web/seo: Änderungsdatum unabhängig von Aufrufen, EN-URLs in Sitemap und Legacy-API, signierte Bounce-Referenz, Merge/Canonical konsistent (Umsetzungsaudit 29.09.: R-02 bis R-11, N17, N18, OPT-1, OPT-2; 02.10.: O01)

- R-02/K-03: Aufrufaggregation und Merge ändern updated_at nicht mehr; neue
  Spalte press_releases.content_changed_at (INSTANT), contentModifiedAt()
  für Sitemap-lastmod, dateModified und article:modified_time
- R-03: Sitemap und Legacy-view_url mit /en/ für englische Meldungen
- R-04/O01: X-Pk-Ref je Empfänger per HMAC signiert; auf eine Sperre zählt —
  hart wie weich — nur ein gültig signierter Rückläufer, unsignierte
  standardmäßig nur zur Sichtung (BOUNCE_UNSIGNED_KIND=policy)
- R-05/R-06: Unmerge setzt nur unveränderte Füllwerte zurück
  (company_merge_moves.merged_value), Canonical-Neubewertung nach Merge und
  Unmerge, assignAll setzt veraltete Verweise zurück
- R-07 bis R-11: Crawler zählen nicht als Aufruf, Mail-Klick gedrosselt und
  verzögert geschrieben, Claim-Zähler erst nach Versand, email_bounces nach
  395 Tagen gelöscht, Canonical-Portal über Kategorie-ID, llms-Cache geleert,
  Feed-Teaser ohne Doppel-Escaping, Merge-Ketten aufgelöst
- N17/N18: kein falsches „gelistet seit", Rollen im Indexbericht wie Sitemap
- OPT-1/OPT-2: topFeeds in SQL, purge-events löscht nach Grenz-ID

Enthält aus PressRelease.php auch die Card-Bild-Helfer (B-01) und
wasEverPublished()/neverPublished() (A-05), weil die Datei ungeteilt
committet ist.

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

config/bounces.php

@@ -14,7 +14,8 @@ return [
     |
     | reference_header: Eigener Header je Mail (z. B. `pm:123:company:456`).
     | Ein DSN bringt die Original-Header zurück; damit ordnet der Parser den
-    | Rückläufer dem Datensatz zu, ohne aus dem Fließtext zu raten.
+    | Rückläufer dem Datensatz zu, ohne aus dem Fließtext zu raten. Das Gate
+    | hängt je Empfänger eine Signatur an (`; s=…`, BounceReference).
     |
     | soft: Weiche Bounces (4.x.x, delayed) sperren erst ab `threshold`
     | Ereignissen innerhalb von `window_days`.
@@ -30,6 +31,24 @@ return [
 
     'reference_header' => 'X-Pk-Ref',
 
+    // Umsetzungsaudit 29.09.2026, R-04: Das Gate signiert X-Pk-Ref je
+    // Empfänger (HMAC). Ein harter Bounce sperrt nur mit gültiger Signatur
+    // für genau diese Adresse. Leer = aus APP_KEY abgeleitet.
+    'signing_key' => env('BOUNCE_SIGNING_KEY'),
+
+    // Bounce OHNE Signatur (vor der Umstellung versendet, Freitext-Bericht
+    // des Relays), hart wie weich: `policy` nur protokollieren (Standard,
+    // zur Sichtung im Admin), `soft` zählt auf den Schwellwert — dann sperren
+    // drei gefälschte Berichte in sieben Tagen jede Adresse. Hart wird ein
+    // unsignierter Bericht nie (Umsetzungsaudit 02.10.2026, O01).
+    'unsigned_kind' => env('BOUNCE_UNSIGNED_KIND', 'policy'),
+
+    // Aufbewahrung der Rückläufer-Ereignisse (`email_bounces`: Adresse,
+    // Diagnosetext, Referenz) — Umsetzungsaudit 29.09.2026, R-10. Gelöscht
+    // von `conversion:purge-events`; 395 Tage wie die übrigen Ereignis-
+    // protokolle (DSE 5a). Die Sperrliste selbst bleibt bestehen.
+    'retention_days' => (int) env('BOUNCE_RETENTION_DAYS', 395),
+
     'soft' => [
         'threshold' => (int) env('BOUNCE_SOFT_THRESHOLD', 3),
         'window_days' => (int) env('BOUNCE_SOFT_WINDOW_DAYS', 7),

config/canonical.php

@@ -21,8 +21,32 @@ return [
 
     'enabled' => (bool) env('CANONICAL_ASSIGNMENT_ENABLED', true),
 
-    // DE-Slug der Hauptkategorie => Portal, das die Erstquelle führt.
-    // Vorschlag zu E9; Kategorien ohne Eintrag fallen auf `fallback`.
+    // ID der Hauptkategorie => Portal, das die Erstquelle führt (E9).
+    // Maßgeblich vor `portal_by_category`: eine Slug-Änderung im Admin
+    // schaltete die Zuordnung sonst still ab (Umsetzungsaudit 29.09.2026,
+    // R-11). IDs aus dem Bestand (Stand 29.09.2026, identisch mit der
+    // Slug-Liste unten — gleiche Wirkung). Im Testlauf leer: dort vergibt
+    // SQLite die IDs neu, Tests setzen ihre Zuordnung selbst.
+    'portal_by_category_id' => env('APP_ENV') === 'testing' ? [] : [
+        1 => 'businessportal24',  // handel
+        2 => 'businessportal24',  // it
+        3 => 'businessportal24',  // finanzen
+        4 => 'presseecho',        // reisen
+        5 => 'presseecho',        // kultur
+        6 => 'presseecho',        // politik
+        7 => 'presseecho',        // medizin
+        8 => 'presseecho',        // sport
+        9 => 'businessportal24',  // motor-verkehr
+        10 => 'presseecho',       // haus
+        11 => 'presseecho',       // mode
+        12 => 'presseecho',       // sonstiges
+        13 => 'businessportal24', // wissenschaft-forschung
+        14 => 'businessportal24', // recht
+    ],
+
+    // Rückwärtskompatibel: DE-Slug der Hauptkategorie => Portal. Greift nur
+    // für Hauptkategorien ohne Eintrag in `portal_by_category_id`.
+    // Kategorien ohne beides fallen auf `fallback`.
     'portal_by_category' => [
         'finanzen' => 'businessportal24',
         'handel' => 'businessportal24',

config/conversion.php

@@ -24,4 +24,25 @@ return [
         'retention_days' => (int) env('CONVERSION_EVENTS_RETENTION_DAYS', 395),
     ],
 
+    /*
+    | Stufe 1 (Mail-Link geklickt) — Umsetzungsaudit 29.09.2026, R-08.
+    | Derselbe Klick (IP + Meldung) zählt höchstens einmal je
+    | `throttle_minutes`; die IP wird dafür nur gehasht im Cache gehalten.
+    | Link-Scanner der Mailserver (Sicherheits-Gateways, Vorschau-Dienste)
+    | holen Links vorab — erkannt an HEAD oder an diesen Kennungen, gezählt
+    | wird dann nichts. Bekannte Such- und KI-Crawler (config/crawlers.php)
+    | gelten ebenfalls als kein Klick.
+    */
+
+    'mail_clicks' => [
+        'throttle_minutes' => (int) env('CONVERSION_MAIL_CLICK_THROTTLE_MINUTES', 30),
+        'scanner_agents' => [
+            'barracuda', 'mimecast', 'proofpoint', 'bingpreview', 'symantec', 'messagelabs',
+            'trendmicro', 'trend micro', 'forcepoint', 'sophos', 'zscaler', 'ironport', 'fortiguard',
+            'safelinks', 'microsoft office', 'ms-office', 'google-safety', 'headlesschrome',
+            'python-requests', 'python-urllib', 'go-http-client', 'curl/', 'wget/', 'okhttp', 'java/',
+            'libwww-perl', 'scrapy', 'phantomjs', 'slackbot', 'facebookexternalhit', 'whatsapp',
+        ],
+    ],
+
 ];