refactor(big-bang): cards → wordeck im gesamten Code-Layer

Phase 2 des cards→wordeck Big-Bang-Rebrand:

- 4 package.json: @cards/* → @wordeck/*
- packages/cards-domain/ → packages/wordeck-domain/
- 41+12 Files: from '@cards/domain' → '@wordeck/domain'
- pgSchema('cards') → pgSchema('wordeck') (Drizzle-Schema)
- 17 Files: process.env.CARDS_* → process.env.WORDECK_*
- docker-compose Service-Names: cards-* → wordeck-*
- docker-compose Volume: /Volumes/ManaData/cards → wordeck
- env-vars in compose: CARDS_DB_PASSWORD/_API_VERSION/_DSGVO_SERVICE_KEY etc. → WORDECK_*
- Log-Prefixes + Error-Strings + manifest-id 'cards' → 'wordeck'
- CORS-Origin cardecky.mana.how → wordeck.com
- .env.production.example umbenannt + S3-Key entfernt (kein MinIO mehr)

Type-Check 0 Errors in api+domain+web, 51/51 Domain-Tests grün.

DB-Rename + Container/Volume-Rename auf mana-server folgen in nächstem
Commit nach Verzeichnis-Rename.

Co-Authored-By: Claude Opus 4.7 (1M context) <noreply@anthropic.com>

apps/api/src/middleware/auth.ts

@@ -38,7 +38,7 @@ export function tierAtLeast(have: Tier, need: Tier): boolean {
 const MANA_AUTH_URL = process.env.MANA_AUTH_URL ?? 'https://auth.mana.how';
 // Fail-secure: opt-in, nicht opt-out. Vergessene env-var ⇒ Bypass AUS.
 // Tests setzen die Variable via vitest.config.ts → tests/setup.ts.
-const ALLOW_DEV_STUB = process.env.CARDS_AUTH_DEV_STUB === 'true';
+const ALLOW_DEV_STUB = process.env.WORDECK_AUTH_DEV_STUB === 'true';
 
 let jwksCache: ReturnType<typeof createRemoteJWKSet> | null = null;
 function getJwks() {
@@ -118,7 +118,7 @@ export function getUserId(c: Context<{ Variables: AuthVars }>): string {
  * Tier-Gate für Premium-Features. Nutze als Hono-Middleware:
  *   r.post('/premium-thing', requireTier('beta'), async (c) => …)
  * Liefert 403 wenn der eingeloggte User nicht mindestens den
- * verlangten Tier hat. Aktuell auf cards-api nicht aktiv genutzt
+ * verlangten Tier hat. Aktuell auf wordeck-api nicht aktiv genutzt
  * (Cards-MVP ist tier-frei für authentifizierte User), aber das
  * Plumbing ist da für künftige Premium-Pfade (z.B. AI-Bulk-Convert).
  */

apps/api/src/middleware/service-key.ts

@@ -5,7 +5,7 @@ import type { MiddlewareHandler } from 'hono';
  * service-zu-service-Calls.
  *
  * Heute (Phase 5): vergleicht `X-Service-Key`-Header per
- * constant-time-Compare gegen `process.env.CARDS_DSGVO_SERVICE_KEY`.
+ * constant-time-Compare gegen `process.env.WORDECK_DSGVO_SERVICE_KEY`.
  *
  * Phase F-1: ersetzt durch Verifikation gegen mana-auth's
  * `apps.app_service_keys` Tabelle (caller-App = `mana-admin`).