Только документация. «Try it out» работает, если страница открыта на машине, где 127.0.0.1:18080 доступен (то есть через SSH-туннель). Из браузера снаружи запросы к API не пройдут. Токен — HGCONTROL_ADMIN_TOKEN из /etc/hgcontrol.env; вводится кнопкой Authorize и хранится только в этой вкладке.