Drobne poprawki bezpieczenstwa z audytu

- /api/listings/favorites i /mine/** wymagaja logowania (anonimowo byl blad 500).
- Nowa rozmowa tylko o opublikowanym ogloszeniu.
- Licznik wyswietlen: jedno wyswietlenie na IP i ogloszenie na godzine.
- Rezygnacja z mailingu: GET pyta o potwierdzenie, wypisuje dopiero POST
  (tez z przycisku programu pocztowego); podpis porownywany w stalym czasie.
- Usuniecie konta usuwa jego ogloszenia.
- Haslo przy rejestracji min. 8 znakow; resend-phone-otp nie zdradza, czy konto istnieje.
- docker-compose.prod.yml bez domyslnego Admin123!; bez hasla konto admina
  nie jest zakladane (blad w logu).

Co-Authored-By: Claude Opus 5.5 (1M context) <noreply@anthropic.com>

docker-compose.prod.yml

@@ -31,7 +31,9 @@ services:
       # Bez tych zmiennych backend bierze wartosci domyslne z application.yml, wiec login i haslo
       # administratora ustawione w .env nie mialy zadnego wplywu na dzialajaca aplikacje.
       APP_ADMIN_EMAIL: ${APP_ADMIN_EMAIL:-admin@softspm.com}
-      APP_ADMIN_PASSWORD: ${APP_ADMIN_PASSWORD:-Admin123!}
+      # Bez wartosci domyslnej: brak hasla w .env.production oznacza, ze konto administratora nie
+      # zostanie zalozone (blad w logu), zamiast powstac z jawnym haslem z repozytorium.
+      APP_ADMIN_PASSWORD: ${APP_ADMIN_PASSWORD:-}
       APP_ADMIN_NAME: ${APP_ADMIN_NAME:-Administrator Polska Lokalnie}
       # true = przy starcie ustaw haslo administratora na APP_ADMIN_PASSWORD (odzyskanie dostepu).
       APP_ADMIN_RESET_PASSWORD: ${APP_ADMIN_RESET_PASSWORD:-false}