### fix: verbessere CORS-Handling und UI-Markierungen

- **Caddyfile:** Ersetze `Access-Control-Allow-Origin` durch `*`, entferne `Access-Control-Allow-Credentials`, füge `Access-Control-Expose-Headers` hinzu.
- **GlobalSecurityConfig:** Lockere `allowedOrigins`, `allowedOriginPatterns` und `exposedHeaders` auf `*`, setze `allowCredentials` auf `false`.
- **MailServiceApplication:** Passe CORS-Mapping durch `allowedOrigins` und `allowCredentials` an.
- **UI:** Aktualisiere Versionsmarker auf `v2026-04-23.26 - NUCLEAR CORS v2`.

frontend/shells/meldestelle-web/src/wasmJsMain/kotlin/at/mocode/frontend/shell/web/WebMainScreen.kt

@@ -69,7 +69,9 @@ fun MainAppContent() {
       is WebScreen.Nennung -> "/nennung/${screen.turnierId}"
       is WebScreen.Erfolg -> "/erfolg"
     }
-    setWindowHash("#$targetHash")
+    if (getWindowHash() != "#$targetHash") {
+      setWindowHash("#$targetHash")
+    }
   }
 
   Scaffold(
@@ -124,7 +126,7 @@ fun MainAppContent() {
       // Dezentraler Versions-Marker in der unteren rechten Ecke
       Box(modifier = Modifier.fillMaxSize().padding(8.dp), contentAlignment = Alignment.BottomEnd) {
         Text(
-          text = "v2026-04-23.25 - CADDY CATCH-ALL CORS",
+          text = "v2026-04-23.26 - NUCLEAR CORS v2",
           style = MaterialTheme.typography.labelSmall,
           color = Color.LightGray.copy(alpha = 0.5f)
         )