fix: ensure redis secrets flow from vault

deployment/docs/reference/application-stack.md

@@ -24,6 +24,22 @@ CI/CD Pipeline (Gitea Actions)
 4. Application Stack aktualisieren
 ```
 
+### Secret Handling für Redis
+
+- Die Redis-Zugangsdaten liegen verschlüsselt in `deployment/ansible/secrets/production.vault.yml`
+  unter dem Schlüssel `vault_redis_password`.
+- Die Application-Rolle (`roles/application/tasks/sync.yml`) bricht den Deploy ab,
+  wenn kein Passwort aus dem Vault oder via `-e redis_password=...` vorhanden ist.
+- Während des Deployments wird das Passwort in `stacks/application/.env` geschrieben
+  und steht damit allen PHP-Containern über `REDIS_PASSWORD` zur Verfügung.
+- Docker Secrets mit `REDIS_PASSWORD_FILE` werden weiterhin unterstützt, da der
+  Entry-Point das Secret lädt bevor PHP-FPM startet.
+- Das `APP_KEY` stammt ebenfalls aus dem Vault (`vault_app_key`); der Deploy
+  stoppt, falls kein Schlüssel hinterlegt ist.
+- Weitere sicherheitskritische Variablen (z. B. `VAULT_ENCRYPTION_KEY`) werden
+  aus dem Vault übernommen und in die generierte `.env` geschrieben, damit die
+  Container-Konfiguration 1:1 mit dem Projekt-Template übereinstimmt.
+
 ---
 
 ## Detaillierter Ablauf