Security-Härtung Login & Magic-Link (Review 16.06.)

- Magic-Link-Versand im Login rate-limited (E-Mail+IP 3/h und IP-only 15/h);
  verhindert Mail-Fluten und das Entwerten aktiver Links.
- Inaktive (aber verifizierte) User werden beim Passwort-Login zentral
  blockiert (Auth::logout + Fehler) – sichert nur-auth/verified-Routen ab.
- Rollensicherer Login-Redirect: gemerkte intended-Admin-URLs schicken einen
  Customer nicht mehr in den 403, sondern auf das rollengerechte Ziel.
- ContactAccess prüft is_active vor jeder Mutation: deaktivierte Bestands-
  Accounts werden durch eine Anfrage weder verändert noch angemailt.
- Magic-Link-Verbrauch atomar (UPDATE … whereNull(consumed_at)) – Single-Use
  auch bei parallelen Requests.
- Sicherheits-Doku um diese Härtungen + Captcha-Empfehlung ergänzt.

Tests: Rate-Limit, intended-Admin-URL für Customer, inaktiver Login,
ContactAccess ohne Mutation inaktiver Accounts.

Co-Authored-By: Claude Fable 5 <noreply@anthropic.com>

tests/Feature/Auth/AuthenticationTest.php

@@ -87,6 +87,38 @@ test('an unverified authenticated user visiting guest routes lands on the notice
     $this->actingAs($user)->get('/login')->assertRedirect(route('verification.notice'));
 });
 
+test('a customer login with a stale intended admin url is redirected to the customer area', function () {
+    /** @var TestCase $this */
+    $this->seed(RolesAndPermissionsSeeder::class);
+    $customer = User::factory()->create(['is_active' => true]);
+    $customer->assignRole('customer');
+
+    session()->put('url.intended', url('/admin/users'));
+
+    LivewireVolt::test('auth.login')
+        ->set('email', $customer->email)
+        ->set('password', 'password')
+        ->call('login')
+        ->assertHasNoErrors()
+        ->assertRedirect(route('me.dashboard', absolute: false));
+
+    $this->assertAuthenticatedAs($customer);
+});
+
+test('an inactive but verified user cannot log in with a password', function () {
+    /** @var TestCase $this */
+    // Factory ist standardmäßig verifiziert; nur deaktiviert.
+    $user = User::factory()->create(['is_active' => false]);
+
+    LivewireVolt::test('auth.login')
+        ->set('email', $user->email)
+        ->set('password', 'password')
+        ->call('login')
+        ->assertHasErrors(['email']);
+
+    $this->assertGuest();
+});
+
 test('users can logout', function () {
     /** @var TestCase $this */
     $user = User::factory()->create();