feat: Bienenpatenschaft mit Urkunde, Abo, Medaillen und 3D-Konto

Setzt Teilprojekte 1-5 der Spec 2026-10-16 um:
- Urkunden-Engine (lib/certificate): ein Layout fuer PDF, Vorschau und
  3D-Textur, Vorlage classic@1, eingebettete OFL-Schriften, Testmatrix
- Einmal-Patenschaft ueber Traegerprodukte (Kategorie PATENSCHAFT),
  Paket wird im Checkout in Patenschaft (Regelsatz) und Honig aufgeteilt,
  Kontopflicht, rein digitale Bestellungen (FulfillmentMethod DIGITAL)
- Ausstellung nach Zahlung idempotent, Wiederholung im App-Prozess
  (instrumentation + background-jobs), Ablage in CERTIFICATE_DIR
- Verkaufsseite /patenschaft mit Konfigurator und Live-Vorschau,
  Warenkorb mit Schluessel je Position
- Kundenkonto: 3D-Ansicht von Urkunde und Medaille, Downloads, ZIP,
  Uebertragung per befristetem Einmal-Link, Treuestufen bis VIP
- Admin: Angebote, Patenschaften, Druck, Korrektur mit Revisionen,
  Abos, Erntefenster, Deckung, SEPA-Frist, Treuestufen
- Abo ueber Stripe Billing: Lieferung erst nach bezahlten Monaten,
  SEPA-Neukunden-Frist und Rueckbuchungsschutz, Honigreservierung,
  Kuendigungsbutton, Monatsrechnungen, Stripe-Einrichtungsskript

Startangebote werden inaktiv angelegt; Livebetrieb erst nach Freigabe.

Co-Authored-By: Claude Opus 5.5 (1M context) <[email protected]>

.env.example

@@ -36,6 +36,11 @@ STRIPE_SECRET_KEY=sk_test_xxxxxxxxxxxxxxxxxxxxxxxx
 STRIPE_PUBLISHABLE_KEY=pk_test_xxxxxxxxxxxxxxxxxxxxxxxx
 # Webhook-Secret aus `stripe listen` bzw. dem Stripe-Dashboard-Webhook-Endpoint
 STRIPE_WEBHOOK_SECRET=whsec_xxxxxxxxxxxxxxxxxxxxxxxx
+# Optional: Kundenportal-Konfiguration (bpc_...) fuer "Zahlungsart aendern" im
+# Abo, angelegt von `pnpm tsx scripts/stripe-setup.ts --apply`. Leer = die App
+# findet sie ueber ihre Metadaten; fehlt sie ganz, bietet das Konto "Zahlungsart
+# aendern" nicht an (die Stripe-Standardkonfiguration wird nie benutzt).
+STRIPE_PORTAL_CONFIGURATION_ID=
 
 # Admin-Zugang: Der interne /admin-Bereich wird NICHT per Basic-Auth
 # geschuetzt, sondern ueber das normale Kundenkonto-Login (/konto) und die
@@ -243,6 +248,18 @@ UPLOAD_DIR=./uploads
 # k8s/04-uploads-pvc.yaml und den Sicherungs-CronJob k8s/07-backup-cronjob.yaml.
 INVOICE_DIR=./invoices
 
+# Ablage der Urkunden-PDFs der Bienenpatenschaft (lib/sponsorship/storage.ts).
+# Aus demselben Grund wie INVOICE_DIR NIE unterhalb von UPLOAD_DIR — eine
+# Urkunde traegt Namen und eine persoenliche Widmung. Die Anwendung startet
+# nicht, wenn das Verzeichnis im Upload-Verzeichnis liegt. In Kubernetes ein
+# Unterordner des gesicherten Rechnungs-Volumes (siehe k8s/01-configmap.yaml).
+CERTIFICATE_DIR=./certificates
+
+# Hintergrundaufgaben im App-Prozess (src/instrumentation.ts): Urkunden
+# nachholen, Abo-Lieferungen anlegen, Verzug pruefen. "off" schaltet sie ab,
+# z.B. fuer eine zweite Instanz, die nur Seiten ausliefern soll.
+BACKGROUND_JOBS=on
+
 # Umsatzsteuersatz in GANZEN Prozent, ausgewiesen auf jeder Rechnung.
 #   7  = ermaessigter Satz (Honig als Lebensmittel, Anlage 2 zum UStG)
 #   19 = voller Satz
@@ -270,6 +287,8 @@ VAT_RATE_PERCENT_KERZEN=19
 VAT_RATE_PERCENT_PROPOLIS=19
 # Weitere Bienenprodukte (Kategorie SONSTIGES, z. B. Salben, Wachstuecher)
 VAT_RATE_PERCENT_SONSTIGES=19
+# Bienenpatenschaft (Leistung, Regelsatz; Honiganteil eigene Position).
+VAT_RATE_PERCENT_PATENSCHAFT=19
 
 # Threads, die ffmpeg beim Umrechnen eines hochgeladenen Videos benutzen darf
 # (Admin -> Inhalte -> Hero-Video). Leer lassen heisst 2, erlaubt sind 1 bis 8.