Add Codex as read-only reviewer, retry blocked video autoplay

scripts/codex-review.ps1 lets the Codex CLI review a state read-only in
a clean git worktree without .env or var/, as in Domira: by default
everything since the last release tag, or -Seit, -Commit, -Offen,
-Alles. The final answer is also saved under reports/. Review rules for
KantSites live in scripts/codex-review-prompt.md; README and AGENTS.md
describe the workflow.

video.js: when the browser refuses to start a loop (NotAllowedError),
the first touch or key press starts it; a click on the pause button
only counts as that button's own decision. ADR on videos updated.

Luximmo seed: Instagram and Facebook profiles in the footer, icons
instead of numbers in the process steps, services as subgrid.

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

scripts/codex-review-prompt.md

@@ -0,0 +1,13 @@
+Du prüfst Code von KantSites, einem selbst betriebenen CMS für Kundenwebsites (PHP 8.4, Symfony, Doctrine, Twig, SQLite oder MySQL/MariaDB, Shared Hosting ohne Node). Die Regeln stehen in AGENTS.md, Entscheidungen in docs/ARCHITECTURE.md. Zusätzlich gilt: keine nativen Browser-Dialoge (`confirm()`, `alert()`, `prompt()`); Rückfragen laufen über einen Dialog der Anwendung.
+
+Ändere nichts. Melde nur echte Fehler, bei denen du ein konkretes Fehlerszenario benennen kannst:
+
+1. Sicherheit: Umgehung von Anmeldung oder Rollen in der Verwaltung, fehlende Rechteprüfung, CSRF, XSS (zum Beispiel `|raw` in Twig, Inhalte aus Blöcken, Formularen oder Plugins), offene Redirects, Pfadmanipulation bei Uploads, Medien, Inhaltspaketen und Updater, Verstöße gegen die Schutzkopfzeilen.
+2. Korrektheit: Logikfehler beim Speichern, Publizieren und Laden von Seiten, Verlust von Entwürfen, nicht erkannte veraltete Schreibzugriffe (`StaleWrite`), fehlerhafte Migrationen von Dokumentschema oder Datenbank, Unterschiede zwischen SQLite und MySQL, veralteter Cache nach dem Publizieren, Fehler in der Übersetzungsebene, im Formularversand und im Updater.
+3. Öffentliche Ausgabe: Editorcode im öffentlichen Paket, fehlender Hauptinhalt im HTML, Rückschritte bei Barrierefreiheit (fehlende Beschriftungen, Tastaturbedienung, Kontrast), Leistung (LCP, CLS, render-blockierende Ressourcen) und SEO (Canonical, Sitemap, strukturierte Daten).
+4. Fehlende Tests für riskante Pfade.
+5. Verstöße gegen die Regeln in AGENTS.md, zum Beispiel native Browser-Dialoge.
+
+Keine Stilfragen, keine Vorschläge für Refactorings. Die Skripte `scripts/seed-*.php` und `scripts/reset-*.sh` bauen Referenzwebsites mit absichtlich festen Inhalten auf. Ignoriere `vendor/`, `node_modules/`, `public/assets/build/`, `public/assets/fonts/`, `composer.lock` und `package-lock.json`.
+
+Antworte auf Deutsch. Für jeden Befund: Datei und Zeile, Schwere (hoch, mittel, niedrig), konkretes Fehlerszenario, Vorschlag zur Behebung. Wenn nichts zu melden ist, sag das in einem Satz.