feat: Eine Geraetemarke kann jetzt auch als Anmeldung fuer eine App gelten

Die API kannte zwei Zustaende: angemeldet per Sitzungs-Cookie, oder eine enge
Kurzbefehl-Marke, die nur erfassen darf. Eine native App passt in keinen davon
- sie kann kein Cookie-Formular ausfuellen und soll das Passwort nicht auf dem
Geraet halten.

Neu ist die Reichweite "app": Sie gilt im Header X-Certain-Token wie eine
Anmeldung, laeuft nicht nach 30 Tagen ab und laesst sich einzeln widerrufen.

Die enge Marke bleibt eng - das ist der Punkt, an dem die Tests am genauesten
hinsehen. Und eine App-Marke darf keine weitere ausstellen: Sonst stellte sich
ein Dieb Ersatzschluessel aus und das Widerrufen liefe ins Leere.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

backend/app/schemas.py

@@ -15,6 +15,7 @@ from .models import (
     IdentifierKind,
     ImportStatus,
     Role,
+    TokenScope,
     TxnType,
 )
 
@@ -687,11 +688,15 @@ class FlaggedKeywordOut(BaseModel):
 class ApiTokenCreate(BaseModel):
     name: str = Field(min_length=1, max_length=80)
     default_account_id: int | None = None
+    # Voreinstellung bleibt die enge Marke: Wer nichts angibt, bekommt keinen
+    # Vollzugang.
+    scope: TokenScope = TokenScope.quick_add
 
 
 class ApiTokenOut(BaseModel):
     id: int
     name: str
+    scope: TokenScope
     default_account_id: int | None
     last_used_at: datetime | None
     created_at: datetime | None