fix(auth): credenciais DPAPI sem BOM e API key aceita no modo headless

[graseeel]

Dois ajustes de autenticação:

1. Windows: arquivo DPAPI sem BOM UTF-8

O update() de windowsCredentialStorage.ts gravava com Encoding.UTF8, que no PowerShell 5.1 emite BOM (EF BB BF). Passa a usar UTF8Encoding($false) e valida a escrita relendo os bytes e comparando com o base64 exato.

2. API key Verboo como sessão headless

O gate de inicialização aceitava apenas OAuth: uma API key vbk_ válida não autenticava o agente headless (o desktop injeta a chave, mas o gate não a consultava). A chave agora é aceita como fallback de sessão, validada com Bearer no /router/v1/models (o /api/me rejeita API keys — verificado). OAuth continua sendo o caminho primário; chave inválida gera "API key inválida ou expirada".

Nota para revisão: os fluxos de termos e entitlement usam endpoints que só aceitam OAuth; no caminho de API key eles são pulados. Se preferirem impor termos também para API keys, dá para criar uma checagem via router — fica a critério de vocês.

Testes

• Testes do script DPAPI com prova por mutação; testes do gate headless (precedência, validação, mensagens).
• Suíte completa: mesmas falhas pré-existentes da main; nenhuma nova.
• Limites: DPAPI real (Windows) e chave vbk_ real ficam como verificação de campo.