fix(approvals,l10n,theme): usertest findings — localized prompts, no-data confirm, .chain log path, honest wording, AA contrast

- approvals: empty/legacy hub prompts render the localized fallback;
  approving without show: data asks for conscious confirmation first
- chain_log: write to ~/.chain/logs/studio-errors.log (was .fai),
  one-time best-effort migration of the legacy file + rotation sibling
- l10n: 'manipulationssicher' -> 'manipulationserkennend', neutral
  WORM-1 blurb, doctor pill 'Integritätskette v1', federation hint
  says the CA authenticates the first connect (DE+EN)
- theme: muted text token now >=4.5:1 on canvas, cards and elevated
  dark surfaces (was 3.7:1 on cards)

Signed-off-by: flemming-it <stefan.a.flemming@googlemail.com>

lib/l10n/app_de.arb

@@ -30,7 +30,7 @@
   "welcomeTrustHeader": "TRUST-POSTURE",
   "welcomeTrustSandboxTitle": "Sandbox von Anfang an",
   "welcomeTrustSandboxBody": "Jedes Modul bringt eine explizite Berechtigungsliste mit — Netzwerk-Endpunkte, Dateien, Umgebungsvariablen. Der Hub setzt sie durch; ohne Operator-Freigabe verlässt nichts die Sandbox.",
-  "welcomeTrustAuditTitle": "Manipulationssicheres Audit-Log",
+  "welcomeTrustAuditTitle": "Manipulationserkennendes Audit-Log",
   "welcomeTrustAuditBody": "Flow-Läufe, Installationen, Deinstallationen, Freigabe-Entscheidungen — alles wird in ein hash-verkettetes Audit-Log geschrieben. Die Diagnose-Seite verifiziert die Kette bei jedem Laden komplett.",
   "welcomeTrustAirgapTitle": "Air-Gap-tauglich",
   "welcomeTrustAirgapBody": "Der gesamte Hub steckt in einem einzigen Binary für Linux, macOS und Windows. Sobald ein Modul installiert ist, läuft der Flow, der es nutzt, ohne weiteren Netzwerkzugriff — ideal für regulierte Umgebungen.",
@@ -40,8 +40,8 @@
   "welcomeDocArchitectureBlurb": "Hub, Modul, Flow — und wie die drei zusammenpassen.",
   "welcomeDocSecurityTitle": "Sandbox-Modell",
   "welcomeDocSecurityBlurb": "Was ein Modul deklariert, was der Operator deckelt, was der Hub durchsetzt.",
-  "welcomeDocAuditTitle": "Manipulationssicheres Audit-Log",
-  "welcomeDocAuditBlurb": "Wie die Hash-Kette funktioniert und warum WORM-1 für KRITIS reicht.",
+  "welcomeDocAuditTitle": "Manipulationserkennendes Audit-Log",
+  "welcomeDocAuditBlurb": "Wie die Hash-Kette nachträgliche Änderungen erkennbar macht — und was die Integritätsstufe WORM-1 leistet (und was nicht).",
   "welcomeDocFlowsTitle": "Flow-Komposition",
   "welcomeDocFlowsBlurb": "YAML-Grundlagen, Templating-Referenz, das Extract→Summarize-Beispiel.",
   "welcomeDocApprovalsTitle": "Freigaben",
@@ -1046,6 +1046,9 @@
   "approvalsPillExpired": "abgelaufen",
   "approvalsPayloadPreview": "ZU PRÜFENDE DATEN",
   "approvalsNoPayload": "Keine Daten zum Prüfen angehängt. Der system.approval-Schritt des Flows bestimmt über sein \"show:\"-Feld, was angezeigt wird — setze es, um die Daten hinter dieser Entscheidung sichtbar zu machen.",
+  "approvalsNoDataConfirmTitle": "Ohne Prüfdaten freigeben?",
+  "approvalsNoDataConfirmBody": "Dieser Flow hat bewusst keine Prüfdaten hinterlegt (kein \"show:\" am Freigabe-Schritt). Du kannst trotzdem freigeben — entscheidest dann aber, ohne die Daten hinter dieser Entscheidung gesehen zu haben.",
+  "approvalsNoDataConfirmAction": "Trotzdem freigeben",
   "approvalsRequestFallback": "Freigabe für diesen Schritt erforderlich",
   "approvalsFlowStepMeta": "Flow: {flow} · Schritt: {step}",
   "approvalsApproveButton": "Freigeben",
@@ -1193,7 +1196,7 @@
       }
     }
   },
-  "doctorChainPillOk": "WORM-1",
+  "doctorChainPillOk": "Integritätskette v1",
   "doctorChainPillTamper": "MANIPULIERT",
   "doctorVerifyNow": "Jetzt prüfen",
   "doctorRestart": "Neustart",
@@ -1661,5 +1664,5 @@
   "federationTokenLabel": "Bootstrap-Token (einmalig)",
   "federationConfigLabel": "Satelliten-Konfiguration (in den Satelliten einfügen)",
   "federationCopied": "In die Zwischenablage kopiert",
-  "federationEnrollmentHint": "Übergib das Token dem Satelliten-Betreiber über einen sicheren Kanal. Die mitgelieferte CA macht den ersten Connect des Satelliten manipulationssicher."
+  "federationEnrollmentHint": "Übergib das Token dem Satelliten-Betreiber über einen sicheren Kanal. Die mitgelieferte CA authentifiziert den ersten Connect des Satelliten."
 }