fix: Crash-Robustheit + Performance in Backend und Frontend härten

Backend: recover() in allen langlebigen Goroutinen (neues internal/safego-
Paket), MIME-Multipart-Tiefenlimit gegen Stack-Overflow, IMAP-Zeilenlängen-
und FETCH-Result-Limits gegen OOM, MBOX-Buffer-Aliasing-Bug (Datenkorruption
beim Import), ungeprüfte Type Assertions abgesichert, Data Race im
API-Key-Rate-Limiter behoben, SMTP-Session-Panic führt jetzt zu 451-Retry
statt Prozessabsturz. Performance: O(n²)-String-Concat in Mailparser und
IMAP-Parser durch strings.Builder ersetzt.

Frontend: Error Boundaries für Root und Mail-Detailansicht ergänzt (gab es
vorher nicht), zahlreiche Guards gegen nil-Slices aus dem Backend-JSON die
sonst .map()/.length-Crashes/White-Screens auslösten, defekte JSON-Antworten
in api/core.ts abgefangen, zwei React-Key-Bugs bei löschbaren Listen
korrigiert.

Verifiziert auf 192.168.1.132: Build und Tests der geänderten Pakete
fehlerfrei, keine Regressionen gegenüber vorbestehendem Stand.

Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_019j28kGcaJAhBnrYX34hGdt

internal/auth/apikey_middleware.go

@@ -52,6 +52,7 @@ type APIKeyRow struct {
 
 // tokenBucket implements a simple per-key token-bucket rate limiter.
 type tokenBucket struct {
+	mu        sync.Mutex // guards tokens/lastCheck — concurrent requests share one bucket
 	tokens    float64
 	limit     float64
 	lastCheck time.Time
@@ -128,7 +129,14 @@ func (m *APIKeyMiddleware) allow(keyID int64, limitPerMin int) bool {
 		limit:     limit,
 		lastCheck: now,
 	})
-	bucket := val.(*tokenBucket)
+	bucket, ok := val.(*tokenBucket)
+	if !ok || bucket == nil {
+		// Should never happen — fail closed rather than panic.
+		return false
+	}
+
+	bucket.mu.Lock()
+	defer bucket.mu.Unlock()
 
 	elapsed := now.Sub(bucket.lastCheck).Seconds()
 	bucket.lastCheck = now