chore(ci): run CI on dev and point Dependabot there (#411)

* chore(dependabot): PRs gegen dev statt gegen main

main bewegt sich nur ueber Releases, Dependency-Bumps sollen dort nicht
einzeln einschlagen. Die Base einer einzelnen PR umzuhaengen reicht
dafuer nicht: Dependabot setzt sie beim naechsten Rebase wieder auf die
konfigurierte Ziel-Branch zurueck -- so sind #403, #404 und #406 trotz
Retarget auf main gelandet.

Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>

* ci: auch auf dev laufen

Der Workflow triggerte nur auf main. Sobald Dependabot und Feature-PRs
gegen dev gehen, haetten die gar keine Checks -- der Fehler faellt dann
erst beim Release-PR auf.

Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>

---------

Co-authored-by: ralksta <ralksta@users.noreply.github.com>
Co-authored-by: Claude Opus 5 (1M context) <noreply@anthropic.com>

.github/dependabot.yml

@@ -4,6 +4,11 @@ updates:
   # npm dependencies
   - package-ecosystem: 'npm'
     directory: '/'
+    # Dependency PRs open against dev, not the default branch: main only ever
+    # advances through a release. Dependabot also resets a PR's base to this
+    # value whenever it rebases, so retargeting a single PR by hand does not
+    # survive — the target has to be configured here.
+    target-branch: 'dev'
     schedule:
       interval: 'weekly'
       day: 'monday'
@@ -32,6 +37,7 @@ updates:
   # GitHub Actions
   - package-ecosystem: 'github-actions'
     directory: '/'
+    target-branch: 'dev'
     schedule:
       interval: 'weekly'
       day: 'monday'

.github/workflows/ci.yml

@@ -2,9 +2,12 @@ name: CI
 
 on:
   push:
-    branches: [main]
+    branches: [main, dev]
   pull_request:
-    branches: [main]
+    # dev is included because dependency and feature PRs target it — without
+    # it those PRs would carry no checks at all, and main would only find out
+    # at release time.
+    branches: [main, dev]
 
 # Cancel in-progress runs for the same PR / branch
 concurrency: