Логирование: доменная граница ошибок + защита секретов в логах

Приём торрента через Telegram молча падал без записи в логах. Разобрали
цепочку и починили логирование/обработку ошибок по конвенции logging.md
(логирует граница домена один раз, транспорты — нет).

Доменная граница логирует исход:
- ingest.Ingest: сбой БД → ERROR, невалидный источник → DEBUG;
- команды воркера (Apply/Cancel/Retry/Refine/…) — единый чокпоинт logCmd
  (ERROR для инфраструктурного сбоя; DEBUG для conflict/not-ready/not-found),
  закрывает и Telegram-, и HTTP-путь; дублирующие ERROR-логи в tgbot сняты;
- внутренний логгер tgbotapi заведён в slog: сбои long-poll getUpdates
  больше не уходят в stdlib log мимо структурированных логов;
- тихое закрытие канала обновлений бота → ERROR.

Защита секретов (инвариант «секреты не в логи»):
- общий logging.SanitizeErr убирает URL из *url.Error;
- закрыты утечки токена бота (getMe на старте, getFile, Send/Request)
  и api_key TMDB (query-параметр, попадавший в *url.Error на ERROR);
- покрыто тестом internal/logging/sanitize_test.go.

Ревью двумя сабагентами (fable): инфраструктурные и доменные ошибки.
Отложено (не в scope этого коммита): обёртка ErrConflict в
Cancel/Defer/Retry и классификация 500→409/400, обновление docs/conventions.

Co-Authored-By: Claude Opus 4.8 (1M context) <noreply@anthropic.com>

internal/ingest/ingest.go

@@ -77,6 +77,9 @@ type Result struct {
 func (s *Service) Ingest(ctx context.Context, req Request) (Result, error) {
 	src, err := s.parse(req)
 	if err != nil {
+		// Невалидный источник — норма (адресат не команда, а пользователь, и он
+		// получит отказ на транспорте): DEBUG, чтобы не шуметь в аудите.
+		s.log.Debug("ingest source rejected", "capability", capIngest, "error", err)
 		return Result{}, err
 	}
 
@@ -88,6 +91,8 @@ func (s *Service) Ingest(ctx context.Context, req Request) (Result, error) {
 	// CreateDownloadIfNoActive ниже. Дедуп — по ЛЮБОМУ из хешей источника:
 	// гибридный несёт и v1, и v2.
 	if existing, err := s.store.FindActiveByInfohash(ctx, src.infohashes...); err != nil {
+		// Инфраструктурный сбой (БД) — операция приёма не выполнена: ERROR.
+		log.Error("ingest failed", "stage", "lookup-active", "error", err)
 		return Result{}, fmt.Errorf("ingest: lookup active: %w", err)
 	} else if existing != nil {
 		log.Info("download attached to active", "download_id", existing.ID, "state", existing.State)
@@ -109,6 +114,8 @@ func (s *Service) Ingest(ctx context.Context, req Request) (Result, error) {
 	// транзакции лишь на ветке создания.
 	existing, err := s.store.CreateDownloadIfNoActive(ctx, d, src.infohashes, src.torrentBlob)
 	if err != nil {
+		// Инфраструктурный сбой (БД) — операция приёма не выполнена: ERROR.
+		log.Error("ingest failed", "stage", "create-download", "error", err)
 		return Result{}, fmt.Errorf("ingest: create download: %w", err)
 	}
 	if existing != nil {