feat(runme): integrar Runme como sidecar de documentación ejecutable

Agrega RUNBOOK.md y runbooks/ (fuera de content/, para no interferir con
la publicación de Zola), con reglas de nombres/etiquetas/aislamiento de
celdas mutantes verificadas por clusterlog validate. Instalación pinneada
a v3.17.4 con checksum verificado (scripts/runme-install.sh), un job de
CI separado (.gitea/workflows/ci.yml) que sólo corre celdas ci-safe, y la
decisión documentada en docs/adr/0004-runme-sidecar.md y docs/RUNME.md.

Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>

.gitea/workflows/ci.yml

@@ -76,3 +76,33 @@ jobs:
 
       - name: Fin del pipeline
         run: echo "listo"
+
+  runme:
+    runs-on: ubuntu-latest
+    permissions:
+      contents: read
+    env:
+      DO_NOT_TRACK: "true"
+      SCARF_NO_ANALYTICS: "true"
+    steps:
+      - uses: actions/checkout@v4
+
+      - uses: actions/setup-go@v5
+        with:
+          go-version-file: go.mod
+          cache: true
+
+      - name: Compilar CLI
+        run: make build
+
+      - name: Instalar Runme fijado (v3.17.4, checksum verificado)
+        run: make runme-install
+
+      - name: Exponer runme en PATH
+        run: echo "$HOME/.local/bin" >> "$GITHUB_PATH"
+
+      - name: Reglas de clusterlog validate sobre los runbooks
+        run: make runme-check
+
+      - name: Ejecutar celdas ci-safe de RUNBOOK.md
+        run: make runme-ci