rename(phase 1): CapaKraken → Nexus across code, UI, docs, CI

- @capakraken/* → @nexus/* across 12 packages (root + 11 workspaces),
  1551 import lines migrated via codemod
- User-visible brand strings renamed (emails, page titles, PWA
  manifest, mobile header, MFA backup-codes header, tooltips, signin
  page, invite page, weekly digest, install prompt)
- TOTP issuer "CapaKraken" → "Nexus" (existing secrets still valid;
  re-enrollment relabels them in users' authenticator apps)
- Function rename: assertCapaKrakenDbTarget → assertNexusDbTarget
- LocalStorage migration shim in apps/web/src/app/layout.tsx copies
  capakraken_* → nexus_* on first load (guarded by nexus_migrated_v1
  sentinel; runs once per browser, then never again)
- Service-worker cache name capakraken-v2 → nexus-v2 with one-time
  caches.delete('capakraken-v2') from the same shim
- Email-domain fixtures @capakraken.{dev,app} → @nexus.{dev,app} in
  seed data, e2e specs, SMTP default fallback
- Dockerfile.dev / Dockerfile.prod / all .github/workflows/*.yml
  pnpm --filter @capakraken/* → @nexus/*
- README, CLAUDE.md, LEARNINGS.md, all docs/*.md, .env.example,
  tooling/deploy/.env.production.example brand sweep

Phase 1 deliberately leaves untouched (handled in Phase 3 cutover):
- PostgreSQL DB name "capakraken" and POSTGRES_USER "capakraken"
- Volume names capakraken_pgdata etc.
- Compose project name "capakraken" / "capakraken-prod"
- db-target-guard default expectedDatabase
- env-var CAPAKRAKEN_EXPECTED_DB_NAME
- Container DNS names in docker-compose.ci.yml

Quality gates green: pnpm typecheck (7/7), pnpm test:unit (7/7),
pnpm lint (0 errors), check:exports/imports/architecture all pass.

Co-Authored-By: Claude Opus 4.7 <noreply@anthropic.com>

plan.md

@@ -5,6 +5,7 @@
 ## Anforderungsanalyse
 
 **Untersuchungsergebnis:** Die in #50 gemeldeten 404s sind kein echter Code-Defekt.
+
 - `analytics/skills` → HTTP 200 (in Docker-Logs bestätigt)
 - `reports/chargeability` → HTTP 200 (in Docker-Logs bestätigt)
 - `analytics/insights` → Seite existiert, wurde schlicht noch nicht kompiliert (Next.js dev kompiliert Routen on-demand beim ersten Besuch)
@@ -18,10 +19,10 @@
 
 ## Betroffene Pakete & Dateien
 
-| Paket | Dateien | Art der Änderung |
-|-------|---------|-----------------|
-| `apps/web` | `e2e/dev-system/nav-smoke.spec.ts` | create |
-| `apps/web` | `e2e/navigation.spec.ts` | edit — 9 bisher ungetestete Routen hinzufügen |
+| Paket      | Dateien                            | Art der Änderung                              |
+| ---------- | ---------------------------------- | --------------------------------------------- |
+| `apps/web` | `e2e/dev-system/nav-smoke.spec.ts` | create                                        |
+| `apps/web` | `e2e/navigation.spec.ts`           | edit — 9 bisher ungetestete Routen hinzufügen |
 
 ---
 
@@ -77,16 +78,16 @@
 - Task 1 und Task 2 sind **vollständig unabhängig** — können parallel implementiert werden.
 - Task 1 setzt gespeicherte Auth-State-Dateien voraus (`e2e/dev-system/.auth/admin.json`).
   Diese existieren bereits (von vorherigen Runs). Falls nicht: `playwright test --config
-  playwright.dev.config.ts` ohne Spec-Filter — global-setup läuft zuerst.
+playwright.dev.config.ts` ohne Spec-Filter — global-setup läuft zuerst.
 
 ---
 
 ## Akzeptanzkriterien
 
-- [ ] `pnpm --filter @capakraken/web exec playwright test --config playwright.dev.config.ts e2e/dev-system/nav-smoke.spec.ts` → alle 35 Tests grün gegen Live-Dev-Server auf Port 3100
-- [ ] `pnpm --filter @capakraken/web exec playwright test e2e/navigation.spec.ts` → grün im Standard-Test-Suite
+- [ ] `pnpm --filter @nexus/web exec playwright test --config playwright.dev.config.ts e2e/dev-system/nav-smoke.spec.ts` → alle 35 Tests grün gegen Live-Dev-Server auf Port 3100
+- [ ] `pnpm --filter @nexus/web exec playwright test e2e/navigation.spec.ts` → grün im Standard-Test-Suite
 - [ ] `pnpm test:unit` → unverändert grün (kein Produktionscode geändert)
-- [ ] `pnpm --filter @capakraken/web exec tsc --noEmit` → keine neuen Errors
+- [ ] `pnpm --filter @nexus/web exec tsc --noEmit` → keine neuen Errors
 - [ ] Gitea #50 mit Analyseergebnis kommentieren und schließen
 
 ---
@@ -97,6 +98,6 @@
 
 2. **`/vacations/my` für Admin ohne Resource:** Admin-User `admin@planarchy.dev` hat möglicherweise kein verlinktes Resource-Record. Die Seite rendert dann ein Amber-Warning-Banner — kein 404. Smoke-Test besteht trotzdem, da nur HTTP-Status und "page not found"-Text geprüft werden.
 
-3. **Role-Gates in Standard-Suite (Task 2):** Der Test-Server-Seed-User `admin@capakraken.dev` muss systemRole ADMIN haben damit Role-gated Routen erreichbar sind. Prüfen via `test-server.mjs` bevor Implementierung.
+3. **Role-Gates in Standard-Suite (Task 2):** Der Test-Server-Seed-User `admin@nexus.dev` muss systemRole ADMIN haben damit Role-gated Routen erreichbar sind. Prüfen via `test-server.mjs` bevor Implementierung.
 
-4. **Credentials nicht mischen:** `navigation.spec.ts` (Standard-Suite) → `admin@capakraken.dev`. `nav-smoke.spec.ts` (dev-system) → `admin@planarchy.dev` via storageState. Nie kreuzen.
+4. **Credentials nicht mischen:** `navigation.spec.ts` (Standard-Suite) → `admin@nexus.dev`. `nav-smoke.spec.ts` (dev-system) → `admin@planarchy.dev` via storageState. Nie kreuzen.