feat: Spamschutz für Kontakt-Widget und Registrierung mit Cloudflare Turnstile

- Turnstile für Gäste und unbestätigte Konten (TurnstileVerifier,
  <x-turnstile>); ist Cloudflare nicht erreichbar, wird durchgelassen und
  im Verlauf, in der Kontakt-Queue und in der Betriebsüberwachung markiert
- Inhaltsfilter des Kontaktformulars (fremde Links, Floskel mit
  Seitentitel, Zeichensalat, Sperrliste, Absenden unter 3 Sekunden);
  Treffer landen in der Spam-Quarantäne ohne Mail, Löschung nach 30 Tagen
- Admin: Filter „Spam“, Sammelaktion, „Kein Spam“ holt die Mail nach
- Registrierung lehnt Zufallsnamen ab; users:prune-bot-registrations
  (täglicher Lauf erst mit USERS_PRUNE_BOT_REGISTRATIONS=true)
- contact-messages:quarantine-spam für den Altbestand
- CSP erlaubt challenges.cloudflare.com, Log-Kanal spam
- Datenschutzerklärung: Abschnitt 6a Cloudflare Turnstile (Vorschlag)

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

app/Models/ContactMessage.php

@@ -7,6 +7,7 @@ use App\Enums\ContactMessageTopic;
 use Database\Factories\ContactMessageFactory;
 use Illuminate\Database\Eloquent\Builder;
 use Illuminate\Database\Eloquent\Factories\HasFactory;
+use Illuminate\Database\Eloquent\MassPrunable;
 use Illuminate\Database\Eloquent\Model;
 use Illuminate\Database\Eloquent\Relations\BelongsTo;
 
@@ -21,6 +22,11 @@ class ContactMessage extends Model
     /** @use HasFactory<ContactMessageFactory> */
     use HasFactory;
 
+    use MassPrunable;
+
+    /** Tage, die Spam zur Nachprüfung in der Quarantäne bleibt. */
+    public const SPAM_RETENTION_DAYS = 30;
+
     protected $fillable = [
         'portal',
         'topic',
@@ -47,6 +53,87 @@ class ContactMessage extends Model
         ];
     }
 
+    /**
+     * Spam-Quarantäne nach Ablauf der Prüffrist löschen (model:prune).
+     *
+     * @return Builder<ContactMessage>
+     */
+    public function prunable(): Builder
+    {
+        return self::query()
+            ->where('status', ContactMessageStatus::Spam->value)
+            ->where('created_at', '<', now()->subDays(self::SPAM_RETENTION_DAYS));
+    }
+
+    public function isSpam(): bool
+    {
+        return $this->status === ContactMessageStatus::Spam;
+    }
+
+    /**
+     * In die Spam-Quarantäne legen (Admin, Sammelaktion oder Altbestand).
+     * Ein vorhandener Filtergrund bleibt erhalten.
+     */
+    public function markAsSpam(?User $by, string $reason = 'manual'): void
+    {
+        $this->update([
+            'status' => ContactMessageStatus::Spam->value,
+            'payload' => [...($this->payload ?? []), 'spam_reason' => $this->payload['spam_reason'] ?? $reason],
+            'resolved_by_user_id' => $by?->id,
+            'resolved_at' => now(),
+        ]);
+    }
+
+    /**
+     * Fehlalarm: zurück in die offene Queue. Gibt zurück, ob die Team-Mail
+     * noch aussteht: Hat der Filter die Anfrage beim Eingang abgefangen, ging
+     * keine raus — beim ersten Zurückholen wird sie nachgeholt. Von Hand
+     * markierter Spam hatte seine Mail schon.
+     */
+    public function releaseFromSpam(): bool
+    {
+        $payload = $this->payload ?? [];
+        $mailPending = isset($payload['spam_reason'])
+            && $payload['spam_reason'] !== 'manual'
+            && ! isset($payload['released_from_spam_at']);
+
+        $this->update([
+            'status' => ContactMessageStatus::Open->value,
+            'payload' => [...$payload, 'released_from_spam_at' => now()->toIso8601String()],
+            'resolved_by_user_id' => null,
+            'resolved_at' => null,
+        ]);
+
+        return $mailPending;
+    }
+
+    /**
+     * Grund der Quarantäne für die Admin-Ansicht (ContactSpamFilter).
+     */
+    public function spamReasonLabel(): ?string
+    {
+        $reason = $this->payload['spam_reason'] ?? null;
+
+        return match ($reason) {
+            null => null,
+            'link' => 'Link im Text',
+            'page_title' => 'Floskel mit Seitentitel',
+            'gibberish' => 'Zeichensalat',
+            'blacklist' => 'Begriff der Sperrliste',
+            'too_fast' => 'Zu schnell abgesendet',
+            'manual' => 'Von Hand markiert',
+            default => (string) $reason,
+        };
+    }
+
+    /**
+     * Angenommen, obwohl Cloudflare Turnstile nicht erreichbar war.
+     */
+    public function skippedBotCheck(): bool
+    {
+        return ($this->payload['bot_check'] ?? null) === 'unavailable';
+    }
+
     /**
      * Öffentliche Vorgangsnummer — analog zu Legal-Requests ("M-{id}").
      */