fix: убрать утёкший токен, обновить Next.js, rate limit на /api/contact (PRJ-4)

- .env.local.example: реальный TELEGRAM_BOT_TOKEN заменён на placeholder (токен скомпрометирован — был в git-истории)
- next 14.2.5 -> 14.2.35 (закрывает известные CVE), eslint-config-next синхронно
- /api/contact: rate limit 5 запросов / 10 минут по IP (in-memory sliding window) + 429
- build проверен: 12 страниц, ошибок нет

package.json

@@ -9,7 +9,7 @@
     "lint": "next lint"
   },
   "dependencies": {
-    "next": "^14.2.5",
+    "next": "^14.2.35",
     "react": "^18.3.1",
     "react-dom": "^18.3.1",
     "lucide-react": "^0.427.0"
@@ -23,6 +23,6 @@
     "postcss": "^8.4.40",
     "tailwindcss": "^3.4.7",
     "eslint": "^8.57.0",
-    "eslint-config-next": "^14.2.5"
+    "eslint-config-next": "^14.2.35"
   }
 }