feat: API-Zugang endet mit der Buchung, optionales Ablaufdatum für API-Tokens

Bisher blieb ein einmal erstellter Token gültig, auch wenn Abo bzw. Buchung
längst beendet waren. EnsureApiAccessIsBooked prüft jetzt bei jeder Anfrage
(v1 und /service/…-Altpfade), ob das Konto API-Zugang hat
(ApiAccessEligibilityService::hasApiAccess), sonst 403. Die Tokens bleiben
erhalten und funktionieren nach erneuter Buchung wieder.

Kunden können beim Erstellen optional ein Ablaufdatum setzen (bis 5 Jahre);
die Token-Liste zeigt „Gültig bis“ und einen Hinweis, wenn der Zugang
pausiert ist. sanctum:prune-expired räumt abgelaufene Tokens nach 30 Tagen
täglich ab. API-Doku (public/api/v1.yml) ergänzt.

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

routes/console.php

@@ -261,3 +261,12 @@ Schedule::command('queue:prune-failed', ['--hours=720'])
     ->withoutOverlapping(30)
     ->runInBackground()
     ->onFailure($alertOnFailure('queue:prune-failed'));
+
+// Abgelaufene API-Tokens (optionales Ablaufdatum, 08.10.2026) 30 Tage nach
+// Ablauf entfernen (täglich 04:10). Bis dahin zeigt die Token-Seite sie als
+// „abgelaufen“ an; Sanctum lehnt sie ab dem Ablauf ohnehin ab.
+Schedule::command('sanctum:prune-expired', ['--hours=720'])
+    ->dailyAt('04:10')
+    ->withoutOverlapping(30)
+    ->runInBackground()
+    ->onFailure($alertOnFailure('sanctum:prune-expired'));