B2in Interior: Relaunch der Website, Kernmarken-CMS und Terminanfrage

Umsetzung von AP0-AP6 aus dev/2026-08-28/entwicklungsplan.md sowie der
vorab gefundenen Befunde T1 und B1-B13.

Befunde
- CmsContentSeeder überschrieb bei jedem Lauf alle redaktionellen Inhalte;
  jetzt Redaktionsschutz plus gezielter Relaunch-Seeder (B1)
- Magazin-CMS war nicht ans Frontend angebunden, Artikel jetzt über Slugs
  mit 301 von den alten numerischen URLs (B2)
- Vier veröffentlichte Display-Playlists zeigten auf b2in.test und wären
  live nicht ladbar gewesen (B13)
- Info-Tablet speicherte geleerte Öffnungszeiten nicht (T1)
- /service und /portfolio lieferten seit Februar 500 (B12)

Website
- Startseite neu strukturiert und umgetextet, eigene Seite /marken mit
  Detailseite je Kernmarke, /netzwerk und Altrouten leiten dorthin
- Galerie je Marke, getrennt nach realisierten Projekten und
  Visualisierungen; ohne gesetzte Kategorie gilt ein Bild als Entwurf
- Seite /referenzen, gespeist aus den Markengalerien
- Showroom-Display im 9:16-Rahmen über eine schreibgeschützte Embed-Route
  ohne Preview-Token
- Terminanfrage-Widget auf allen Seiten, Markenauswahl aus dem CMS,
  WhatsApp per Klick-zum-Chat-Link mit vorbereitetem Text
- FAQ, Über-uns, Kontakt und Magazin inhaltlich auf Interior umgestellt

Sonstiges
- Vorschau-Instanzen liefern noindex und verlinken sich bei unbekanntem
  Host auf sich selbst statt auf eine fremde Domain
- Seeder-Zugangsdaten aus dem Code in die Konfiguration (B8)
- Ablauf für die Vorschau: dev/2026-08-28/preview-deployment.md

833 Tests grün (3084 Assertions), Pint sauber.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

app/Http/Controllers/DisplayEmbedController.php

@@ -0,0 +1,34 @@
+<?php
+
+namespace App\Http\Controllers;
+
+use App\Models\Display;
+use Symfony\Component\HttpFoundation\BinaryFileResponse;
+
+/**
+ * Öffentliche, schreibgeschützte Einbettung eines Displays auf der Website.
+ *
+ * Bewusst getrennt von {@see \App\Http\Controllers\Api\DisplayPreviewController}: Die
+ * Preview-Routen arbeiten mit `preview_token` und zeigen den **Entwurf**. Nach außen darf weder
+ * ein Token noch ein unveröffentlichter Stand gelangen. Diese Route kennt nur die numerische ID
+ * und liefert ausschließlich veröffentlichte Playlists aktiver Displays.
+ */
+class DisplayEmbedController extends Controller
+{
+    public function show(Display $display): BinaryFileResponse
+    {
+        abort_unless($display->is_active, 404);
+
+        $playlist = $display->livePlaylist()->withCount('modules')->first();
+
+        abort_if($playlist === null || $playlist->modules_count === 0, 404);
+
+        // Der Player liest die ID aus dem Pfad (/display/{id}) und holt sich die Konfiguration
+        // über die öffentliche Route /api/display/{display}/config – dieselbe Quelle wie das
+        // physische Display. Keine doppelte Pflege.
+        return response()->file(public_path('_cabinet/display/index.html'), [
+            'Cache-Control' => 'no-cache, must-revalidate',
+            'X-Robots-Tag' => 'noindex',
+        ]);
+    }
+}