Conta e gestão de chaves — implementado L1

A gestão de chaves é feita por callables Firebase, não por endpoints REST. Ver Autenticação. listApiKeys, createApiKey, rotateApiKey, revokeApiKey exigem owner/admin. Não existem GET /me, /organization nem /api-keys em /v1.

Listas paginadas e erros conforme Convenções. Contrato executável: functions/src/api/resources.ts e schemas partilhados.