feat: DEVELOPMENT_TEAM=QP3GLU8PH3 für Code-Signing

Apple-Developer-Team-ID des Vereins ist gesetzt. Greift bei Xcode-
Archive automatisch — Provisioning-Profile holt Xcode beim ersten
Sign-Versuch selbst, wenn die App-IDs (ev.mana.cards,
ev.mana.cards.widget, ev.mana.cards.share) im Developer-Portal
existieren.

RELEASE_CHECKLIST aktualisiert: Team-ID + AASA-Compose-Eintrag als
done markiert, Production-Deploy-Schritt für cards-web hinzu.

Co-Authored-By: Claude Opus 4.7 (1M context) <noreply@anthropic.com>

docs/RELEASE_CHECKLIST.md

@@ -9,9 +9,8 @@ AASA) und über Xcode (für Build + Sign).
 
 ### Apple-Developer-Konfiguration
 
-- [ ] **Team-ID prüfen** für den mana-e.V.-Apple-Developer-Account.
-      Eintragen in `project.yml > settings > base > DEVELOPMENT_TEAM`
-      (oder per-Scheme in Xcode unter "Signing & Capabilities").
+- [x] **Team-ID gesetzt** (`QP3GLU8PH3`, mana e.V.) — `DEVELOPMENT_TEAM`
+      in `project.yml > settings > base`. Greift bei Archive automatisch.
 - [ ] **App-ID `ev.mana.cards`** im Developer-Portal anlegen, falls
       noch nicht da. Mit Capabilities: App Groups, Keychain Sharing,
       Associated Domains.
@@ -46,11 +45,13 @@ AASA) und über Xcode (für Build + Sign).
       `cards/apps/web/src/routes/.well-known/apple-app-site-association/+server.ts`
       (2026-05-13). Content-Type `application/json`, paths `/d/*` und
       `/u/*`. Lokal mit `node build` + curl verifiziert.
-- [ ] **`PUBLIC_APPLE_TEAM_ID`** als Env-Var im cards-web-Production-
-      Deployment setzen. Default ist Platzhalter `XXXXXXXXXX` — Apple
-      lehnt die AASA mit Default-Wert ab.
-- [ ] **Production-Deploy von cards-web** mit der echten Team-ID muss
-      laufen bevor TestFlight-Tester die Universal-Links nutzen können.
+- [x] **`PUBLIC_APPLE_TEAM_ID=QP3GLU8PH3`** in
+      `cards/infrastructure/docker-compose.production.yml` hinterlegt
+      (Commit folgt). Wird zur Runtime von `$env/dynamic/public`
+      aufgelöst und in den AASA-Response geschrieben.
+- [ ] **Production-Deploy von cards-web** mit dem neuen Compose-Stand:
+      `cd ~/projects/cards/infrastructure && docker compose -f docker-compose.production.yml up -d cards-web` auf mana-server.
+      Erst danach liefert die AASA die echte Team-ID statt Platzhalter.
 - [ ] **cardecky-api.mana.how** muss erreichbar bleiben — die App
       ist 100% Online-write. Health-Probe verifizieren.