Gib km die interne Root-CA mit

Ohne das CA-Bündel des Wirts scheitert jeder Aufruf an git.home an
CERTIFICATE_VERIFY_FAILED, weil requests sein eigenes Bündel benutzt.

Co-Authored-By: Claude Fable 5.1 <noreply@anthropic.com>

deploy/compose.yml

@@ -45,8 +45,14 @@ services:
       KM_EMBED: ${KM_EMBED:-0}
       KM_OLLAMA_URL: ${KM_OLLAMA_URL:-http://10.18.5.30:11434}
       KM_PORT: "8390"
+      # requests bringt ein eigenes CA-Bündel mit (certifi) und kennt die
+      # interne CA (acme.lan) nicht -- ohne diese Zeile scheitert jeder
+      # Aufruf an git.home mit CERTIFICATE_VERIFY_FAILED (hive.home, 04.09.).
+      REQUESTS_CA_BUNDLE: /etc/ssl/certs/ca-certificates.crt
     volumes:
       - /srv/km/data:/data
+      # CA-Bündel des Wirts, inklusive interner Root-CA -- wie bei caddy
+      - /etc/ssl/certs/ca-certificates.crt:/etc/ssl/certs/ca-certificates.crt:ro
 
   silverbullet:
     image: ghcr.io/silverbulletmd/silverbullet:v2