Authentik legt für Service-Accounts nur ein App-Passwort an, das die API als Bearer-Token ablehnt (403 "Token invalid/expired"). Branding wird erst gesetzt, wenn das Portal erreichbar ist, damit die Login-Seite kein kaputtes Logo zeigt. Co-Authored-By: Claude Opus 5.5 (1M context) <noreply@anthropic.com>