Shop F3: POST /:siteKey/widerruf (Herkunft, Honigtopf, Formular-Token, Mindestantwortzeit), Preflight für POST-Routen, Konfig formMinSekunden und minAntwortMs

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

server/config.js

@@ -812,6 +812,10 @@ export const config = {
     maxVarianten: 30,
     // Bestellungen werden so viele Jahre nach Abschluss anonymisiert (Aufbewahrungsfrist), siehe Block J
     anonymisierenJahre: 3,
+    // Mindestzeit (Sekunden) zwischen Laden und Absenden des Widerrufs-/Bestellformulars (schneller = Bot)
+    formMinSekunden: nonNegativeNumber(process.env.SHOP_FORM_MIN_SEKUNDEN, 3),
+    // Kuerzeste Antwortzeit (ms) der POST-Routen der oeffentlichen Schnittstelle (verwischt Zeitunterschiede). Tests setzen 0.
+    minAntwortMs: nonNegativeNumber(process.env.SHOP_MIN_ANTWORT_MS, 300),
     // Tage nach Abschalten der Funktion bis zur Loeschung der Shop-Daten
     loeschTageNachAbschalten: 90,
     // Unbezahlte (offene/stornierte) Bestellungen werden nach so vielen Tagen geloescht