ci: snapshot-step nach publish + output als artifact

Etappe 3 des prerender-snapshot-plans (variante 1: minimal — kein
neuer workflow, deploy bleibt manuell via scripts/deploy-svelte.sh):

- 'Snapshot'-step laeuft nach publish, ruft deno-snapshot-cli auf
- output (index.json + posts/*.json + .last-snapshot.json) wird als
  github-actions-artifact fuer 30 tage aufgehoben — debug-pfad falls
  ein deploy-bug nachvollzogen werden muss
- AUTHOR_PUBKEY_HEX + BOOTSTRAP_RELAY werden aus existierenden secrets
  uebernommen, keine neuen secrets noetig

Reihenfolge "publish dann snapshot": neue events muessen erst auf den
relays sein, bevor sie gesnapshottet werden koennen. Bei publish-fail
laeuft snapshot nicht — gewollt, weil unklarer relay-stand zu
fehlerhaftem snapshot-output fuehren wuerde.

Co-Authored-By: Claude Opus 4.7 (1M context) <noreply@anthropic.com>

.github/workflows/publish.yml

@@ -55,3 +55,18 @@ jobs:
           name: publish-log
           path: ./publish/logs/publish-*.json
           retention-days: 30
+
+      - name: Snapshot
+        working-directory: ./snapshot
+        env:
+          AUTHOR_PUBKEY_HEX: ${{ secrets.AUTHOR_PUBKEY_HEX }}
+          BOOTSTRAP_RELAY: ${{ secrets.BOOTSTRAP_RELAY }}
+        run: |
+          deno run --allow-env --allow-read --allow-write --allow-net src/cli.ts
+
+      - uses: actions/upload-artifact@v4
+        if: always()
+        with:
+          name: snapshot-output
+          path: ./snapshot/output/
+          retention-days: 30