security: Host-Whitelist & Legacy-API-Key-Übergabe härten (H5, M11)

- trustHosts erlaubt nur die konfigurierten Domains (plus localhost/IP
  für Health-Checks) und verwirft fremde Host-Header, sodass
  X-Forwarded-Host keine URL-Generierung mehr vergiften kann (H5).
- Legacy-API-Keys nur noch per Header (Bearer/X-ApiKey); die alte
  Query-/Body-Übergabe wird nicht mehr zur Auth akzeptiert, erhält aber
  weiterhin den 410-Migrationshinweis statt eines opaken 401 (M11).

Co-Authored-By: Claude Fable 5 <noreply@anthropic.com>

bootstrap/app.php

@@ -83,6 +83,36 @@ return Application::configure(basePath: dirname(__DIR__))
                 Request::HEADER_X_FORWARDED_PORT |
                 Request::HEADER_X_FORWARDED_PROTO
         );
+
+        // Host-Whitelist: Da allen Proxies inkl. X-Forwarded-Host vertraut wird,
+        // muss die App fremde Host-Header verwerfen — sonst kann ein Client per
+        // X-Forwarded-Host die URL-Generierung vergiften (Passwort-Reset-/Verify-
+        // Mails, signierte Links, Cache-Poisoning). Nur die konfigurierten
+        // Domains (und deren Subdomains) sowie lokale Aufrufe (Health-Checks per
+        // localhost/IP) sind zulässig. Laravel erzwingt dies nur außerhalb von
+        // `local`/Tests (siehe TrustHosts::shouldSpecifyTrustedHosts).
+        $middleware->trustHosts(at: function (): array {
+            $domainPatterns = array_map(
+                static fn (string $host): string => '^(.+\.)?'.preg_quote($host, '#').'$',
+                array_filter([
+                    config('domains.domain_portal'),
+                    config('domains.domain_presseecho'),
+                    config('domains.domain_businessportal'),
+                ], static fn (?string $host): bool => $host !== null && $host !== ''),
+            );
+
+            // Health-Checks/Uptime-Monitore erreichen den Container oft per
+            // localhost oder direkter IP (kein DNS-Name) — diese dürfen keinen
+            // 400 bekommen. Ein IP-/localhost-Host kann keine Phishing-Domain in
+            // signierte Links schleusen, daher unbedenklich.
+            $localPatterns = [
+                '^localhost$',
+                '^\d{1,3}(\.\d{1,3}){3}$',
+                '^\[?[0-9a-fA-F:]+\]?$',
+            ];
+
+            return array_values(array_merge($domainPatterns, $localPatterns));
+        }, subdomains: false);
     })
     ->withExceptions(function (Exceptions $exceptions) {
         //