Spamschutz Kontakt + Registrierung: Turnstile, Rate-Limit, Honeypot; Passwort min. 8

- Kontaktformular: keine Mail mehr an die eingegebene Adresse (wurde als
  Spam-Versender missbraucht); Anfrage nur an Kontakt-Adresse + Berater (BCC),
  Reply-To = Absender; Eingaben in der Mail escaped
- Kontakt + Registrierung: Cloudflare Turnstile statt reCAPTCHA (Schluessel
  aus dem Code in die .env), Rate-Limits, Honeypot + Mindest-Ausfuellzeit,
  Namensregel (lateinische Schrift, max. 50 Zeichen), Form Requests
- Registrierung: Partner-Nummer nur fuer aktive Berater (vorher ungeprueft)
- CRM: POST /register abgeschaltet (legte ohne Captcha Benutzer an)
- Passwort-Mindestlaenge systemweit 8 Zeichen ueber Password::defaults()
- Log abgefangener Anfragen: storage/logs/form-spam-*.log
- Doku und Protokoll: dev/2026-10-09-spam/README.md

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

config/logging.php

@@ -96,6 +96,13 @@ return [
             'level' => env('LOG_LEVEL', 'info'),
             'days' => 30,
         ],
+        // Abgefangene Anfragen aus Kontakt- und Registrierungsformular (ohne Freitext)
+        'form_spam' => [
+            'driver' => 'daily',
+            'path' => storage_path('logs/form-spam.log'),
+            'level' => 'info',
+            'days' => 30,
+        ],
         'stack' => [
             'driver' => 'stack',
             'channels' => ['single'],

config/services.php

@@ -37,6 +37,12 @@ return [
         'secret' => env('STRIPE_SECRET'),
     ],
 
+    // Cloudflare Turnstile (kostenloses Captcha) für das Kontaktformular
+    'turnstile' => [
+        'site_key' => env('TURNSTILE_SITE_KEY'),
+        'secret_key' => env('TURNSTILE_SECRET_KEY'),
+    ],
+
     'vies' => [
         'enabled' => env('VIES_ENABLED', true),
         'timeout' => env('VIES_TIMEOUT', 10),