chore(qm): G-4 を DEV 正本に移行、Public は gitleaks のみ（QM 2.2 §3.4）

- dependabot.yml / dependency-scan.yml を削除
- .gitleaks.toml を追加（G-5）
- gitleaks.yml / track-downloads.yml は維持

Author: 6EFB0D

.github/dependabot.yml

@@ -0,0 +1,20 @@
+# gitleaks 設定 — pdf-handler（QM 2.2 §3.2 / G-5 と整合）
+#
+# 方針:
+# - service_role・sk_live 等は許可しない。
+# - 以下は (1) ドキュメント上のプレースホルダ・サンプル、(2) 開発用 anon のスクリプト直書き（履歴に残存）
+#   に対する一時的な path allowlist。許可範囲を広げすぎないこと。
+# CAPA: run-dev / build-release を Secrets.local.ps1 のみに寄せ、allowlist を縮小する。
+
+title = "pdf-handler"
+
+[allowlist]
+paths = [
+  '''scripts/run-dev.ps1''',
+  '''scripts/build-release.ps1''',
+  '''docs/testing/license-file-helper.md''',
+  '''docs/operations/07_admin-functions-setup.md''',
+  '''docs/supabase-setup/05_environment-variables.md''',
+  # DEV anon（公開可能）キーを説明目的で記載しているドキュメント
+  '''docs/supabase-setup/06_security-setup-guide.md''',
+]