feat: Spamschutz für Kontakt-Widget und Registrierung mit Cloudflare Turnstile

- Turnstile für Gäste und unbestätigte Konten (TurnstileVerifier,
  <x-turnstile>); ist Cloudflare nicht erreichbar, wird durchgelassen und
  im Verlauf, in der Kontakt-Queue und in der Betriebsüberwachung markiert
- Inhaltsfilter des Kontaktformulars (fremde Links, Floskel mit
  Seitentitel, Zeichensalat, Sperrliste, Absenden unter 3 Sekunden);
  Treffer landen in der Spam-Quarantäne ohne Mail, Löschung nach 30 Tagen
- Admin: Filter „Spam“, Sammelaktion, „Kein Spam“ holt die Mail nach
- Registrierung lehnt Zufallsnamen ab; users:prune-bot-registrations
  (täglicher Lauf erst mit USERS_PRUNE_BOT_REGISTRATIONS=true)
- contact-messages:quarantine-spam für den Altbestand
- CSP erlaubt challenges.cloudflare.com, Log-Kanal spam
- Datenschutzerklärung: Abschnitt 6a Cloudflare Turnstile (Vorschlag)

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

app/Enums/BotCheckStatus.php

@@ -0,0 +1,27 @@
+<?php
+
+namespace App\Enums;
+
+/**
+ * Ergebnis der Bot-Prüfung (Cloudflare Turnstile) eines öffentlichen
+ * Formulars, siehe TurnstileVerifier.
+ */
+enum BotCheckStatus: string
+{
+    /** Cloudflare hat den Menschen bestätigt. */
+    case Passed = 'passed';
+
+    /** Token fehlt, ist ungültig, abgelaufen oder gehört zu einem anderen Formular. */
+    case Failed = 'failed';
+
+    /** Cloudflare war nicht erreichbar — durchgelassen und zur Nachprüfung markiert. */
+    case Unavailable = 'unavailable';
+
+    /** Prüfung abgeschaltet (keine Keys, z. B. in Tests). */
+    case Skipped = 'skipped';
+
+    public function blocks(): bool
+    {
+        return $this === self::Failed;
+    }
+}