Token activo de una identidad de TEST. Existe porque /tunnel/token dejó de devolver secretos existentes (F-17) y el pre-deploy suite usa una identidad sintética FIJA que ya tiene token, así que necesita una vía para recuperarlo.

SOLO responde para TLDs reservados (RFC 2606/6761), nunca para un usuario real. Agregar un endpoint que devuelve tokens para arreglar endpoints que devuelven tokens sería absurdo si quedara igual de explotable: require_admin valida el x-admin-key, que estuvo hardcodeado en CLAUDE.md hasta cf1fc79e y sigue recuperable en el historial de git, o sea que hasta que se rote hay que tratarlo como comprometido. Con este filtro, alguien con esa key no obtiene acá el token de nadie — solo el de una casilla que no existe.