JSON
+        run: bash ci/validate_json.sh
+
+  check-docs:
+    name: Qualité documentaire (liens + 4Big)
+    runs-on: ubuntu-latest
+    steps:
+      - uses: actions/checkout@v4
+      - name: Contrôle docs
+        run: bash ci/check_docs.sh
+
+  gate:
+    name: Gate qualité (agrégat)
+    runs-on: ubuntu-latest
+    needs: [constraints-guard, validate-json, check-docs]
+    steps:
+      - name: Résultat
+        run: echo "✅ Gate qualité 4Big franchi — tous les checks verts."