merge: integrate messaging R2 polling producer

# Conflicts:
#	docs/superpowers/specs/2026-07-28-messaging-production-capability-design.md
#	src/app-bootstrap/gradle.lockfile
#	src/app-bootstrap/src/test/java/dev/caskeleton/bootstrap/architecture/ArchitectureViolationFixtureTest.java
#	src/build.gradle

src/app-bootstrap/README.md

@@ -834,6 +834,23 @@ app-bootstrap 은 합성 루트라 "왜 이 의존성이, 왜 이 scope 로" 결
   BOM 이 관리.
 - **`spring-security-test`** — `@WithMockUser`로 actuator 보안 인가(permit-all 프로브 / authenticated
   loggers / loggers 쓰기 거부)를 검증한다.
+- **`snakeyaml`** — `config/messaging/*.yaml`의 first polling-producer tuple, closed maturity,
+  wildcard-free compatibility, evidence task/scenario/runbook 선언을
+  `MessagingCapabilityRegistryContractTest`가 읽어 검증한다. 이 레지스트리는 런타임 설정이 아니며
+  모든 card가 `not-implemented`인 동안 R2나 release-ready를 뜻하지 않는다.
+
+### Messaging qualification scaffold
+
+`config/messaging/`은 first polling-producer tuple의 machine-readable 계획 truth만 보관한다.
+현재 card 11개는 모두 `maturity: not-implemented`, `evidenceFingerprint: ""`이고 consumer,
+CDC, EOS, schema-registry 확장 row는 없다. Task 6의 `verifyMessagingJsonSchemaV1`과
+`verifyMessagingContracts`는 exact qualification test와 test/build 전용 Draft 2020-12 manifest
+validator를 실행한다. combined task는 JSON-only task/validator에 명시적으로 의존하므로 CLI 순서와
+무관하게 shared `contracts-schema/manifest.json`의 최종 소유자가 된다. 나머지 `verifyMessaging*`
+root task는 후속 owner test와 payload-free evidence validator가 구현되기 전까지 공통 fail-closed
+guard에서 반드시 non-zero로 종료한다. 파일 존재, SKIP, 오래된 evidence, 다른 source digest 또는
+다른 profile hash를 PASS로 취급하지 않는다. 이 scaffold는 broker client, scheduler, thread,
+network 또는 다른 런타임 resource를 생성하지 않는다.
 
 ### ArchUnit "violation-as-data" fixture 의존성 (test 컴파일러 전용)
 ArchUnit 규칙이 **금지**하는 타입을 fixture 가 일부러 import 해서, 규칙이 실제로 그 위반을 잡는지