Tous les appels /api/admin/* passent maintenant par adminFetch() qui ajoute X-CSRF-Token depuis le cookie csrf_token