Neubau Fundament + Startseite: Designsystem, PHP-Komponenten, Brevo-Formular, Instagram-Sync

- Ordnerstruktur mit public/-Docroot, Deny-.htaccess für app/bin/config/data/storage
- CLAUDE.md mit Leitplanken (self-hosted only, Single Source of Truth, Component-first)
- Design-Tokens aus alter Seite extrahiert (Akzent #e20612, Coolvetica/Abel als woff2)
- Front Controller mit Routen-Register, Sitemap, Canonical, JSON-LD (SportsClub)
- Startseite: Hero, Instagram-Feed (lokaler Cache), Historie/Sportheim, Stats, Partner, Kontakt
- Kontaktformular via PHPMailer/Brevo mit Honeypot + HMAC-Time-Trap (kein reCAPTCHA)
- bin/instagram-sync.php: Scraper mit Strategie-Kette, flock, atomarem Cache, lokalen Bildern

Co-Authored-By: Claude Fable 5 <noreply@anthropic.com>

.htaccess

@@ -0,0 +1,9 @@
+# Fallback, falls der Hosting-Docroot auf das Repo-Root zeigt statt auf public/.
+# Nicht-öffentliche Verzeichnisse und Dateien hart sperren, alles andere nach public/ rewriten.
+RewriteEngine On
+
+RewriteRule ^(app|bin|config|data|storage|vendor)(/|$) - [F]
+RewriteRule ^(\.git|\.gitignore|composer\.(json|lock)|CLAUDE\.md|\.context|\.context_db) - [F]
+
+RewriteCond %{REQUEST_URI} !^/public/
+RewriteRule ^(.*)$ public/$1 [L]