s1: autodeploy+auto-merge con flock compartido (versionados) + guard de workflow

- Incidente 02:06:29Z: el rollback del autodeploy (git reset --hard $OLD)
  pisó la rama e2-fuentes-y-sellos porque el árbol cambió de branch a mitad
  de deploy. Causa: ninguna exclusión mutua entre autodeploy, auto-merger y
  ops manuales sobre los mismos árboles.
- Lock: /run/lock/cayce-git-ops.lock (tmpfiles.d, 0664 root:ubuntu).
  autodeploy flock -n (salta ciclo), auto-merge flock -w 240 (espera).
- Guard en ci.yml: un job cuyo workspace caiga bajo /srv/* revienta.

.gitea/workflows/ci.yml

@@ -15,6 +15,12 @@ jobs:
       run:
         shell: bash --noprofile --norc -eo pipefail {0}
     steps:
+      - name: "r31 guard: CI nunca opera en /srv/*"
+        run: |
+          case "$PWD" in
+            /srv/*) echo "VIOLACION: workspace de CI en $PWD"; exit 1 ;;
+            *) echo "workspace OK: $PWD" ;;
+          esac
       - uses: actions/checkout@v4
         with:
           fetch-depth: 1