fix(security): W-02 Secure-Cookie-Flag + W-03 TrustedProxies für X-Forwarded-For

W-02: Cookie Secure-Flag ist nun über config.yml steuerbar.
      api.secure_cookies: true/false — default false (kein Breaking Change).
      Alle 3 SetCookie-Aufrufe (Login, Logout, TOTP) nutzen s.cfg.SecureCookies.

W-03: remoteIP() ist jetzt eine Methode und prüft api.trusted_proxies.
      X-Forwarded-For wird nur ausgewertet wenn der direkte Peer in der
      trusted_proxies-Liste steht (IP oder CIDR). Sonst wird r.RemoteAddr
      verwendet — kein Spoofing mehr möglich.
      Neue Hilfsfunktion: isTrustedProxy(ip, proxies).

config.go: APIConfig um SecureCookies bool + TrustedProxies []string erweitert.

Co-Authored-By: Claude Sonnet 4.6 <noreply@anthropic.com>

internal/api/export.go

@@ -382,7 +382,7 @@ func (s *Server) handleExportPDF(w http.ResponseWriter, r *http.Request) {
 	s.audlog.Log(audit.Entry{
 		EventType: audit.EventExport,
 		Username:  sess.Username,
-		IPAddress: remoteIP(r),
+		IPAddress: s.remoteIP(r),
 		MailID:    id,
 		Detail:    "pdf",
 		Success:   true,
@@ -551,7 +551,7 @@ func (s *Server) handleExportZIP(w http.ResponseWriter, r *http.Request) {
 	s.audlog.Log(audit.Entry{
 		EventType: audit.EventExport,
 		Username:  sess.Username,
-		IPAddress: remoteIP(r),
+		IPAddress: s.remoteIP(r),
 		Detail:    fmt.Sprintf("zip: %d mails", exported),
 		Success:   true,
 	})