feat(gitsync): webhook-triggad synk + helt manuellt läge

- POST /api/git-hook: HMAC-SHA256-verifierad (X-Gitea-Signature),
  reagerar bara på pushar till live-grenen, svarar 202 och synkar async
- webhook-hemlighet genereras server-side (headless via config.json),
  roteras med gitRegenerateWebhookSecret
- auto_sync_minutes=0 + webhook av ⇒ ingen automatisk hämtning alls;
  webhook på ⇒ catch-up-synk vid uppstart (missade event)
- admin-UI: webhook-toggle, target-URL + secret med copy/rotate

Co-Authored-By: Claude Fable 5 <noreply@anthropic.com>

backend/internal/graph/server.go

@@ -53,6 +53,7 @@ func NewServer(cfg *config.Config, configPath string) http.Handler {
 	mux.HandleFunc("/graphql", s.handleGraphQL)
 	mux.HandleFunc("/health", s.handleHealth)
 	mux.HandleFunc("/api/upload", s.handleUpload)
+	mux.HandleFunc("/api/git-hook", s.handleGitWebhook)
 	mux.HandleFunc("/media/", s.handleMedia)
 	mux.HandleFunc("/auth/oidc/login", s.handleOIDCLogin)
 	mux.HandleFunc("/auth/oidc/callback", s.handleOIDCCallback)
@@ -268,6 +269,9 @@ func (s *Server) dispatchAuthenticated(
 	case strings.Contains(q, "gitResetFromRemote"):
 		s.handleGitResetFromRemote(w, sess)
 
+	case strings.Contains(q, "gitRegenerateWebhookSecret"):
+		s.handleGitRegenerateWebhookSecret(w, sess)
+
 	case strings.Contains(q, "gitRegenerateKey"):
 		s.handleGitRegenerateKey(w, sess)