API: aynı origin
Rol yalnız arayüzü şekillendirir; yetkiyi backend token'a göre uygular (403 gelirse viewer'a düşer).