feat: guided setup — persona re-audit fixes (grade-1 round)

- Regulated path finishes without a terminal: the signed-source
  state offers 'Add a signed source…' (stores dialog with pin-a-key)
  plus the per-module install buttons and a plain-language hint why
  pinning the publisher's key matters — instead of a hint with no
  affordance.
- Apply warnings (e.g. the empty-trusted-publishers caveat) surface
  selectable in the done state instead of being swallowed.
- Truthful preview: new lines state which machine is being set up
  (server/container targets configure THIS machine), that regulated
  profiles always get the hash-chained audit log (even with WORM
  off), and that the curated reading list is stored with the setup
  record.
- Language pass: onboarding checklist in Sie-form + 'System-KI'
  (was du-form + 'System-AI'), 'Audit-Sperre' jargon replaced,
  answers file moved to a private per-dialog temp dir.
- Screenshot harness: GUIDE_SHOTS_THEME=light for light-parity
  proof runs.

Signed-off-by: flemming-it <stefan.a.flemming@googlemail.com>

lib/l10n/app_de.arb

@@ -72,14 +72,14 @@
   },
   "welcomeChecklistHeader": "ERSTE SCHRITTE",
   "welcomeChecklistBody": "Vier Schritte zu einem funktionierenden Hub. Live-Zustand — nach jeder Änderung aktualisieren.",
-  "welcomeChecklistAi": "System-AI konfigurieren",
-  "welcomeChecklistAiHint": "Einstellungen → System-AI. Wird für die KI-Suche und Fehlererklärungen gebraucht.",
+  "welcomeChecklistAi": "System-KI konfigurieren",
+  "welcomeChecklistAiHint": "Einstellungen → System-KI. Wird für die KI-Suche und Fehlererklärungen gebraucht.",
   "welcomeChecklistMcp": "Öffentliche Capability-Quelle hinzufügen",
   "welcomeChecklistMcpHint": "Im Store eine MCP-Quelle hinzufügen oder unter Einstellungen → MCP-Clients konfigurieren.",
   "welcomeChecklistModule": "Ein Text-Modul installieren",
-  "welcomeChecklistModuleHint": "Im Store ein Modul aus der Kategorie deiner Wahl installieren. Module sind sandboxed Ch∆In-Komponenten.",
+  "welcomeChecklistModuleHint": "Im Store ein Modul aus der Kategorie Ihrer Wahl installieren. Module sind isolierte (sandboxed) Ch∆In-Komponenten.",
   "welcomeChecklistFlow": "Einen gespeicherten Flow starten",
-  "welcomeChecklistFlowHint": "Flows → einen wählen → Starten. Studio bringt einige Demo-Flows mit; auch ein eigener tut's.",
+  "welcomeChecklistFlowHint": "Flows → einen wählen → Starten. Studio bringt einige Demo-Flows mit; ein eigener funktioniert genauso.",
   "welcomeChecklistAllDone": "Alle vier Schritte erledigt.",
   "welcomeChecklistDismiss": "Checkliste ausblenden",
   "welcomeChecklistRefresh": "Aktualisieren",
@@ -886,16 +886,16 @@
   "maintenanceResetConfirmTitle": "Hub zurücksetzen?",
   "maintenanceResetConfirmBody": "Stoppt jeden Daemon, verschiebt ~/.chain/ in ein Backup mit Zeitstempel und startet sauber neu. Das Backup ist vollständig wiederherstellbar. Fortfahren?",
   "maintenanceResetConfirmButton": "Zurücksetzen",
-  "welcomeChecklistAllSetTitle": "Du bist eingerichtet.",
-  "welcomeChecklistAllSetBody": "Drei Stränge, an denen du als nächstes ziehen kannst:",
+  "welcomeChecklistAllSetTitle": "Sie sind eingerichtet.",
+  "welcomeChecklistAllSetBody": "Drei Stränge, an denen Sie als Nächstes ziehen können:",
   "welcomeChecklistNextAuditTitle": "Audit-Log lesen",
-  "welcomeChecklistNextAuditBody": "Jede Installation, jeder Flow-Lauf, jede Freigabe landet im hash-verketteten Log. Im Protokoll-Tab siehst du, was dein Hub gemacht hat.",
+  "welcomeChecklistNextAuditBody": "Jede Installation, jeder Flow-Lauf, jede Freigabe landet im hash-verketteten Protokoll. Im Protokoll-Tab sehen Sie, was Ihr Hub gemacht hat.",
   "welcomeChecklistNextAuditButton": "Protokoll öffnen",
   "welcomeChecklistNextTodayTitle": "Daily-Today-Story einrichten",
   "welcomeChecklistNextTodayBody": "tools/today/propose.sh per Cron laufen lassen und die Editorial-Karte im Store füllt sich mit operator-kuratierten Stories.",
   "welcomeChecklistNextTodayButton": "Today-Doku öffnen",
   "welcomeChecklistNextModuleTitle": "Eigenes Modul bauen",
-  "welcomeChecklistNextModuleBody": "Mit `chain new module <name>` ein Rust+WASM-Scaffold erzeugen. Das module-sdk übernimmt die WIT-Plumbing; du schreibst nur ein typisiertes invoke.",
+  "welcomeChecklistNextModuleBody": "Mit `chain new module <name>` ein Rust+WASM-Gerüst erzeugen. Das module-sdk übernimmt die WIT-Anbindung; Sie schreiben nur ein typisiertes invoke.",
   "welcomeChecklistNextModuleButton": "Doku lesen",
   "auditGroupToday": "HEUTE",
   "auditGroupYesterday": "GESTERN",
@@ -1704,7 +1704,7 @@
   "setupReviewTitle": "Das wird Ch∆In einrichten",
   "setupChooseFreeText": "Oder beschreiben Sie einfach, was Sie vorhaben",
   "setupScenTryingOut": "Erst mal ausprobieren",
-  "setupScenTryingOutSub": "Ein unkomplizierter Arbeitsplatz auf diesem Rechner — ohne Signaturen, ohne Audit-Sperre.",
+  "setupScenTryingOutSub": "Ein unkomplizierter Arbeitsplatz auf diesem Rechner — ohne Signaturpflicht, ohne Schreibschutz für das Prüfprotokoll.",
   "setupScenTeamHub": "Ein Team-Server",
   "setupScenTeamHubSub": "Ein abgesicherter Hub für mehrere Personen — signierte Module, Ressourcen-Grenzen.",
   "setupScenRegulated": "Regulierter Produktivbetrieb",
@@ -1761,6 +1761,16 @@
   "setupAllowUnsigned": "Installation aus dem öffentlichen Store erlauben",
   "setupAllowUnsignedSub": "Lockert die Signaturpflicht bewusst. Gut zum Ausprobieren — für den regulierten Betrieb später wieder aktivieren.",
   "setupStartCta": "In 3 Fragen loslegen",
+  "setupPlanRunbookLocal": "Eingerichtet wird dieser Rechner; der Hub läuft lokal und wird bei Bedarf gestartet.",
+  "setupPlanRunbookService": "Eingerichtet wird dieser Rechner: Der Hub startet künftig automatisch beim Hochfahren (Hintergrund-Dienst). Für einen anderen Server führen Sie die Einrichtung dort aus.",
+  "setupPlanRunbookAirgap": "Vorgesehen für einen isolierten Server ohne Internet — Module und Updates kommen als Offline-Paket.",
+  "setupPlanRunbookContainer": "Vorgesehen für den Betrieb im Container — ein fertiges Compose-Beispiel wird mitgeliefert.",
+  "setupPlanAuditChain": "Jeder Schritt landet in einem lückenlosen, hash-verketteten Prüfprotokoll — Manipulation wird erkennbar.",
+  "setupPlanDocs": "Eine passende Leseliste ({n} Kapitel) wird mit dem Einrichtungs-Protokoll unter ~/.chain/ gespeichert.",
+  "@setupPlanDocs": {"placeholders": {"n": {"type": "int"}}},
+  "setupTrustedPublishersHint": "Wichtig: Hinterlegen Sie beim Hinzufügen der Quelle den Schlüssel des Herausgebers („Signatur-Schlüssel anheften“) — sonst akzeptiert der Hub jede formal gültige Signatur, egal von wem.",
+  "setupAddSignedSource": "Signierte Quelle hinzufügen…",
+  "setupApplyNotes": "Hinweise aus der Einrichtung",
   "setupFreeTextHint": "z. B.: Eingehende Anträge vorprüfen und unvollständige markieren",
   "setupFreeTextSuggest": "Vorschlagen lassen",
   "setupFreeTextPrivacyLocal": "Ihre Beschreibung wird lokal auf diesem Rechner verarbeitet ({model}).",