Design-System: Typo-Skala schließen, h4–h6 auf Abel, Icon-Größen tokenisieren

Zweiter Teil der Konsolidierung. Vorher standen 31 font-size-Werte außerhalb
der Skala — beim Durchgehen stellte sich heraus, dass 20 davon gar keine
Textgrößen sind: der icon()-Helper rendert 1em, also steuerte font-size dort
die Icon-Größe. Dafür gibt es jetzt eine eigene, kleine Skala (--icon-s/m/l/xl
in rem, --icon-inline-sm/--icon-inline/--icon-inline-lg in em für Icons, die im
Textfluss mitwachsen sollen). Elf Ad-hoc-Werte fallen damit auf sieben Stufen.

h4–h6 laufen nicht mehr über Coolvetica. Sie lagen mit 26px und 21px unter der
--fs-650-Grenze aus CLAUDE.md, ab der der Condensed-Schnitt in Uppercase
unleserlich wird — die Regel war also nur dokumentiert, nicht durchsetzbar.
Jetzt tragen h1–h3 Coolvetica (alle über der Grenze) und h4–h6 Abel mit
Sperrung. Bezeichnend: das einzige <h4> im Markup hatte sich genau dieses
Muster bereits von Hand gebaut. Die Basisregel liefert es jetzt, die Komponente
gibt ihre drei Duplikat-Deklarationen ab — sichtbar ändert sich dadurch nichts.

Neue Stufen schließen die Lücken: --fs-550 (fluider Lead), --fs-690 (Karten-
Überschrift) und --fs-1000 (Display-Hero). Vier fast deckungsgleiche clamp()-
Rampen für Karten-Überschriften (bento__heading, bento__stat-value,
group-card__name, team-card__name) laufen jetzt über --fs-690; team-card__name
wächst dabei am Desktop um ~5px, die anderen drei bleiben im 1px-Bereich.

Die Wappen-Initialen im Matchcenter hingen an zwei Mini-Schriftgrößen (10,4 und
11,2px) unterhalb der Skala. Sie sind in Wahrheit ~0,4 × Kreisdurchmesser,
folgen jetzt also --crest-size statt einer eigenen font-size. Nebenbei fallen
drei redundante Doppel-Selektoren weg: .crest--initials trägt immer auch .crest.

Ebenfalls tokenisiert: 27 letter-spacing-Werte mit elf verschiedenen Zahlen auf
vier Stufen (--ls-tight/caps/wide/wider), maximale Abweichung 0,02em.

Danach steht kein font-size- und kein letter-spacing-Wert mehr außerhalb von
tokens.css.

Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_01MSsVdooFLgPA8gPFp7HwZU

config/config.example.php

@@ -22,9 +22,19 @@
  * # damit Ergebnisse und Tabelle zeitnah stehen.
  * 7,37 13-21 * * 6,0   cd $SITE && $PHP bin/matchcenter-sync.php >> storage/logs/matchcenter.log 2>&1
  *
- * Beide Skripte sind CLI-only, sperren sich per Lock gegen Parallelläufe und lassen bei
- * jedem Fehler den letzten guten Cache stehen — ein fehlgeschlagener Lauf schadet nie.
+ * # Logrotation: sonntags nachts, damit spam.log/php-errors.log nicht unbegrenzt wachsen.
+ * 23 3 * * 0   cd $SITE && $PHP bin/log-rotate.php > /dev/null 2>&1
+ *
+ * Alle Skripte sind CLI-only; die Syncs sperren sich per Lock gegen Parallelläufe und lassen
+ * bei jedem Fehler den letzten guten Cache stehen — ein fehlgeschlagener Lauf schadet nie.
  * Erstlauf nach dem Deploy einmal von Hand anstoßen (füllt Cache + Bilder/Wappen).
+ *
+ * ---------------------------------------------------------------------------
+ * NACH DEM DEPLOY
+ * ---------------------------------------------------------------------------
+ *   php bin/preflight.php    Config, Secrets, Schreibrechte, vendor/, PHP-Version prüfen
+ *   php bin/smtp-test.php    SMTP-Login testen (ohne Mailversand)
+ *   danach je eine Testmail über /kontakt, /mitglied-werden und /sportheimbuchung
  */
 return [
     // Kanonische Basis-URL ohne trailing slash (für Canonical, OG, Sitemap).
@@ -33,8 +43,12 @@ return [
     // 'production' oder 'development' (steuert Fehleranzeige).
     'env' => 'production',
 
-    // Geheimer Schlüssel für die HMAC-Time-Trap der Formulare.
+    // Geheimer Schlüssel für die HMAC-Time-Trap der Formulare und den IP-Hash im Spam-Log.
     // Generieren mit: php -r "echo bin2hex(random_bytes(32));"
+    // Für Produktion einen EIGENEN Wert erzeugen — nie den aus der lokalen Dev-Config
+    // übernehmen. Solange hier CHANGE_ME steht, weisen die Formular-Actions jeden
+    // Versand ab (config_problems()), damit die Time-Trap nie mit einem bekannten
+    // Schlüssel läuft.
     'app_secret' => 'CHANGE_ME',
 
     // All-Inkl SMTP (Postfach im KAS anlegen; Host = <KAS-Login>.kasserver.com).