monitoring: release-watch in eigenen CVE-/Release-Raum (gitops#47), SBOM-Abgrenzung dokumentiert

Co-Authored-By: Claude Fable 5 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_01PKhFj1S3UdD6xL2fbWPeYj

monitoring/alertmanager/release-watch.py

@@ -8,6 +8,12 @@
 # praktikable Advisory-Kanal; echte GHSA-Advisories haben keinen oeffentlichen Feed.
 # Neue Eintraege werden einmalig als 📦-Notiz gemeldet; Security-verdaechtige
 # Titel/Inhalte (CVE/security/vulnerab...) bekommen 🚨 und stehen vorn.
+#
+# Abgrenzung (Frage sorb 2026-08-01): REPOS unten ist eine HANDGEPFLEGTE Liste -
+# de facto ein Mini-SBOM auf Repo-Granularitaet, ohne Versions-/Dependency-Wissen.
+# Bei Stack-Aenderungen (neue Komponente, Fork-Wechsel) muss sie mitgezogen werden.
+# Trivy (gitops#31/#47) braucht dagegen keine Pflege: es leitet sein SBOM selbst
+# aus den Images ab. Beide ergaenzen sich, ersetzen sich nicht.
 import json
 import os
 import re
@@ -18,7 +24,9 @@ import uuid
 import xml.etree.ElementTree as ET
 
 HOMESERVER = os.environ["MATRIX_HOMESERVER"]
-ROOM_ID = os.environ["MATRIX_ROOM_ID"]
+# Eigener CVE-/Release-Raum (Entscheidung sorb 2026-08-01, gitops#47);
+# Fallback auf den Alerts-Raum, solange der Bot dort noch nicht eingeladen ist.
+ROOM_ID = os.environ.get("MATRIX_RELEASE_ROOM_ID") or os.environ["MATRIX_ROOM_ID"]
 TOKEN = os.environ["MATRIX_TOKEN"]
 STATE_FILE = os.environ.get("RELEASE_WATCH_STATE_FILE", "/state/release-watch.json")
 INTERVAL = int(os.environ.get("RELEASE_WATCH_INTERVAL", "21600"))  # 6h