feat: Spamschutz für Kontakt-Widget und Registrierung mit Cloudflare Turnstile

- Turnstile für Gäste und unbestätigte Konten (TurnstileVerifier,
  <x-turnstile>); ist Cloudflare nicht erreichbar, wird durchgelassen und
  im Verlauf, in der Kontakt-Queue und in der Betriebsüberwachung markiert
- Inhaltsfilter des Kontaktformulars (fremde Links, Floskel mit
  Seitentitel, Zeichensalat, Sperrliste, Absenden unter 3 Sekunden);
  Treffer landen in der Spam-Quarantäne ohne Mail, Löschung nach 30 Tagen
- Admin: Filter „Spam“, Sammelaktion, „Kein Spam“ holt die Mail nach
- Registrierung lehnt Zufallsnamen ab; users:prune-bot-registrations
  (täglicher Lauf erst mit USERS_PRUNE_BOT_REGISTRATIONS=true)
- contact-messages:quarantine-spam für den Altbestand
- CSP erlaubt challenges.cloudflare.com, Log-Kanal spam
- Datenschutzerklärung: Abschnitt 6a Cloudflare Turnstile (Vorschlag)

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

config/auth.php

@@ -147,4 +147,21 @@ return [
         'password' => env('BASIC_AUTH_PASSWORD'),
     ],
 
+    /*
+    |--------------------------------------------------------------------------
+    | Bot-Registrierungen aufräumen (Spamschutz B4)
+    |--------------------------------------------------------------------------
+    |
+    | `users:prune-bot-registrations` löscht über das Formular angelegte
+    | Konten, die nach `after_days` weder bestätigt noch genutzt wurden.
+    | Der tägliche Lauf ist aus, bis der Probelauf (--dry-run) auf Live
+    | geprüft ist; Altkonten aus dem Legacy-Import sind nie betroffen.
+    |
+    */
+
+    'prune_bot_registrations' => [
+        'enabled' => (bool) env('USERS_PRUNE_BOT_REGISTRATIONS', false),
+        'after_days' => 14,
+    ],
+
 ];