[F3-08] Proteger los endpoints antiguos con token hasta su retirada #42

Fase: F3 · Tamaño: S · Depende de: #34 (F3-01)
Decisiones: D-01 en #1

Objetivo

Que /api/generate/* y /api/job/* no queden abiertos a internet sin autenticación mientras se sustituyen por la API de proyectos (F4).

Alcance

• Middleware que exige Authorization: Bearer <LEGACY_ADMIN_TOKEN> en las rutas antiguas.
• Si LEGACY_ADMIN_TOKEN no está definido, las rutas antiguas responden 404 (desactivadas por defecto).
• Comparación del token en tiempo constante.

Criterios de aceptación

• Sin LEGACY_ADMIN_TOKEN definido: POST /api/generate/story → 404.
• Con token definido y cabecera ausente o incorrecta → 401.
• Con el token correcto, el endpoint sigue funcionando (test con fake).