Use APP_API_KEY for order auth

README.md

@@ -56,10 +56,9 @@ Wenn du diese Datei auf einem Webserver auslieferst, stelle sicher, dass die WaW
 - `SMTP_USER` / `SMTP_PASS` – SMTP Login
 - `SMTP_FROM` – Absender (z. B. `bestand@hellas.welker.me`)
 - `ORDER_TO` – Empfänger, mehrere per Komma
-- `ORDER_API_KEY` – optionaler Key für Bestell‑Endpoint `/wawi/order`
 
 **Optional**
-- `APP_API_KEY` – API‑Key für direkten Zugriff auf `/wawi/api/bestand`
+- `APP_API_KEY` – gemeinsamer API‑Key für `/wawi/api/bestand` **und** `/wawi/order`
 - `COOKIE_SECURE` – `1` (default) setzt Secure‑Cookie, `0` deaktiviert für http
 
 ## Deployment (systemd + Gunicorn)