feature: API-ключи клиентов и журнал использования в Postgres (#4, #17)

- Postgres в compose; пакет db (SQLAlchemy async): clients, windows, requests.
- Все эндпоинты, кроме /health, — только с ключом в X-API-Key, иначе 401; без
  выпущенных ключей доступа нет. В базе — только sha256 ключа.
- Задача и окно сессии привязаны к клиенту: чужой ключ их не видит.
- Воркер пишет журнал: окно (открыто, последнее обращение, закрыто) и задачу
  (в очереди, начало, конец, итог, данные без секретов). Сбой записи не роняет задачу.
- python -m db.cli create|list|revoke|stats; make key-create/key-list/key-revoke/stats.
- smoke и loadtest с ключом.

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

tests/unit/test_store.py

@@ -67,8 +67,8 @@ async def test_finish_sets_result_and_ttl(store):
 
 
 async def test_live_window_requires_live_worker(store):
-	await store.set_session("s", "w1", 5, 300)
+	await store.set_session("s", "w1", 5, 300, client_id=7)
 	assert await store.live_window("s") is None
 	await store.heartbeat("w1", {"browser_slots": 1, "free_slots": 0})
-	assert await store.live_window("s") == {"worker_id": "w1", "idle_timeout": "5"}
+	assert await store.live_window("s") == {"worker_id": "w1", "idle_timeout": "5", "client_id": "7"}
 	assert await store.workers() == [{"worker_id": "w1", "browser_slots": 1, "free_slots": 0}]