feat(meldungen): Benachrichtigungen per Mail und Webhook (#54)

Ein zugewiesener Lauf fiel bisher nur auf, wenn jemand die Uebersicht
oeffnete; ein ueberfaelliger ueberhaupt nicht. Vier Anlaesse gehen jetzt
hinaus — zugewiesen, ueberfaellig, abgeschlossen und Verzeichnisabgleich
fehlgeschlagen —, je Person abschaltbar. Niemand bekommt Post ueber die
eigene Tat: das ist der haeufigste Grund, Benachrichtigungen ganz
abzuschalten, und deshalb faellt der Handelnde immer aus der
Empfaengerliste.

Eingereiht wird im Anfrage-Pfad, gesendet wird es nicht. Ein haengender
Mailserver darf kein Abhaken blockieren, also schreibt der Dienst eine
Zeile in `Zustellung` und ein eigener Zeitplan schickt sie. Betreff und
Rumpf stehen fertig darin: eine Meldung sagt, was *damals* war.

In keiner Nachricht steht ein Schrittinhalt, und damit auch kein
erzeugtes Passwort. Darueber wacht src/lib/meldungen.ts — die Funktionen
dort nehmen nur Kopfdaten, der Typ laesst nichts anderes zu. Geprueft
wird es zusaetzlich ueber alle Rumpftexte, die wirklich verschickt
wurden, so wie #012 es fuer die Druckansicht tat.

Zwei Dinge haetten ohne Datenbank nicht gehalten. Die Einmaligkeit der
Ueberfaelligkeitsmeldung liegt in einem partiellen eindeutigen Index:
der Zeitplan sieht jede Minute nach, und ohne ihn bekaeme der
Zustaendige fuer einen Lauf, der ueber das Wochenende steht, 2880
Mails — jede fuer sich korrekt, kein Test rot. Und die Sperre der
Warteschlange liegt in derselben Tabelle wie die des Abgleichs, denn
hinter einem Lastverteiler laufen zwei Instanzen.

Eine stille Warteschlange ist schlimmer als keine: Verwaltung →
Zustellungen zeigt mit Grund, was hinausging und was nicht.

Geprueft gegen einen echten SMTP-Faenger (mailpit) statt gegen eine
abgefangene Funktion — und `mailpit` gehoert damit ins Tor vor dem
Commit, sonst ueberspringt die Suite 3 Tests und sieht gruen aus.

Closes #54

Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>

prisma/schema.prisma

@@ -110,8 +110,97 @@ model Einstellung {
   /// entfernte Zuordnung beim naechsten Seed-Lauf zurueck: eine fehlende Zeile
   /// sagt nicht, ob sie noch nie da war oder bewusst entfernt wurde.
   schnellstartGepflegt Boolean       @default(false)
-  erstelltAm           DateTime      @default(now())
-  geaendertAm          DateTime      @default(now()) @updatedAt
+
+  /// SMTP fuer die Benachrichtigungen (#034). Leerer Host heisst: keine Mail.
+  /// Kein Dienstanbieter, sondern SMTP — eine selbst gehostete Anwendung soll an
+  /// den Mailserver des Hauses koennen.
+  smtpHost                   String?
+  smtpPort                   Int?
+  /// `true` = StartTLS oder implizites TLS (Port 465). Klartext nur, wenn jemand
+  /// das ausdruecklich abschaltet.
+  smtpTls                    Boolean @default(true)
+  smtpBenutzer               String?
+  /// AES-256-GCM aus APP_SECRET, wie `Verzeichnisquelle.bindPasswortVerschluesselt`.
+  /// Erreicht **nie** eine Antwort.
+  smtpPasswortVerschluesselt String?
+  smtpAbsender               String?
+
+  /// Ein Webhook-Ziel fuer dieselben vier Anlaesse. Leere URL heisst: keiner.
+  webhookUrl                     String?
+  /// Geheimnis fuer die HMAC-SHA256-Signatur, verschluesselt wie oben.
+  webhookGeheimnisVerschluesselt String?
+
+  erstelltAm  DateTime @default(now())
+  geaendertAm DateTime @default(now()) @updatedAt
+}
+
+/// Wie eine Meldung hinausgeht (#034).
+enum Zustellweg {
+  MAIL
+  WEBHOOK
+}
+
+/// Wo eine Zustellung steht (#034).
+enum Zustellzustand {
+  OFFEN
+  GESENDET
+  /// Fehlgeschlagen, wird aber noch einmal versucht.
+  FEHLGESCHLAGEN
+  /// Endgueltig aufgegeben. Bleibt sichtbar — eine stille Warteschlange ist
+  /// schlimmer als keine.
+  AUFGEGEBEN
+}
+
+/// Was gemeldet wird. Bewusst genau vier Anlaesse (#034).
+enum Meldeanlass {
+  LAUF_ZUGEWIESEN
+  LAUF_UEBERFAELLIG
+  LAUF_ABGESCHLOSSEN
+  ABGLEICH_FEHLGESCHLAGEN
+}
+
+/// Eine einzelne Meldung in der Warteschlange (#034).
+///
+/// **In der Datenbank und nicht im Anfrage-Pfad.** Ein haengender Mailserver
+/// darf kein Abhaken blockieren: der Dienst reiht ein, der Zeitplan schickt.
+///
+/// Betreff und Rumpf stehen fertig in der Zeile. Das kostet Platz und ist es
+/// wert: eine Meldung sagt, was **damals** war. Baute der Zeitplan den Text erst
+/// beim Senden, stuende in der Mail der Stand von jetzt — und in einer
+/// aufgegebenen Zustellung von naechster Woche etwas voellig anderes.
+model Zustellung {
+  id                 String         @id @default(cuid())
+  anlass             Meldeanlass
+  weg                Zustellweg
+  /// Mailadresse oder Webhook-URL. Als Text, damit die Zeile auch dann noch
+  /// sagt, wohin sie ging, wenn das Konto spaeter deaktiviert wurde.
+  empfaenger         String
+  betreff            String
+  rumpf              String
+  zustand            Zustellzustand @default(OFFEN)
+  versuche           Int            @default(0)
+  /// Vor diesem Zeitpunkt holt der Zeitplan die Zeile nicht ab. Traegt das
+  /// wachsende Warten zwischen zwei Versuchen.
+  naechsterVersuchAm DateTime       @default(now())
+  letzterFehler      String?
+  gesendetAm         DateTime?
+  erstelltAm         DateTime       @default(now())
+  geaendertAm        DateTime       @default(now()) @updatedAt
+
+  /// Wer gemeint ist. Leer bei einem Webhook — der gehoert keiner Person.
+  benutzerId          String?
+  laufId              String?
+  verzeichnisquelleId String?
+
+  benutzer          Benutzer?          @relation(fields: [benutzerId], references: [id], onDelete: SetNull)
+  lauf              Lauf?              @relation(fields: [laufId], references: [id], onDelete: Cascade)
+  verzeichnisquelle Verzeichnisquelle? @relation(fields: [verzeichnisquelleId], references: [id], onDelete: Cascade)
+
+  /// Der Index, auf dem der Zeitplan arbeitet.
+  @@index([zustand, naechsterVersuchAm])
+  @@index([erstelltAm])
+  @@index([laufId])
+  @@index([benutzerId])
 }
 
 model Kunde {
@@ -161,6 +250,10 @@ model Benutzer {
   /// So laesst sich ein Konto sperren, ohne auf den Ablauf des Cookies zu warten.
   sitzungenUngueltigAb DateTime?
   letzteAnmeldungAm    DateTime?
+  /// Bekommt diese Person Benachrichtigungen (#034)? Je Empfaenger abschaltbar.
+  /// Ein Konto ohne Mailadresse gibt es nicht — `email` ist Pflicht —, aber ein
+  /// Dienstkonto will keine Post.
+  meldungenAktiv       Boolean   @default(true)
   erstelltAm           DateTime  @default(now())
   geaendertAm          DateTime  @default(now()) @updatedAt
 
@@ -174,6 +267,7 @@ model Benutzer {
   schrittergebnisse         Schrittergebnis[]
   veroeffentlichteVersionen VorlagenVersion[] @relation("VersionVeroeffentlichtVon")
   anhaenge                  Anhang[]
+  zustellungen              Zustellung[]
 
   @@index([aktiv])
   @@index([rolle])
@@ -229,8 +323,9 @@ model Verzeichnisquelle {
   erstelltAm                 DateTime  @default(now())
   geaendertAm                DateTime  @default(now()) @updatedAt
 
-  kunde       Kunde         @relation(fields: [kundeId], references: [id], onDelete: Restrict)
-  mitarbeiter Mitarbeiter[]
+  kunde        Kunde         @relation(fields: [kundeId], references: [id], onDelete: Restrict)
+  mitarbeiter  Mitarbeiter[]
+  zustellungen Zustellung[]
 
   @@index([kundeId])
   @@index([aktiv])
@@ -640,6 +735,8 @@ model Lauf {
   anhaenge   Anhang[]
 
   /// Schluesselkandidat fuer den zusammengesetzten Fremdschluessel von Anhang.
+  zustellungen Zustellung[]
+
   @@unique([id, kundeId])
   @@index([kundeId, status])
   @@index([geraetId, status])