Bonus 17: Sichere API-Key-Speicherung (.env + age-Option)

- .gitignore: Secrets (.env, *.key, *.pem) + Coverage + Temp-Verzeichnisse
- .env.example: Template ohne echte Werte, mit Anleitung
- scripts/token-gen.mjs: HMAC-Bearer-Token-Generator
- package.json: token-gen + build:twa Scripts
- docs/SECRETS.md: komplette Anleitung
  - Lokale Entwicklung (.env)
  - CI (gitea-Repository-Secrets)
  - age-Verschluesselung als optionale Schicht
  - Was NIE tun / was IMMER tun
  - Incident-Response bei geleaktem Secret

Verifiziert:
- token-gen erzeugt Token korrekt (stderr: Token gueltig...)
- 122/122 Tests gruen
- .env.example im Repo, .env ist gitignored

package.json

@@ -30,7 +30,9 @@
     "init-vault": "npm run build && node bin/mindomat.mjs init-vault",
     "index": "npm run build && node bin/mindomat.mjs index",
     "ingest": "npm run build && node bin/mindomat.mjs ingest",
-    "sync": "npm run build && node bin/mindomat.mjs sync"
+    "sync": "npm run build && node bin/mindomat.mjs sync",
+    "token-gen": "node scripts/token-gen.mjs",
+    "build:twa": "node scripts/build-twa.mjs"
   },
   "keywords": [
     "second-brain",