feat: Eine Geraetemarke kann jetzt auch als Anmeldung fuer eine App gelten

Die API kannte zwei Zustaende: angemeldet per Sitzungs-Cookie, oder eine enge
Kurzbefehl-Marke, die nur erfassen darf. Eine native App passt in keinen davon
- sie kann kein Cookie-Formular ausfuellen und soll das Passwort nicht auf dem
Geraet halten.

Neu ist die Reichweite "app": Sie gilt im Header X-Certain-Token wie eine
Anmeldung, laeuft nicht nach 30 Tagen ab und laesst sich einzeln widerrufen.

Die enge Marke bleibt eng - das ist der Punkt, an dem die Tests am genauesten
hinsehen. Und eine App-Marke darf keine weitere ausstellen: Sonst stellte sich
ein Dieb Ersatzschluessel aus und das Widerrufen liefe ins Leere.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

backend/app/routers/inbox.py

@@ -10,7 +10,7 @@ from pydantic import BaseModel
 from sqlalchemy.orm import Session
 
 from ..database import get_db
-from ..deps import get_current_user, get_owned
+from ..deps import get_current_user, get_owned, require_cookie_session
 from ..models import (
     Account,
     ApiToken,
@@ -45,9 +45,14 @@ def list_tokens(db: Session = Depends(get_db), user: User = Depends(get_current_
 def create_token(
     payload: ApiTokenCreate,
     db: Session = Depends(get_db),
-    user: User = Depends(get_current_user),
+    user: User = Depends(require_cookie_session),
 ):
-    """Legt eine Marke an. Der Klartext ist NUR in dieser Antwort zu sehen."""
+    """Legt eine Marke an. Der Klartext ist NUR in dieser Antwort zu sehen.
+
+    Bewusst ``require_cookie_session``: Eine App-Marke darf keine weitere
+    ausstellen. Sonst stellte ein Dieb sich Ersatzschlüssel aus und das
+    Widerrufen der gestohlenen Marke liefe ins Leere.
+    """
     if payload.default_account_id is not None:
         get_owned(db, Account, payload.default_account_id, user)
     klartext = generate_session_token()
@@ -55,6 +60,7 @@ def create_token(
         owner_id=user.id,
         name=payload.name.strip(),
         token_hash=hash_session_token(klartext),
+        scope=payload.scope,
         default_account_id=payload.default_account_id,
     )
     db.add(marke)