fix: harden Nexus runtime health and rollback

docs/architecture-board-first-orchestration.md

@@ -68,8 +68,8 @@ Ansatz. Das Backend fungiert bereits als sichere Schicht zwischen allen Akteuren
 │                                                                   │
 │  ALLE Gateway-Calls → Authorization: Bearer <Gateway-Password>   │
 └──────────────┬──────────────────────────────┬────────────────────┘
-               │ host.docker.internal:18789    │
-               │ (Gateway loopback/lan)        │
+               │ openclaw-gateway-bao:18789    │
+               │ (internes Docker-DNS)         │
                ▼                               │
 ┌──────────────────────────────┐              │
 │ OpenClaw Gateway Container    │              │
@@ -199,7 +199,7 @@ Ebene 4: X-Agent-Id Header (Agent-Identität für Task-State-Enforcement)
 ```
 POST /api/v1/operations/snapshot
   → DashboardService → OpenClawGatewayClient.InvokeToolAsync()
-    → POST http://host.docker.internal:18789/tools/invoke
+    → POST http://openclaw-gateway-bao:18789/tools/invoke
        Authorization: Bearer <Gateway-Password>
 ```
 
@@ -220,7 +220,7 @@ POST /api/v1/operations/snapshot
 
 ### 5.2 Docker-Netzwerk & Gateway-Bind
 
-**Aktuelles Problem:**
+**Aktueller Stand (2026-07-09):**
 ```
 compose.yaml:
   api:
@@ -228,32 +228,27 @@ compose.yaml:
       - host.docker.internal:host-gateway
     networks:
       - nexus
-      - openclaw_default  ← API-Container ist im Gateway-Netzwerk
+      - openclaw_default
 
 Gateway-Konfiguration:
-  gateway.bind: "loopback"  ← Bindet nur 127.0.0.1 IM GATEWAY-CONTAINER
+  gateway.bind: "lan"
+
+Nexus-Konfiguration:
+  OPENCLAW_BASE_URL=http://openclaw-gateway-bao:18789
 ```
 
 **Ergebnis:**
-- `host.docker.internal:18789` funktioniert, weil `extra_hosts` auf den Docker-Host zeigt
-- ABER: Docker-Port-Forward (wenn vorhanden) sendet an Container-IP, nicht loopback
-- Die `openclaw_default` Netzwerk-Mitgliedschaft des API-Containers wird NICHT genutzt
+- Nexus erreicht das Gateway direkt über Docker-DNS im gemeinsamen `openclaw_default`-Netz.
+- Der Umweg über einen nicht veröffentlichten Host-Port entfällt.
+- Der produktive Aggregat-Healthcheck prüft neben PostgreSQL auch die Runtime-Verbindung.
 
-**Empfehlung (siehe gateway-api-research.md, Abschnitt 6):**
-```json5
-// openclaw.json
-{
-  gateway: {
-    bind: "lan"  // war "loopback"
-  }
-}
-```
+Der frühere Pfad `host.docker.internal:18789` war auf dem VPS nicht erreichbar und ist obsolet.
 
-Alternativ: API-Container über Gateway-Container-Namen ansprechen:
+Produktive Einstellung:
 ```yaml
-Integrations__OpenClaw__BaseUrl: http://openclaw_gateway:18789
+Integrations__OpenClaw__BaseUrl: http://openclaw-gateway-bao:18789
 ```
-(Vorausgesetzt der Gateway-Container heißt `openclaw_gateway` und ist im `openclaw_default` Netzwerk)
+Beide Container müssen Mitglied im `openclaw_default`-Netzwerk sein.
 
 ### 5.3 MCP-artige Integration: Bewertung