La API key nunca viaja al browser — esto usa POST /auth/login y guarda el token de sesión (15 min). El modo demo entra con datos falsos, sin servidor.