R-304 option C: operator mail when a household's code opens or may open an older package (once a day); R-298 side fix (no eject/format on a backup-target drive); R-717 comments

Unreleased; ships with tomorrow's release (needs the hub of the same day).

Co-Authored-By: Claude Opus 5.5 (1M context) <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_0159rPz1ZhFKsS53msqPYxtS

controller/internal/web/recovery_handlers.go

@@ -444,6 +444,7 @@ func (s *Server) recoveryUnlockHandler(w http.ResponseWriter, r *http.Request) {
 				when = " (" + at + ")"
 			}
 			s.logger.Printf("[INFO] [web] recovery: the code opened a RETAINED package — the customer is not at fault")
+			s.notifyRecoveryOlderPackage(class, func() string { _, at := s.recoverySuperseded(); return at }())
 			s.renderRecovery(w, r, "A kódod helyes, de egy korábbi csomagot nyit meg, nem azt, amit most őrzünk ehhez a géphez. A géped időközben új mentési kulcsot kapott. A korábbi csomagot"+when+" nem töröltük, megőrizzük — a mostani mentéseidet ez nem érinti, azokkal semmi nem történt. A régebbi előzményed visszanyitásához a Felhom ügyfélszolgálatának segítsége kell: írj nekik, és add meg, hogy a régi mentéseidhez szeretnél hozzáférni. A kódodat tedd el, szükség lesz rá.", "", nil)
 			return
 		case agentapi.RecoveryOlderUnchecked:
@@ -455,6 +456,7 @@ func (s *Server) recoveryUnlockHandler(w http.ResponseWriter, r *http.Request) {
 			// possibility (R-226: a new-code holder may be typing), and names the route. Pinned by
 			// TestR304_OlderUnchecked_IsNotAWrongCode.
 			s.logger.Printf("[WARN] [web] recovery: earlier sealed packages were not all checked — not reported as a wrong code (R-304)")
+			s.notifyRecoveryOlderPackage(class, func() string { _, at := s.recoverySuperseded(); return at }())
 			s.renderRecovery(w, r, s.msg(r, "recovery.older_unchecked"), "", nil)
 			return
 		case agentapi.RecoveryAskedAndRefused: