Canjear una API key por un access JWT corto (RFC 8693)

La key se presenta en subject_token (nunca en la URL). Rechaza con IDENTITY_KEY_IN_BROWSER_CONTEXT cualquier canje con Cookie, Origin o Sec-Fetch-*. El JWT lleva cred=pat y scp; caduca en ≤ 5 min y el principal se resuelve contra la key viva (revocarla corta el acceso en la siguiente resolución).

curl -X POST "https://example.com/auth/token" \  -H "Content-Type: application/json" \  -d '{    "grant_type": "urn:ietf:params:oauth:grant-type:token-exchange",    "subject_token": "string",    "subject_token_type": "urn:styx:token-type:api-key"  }'

{  "access_token": "string",  "expires_in": 1,  "scope": "string",  "token_type": "Bearer"}