feat(roadmap): Roadmap des Deploymentcenters uebernommen (I9)

61 Eintraege aus docs/ROADMAP.md stehen jetzt als Items im Deploymentcenter:
17 offen, 24 erledigt, 7 zurueckgestellt, 13 verworfen. Keine Waisen, jedes
Item mit doc_anchor. Der Abgleich laeuft ohne Befund durch.

Die Datei behaelt, was eine Tabellenzelle nicht traegt: die Begruendungen.
Der Zustand steht zwischen dc:roadmap-Markern und wird erzeugt.

  - scripts/roadmap_import.py: wertet die Datei aus und uebertraegt sie.
    Wiederholbar ueber client_ref, legt fehlende Themenbereiche an, wartet
    bei Drosselung. Die Prioritaet liest es aus dem Abschnitt "Als
    Naechstes" - solange die Datei die Quelle ist, soll auch die Prioritaet
    von dort kommen.
  - docs/ROADMAP.md: Statustabellen raus, erzeugter Block rein,
    21 Ueberschriften und 14 Querverweise auf Item-Nummern umgestellt,
    Abschnitt H mit Item-Nummern versehen.

WAS DIE UEBERNAHME ZUTAGE FOERDERTE

  - G8 war zweimal vergeben: einmal offen, einmal erledigt. Genau die
    Kollision handvergebener Kennungen, gegen die der Entwurf argumentiert.
    Beide sind eigene Items.
  - Bereich H fehlte in roadmap_epics - Migration 016 hatte nur A-G und I
    gesetzt. Die Waisenerkennung meldete es. Das Importskript legt fehlende
    Bereiche jetzt an, ueberschreibt aber keine vorhandenen: Ein
    Uebernahmeskript darf anlegen, kuratierte Angaben nicht ueberschreiben.
  - "Item #42" stand als erfundenes Beispiel im Rueckkanal-Absatz - und #42
    gibt es wirklich, in predictalytics. Der Abgleich hat es gemeldet, ein
    Mensch haette es nie bemerkt.
  - Vier Marker waren veraltet (E1, E2, I8, D1).

BEHOBEN: spliceBlock() zerstoerte Dateien, die den Marker erwaehnen

strpos() nahm die erste Fundstelle von "<!-- dc:roadmap". Erwaehnt eine Datei
den Marker im Fliesstext - und die Einleitung einer ordentlichen Roadmap tut
genau das - setzte der Splice dort an und ueberschrieb den halben Dateikopf.
check() klammerte aus demselben Grund Prosa aus statt des Blocks.

Es trifft also ausgerechnet die Dateien, die das Verfahren beschreiben. Der
echte Block wird jetzt am Zeilenanfang samt "stand=" erkannt; das Blockende
wird ab dem Anfang gesucht, nicht ab Dateibeginn.

BEHOBEN: IPv6-Erkennung im Testlauf war launisch

erreichbar() prueft seit jeher IPv6 mit einem blossen connect(). Auf dieser
Strecke gelingt der Verbindungsaufbau zeitweise, waehrend danach nichts mehr
fliesst - der Lauf blieb dann auf IPv6 und jede Anfrage lief 21 Sekunden in
einen Timeout. Weil es launisch war, sah es mal nach einem Haenger und mal
nach einem sauberen Lauf aus. Geprueft wird jetzt bis zur Antwort:
TLS-Handschlag und ein HTTP-HEAD.

WebUI: Verweise im Inhalt hatten keine Farbregel und erschienen im
Browservorgabeblau auf schwarzem Grund. Der Bereichsverweis der Roadmap
springt ausserdem auf die Liste statt auf die Uebersicht - dort wirkt der
Filter, den er setzt.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

tests/e2e/harness.py

@@ -48,21 +48,48 @@ DEV_CONFIG = PROJECT_DIR / 'scripts' / 'deploy_dev_config.json'
 _ECHTES_GETADDRINFO = socket.getaddrinfo
 
 
-def erreichbar(host, port, familie, timeout=3.0):
+def erreichbar(host, port, familie, timeout=4.0):
+    """
+    Prueft, ob ueber diese Adressfamilie wirklich gearbeitet werden kann.
+
+    Ein blosses connect() genuegt dafuer nicht - und das war der Fehler der
+    ersten Fassung. Auf dieser Strecke gelingt der TCP-Verbindungsaufbau ueber
+    IPv6 zeitweise, waehrend danach nichts mehr fliesst. Die Pruefung meldete
+    dann "erreichbar", der Lauf blieb auf IPv6, und jede einzelne Anfrage lief
+    21 Sekunden in einen Timeout: 129 Testfaelle statt in elf Sekunden in
+    ueber einer Stunde. Schlimmer noch, es war launisch - derselbe Lauf ging
+    mal so und mal so aus, was die Ursache lange verdeckt hat.
+    """
     try:
         infos = _ECHTES_GETADDRINFO(host, port, familie, socket.SOCK_STREAM)
     except socket.gaierror:
         return False
+
+    kontext = ssl.create_default_context()
+
     for info in infos:
         s = socket.socket(info[0], socket.SOCK_STREAM)
         s.settimeout(timeout)
         try:
             s.connect(info[4])
-            return True
+
+            # Bis hierher kam die erste Fassung. Der Rest ist der Unterschied
+            # zwischen "eine Verbindung steht" und "es kommt etwas zurueck":
+            # TLS-Handschlag und eine echte Antwort.
+            with kontext.wrap_socket(s, server_hostname=host) as tls:
+                tls.settimeout(timeout)
+                tls.sendall(
+                    b'HEAD /api/health HTTP/1.1\r\nHost: ' + host.encode()
+                    + b'\r\nConnection: close\r\nUser-Agent: dc-e2e\r\n\r\n')
+                return tls.recv(16).startswith(b'HTTP/')
         except OSError:
             continue
         finally:
-            s.close()
+            try:
+                s.close()
+            except OSError:
+                pass
+
     return False