refactor(mail): send via the SSO app registration, drop SMTP basic auth

Mail now uses the same Entra ID app registration as "Sign in with
Microsoft" (ENTRA_TENANT_ID, ENTRA_CLIENT_ID, ENTRA_CLIENT_SECRET), so
only one enterprise application is needed. The app additionally gets
the SMTP.SendAsApp permission; Exchange still limits it to the mailbox
granted via Add-MailboxPermission.

Password (basic auth) sending is removed entirely: SMTP_HOST, SMTP_PORT,
SMTP_PASSWORD and the separate SMTP_OAUTH_* settings are gone. The
transport is fixed to smtp.office365.com:587 with required STARTTLS.
SMTP_USER (sending mailbox) and SMTP_FROM remain.

- lib/entra.ts exposes readEntraAppCredentials(), shared by SSO and mail
- diagnosis drops basic-auth-only causes; hints name the ENTRA_* values
  and warn that an expired secret breaks sign-in and mail together
- admin e-mail test, .env.example, docker-compose, k8s manifests,
  preflight and README updated

Verified against Entra ID with fake values: token error classified,
client secret never exposed, missing ENTRA_CLIENT_SECRET reported.

Co-Authored-By: Claude Opus 5.5 (1M context) <[email protected]>

src/lib/ms365-oauth.ts

@@ -4,7 +4,8 @@
  * App-Registrierung in Entra ID an — kein Benutzerpasswort, kein MFA-Konflikt,
  * unabhaengig vom Ende der Basic-Auth fuer SMTP. Die App darf nur mit dem
  * Postfach senden, fuer das Exchange ihr ausdruecklich Zugriff gibt
- * (Berechtigung SMTP.SendAsApp + Add-MailboxPermission, siehe README).
+ * (Berechtigung SMTP.SendAsApp + Add-MailboxPermission, siehe README). Die
+ * Zugangsdaten stammen aus der SSO-App-Registrierung (lib/entra.ts).
  */
 
 export interface Ms365OAuthConfig {
@@ -49,7 +50,7 @@ export function createMs365TokenProvider(config: Ms365OAuthConfig, options: Prov
   // Die Tenant-ID landet im URL-Pfad: nur GUID oder Domainname, sonst
   // koennte ein manipulierter Wert die Anfrage an einen anderen Endpunkt lenken.
   if (!GUID.test(config.tenantId) && !DOMAIN.test(config.tenantId)) {
-    throw new Ms365TokenError("SMTP_OAUTH_TENANT_ID ist weder eine Tenant-GUID noch ein Domainname.");
+    throw new Ms365TokenError("ENTRA_TENANT_ID ist weder eine Tenant-GUID noch ein Domainname.");
   }
   const fetchImpl = options.fetchImpl ?? fetch;
   const now = options.now ?? Date.now;