feat(api): Core-API mit Authentifizierung, CRUD und Monatsreport

- Anmeldung über Argon2id und JWT in httpOnly-Cookies, Refresh mit echter
  Rotation über die neue Tabelle refresh_token
- AuthProvider-Protokoll als Vorbereitung für OIDC, Administrator-Anlage beim
  Erststart mit erzwungenem Passwortwechsel
- CRUD für Konten, Kategorien (zweistufiger Baum), Firmen, Recurrences,
  Preisversionen, Buchungen, Budgets, Vorlagen und Sparziele
- Fälligkeiten mit Overlay-Logik: abrufen, bestätigen, auslassen, zurücksetzen
- Kontosalden zum Stichtag, Monatsübersicht mit Plan-Ist-Vergleich
- SECRET_KEY jetzt mindestens 32 Zeichen; Platzhalter in Produktion abgelehnt
- 61 neue Integrationstests, insgesamt 148 grün

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_014e7t8UpmoVNMtWivY5LiSH

CHANGELOG.md

@@ -35,3 +35,23 @@ die Versionierung folgt [Semantic Versioning](https://semver.org/lang/de/).
   `notice_deadline` (Mindestlaufzeit, automatische Verlängerung, Kündigungsfrist)
   sowie `annual_burden` und `monthly_reserve` für die Rücklagenbildung.
 - `validate_rrule` und `next_dates` als Grundlage für Eingabeprüfung und Vorschau.
+- Authentifizierung mit Argon2id, JWT in httpOnly-Cookies (Access 30 min, Refresh
+  14 Tage) und echter Token-Rotation über die Tabelle `refresh_token`; ein erneut
+  eingelöstes Refresh-Token beendet alle Sitzungen.
+- `AuthProvider`-Protokoll mit lokalem Provider als Vorbereitung für OIDC.
+- Anlage des Administrators beim Erststart mit erzwungenem Passwortwechsel; bis
+  dahin sind alle Fachrouten gesperrt.
+- CRUD für Konten, Kategorien, Firmen, wiederkehrende Posten, Preisversionen,
+  Buchungen, Budgets, Budgetvorlagen und Sparziele.
+- Fälligkeiten-API mit Overlay-Logik: abrufen, bestätigen (auch mit abweichendem
+  Betrag oder Datum), auslassen und zurücksetzen.
+- Kontosalden zum Stichtag aus Eröffnungssaldo, Buchungen und bestätigten
+  Fälligkeiten, inklusive abweichender Konten je Fälligkeit.
+- Monatsübersicht mit Plan-Ist-Vergleich, Aufteilung in fixe und variable Kosten,
+  Rücklagen und Vergleich zum Vormonat.
+- Vollständig annotiertes OpenAPI-Dokument unter `/api/docs`.
+
+### Geändert
+
+- `SECRET_KEY` muss mindestens 32 Zeichen lang sein (Vorgabe von HS256); in
+  Produktion wird der Platzhalterwert beim Start abgelehnt.