API HelloFresh réelle câblée + filtrage coco validé en local

- Endpoints découverts: menu (menus-service) + détails batch (recipes/recipes)
- get_menu en 2 temps: menu (ids) -> batch détails (ingrédients/allergènes)
- Fix faux positifs: exclusion sur ingrédients/allergènes/nom, plus sur les tags
  (HelloFresh pose un tag interne 'coconut' sur ~la moitié des recettes)
- Token mis en cache (pas de navigateur si frais)
- endpoints.json versionné (sans secret), semaine optionnelle (défaut = courante)
- Testé: 4 recettes coco/85 détectées, shortlist classée, tous les outils MCP OK
- set_selection (écriture) reste à découvrir sur un compte avec box active

.gitignore

@@ -1,9 +1,9 @@
 # Secrets & session — JAMAIS versionnés (syncés à la main vers le homelab)
+# (.session/discovery_log.json peut contenir des saisies sensibles)
 .env
 .session/
 
-# Données découvertes localement (regénérables via tools/discover_api.py)
-config/endpoints.json
+# config/endpoints.json EST versionné : pas de secret, fruit de la discovery.
 
 # Python
 __pycache__/