security: Admin-Token aus Client entfernen (E2EE-Diagnose entkoppeln)

Der Dashboard-Server benutzte fuer /api/e2ee-diagnostics denselben String
wie den Matrix-Admin-Token, weshalb der Client den vollen Server-Admin-Token
einbetten musste (jeder Nutzer, auch Uta, trug ihn im Geraet).

- server.py (Pi): eigener, eng begrenzter DIAG_TOKEN statt Admin-TOKEN
- settings_encryption.dart: benutzt den neuen Diagnose-Token
- grep J5lax lib/ jetzt leer; Endpoint verifiziert (neu 200, alt 403)

Admin-Token-Rotation bleibt offen (Bernds Sache, ROADMAP M0).

Co-Authored-By: Claude Fable 5 <noreply@anthropic.com>

lib/widgets/settings/settings_encryption.dart

@@ -428,7 +428,11 @@ class _EncryptionSectionState extends ConsumerState<_EncryptionSection> {
       final notifier = ref.read(e2eeDiagnosticsProvider.notifier);
       final msg = await notifier.upload(
         serverUrl: 'https://dashboard.steggi-matrix.work',
-        token: 'J5laxTz5Zte9oRB5x8QsyYRQ6b0hAuXI',
+        // Eng begrenzter Diagnose-Token (haengt nur an den Diagnose-Log an,
+        // KEINE Admin-Rechte). Bewusst NICHT der Matrix-Server-Admin-Token –
+        // der darf niemals im Client landen. Passendes Gegenstueck in
+        // /home/steggi/matrix/server.py (DIAG_TOKEN) auf dem Pi.
+        token: 'pyr-diag-6AyELgODRv-4rF4dcau3kSa5YbgZqUcn',
       );
       if (mounted) setState(() { _diagUploading = false; _diagMsgIsError = false; _diagMsg = msg; });
     } catch (e) {