заведён реестр префиксов, правила канона перенумерованы

- идентификатор правила теперь `<ПРЕФИКС>-<номер>` вместо `R<номер>`:
  префикс уникален по всему канону, поэтому ссылка больше не требует пути
  к файлу и не зависит от того, на какой оси файл лежит
- префикс выбирается под файл, а не выводится по формуле, и хранится в
  conventions/prefixes.toml вместе с выбывшими; номера сохранены один в
  один вместе с дырами

conventions/arch/config.md

@@ -1,3 +1,7 @@
+---
+prefix: CONF
+---
+
 # Конфигурация приложения
 
 Как устроена конфигурация: где лежит, как попадает в процесс, что с
@@ -12,7 +16,7 @@
 
 ## Правила
 
-### R1. Конфигурация — файл, а не окружение
+### CONF-1. Конфигурация — файл, а не окружение
 
 **ДОЛЖЕН.** Приложение читает параметры из файла конфигурации; переменные
 окружения источником конфигурации не служат.
@@ -36,17 +40,17 @@
 `PTRACE_MODE_READ`, то есть доступен ровно тому же кругу, что и файл под
 `0600`.
 
-### R2. Формат конфигурации — текстовый, с секциями и комментариями
+### CONF-2. Формат конфигурации — текстовый, с секциями и комментариями
 
 **СЛЕДУЕТ.** Конкретный формат (TOML, YAML) выбирается по стеку.
 
-**Почему.** Комментарий у каждого поля (R9) — часть того, ради чего конфиг
-вообще читают; формат, в котором комментарий негде разместить, делает R9
+**Почему.** Комментарий у каждого поля (CONF-9) — часть того, ради чего конфиг
+вообще читают; формат, в котором комментарий негде разместить, делает CONF-9
 невыполнимым. Секции дают структуру, которую валидатор проверяет целиком, —
 плоский список пар такой возможности не даёт и возвращает нас к тем же
-свойствам, из-за которых отвергнуто окружение (R1).
+свойствам, из-за которых отвергнуто окружение (CONF-1).
 
-### R3. Имя файла фиксировано, путь переопределяется опцией
+### CONF-3. Имя файла фиксировано, путь переопределяется опцией
 
 **СЛЕДУЕТ.** Имя по умолчанию ищется в рабочей директории процесса, а путь
 задаётся опцией командной строки.
@@ -55,22 +59,22 @@
 контейнере и на сервере, и способ запуска не приходится помнить отдельно
 для каждой среды. Опция нужна ровно для случаев, когда конфигов несколько
 (тесты, второй инстанс): без неё их разводят переменной окружения — тем
-самым каналом, который закрывает R1.
+самым каналом, который закрывает CONF-1.
 
-### R20. Отсутствие файла конфигурации — ошибка старта
+### CONF-20. Отсутствие файла конфигурации — ошибка старта
 
 **ДОЛЖЕН.** Если файла нет ни по пути из опции, ни по имени по умолчанию в
-рабочей директории (R3), приложение не стартует: сообщение называет
+рабочей директории (CONF-3), приложение не стартует: сообщение называет
 искомый путь, код возврата ненулевой.
 
-**Почему.** Конфиг — артефакт деплоя (R12), и его отсутствие означает, что
+**Почему.** Конфиг — артефакт деплоя (CONF-12), и его отсутствие означает, что
 развёртывание не довело работу до конца, а не что приложение попросили
-работать на умолчаниях. Умолчания (R7) существуют, чтобы работал
+работать на умолчаниях. Умолчания (CONF-7) существуют, чтобы работал
 **неполный** файл, а не отсутствующий, — именно здесь читатель спотыкается
 чаще всего.
 
 Старт без файла ничего не спасает: у приложения с обязательными полями или
-секретами всё равно упадёт валидация (R18), только вместо одного сообщения
+секретами всё равно упадёт валидация (CONF-18), только вместо одного сообщения
 «нет `config.toml`» получится каскад «поле пусто», за которым настоящая
 причина — деплой не отрендерил файл — не видна.
 
@@ -79,16 +83,16 @@
 
 <!-- local:проверки -->
 <!-- /local -->
-### R4. В репозитории лежит образец, а не рабочий конфиг
+### CONF-4. В репозитории лежит образец, а не рабочий конфиг
 
 **НЕ ДОЛЖЕН.** Реальный конфиг не коммитится; в репозитории — образец.
 
-**Почему.** Рабочий конфиг содержит отрендеренные секреты (R12), а секрет,
+**Почему.** Рабочий конфиг содержит отрендеренные секреты (CONF-12), а секрет,
 попавший в историю, чинится ротацией, а не удалением файла. Кроме того,
 закоммиченный конфиг конкретной среды становится вторым источником истины:
 он расходится с тем, что реально развёрнуто, и расходится молча.
 
-### R5. Конфиг разбирается один раз при старте
+### CONF-5. Конфиг разбирается один раз при старте
 
 **ДОЛЖЕН.** Разбор — при старте, в одну типизированную структуру; чтения
 файла конфигурации в бизнес-коде нет.
@@ -96,10 +100,10 @@
 **Почему.** Второе место чтения — это второй момент времени: две части кода
 начинают видеть разные значения одного параметра, и расхождение не
 воспроизводится, потому что зависит от того, когда файл потрогали.
-Типизированная структура вдобавок переносит ошибку формата в старт (R17),
+Типизированная структура вдобавок переносит ошибку формата в старт (CONF-17),
 где она видна сразу, а не в первый вызов ветки, которая это поле читает.
 
-### R6. Конфиг неизменяем после старта
+### CONF-6. Конфиг неизменяем после старта
 
 **ДОЛЖЕН.** Смена параметров — рестарт процесса.
 
@@ -111,7 +115,7 @@
 Горячая перезагрузка — отдельное решение с отдельным обоснованием, а не
 умолчание.
 
-### R7. Умолчания живут в коде
+### CONF-7. Умолчания живут в коде
 
 **ДОЛЖЕН.** Значение по умолчанию задаётся в коде, файл его перекрывает.
 
@@ -120,17 +124,17 @@
 из двух значений не выглядит ошибкой. Умолчание в коде — одно определённое
 поведение для неполного конфига и одно место, где это значение меняется.
 
-### R8. Образец перечисляет все поля
+### CONF-8. Образец перечисляет все поля
 
 **ДОЛЖЕН.** В образце присутствуют все секции и все поля, включая те, у
-которых есть умолчание (R7).
+которых есть умолчание (CONF-7).
 
 **Почему.** Поле, живущее только в коде, для читателя конфига не
 существует: он не знает, что параметр вообще можно менять, и добивается
-нужного поведения обходным путём. Полнота образца — цена, которой R7
+нужного поведения обходным путём. Полнота образца — цена, которой CONF-7
 покупает себе видимость.
 
-### R9. У каждого поля образца есть комментарий
+### CONF-9. У каждого поля образца есть комментарий
 
 **ДОЛЖЕН.** Каждое поле сопровождается комментарием, из которого ясно:
 
@@ -145,35 +149,35 @@
 дают валидное значение и работающий процесс, а ошибка обнаруживается по
 последствиям — таймаут в тысячу раз не тот.
 
-### R10. Обязательность полей определяется дискриминатором `type`
+### CONF-10. Обязательность полей определяется дискриминатором `type`
 
 **ДОЛЖЕН.** Когда набор полей секции зависит от поля-дискриминатора (выбор
 бекенда или внешнего сервиса), валидация идёт по его значению:
 
 | № | Значение `type` | Валидация |
 |---|---|---|
-| R10.1 | поддерживаемое | обязательны поля этого варианта; поля прочих вариантов не требуются |
-| R10.2 | неизвестное | ошибка на старте с перечислением поддерживаемых значений |
+| CONF-10.1 | поддерживаемое | обязательны поля этого варианта; поля прочих вариантов не требуются |
+| CONF-10.2 | неизвестное | ошибка на старте с перечислением поддерживаемых значений |
 
 **Почему.** Фиксированный на секцию набор обязательных полей оставляет
 выбор из двух плохих: заполнять поля бекенда, который не используется, или
 не проверять обязательность вовсе — то есть выключить валидацию ровно там,
 где вариантов много и ошибиться легче всего. Перечисление поддерживаемых
-значений (R10.2) нужно потому, что опечатка в `type` иначе неотличима от
+значений (CONF-10.2) нужно потому, что опечатка в `type` иначе неотличима от
 неподдерживаемого варианта, и за списком приходится идти в код.
 
-### R11. Образец показывает все варианты `type`
+### CONF-11. Образец показывает все варианты `type`
 
 **СЛЕДУЕТ.** Основной вариант предзаполнен рабочими значениями,
 альтернативные — блоками-комментариями ниже, каждый со своим описанием
 полей.
 
 **Почему.** Иначе набор вариантов виден только из кода валидации, и образец
-теряет свойство справочника (R8, R9) ровно на той секции, где выбор
+теряет свойство справочника (CONF-8, CONF-9) ровно на той секции, где выбор
 действительно есть. Закомментированный блок вдобавок переключается правкой
 на месте, а не сборкой секции с нуля по документации.
 
-### R12. Секреты в конфиг приносит деплой
+### CONF-12. Секреты в конфиг приносит деплой
 
 **ДОЛЖЕН.** Деплой рендерит значения секретов прямо в файл конфигурации;
 отдельного слоя секретов в приложении нет.
@@ -185,27 +189,28 @@
 этом остаётся тривиальным: оно читает файл и про секреты не знает ничего
 особенного.
 
-### R13. Рендеренный конфиг — `0600` и владелец-рантайм
+### CONF-13. Рендеренный конфиг — `0600` и владелец-рантайм
 
 **ДОЛЖЕН.** Права `0600`, владелец — пользователь, от имени которого
 работает процесс.
 
-**Почему.** После R1 и R12 файл конфигурации — единственная поверхность, на
-которой секреты лежат, и весь довод «файл вместо окружения» держится на его
-правах: конфиг, читаемый всеми на машине, раздаёт секреты шире, чем раздало
-бы окружение, — и тогда R1 меняет одну утечку на другую.
+**Почему.** После CONF-1 и CONF-12 файл конфигурации — единственная
+поверхность, на которой секреты лежат, и весь довод «файл вместо окружения»
+держится на его правах: конфиг, читаемый всеми на машине, раздаёт секреты
+шире, чем раздало бы окружение, — и тогда CONF-1 меняет одну утечку на
+другую.
 
-### R14. В образце секретные поля — пустые строки
+### CONF-14. В образце секретные поля — пустые строки
 
 **ДОЛЖЕН.** Значение секретного поля в образце — пустая строка, а не
 пример.
 
 **Почему.** Правдоподобная заглушка доезжает до продакшена как настоящее
 значение: шаблон отрендерился криво, поле осталось от образца, и проверка
-непустоты (R15) его пропускает. Пустая строка делает недорендеренный конфиг
+непустоты (CONF-15) его пропускает. Пустая строка делает недорендеренный конфиг
 механически отличимым от заполненного.
 
-### R15. Загрузчик проверяет, что обязательные секреты не пусты
+### CONF-15. Загрузчик проверяет, что обязательные секреты не пусты
 
 **ДОЛЖЕН.** Непустота обязательных секретов проверяется на старте.
 
@@ -213,12 +218,12 @@
 в 401 от внешнего API через час работы, — то есть в момент, когда причина
 ещё очевидна и связана с деплоем.
 
-### R16. Секреты не попадают в логи
+### CONF-16. Секреты не попадают в логи
 
 **НЕ ДОЛЖЕН.** Значение секретного поля не появляется в записи лога ни на
 одном уровне.
 
-**Почему.** У логов круг доступа шире, чем у файла под `0600` (R13): они
+**Почему.** У логов круг доступа шире, чем у файла под `0600` (CONF-13): они
 собираются, пересылаются и попадают в бэкапы, где права исходного файла уже
 ничего не значат. Попавший в лог секрет чинится ротацией, а не удалением
 записи. Типичный источник утечки — отладочный дамп разобранного конфига при
@@ -227,7 +232,7 @@
 <!-- local:секретные-поля -->
 <!-- /local -->
 
-### R17. Конфиг валидируется на старте, до приёма трафика
+### CONF-17. Конфиг валидируется на старте, до приёма трафика
 
 **ДОЛЖЕН.** Невалидный конфиг — запись уровня `ERROR` и выход с ненулевым
 кодом; процесс не стартует «наполовину».
@@ -238,24 +243,24 @@
 чтобы неудачный старт увидел супервизор: без него он неотличим от штатного
 завершения, и приложение считается развёрнутым.
 
-### R18. Минимальный набор проверок
+### CONF-18. Минимальный набор проверок
 
 **ДОЛЖЕН.** Валидация покрывает как минимум:
 
 | № | Что проверяется | Когда всплывёт без проверки |
 |---|---|---|
-| R18.1 | обязательные поля заданы (непустота секретов — R15) | в ветке, которая это поле читает |
-| R18.2 | пути существуют и доступны на запись/чтение по назначению | при первой записи, уже после отчёта об успешном старте |
-| R18.3 | числовые диапазоны и единицы: доли, таймауты, счётчики попыток | искажённым поведением без единого сообщения об ошибке |
-| R18.4 | строки, которые парсятся во что-то (длительности, зоны, URL, идентификаторы сущностей), реально парсятся | при первом обращении к тому, что за ними стоит |
-| R18.5 | включённые секции консистентны: у включённой интеграции заданы все обязательные поля | при первом вызове интеграции, часто по расписанию |
+| CONF-18.1 | обязательные поля заданы (непустота секретов — CONF-15) | в ветке, которая это поле читает |
+| CONF-18.2 | пути существуют и доступны на запись/чтение по назначению | при первой записи, уже после отчёта об успешном старте |
+| CONF-18.3 | числовые диапазоны и единицы: доли, таймауты, счётчики попыток | искажённым поведением без единого сообщения об ошибке |
+| CONF-18.4 | строки, которые парсятся во что-то (длительности, зоны, URL, идентификаторы сущностей), реально парсятся | при первом обращении к тому, что за ними стоит |
+| CONF-18.5 | включённые секции консистентны: у включённой интеграции заданы все обязательные поля | при первом вызове интеграции, часто по расписанию |
 
 **Почему.** Список минимальный и собран по одному признаку — правый
 столбец: каждая из этих ошибок иначе всплывает там, где связь с деплоем уже
 потеряна, и диагностируется как дефект приложения. Проверка на старте
 сводит их все к одному моменту и одному сообщению.
 
-### R19. Проблемы конфига показываются разом
+### CONF-19. Проблемы конфига показываются разом
 
 **ДОЛЖЕН.** Валидация собирает все найденные проблемы и выводит их одним
 списком, а не падает на первой.
@@ -266,25 +271,25 @@
 одного источника: разом они читаются как одна причина, по одной — как
 череда несвязанных мелочей.
 
-### R21. Значение поля в сообщении валидатора — по признаку секретности
+### CONF-21. Значение поля в сообщении валидатора — по признаку секретности
 
 **ДОЛЖЕН.** Состав сообщения определяется тем же признаком секретности
-поля, которым уже пользуются R15 и R16:
+поля, которым уже пользуются CONF-15 и CONF-16:
 
 | № | Поле | В сообщении |
 |---|---|---|
-| R21.1 | несекретное | имя поля, ожидание и полученное значение: «ожидалось 0–1, получено `1.5`» |
-| R21.2 | секретное | имя поля и суть нарушения, без значения |
+| CONF-21.1 | несекретное | имя поля, ожидание и полученное значение: «ожидалось 0–1, получено `1.5`» |
+| CONF-21.2 | секретное | имя поля и суть нарушения, без значения |
 
 **Почему.** Сообщение без значения отправляет читателя в файл — сличать
-глазами каждую строку списка R19; ошибки вида «секунды вместо миллисекунд»
+глазами каждую строку списка CONF-19; ошибки вида «секунды вместо миллисекунд»
 или пробел в конце значения из такого сообщения не читаются вовсе. Значение
 секретного поля при этом печатать некуда: вывод старта уходит в лог
 супервизора и вывод CI, где круг доступа шире прав файла `0600`, — тот же
-канал утечки, который закрывает R16. Отдельный список «что не печатать» не
-заводится: признак один на R15, R16 и R21, а второй список разошёлся бы с
-первым — и поле оказалось бы секретным для логов, но печатаемым
-валидатором.
+канал утечки, который закрывает CONF-16. Отдельный список «что не печатать»
+не заводится: признак один на CONF-15, CONF-16 и CONF-21, а второй список
+разошёлся бы с первым — и поле оказалось бы секретным для логов, но
+печатаемым валидатором.
 
 ## Связано