images: Datenmodell, Textarchiv, Herkunftsprüfung und gemeinsamer Uploader für Formular v2 (Bildkennzeichnung Block A)

- press_release_images: Kundenangabe/Portalkennzeichnung getrennt, Herkunftsbefund, Beweisoriginal, Snapshot-Pfade, published_ever_at, rules_version, Fokus/Letterbox; Bestand unangetastet
- legal_texts (insert-only) mit img-confirm-v1 (alter Wortlaut), v2 (AGB 0.6), v3 (AGB 0.7, noch ohne Datum); image-rights:backfill-confirmations
- image_rights_confirmations polymorph, insert-only, IP als versionierter HMAC; Löschung nur für nie veröffentlichte Uploads
- ImageProvenanceInspector (Imagick/exif): IPTC, XMP, EXIF; algorithmicallyEnhanced nur Vermerk; unlesbare Datei = error
- PressReleaseImageUploader: Original vor Derivaten, Hash-Bindung, Titelbild-Regel unter Sperre, Dateien bei Fehlern zurückgerollt; Admin-Upload ohne Bestätigung
- ImageService: kein Rückfall auf die Quelldatei, og-Variante, Fokuspunkt und no_crop

Co-Authored-By: Claude Fable 5.1 <noreply@anthropic.com>

config/images.php

@@ -0,0 +1,83 @@
+<?php
+
+return [
+
+    /*
+    |--------------------------------------------------------------------------
+    | Bild-Uploads: Grenzen (Bildkennzeichnung E-B6)
+    |--------------------------------------------------------------------------
+    |
+    | Formular und API teilen sich dieselben Grenzen. Beide greifen VOR der
+    | Herkunftsprüfung und der Variantenerzeugung, damit präparierte Dateien
+    | keine teure Verarbeitung auslösen.
+    |
+    */
+
+    'max_bytes' => (int) env('IMAGE_MAX_BYTES', 16 * 1024 * 1024),
+    'max_pixels_per_side' => (int) env('IMAGE_MAX_PIXELS_PER_SIDE', 8000),
+
+    /*
+    |--------------------------------------------------------------------------
+    | Formular v2 (Bildkennzeichnung, Decision-Update 22.09.2026)
+    |--------------------------------------------------------------------------
+    |
+    | rights_v2: Deploy-Sicherung. Bei false verhält sich alles wie vor der
+    | Umstellung (altes Formular, alte API-Pflichtfelder). Wartet nicht auf
+    | den Anwalt (Decision-Update E14).
+    |
+    | rules_version: Marker an jedem Bild, das über den neuen Uploader kam.
+    | NULL = Bestand vor der Umstellung (Legacy-Import oder altes Formular).
+    |
+    */
+
+    'rights_v2' => (bool) env('IMAGE_RIGHTS_V2', false),
+    'rules_version' => '2026-10',
+
+    /*
+    |--------------------------------------------------------------------------
+    | Herkunftsprüfung (A.5)
+    |--------------------------------------------------------------------------
+    |
+    | provenance_timeout_seconds: Zeitbudget der Metadatenprüfung. Wird es
+    | überschritten oder wirft die Prüfung, gilt der Status `error` — das
+    | Formular zeigt dann „konnte nicht geprüft werden", nicht „keine
+    | Herkunftsdaten" (Feedback F10).
+    |
+    */
+
+    'provenance_timeout_seconds' => (int) env('IMAGE_PROVENANCE_TIMEOUT', 10),
+
+    /*
+    |--------------------------------------------------------------------------
+    | Bestätigungsprotokoll (A.2)
+    |--------------------------------------------------------------------------
+    |
+    | confirmation_ip_key: eigener Schlüssel für die HMAC-Ableitung der
+    | IP-Adresse im Bestätigungsprotokoll. Pseudonymisiert, nicht anonym: Mit
+    | dem Schlüssel lässt sich prüfen, ob eine Adresse passt, ohne ihn nicht.
+    | Fällt auf APP_KEY zurück, solange kein eigener gesetzt ist.
+    |
+    | confirmation_ip_hash_version: Präfix im gespeicherten Wert, damit ein
+    | Schlüsselwechsel alte Einträge nicht unbrauchbar macht.
+    |
+    */
+
+    'confirmation_ip_key' => env('CONFIRMATION_IP_KEY') ?: env('APP_KEY'),
+    'confirmation_ip_hash_version' => 'v1',
+
+    /*
+    |--------------------------------------------------------------------------
+    | Ablage (A.6, E.2)
+    |--------------------------------------------------------------------------
+    |
+    | Beweisoriginal und Snapshot der veröffentlichten Fassung liegen auf der
+    | privaten Disk, getrennt vom Derivat-Ordner. Sie sind nie über die
+    | Medienroute erreichbar (E.4).
+    |
+    */
+
+    'originals_disk' => env('IMAGE_ORIGINALS_DISK', 'local'),
+    'originals_directory' => 'press-release-originals',
+    'published_snapshot_directory' => 'press-release-published',
+
+];