feat: Spamschutz für Kontakt-Widget und Registrierung mit Cloudflare Turnstile

- Turnstile für Gäste und unbestätigte Konten (TurnstileVerifier,
  <x-turnstile>); ist Cloudflare nicht erreichbar, wird durchgelassen und
  im Verlauf, in der Kontakt-Queue und in der Betriebsüberwachung markiert
- Inhaltsfilter des Kontaktformulars (fremde Links, Floskel mit
  Seitentitel, Zeichensalat, Sperrliste, Absenden unter 3 Sekunden);
  Treffer landen in der Spam-Quarantäne ohne Mail, Löschung nach 30 Tagen
- Admin: Filter „Spam“, Sammelaktion, „Kein Spam“ holt die Mail nach
- Registrierung lehnt Zufallsnamen ab; users:prune-bot-registrations
  (täglicher Lauf erst mit USERS_PRUNE_BOT_REGISTRATIONS=true)
- contact-messages:quarantine-spam für den Altbestand
- CSP erlaubt challenges.cloudflare.com, Log-Kanal spam
- Datenschutzerklärung: Abschnitt 6a Cloudflare Turnstile (Vorschlag)

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

tests/Feature/Admin/SystemHealthTest.php

@@ -1,9 +1,11 @@
 <?php
 
+use App\Enums\ActivityType;
 use App\Enums\Portal;
 use App\Models\PressRelease;
 use App\Models\PressReleaseImage;
 use App\Models\User;
+use App\Services\ActivityLog;
 use App\Services\Admin\AdminSystemHealth;
 use Database\Seeders\RolesAndPermissionsSeeder;
 use Illuminate\Support\Facades\DB;
@@ -149,3 +151,31 @@ test('snapshot reports imagick as ok when it is loaded', function () {
 
     expect($checks['imagick']['status'])->toBe(class_exists(Imagick::class) ? 'ok' : 'warn');
 });
+
+test('snapshot warns in production when the turnstile keys are missing', function () {
+    app()->instance('env', 'production');
+
+    $checks = collect(app(AdminSystemHealth::class)->snapshot()['checks'])->keyBy('key');
+
+    expect($checks['turnstile']['status'])->toBe('warn')
+        ->and($checks['turnstile']['detail'])->toContain('TURNSTILE_SITE_KEY');
+
+    config()->set('services.turnstile.site_key', '0x4AAAAAAAsitekey');
+    config()->set('services.turnstile.secret_key', '0x4AAAAAAAsecret');
+
+    $checks = collect(app(AdminSystemHealth::class)->snapshot()['checks'])->keyBy('key');
+
+    expect($checks['turnstile']['status'])->toBe('ok');
+});
+
+test('snapshot asks to review forms accepted without bot check', function () {
+    $checks = collect(app(AdminSystemHealth::class)->snapshot()['checks'])->keyBy('key');
+    expect($checks['bot_check_unavailable']['status'])->toBe('ok');
+
+    app(ActivityLog::class)->record(ActivityType::BotCheckUnavailable, 'Kontaktanfrage KT-1 ohne Bot-Prüfung angenommen.');
+
+    $checks = collect(app(AdminSystemHealth::class)->snapshot()['checks'])->keyBy('key');
+
+    expect($checks['bot_check_unavailable']['status'])->toBe('warn')
+        ->and($checks['bot_check_unavailable']['detail'])->toContain('1 Formular(e)');
+});