Login-Rate-Limit pro (IP + Email)-Tupel + PUT /portal verbietet password

Login-Rate-Limit:
Bucket-Key jetzt `${ip}|${email-lowercase}`, ein Limiter (10/15min).
Vorher IP-only oder Email-only führten beide zu Problemen:
- IP-only: Proxy-Wechsel umgeht Sperre auf Account-Ebene
- Email-only: Familie hinter NAT (Max vertippt sich → Nina blockiert),
  Account-Lockout-DoS möglich
- Tupel: Max gesperrt, Nina von gleicher IP weiterhin frei, Max von
  anderer IP auch noch, eigener Account bleibt erreichbar.

Implementation:
- middleware/rateLimit.ts: keyGenerator → ip|email
- routes/auth.routes.ts: nur ein loginRateLimiter am /login + /customer-login
- controllers/rateLimitAdmin.controller.ts: Listing als (IP, Email)-
  Tupel, Reset nimmt ipAddress + optional email. Audit-resourceId =
  ip|email (gleich wie Bucket-Key) → Listing kann Reset herausfiltern.
- frontend/RateLimits.tsx: Tabelle mit IP- und Account-Spalte,
  Reset-Button schickt beides.

PUT /customers/:id/portal:
Body-Felder password/portalPassword/portalPasswordHash/
portalPasswordEncrypted werden explizit mit 400 abgelehnt. Vorher
wurden sie silent ignoriert + HTTP 200, was den Client glauben ließ,
das PW sei gesetzt. Hinweis im Error-Body zeigt auf den dedizierten
POST /portal/password-Endpoint.

Live-verifiziert:
- 11x falsch max@x.de → 429
- Nina/Admin von gleicher IP → durch
- Reset (IP, max) → max wieder 401 statt 429
- PUT /portal {password:"abcd"} → 400 "Felder nicht erlaubt"
- PUT /portal ohne password → 200

Co-Authored-By: Claude Opus 4.7 (1M context) <noreply@anthropic.com>

frontend/src/services/api.ts

@@ -1015,9 +1015,9 @@ export const backupApi = {
 // Rate-Limit-Verwaltung (Admin)
 export interface ActiveRateLimit {
   ipAddress: string;
+  email: string | null;
   lastHit: string;
   hitCount: number;
-  lastEmail: string | null;
   lastEndpoint: string | null;
   limiters: string[];
 }
@@ -1026,8 +1026,8 @@ export const rateLimitApi = {
     const res = await api.get<ApiResponse<ActiveRateLimit[]>>('/settings/rate-limits/active');
     return res.data;
   },
-  reset: async (ipAddress: string) => {
-    const res = await api.post<ApiResponse<void>>('/settings/rate-limits/reset', { ipAddress });
+  reset: async (body: { ipAddress: string; email?: string }) => {
+    const res = await api.post<ApiResponse<void>>('/settings/rate-limits/reset', body);
     return res.data;
   },
 };