feat(quick-260921-qd3): XFrame-Widget - Webseite als Rahmen im Dashboard, Sandbox ohne Top-Navigation, Neuladen-Intervall

- xframe-config.ts: Resolver (https-Pruefung via isHttpsUrl des Bilderrahmens,
  Titel bis 100 Zeichen, Neuladen 0/60/300/600/1800/3600 s geklemmt),
  XFRAME_SANDBOX ohne allow-top-navigation und allow-modals; 12 Tests zuerst rot
- xframe-widget.tsx: genau ein <iframe> (sandbox, allow="", no-referrer, lazy),
  Kopfleiste mit Titel oder Ecksymbol "In neuem Tab oeffnen", Neuladen ueber
  key-Wechsel mit Timer-Raeumung, transparente Flaeche im Bearbeitungsmodus
  damit die Kachel Ziehgriff bleibt; 12 Tests zuerst rot
- xframe-config-form.tsx: Adresse/Titel mit Uebernahme bei Blur/Enter, http wird
  mit Meldung abgewiesen und nicht gespeichert, Intervall-Auswahl, dauerhafter
  Hinweis auf verweigertes Einbetten; 8 Tests
- Panel-Zweig samt "— Titel" in der Kopfzeile, Registry (12x12, Fenster-Symbol),
  Katalog, Seite, DTO @IsIn, de/en widgets.xframe (15 Schluessel), Umlaut-Allowlist
  "neuem"; der Server ruft die Adresse nie ab

Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>

apps/web/src/messages/de.json

@@ -363,6 +363,23 @@
       "moveDownButton": "Nach unten",
       "limitReached": "Die Höchstzahl von 30 Bildern ist erreicht.",
       "uploadFailed": "Das Bild konnte nicht hochgeladen werden."
+    },
+    "xframe": {
+      "name": "XFrame",
+      "description": "Webseite einbetten",
+      "empty": "Keine Adresse eingestellt — über die Einstellungen festlegen",
+      "openInNewTab": "In neuem Tab öffnen",
+      "urlLabel": "Adresse (https)",
+      "urlPlaceholder": "https://…",
+      "urlInvalid": "Bitte geben Sie eine vollständige https-Adresse ein.",
+      "titleLabel": "Titel",
+      "titlePlaceholder": "Titel (optional)",
+      "reloadLabel": "Automatisch neu laden",
+      "reloadOff": "Nie",
+      "reloadMinute": "Jede Minute",
+      "reloadMinutes": "Alle {n} Minuten",
+      "reloadHour": "Jede Stunde",
+      "embedHint": "Manche Webseiten lassen sich nicht einbetten — dann bleibt der Rahmen leer. Über „In neuem Tab öffnen“ erreichen Sie die Seite trotzdem."
     }
   },
   "admin": {