feat(cms): confirm-before-logout and branded login page

- logout asks for confirmation, then invalidates the server-side session
  and navigates to a public /login page (logo, form, error messages)
- POST /login validates credentials (timing-safe) and issues an HttpOnly
  SameSite=Strict session cookie (8h, Secure behind HTTPS); Basic Auth
  stays valid in parallel for curl/API use
- unauthenticated browser navigations redirect to /login; non-browser
  requests keep the 401 challenge
- failed form logins share the auth rate-limit budget with Basic attempts
- save/publish redirect to /login when the session expired
- refactor: templates and browser script extracted to scripts/cms-pages.js
  and scripts/cms-editor-client.js, session logic to scripts/cms-session.js
  (content-editor.js back under the 400-line limit)
- user guide updated (login page, confirmation, 8h session)

Closes MITHOME-58

docs/felhasznaloi-utmutato.md

@@ -36,8 +36,10 @@ A dokumentum a repó része, és **folyamatosan karbantartott**: minden funkció
 ### Belépés és kilépés
 
 - A CMS a kiadott címen érhető el (staging: `https://cms.stage.llmdev.mozdit.hu`).
-- Belépés: a megadott **felhasználónév + jelszó** párossal (ezt az adminisztrátor adja).
-- **🚪 Kilépés**: az alsó sáv gombja — anélkül jelentkezel ki, hogy be kellene zárnod a böngészőt.
+- **Bejelentkezés**: a logós bejelentkező oldalon add meg a **felhasználónevet és jelszót** (ezt az adminisztrátor adja), majd kattints a Belépés gombra.
+- Több **sikertelen próbálkozás** (5) után a belépés kb. 15 percre zárolásra kerül.
+- A belépés **8 óráig érvényes** — ezután a CMS visszairányít a bejelentkező oldalra, ahol újra meg kell adni a jelszót.
+- **🚪 Kilépés**: az alsó sáv gombja — egy megerősítő kérdés („Biztosan ki szeretnél lépni?") után kijelentkezel, és megjelenik a bejelentkező oldal.
 
 ### Felület áttekintés