Stripe: Testadresse STRIPE_API_BASE nur für 127.0.0.1/localhost

Ein verirrter Wert in Produktion kann den Live-Schlüssel so nie an einen
fremden Server schicken; getStripe() bricht mit klarer Meldung ab.

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

test/stripeApiBase.test.js

@@ -0,0 +1,11 @@
+import { test } from 'node:test'
+import assert from 'node:assert/strict'
+
+// Fehlkonfiguration in Produktion: STRIPE_API_BASE zeigt auf einen fremden Server
+process.env.STRIPE_SECRET_KEY = 'sk_live_nicht_echt'
+process.env.STRIPE_API_BASE = 'https://stripe.fremd.example'
+const { getStripe } = await import('../server/services/stripeBilling.js')
+
+test('STRIPE_API_BASE außerhalb von 127.0.0.1/localhost: kein Stripe-Client, klare Meldung', () => {
+  assert.throws(() => getStripe(), /STRIPE_API_BASE/)
+})