/api/* e /ws leva a chave definida em ZAPMEOW_API_KEY:
Sem chave ou chave errada:
401 {"error":"chave inválida"}.
/health e o HTML do /dashboard/ são públicos. O dashboard não mostra nada sem a chave: ele pede a chave e guarda em sessionStorage.
A chave precisa de 16 caracteres ou mais. O serviço não sobe sem ela.