fix: treat an unverifiable mirror as a finding, and repair auth headers

game-operating was made private on Gitea, and the check quietly skipped the mirror comparison. A repo that IS mirrored but whose far side cannot be read is unverified, and unverified must not look like fine. It is now a finding that names the missing GITEA_TOKEN.

While testing that, a second bug surfaced: the header helper built 'Authorization: token: <value>' from a name that already contained the schema, producing a silently invalid header. The Authentik check had the same defect and would have failed the moment a token was added - it never ran, so nobody would have connected the two.

Refs axion1337.chat/management#28, #31

verfahren/stillstandspruefung.md

@@ -42,12 +42,19 @@ Lokal:
 
 ```bash
 export GITLAB_TOKEN=$(cat ~/.config/gitlab-lab/token)
+export GITEA_TOKEN=$(cat ~/.config/gitea-rohana/push-token)   # fuer private Spiegel
 export LAB_CA=.../ci/lab-ca-chain.crt
 python3 scripts/stillstandspruefung.py
 ```
 
 ## Zwei Regeln für diese Prüfung
 
+**Ein „kann nicht geprüft werden" ist ein Befund, kein Übersprungen.** Real
+aufgefallen am 2026-08-09: `game-operating` wurde auf Gitea privat gestellt, und
+die Prüfung übersprang den Mirror-Abgleich klaglos. Ein Repo, das gespiegelt wird,
+dessen Gegenseite aber unlesbar ist, ist **ungeprüft** — und das darf nicht wie
+„in Ordnung" aussehen.
+
 **Ein Befund wird zum Issue, nicht weggeklickt.** Sonst wird die Prüfung zu dem,
 was sie sucht: etwas, das läuft, ohne dass jemand hinsieht.