🔑 API-Key — nur diese Browser-Session

Der Key wird nur in deinem Browser (sessionStorage) gehalten und pro Lauf mitgeschickt. Er landet nicht in der .env, nicht in der DB, nicht in Logs. Tab schließen = vergessen. Für die persönliche Demo ok — für Multi-User später auf Serverseite umstellen.