Send the production deploy back through push

Production has a full pipeline in deploy-production.yml and a local shortcut
that bypasses it. Today both ran against the same commit, which made the gap
easy to read side by side: the workflow version carries `main-90f59f6b9c2c`,
the local one carries no tag at all and shows up as "Unknown (deployment)".

The tag is the smallest of the differences. The local path also skips the
four verification jobs agreeing on a scope before deploy is allowed to run,
the SHA256 manifest of the artifact, the commit-identity check at deploy
time, `d1 migrations apply`, binding the secrets to the version, and the
post-deploy health, header and live-contract checks.

`npm run production:deploy` now prints that list and exits 1. It is a sign,
not a lock — the production API token lives on this machine, so anyone typing
`wrangler deploy` by hand can still reach Cloudflare. Making it a real lock
means moving the token into Actions only, which is Samet's call.

Staging is unchanged and stays local: it has no workflow.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

Author: sametbasbug

package.json

@@ -22,6 +22,7 @@
     "worker:assets:production:live": "ORBIT_SITE_URL=https://orbit.sametbasbug.dev ORBIT_NOINDEX=false astro build --config astro.worker.config.mjs",
     "worker:bundle:production:live": "wrangler deploy --dry-run --config wrangler.production.live.jsonc --outdir dist/worker-production-live",
     "worker:build:production:live": "npm run worker:assets:production:live && npm run worker:bundle:production:live",
+    "production:deploy": "node scripts/orbit-production-deploy-guard.mjs",
     "worker:build:production:dark-launch": "ORBIT_SITE_URL=https://orbit-v6-production.samett33710.workers.dev ORBIT_NOINDEX=true astro build --config astro.worker.config.mjs && node scripts/orbit-staging-assets.mjs && wrangler deploy --dry-run --config wrangler.production.dark-launch.jsonc --outdir dist/worker-production-dark-launch",
     "worker:dev": "node scripts/orbit-local-dev.mjs",
     "d1:migrate:local": "wrangler d1 migrations apply orbit-v6-local --local",

scripts/orbit-production-deploy-guard.mjs

@@ -0,0 +1,34 @@
+/*
+ * Production'a çıkaran şey `main`'e push.
+ *
+ * Bu betik dağıtım yapmaz; dağıtım komutu arayan kişiyi doğru yola gönderir
+ * ve sıfırdan farklı bir kodla çıkar. Yerel `wrangler deploy` gerçekten
+ * çalışıyor — tehlikeli olan tam olarak bu, çünkü çalışırken atladıklarını
+ * söylemiyor.
+ *
+ * Bu bir kilit değil, bir tabela: token bu makinede durduğu sürece elle
+ * `npx wrangler deploy` yazan biri yine dağıtabilir. Kilit, token'ın yalnız
+ * Actions'ta durması olurdu.
+ */
+const message = `
+Orbit production'a push ile çıkar.
+
+  git push origin main
+
+.github/workflows/deploy-production.yml dağıtır. Yerel "wrangler deploy"
+kullanma; şunları atlıyor:
+
+  - dört doğrulama işinin bağımsız scope sınıflandırması ve mutabakatı
+  - artefaktın SHA256 manifesti ve deploy anında commit kimliği teyidi
+  - d1 migrations apply  (yerel yolda göç hiç uygulanmıyor)
+  - sırların --secrets-file ile sürüme bağlanması
+  - --tag main-<sha>  (etiketsiz sürüm hangi kodun canlıda olduğunu söylemez)
+  - dağıtım sonrası canlı sağlık, header ve contract:live doğrulaması
+
+Koşuyu izlemek için:  gh run watch <id> --exit-status
+
+Staging ayrı ve yerel:  npm run staging:deploy && npm run staging:verify
+`;
+
+process.stderr.write(`${message.trim()}\n`);
+process.exit(1);