Security-, Bugfix- und UX-Überarbeitung auf Basis des Code-Reviews

Sicherheit:
- Bulk-Erstellung serverseitig auf eingeloggte Nutzer beschränkt;
  expire_minutes wird validiert (anonym: nur Default/Template-Werte,
  eingeloggt: max. 1 Jahr)
- IP-basiertes Rate-Limit über neue Tabelle request_throttle
  (Voucher-Erstellung + Passwort-Reset-Anfragen), Session-Fallback
  für Alt-Installationen; Migration 0002
- session_regenerate_id() nach Login, Secure-Cookie-Flag bei HTTPS
- Admin-/Aktiv-Status wird pro Request live aus der DB geprüft
  (Rechteentzug & Deaktivierung wirken sofort); Schutz vor
  Selbst-Degradierung im Benutzer-Edit
- Alle state-ändernden Admin-Aktionen von GET auf POST umgestellt
  (kein CSRF-Token mehr in URLs)
- login_simple.php (Legacy, Debug-Leak) entfernt; cron_test.php nur
  noch für Admins; .htaccess auf Apache-2.4-Syntax inkl. cron_test.php
- M365 Client Secret wird nicht mehr ins Formular zurückgegeben
- Updater: Zip-Slip-/Pfad-Traversal-Schutz, Backup vor dem Anwenden
  mit automatischem Rollback bei Fehlern, AuditLogger-Bug behoben
- cron_sync: Token-Vergleich mit hash_equals; login_attempts-Pruning
- CSV-Export gegen Excel-Formula-Injection abgesichert

Bugfixes:
- M365-Login: Fallback auf userPrincipalName, wenn Graph kein 'mail'
  liefert (Nutzer ohne Exchange-Postfach konnten sich nie anmelden)
- PRG-Pattern überall: F5 erzeugt keine Duplikat-Voucher und
  wiederholt keine Admin-Aktionen (Session-Flash-Messages)
- QR-Code nicht mehr invertiert (schwarz auf weiß, scanbar)
- Bulk-Erstellung nutzt den UniFi 'n'-Parameter: 1 API-Call statt
  n× Login + Voucherlisten-Abruf; exaktes Code-Matching per
  create_time statt "global neuester Voucher"
- Mailer: doppelte Zeilenumbrüche behoben, AUTH nur mit Credentials,
  SMTP-Dot-Stuffing, CLI-sicherer EHLO-Host
- forgot_password: System-URL-Auto-Detect (Reset-Link war sonst
  relativ/kaputt) + Rate-Limit
- Audit-Log-Labels an tatsächliche Action-Keys angepasst;
  Voucher-Erstellung (einzeln & bulk) wird jetzt auditiert
- Site-Edit testet die Verbindung auch ohne Passwortänderung

UX/UI:
- Alert-/Badge-Styles zentral in global.css mit Dark-Mode-Variablen
  (vorher 7× dupliziert mit hart codierten Hellfarben)
- Sticky-Formulare + Tab-Erhalt nach Validierungsfehlern (Bulk),
  Settings kehren nach dem Speichern zum aktiven Tab zurück
- Gültigkeit menschenlesbar (z.B. "8 Stunden" statt "480 Minuten")
- Voucher-Name-Default "Gast/Guest" im öffentlichen Modus
- Favicon auch auf Login-/öffentlichen Seiten
- Verbindungstest-Button pro Site-Karte (Health-Check)
- i18n-Pass: Confirm-Dialoge, Toasts, Fehl-/Erfolgsmeldungen in de/en
- Sprachumschalter ohne fetch+reload (kein Re-Submit-Dialog)
- A11y: Esc schließt Modals, aria-live für Toasts, aria-labels auf
  Icon-Buttons; APP_KEY-Warnbanner im Dashboard
- Dashboard-Sync: set_time_limit passend zur Site-Anzahl;
  Voucher-Sync mit Map statt SELECT pro Voucher

Tooling:
- GitHub-Actions-Workflow: PHP-Lint aller Dateien + de/en-Key-Parität

https://claude.ai/code/session_01KKVpVPJjrTKGoRgpJcySD4

lang/de.php

@@ -93,12 +93,12 @@ return [
     'voucher_create_btn'    => 'Voucher erstellen',
     'voucher_creating'      => 'Erstelle Voucher...',
     'voucher_success_title' => '✓ Ihr Zugangs-Code',
-    'voucher_validity'      => 'Gültig für {minutes} Minuten ab Erstellung',
+    'voucher_validity'      => 'Gültig für {duration} ab Erstellung',
     'voucher_qr_label'      => 'QR-Code scannen zum Verbinden',
     'voucher_print_btn'     => 'Code ausdrucken',
     'voucher_no_sites'      => 'Keine verfügbaren Sites gefunden.',
     'voucher_no_sites_admin'=> 'Klicken Sie hier, um Sites anzulegen',
-    'voucher_no_sites_user' => 'Bitte kontaktieren Sie Ihren Administrator.',
+    'voucher_no_sites_user' => 'Ihr Konto hat noch keinen Site-Zugriff. Bitte kontaktieren Sie Ihren Administrator, um Berechtigungen zu erhalten.',
     'voucher_template_select'=> '-- Kein Profil (manuell) --',
     'voucher_template_label'=> 'Schnellprofil (optional)',
 
@@ -286,4 +286,59 @@ return [
     'never'             => 'Noch nie',
     'unknown'           => 'Unbekannt',
     'or'                => 'oder',
+
+    // Durations (human readable)
+    'dur_minutes'       => '{n} Minuten',
+    'dur_hour_one'      => '1 Stunde',
+    'dur_hours'         => '{n} Stunden',
+    'dur_day_one'       => '1 Tag',
+    'dur_days'          => '{n} Tage',
+
+    // Voucher creation (messages)
+    'voucher_created_ok'   => 'Voucher erfolgreich erstellt!',
+    'voucher_created_mail' => 'Voucher erstellt. E-Mail versendet.',
+    'voucher_name_default' => 'Gast',
+    'voucher_deleted'      => 'Voucher erfolgreich gelöscht!',
+    'voucher_delete_failed'=> 'Voucher konnte nicht gelöscht werden',
+    'error_rate_limited'   => 'Zu viele Anfragen. Bitte warten Sie einen Moment.',
+
+    // Clipboard / UI
+    'toast_copied'      => 'Kopiert!',
+    'click_to_copy'     => 'Klicken zum Kopieren',
+    'copy_hint'         => 'Code anklicken zum Kopieren',
+    'loading'           => 'Lade…',
+    'syncing'           => 'Synchronisiere…',
+    'vouchers_loaded'   => '{count} Vouchers geladen',
+
+    // Confirm dialogs
+    'confirm_delete_user'     => 'Benutzer wirklich löschen?',
+    'confirm_delete_site'     => 'Möchten Sie diese Site wirklich löschen?',
+    'confirm_delete_template' => 'Profil wirklich löschen?',
+    'confirm_delete_voucher'  => 'Voucher wirklich löschen?',
+    'confirm_send_reset'      => 'Passwort-Reset-Link senden an {email}?',
+    'confirm_delete_token'    => 'Token wirklich löschen?',
+
+    // Admin messages
+    'users_status_updated'  => 'Benutzer-Status aktualisiert!',
+    'sites_status_updated'  => 'Site-Status aktualisiert!',
+    'error_self_delete'     => 'Sie können sich nicht selbst löschen',
+    'error_self_deactivate' => 'Sie können sich nicht selbst deaktivieren',
+    'error_self_demote'     => 'Sie können sich nicht selbst die Administrator-Rechte entziehen',
+    'error_pw_mismatch'     => 'Passwörter stimmen nicht überein',
+    'error_pw_current'      => 'Aktuelles Passwort ist falsch',
+    'error_email_exists'    => 'E-Mail bereits vorhanden',
+    'error_user_create'     => 'Benutzer konnte nicht erstellt werden',
+    'reset_link_sent'       => 'Passwort-Reset-Link wurde an {email} gesendet.',
+    'reset_link_failed'     => 'Benutzer nicht gefunden oder kein lokales Passwort.',
+    'cron_token_generated'  => 'Neuer Cron-Token wurde generiert!',
+    'cron_token_deleted'    => 'Cron-Token wurde gelöscht!',
+    'm365_secret_hint'      => 'Leer lassen = nicht ändern. Zum Deaktivieren des M365-Logins die Client ID leeren.',
+
+    // Site connection test
+    'site_test_btn'   => 'Verbindung testen',
+    'site_test_ok'    => 'Verbindung erfolgreich',
+    'site_test_fail'  => 'Verbindung fehlgeschlagen',
+
+    // System warnings
+    'crypto_warning'  => 'Verschlüsselung inaktiv: In der config.php ist kein gültiger APP_KEY gesetzt. UniFi-Passwörter werden im Klartext gespeichert. Bei einem Serverumzug mit verändertem APP_KEY schlagen Controller-Logins still fehl.',
 ];