name: Renovate

on:
  schedule:
    - cron: '0 3 * * *'
  workflow_dispatch:

jobs:
  renovate:
    runs-on: ubuntu-latest
    steps:
      - name: Checkout Repository
        uses: actions/checkout@v4

      - name: Run Renovate
        uses: docker://renovate/renovate:43@sha256:459b7e28aa54fa2fa7db83df6a2d6ad26de416a054ee554e7833203adf3d9a47
        env:
          RENOVATE_PLATFORM: 'gitea'
          RENOVATE_ENDPOINT: 'https://humocs-man.duckdns.org/api/v1'
          RENOVATE_TOKEN: ${{ secrets.RENOVATE_TOKEN }}
          RENOVATE_REQUIRE_CONFIG: 'required'
          RENOVATE_REPOSITORIES: ${{ github.repository }}

          # HIER DIE KORREKTUR:
          # 1. Wir übergeben KEIN fehlerhaftes GITHUB_COM_TOKEN mehr.
          # 2. Wir zwingen Renovate, für github.com absolut keine Credentials zu senden:
          RENOVATE_HOST_RULES: '[{"hostType": "github", "matchHost": "github.com", "token": null}]'

          # 3. Changelogs aus, um API-Abfragen drastisch zu minimieren (schützt vor IP-Rate-Limits)
          RENOVATE_FETCH_CHANGELOGS: 'off'
          RENOVATE_REPOSITORY_CACHE: 'enabled'