basic_auth снят с /trade-in/* (#2555/#2558), но легаси-ветка отсутствующего
идентификатора в rbac_guard (и её копии в me.py/trade_in.py) продолжала
ссылаться на несуществующий гейт. Формулировка приведена к той, что уже
отдают team-API и dual-off ветка самого rbac_guard: «valid session required».
Лид «no authenticated user» сохранён — на него матчатся существующие тесты.
Site Finder (root backend/) НЕ тронут: там basic_auth в Caddy жив, текст верен.
Refs #2573
