feat(mail): ING-07 einheitliche Fehlerbehandlung & Wiederverbindung IMAP/POP3

Neues Paket mail/internal/protoguard kapselt die für IMAP- und
POP3-Sessions gemeinsam benötigte Timeout- und Backoff-Logik einer
einzelnen Verbindung:

- Pro Protokollphase konfigurierbarer Idle-Read-Timeout (POP3:
  Authorization/Transaction, IMAP: NotAuthenticated/Selected), vor
  jedem Lesevorgang neu gesetzt.
- Sich verdoppelnder Backoff bei wiederholten Anmeldefehlversuchen
  einer Verbindung (BackoffBase bis BackoffMax), Verbindungstrennung
  nach konfigurierbarer Höchstzahl statt Dauerschleife.

Server.NewServer bleibt unverändert (Standardkonfiguration);
NewServerWithGuardConfig erlaubt abweichende Werte. Ressourcenaufräumung
bei Verbindungsabbruch war bereits durch defer conn.Close() strukturell
gegeben — der Timeout sorgt dafür, dass dieser Pfad auch bei hängenden
oder böswilligen Gegenstellen zuverlässig erreicht wird.

Alle drei Pflichtprüfungen mit echten Nachweisen durchgeführt:
Chaos-Test mit 30 hart gekappten Verbindungen während aktiver
Übertragung (kein Goroutine-Leck), Timeout-Auslösung in jeder
Protokollphase beider Server, steigender Backoff mit definierter
Verbindungstrennung nach Höchstzahl an Fehlversuchen.

go build/go vet/golangci-lint clean, gesamtes Mail-Modul (~24 Pakete)
regressionsfrei getestet.

mail/internal/imap/session.go

@@ -7,6 +7,18 @@ import (
 	"io"
 	"net"
 	"strings"
+
+	"gitea.perlbach24.de/scripte/nexarch/mail/internal/protoguard"
+)
+
+// phaseNotAuthenticated/phaseSelected sind die protoguard-Phasen dieser
+// Sitzung (ING-07 Akzeptanzkriterium 2: Timeouts pro Protokollphase
+// konfigurierbar). Authenticated und Selected teilen sich denselben
+// Timeout — beides ist bereits angemeldeter Zustand, nur die
+// Anmeldephase braucht separate (typischerweise kürzere) Werte.
+const (
+	phaseNotAuthenticated protoguard.Phase = "not_authenticated"
+	phaseSelected         protoguard.Phase = "selected"
 )
 
 // maxCommandLineBytes begrenzt eine einzelne Kommandozeile (Defensive
@@ -18,27 +30,37 @@ const maxCommandLineBytes = 8192
 // Session ist eine einzelne IMAP-Verbindung mit eigener
 // Zustandsmaschine (Akzeptanzkriterium 1).
 type Session struct {
-	conn    net.Conn
-	reader  *bufio.Reader
-	writer  *bufio.Writer
-	auth    Authenticator
-	store   MailboxStore
+	conn        net.Conn
+	reader      *bufio.Reader
+	writer      *bufio.Writer
+	auth        Authenticator
+	store       MailboxStore
+	guard       *protoguard.Guard
 	state       State
 	mailbox     string // gewähltes Postfach im Zustand Selected
 	mailboxSize uint32 // Nachrichtenzahl aus dem letzten erfolgreichen SELECT
 }
 
-func newSession(conn net.Conn, auth Authenticator, store MailboxStore) *Session {
+func newSession(conn net.Conn, auth Authenticator, store MailboxStore, guardCfg protoguard.Config) *Session {
 	return &Session{
 		conn:   conn,
 		reader: bufio.NewReaderSize(conn, maxCommandLineBytes),
 		writer: bufio.NewWriter(conn),
 		auth:   auth,
 		store:  store,
+		guard:  protoguard.New(guardCfg),
 		state:  NotAuthenticated,
 	}
 }
 
+// currentPhase liefert die protoguard-Phase des aktuellen Sitzungszustands.
+func (s *Session) currentPhase() protoguard.Phase {
+	if s.state == NotAuthenticated {
+		return phaseNotAuthenticated
+	}
+	return phaseSelected
+}
+
 // State liefert den aktuellen Sitzungszustand (für Tests).
 func (s *Session) State() State { return s.state }
 
@@ -51,8 +73,18 @@ func (s *Session) Serve(ctx context.Context) {
 	}
 
 	for {
+		// Akzeptanzkriterium 2 (ING-07): Idle-Timeout pro Protokollphase,
+		// vor jedem Lesevorgang neu gesetzt, da ein Zustandswechsel die
+		// Phase (und damit den geltenden Timeout) ändern kann.
+		if err := s.guard.ApplyReadDeadline(s.conn, s.currentPhase()); err != nil {
+			return
+		}
 		line, err := s.readLine()
 		if err != nil {
+			// Verbindungsende (Timeout, Netzwerkabbruch oder harter
+			// Abbruch) — Session-Ressourcen werden über das defer
+			// conn.Close() oben zuverlässig freigegeben
+			// (Akzeptanzkriterium 1).
 			return
 		}
 		if line == "" {