Release-script controleert registry-login en origin vóór de build

De release strandde pas na een volledige multi-arch build op
"401 Unauthorized" van de registry, en bleef daarvoor minuten hangen op een
SSH-wachtwoordprompt bij de tag-controle. Beide checks staan nu vooraan.

- Stap 1 heet nu "Controles (tags + registry-login)" en test achtereenvolgens:
  bestaat de tag al lokaal, is origin bereikbaar, bestaat de tag al op origin,
  bestaat het image al, en is er een geldige registry-login
- Registry-login: wanneer REGISTRY_USER en REGISTRY_TOKEN (of GITEA_TOKEN)
  gezet zijn logt het script zelf in via --password-stdin, anders stopt het met
  instructies. dev.ps1 push doet dezelfde controle
- Git draait met GIT_SSH_COMMAND="ssh -o BatchMode=yes -o ConnectTimeout=10",
  dus geen hangende prompts meer; bij geen toegang een uitleg met het
  https-alternatief
- Scripts eindigen expliciet met exit 0 (anders lekt de exitcode van het
  laatste docker-commando door), en een -DryRun meldt in de slotregel dat er
  niets is gepubliceerd
- BEHEER.md: registry-login met token en de REGISTRY_USER/REGISTRY_TOKEN route

Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>

BEHEER.md

@@ -274,11 +274,34 @@ Tags:
   x.x.x-dev       development — specifieke dev versie
 ```
 
-Inloggen op registry:
+Inloggen op de registry:
+
 ```bash
 docker login vibehoogie.duckdns.org
 ```
 
+Gebruikersnaam is je Gitea-account, wachtwoord een **access token** met scope
+`write:package` (Gitea → Settings → Applications → Generate New Token). Zonder
+login faalt een push met `401 Unauthorized`; `release.ps1` en `dev.ps1 push`
+controleren dit vóór de build en stoppen dan meteen.
+
+Liever niet handmatig inloggen? Zet deze variabelen, dan logt het script zelf in:
+
+```powershell
+$env:REGISTRY_USER  = "<gitea-gebruiker>"
+$env:REGISTRY_TOKEN = "<gitea-token met write:package>"
+```
+
+Twee valkuilen: log in op `vibehoogie.duckdns.org` **zonder** `:3000` (dat is een
+aparte sleutel in de credential store), en doe het als dezelfde Windows-gebruiker
+in dezelfde shell — Docker-credentials zijn per gebruikersprofiel.
+
+Controleren wat er is opgeslagen:
+
+```powershell
+docker-credential-desktop list
+```
+
 ---
 
 ## Update-notificaties