feat(audit): Phase 1 Quick-Wins (P81 + P85 + P70 + P83) + TCF DELETE/INSERT-Fix

P81 — tests/fixtures/golden_truth/vw_de.json:
GT-Fixture mit must_find_cookies (47 VW-Cookies) + expected_vendors
(Google, Adobe, Trade Desk, ...). Basis fuer kuenftige Regression-Tests.

P85 — banner_screenshot_block.py + consent_scanner.py + main.py:
consent-tester macht beim Banner-Detect einen base64-PNG-Screenshot
(< 1.5MB). Backend rendert ihn als <img src="data:..."> direkt nach
dem GF-1-Pager. Visueller Beweis 'so sah das Banner aus' fuer Dispute
mit Marketing/DSB.

P70 — rag_provenance.py:
classify_finding_provenance() klassifiziert ein Finding als 'rag'
(Norm + Quelle), 'mixed' (Norm ohne Quelle) oder 'heuristic' (eigene
Interpretation). provenance_badge_html() rendert kleine Badges
(✓ RAG / NORM / ⚠ HEURISTIK). Modul ist generisch, kann bei jedem
Finding-Renderer einklinkt werden.

P83 — scripts/check-rebuild-needed.sh:
Prueft ob die im Container deployten BUILD_SHA mit local HEAD
uebereinstimmen. Bei Mismatch exit 1 mit 'REBUILD REQUIRED'-Hinweis.
Verhindert das 'alter Code im Container'-Problem das uns mehrfach
erwischt hat (Frontend-Tabs sichtbar, Backend ohne neuen Service).

TCF-Fix — tcf_vendor_authority.py:
cookie_library hat keinen UNIQUE-Index auf cookie_name → ON CONFLICT
war unmoeglich. Loesung: vor Insert DELETE WHERE source_name='iab_tcf_v2'.
Idempotent. + per-Vendor-Commit damit ein Fail die naechsten nicht blockt.

Co-Authored-By: Claude Opus 4.7 (1M context) <noreply@anthropic.com>

consent-tester/services/consent_scanner.py

@@ -77,6 +77,10 @@ class ConsentTestResult:
     # for behavior-validation in backend. Implicit declared_category:
     # before/reject phase = essential (site claims), accept = any.
     cookies_detailed: list = field(default_factory=list)
+    # P85: base64-PNG-Screenshot des Banners vor dem ersten Klick.
+    # Backend embedded das als <img> in der Mail — visueller Beweis
+    # "so sah das Banner zum Audit-Zeitpunkt aus".
+    banner_screenshot_b64: str = ""
 
 
 async def run_consent_test(
@@ -196,6 +200,17 @@ async def run_consent_test(
                 result.banner_text_violations = banner_violations["violations"]
                 result.banner_has_impressum_link = banner_violations["has_impressum"]
                 result.banner_has_dse_link = banner_violations["has_dse"]
+                # P85 — visueller Beweis fuer die Mail.
+                try:
+                    import base64 as _b64
+                    png = await page_a.screenshot(
+                        full_page=False, type="png", timeout=10000,
+                    )
+                    if png and len(png) < 1_500_000:  # < 1.5 MB
+                        result.banner_screenshot_b64 = _b64.b64encode(png).decode("ascii")
+                        logger.info("P85: banner screenshot captured (%d bytes)", len(png))
+                except Exception as _se:
+                    logger.warning("P85: banner screenshot failed: %s", _se)
 
             await ctx_a.close()