Index: src/server.js
===================================================================
--- src/server.js	(revision bf61be79c5c52ac6251edc4cb25feaba05e01f1f)
+++ src/server.js	(revision 640b39c77691f7bb8ddb40f536fc678f88b8df8d)
@@ -164,4 +164,14 @@
 });
 
+// Read-only/kijk-accounts: alles bekijken mag, niets wijzigen. Blokkeert elke
+// state-wijzigende methode (de login-POST zelf zet de sessie pas, dus die valt
+// hier nog niet onder).
+app.use((req, res, next) => {
+  if (req.session?.user?.readonly && req.method !== 'GET' && req.method !== 'HEAD' && req.method !== 'OPTIONS') {
+    return res.status(403).send('Demo-account: alleen-lezen — wijzigen is uitgeschakeld.');
+  }
+  next();
+});
+
 app.use('/auth', authRoutes);
 app.use('/account', accountRoutes);