приём и чтение записей сведены к одному контракту приложения

- адреса приложения переехали в своё пространство `/app/`, опрос готовности
  убран целиком: рубеж и причину остановки владелец узнаёт карточкой записи,
  текст — отдельным адресом названного вида
- заведена единая точка отображения доменной ошибки и слой, приводящий к той же
  форме отказы библиотеки: тело несёт машиночитаемый код рядом с сообщением
- у записи появились имя файла отправителя, длительность и размер своими
  колонками, а у ленты владельца — свой индекс: без него страница сканировала
  весь архив сервиса

docs/security.md

@@ -3,7 +3,7 @@
 ## Периметр
 
 **Сервис открыт наружу, но не анонимен: HTTP-порт опубликован в интернет через
-обратный прокси, а приём записи, опрос готовности и файл записи требуют входа
+обратный прокси, а приём записи, чтение её карточки и текста и файл записи требуют входа
 через OIDC у Authelia.** Вход развёрнут задачей `oidc-login` 2026-08-12. Открыты
 без входа только проба здоровья и метрики. Находки строятся против этого —
 сегодняшнего — периметра.
@@ -11,7 +11,7 @@
 Целевой периметр добавляет к нему отдельный вход для программ по личным токенам
 и два уровня доступа — пользователь видит свои записи, владелец сервиса ещё и
 страницу расхода. **Разграничение по владельцу записи заведено 2026-08-14**
-задачей `record-ownership`: и опрос готовности, и файл записи сужены владельцем
+задачей `record-ownership`: и чтение записи, и файл записи сужены владельцем
 записи, а чужая отвечает «не найдено». Целевому периметру недостаёт теперь второго уровня
 доступа — страницы расхода для владельца сервиса.
 
@@ -46,9 +46,11 @@ Telegram — связи чата с учётной записью сервис
 новое: **чтение файла базы теперь равносильно чтению секрета клиента**.
 
 Отсюда главное следствие, из которого читается всё остальное: **`POST
-/api/audio` требует входа, а число запросов и размер файла по-прежнему ничем не
-ограничены**. Вошедший не ограничен ни в том, ни в другом, и тратит наши деньги
-на распознавание столько, сколько захочет.
+/app/audiorecords` требует входа, а размер файла ограничен потолком записи, число
+же запросов ограничено только частотой**. Вошедший тратит наши деньги на
+распознавание столько, сколько захочет: ограничитель частоты под корнем
+приложения заведён 2026-08-15 и режет темп, а не общий объём. Квоты по объёму
+по-прежнему нет — её заводит `per-user-size-quota`.
 
 ## Недоверенный вход
 
@@ -56,8 +58,10 @@ Telegram — связи чата с учётной записью сервис
 
 | Вход | Канал | Кто может слать |
 | --- | --- | --- |
-| Аудиофайл и его имя | `POST /api/audio`, multipart-поле `audio` | Любой вошедший через OIDC; без сессии — `401` до чтения тела |
-| Идентификатор задачи | `GET /api/status/:id` | Любой вошедший через OIDC; без сессии — `401`, одинаковый для заведённой и незаведённой задачи |
+| Аудиофайл и его имя | `POST /app/audiorecords`, multipart-поле `audio` | Любой вошедший через OIDC; без сессии — `401` до чтения тела. Имя доходит до колонки записи обрезанным по пределу и без управляющих знаков |
+| Идентификатор записи | `GET /app/audiorecords/{id}` и `/text` | Любой вошедший через OIDC; без сессии — `401`, одинаковый для заведённой и незаведённой записи |
+| Ключ страницы, размер страницы, состояние отбора | `GET /app/audiorecords`, параметры запроса | Любой вошедший; нечитаемый ключ и негодный размер дают `400`, а не молчаливую первую страницу |
+| Вид текста | `GET /app/audiorecords/{id}/text`, параметр `view` | Любой вошедший; значение вне закрытого перечня даёт `400` |
 | Содержимое аудио | Файл, скармливаемый `ffmpeg` и `ffprobe` | Отправитель |
 | Текст расшифровки | Поток gRPC от SpeechKit | Yandex, а через него — содержимое записи |
 
@@ -81,8 +85,8 @@ Telegram — связи чата с учётной записью сервис
 
 Сегодня запись покидает наш сервер двумя путями: файл уезжает в Yandex Object
 Storage, оттуда его читает SpeechKit. Третий путь — ответ в Telegram — исчез
-2026-08-14 вместе с убранным входом: текст теперь достаётся только по опросу
-готовности и в панели владельца.
+2026-08-14 вместе с убранным входом: текст теперь достаётся только своим адресом
+и в панели владельца.
 
 Целевой периметр добавляет три пути, каждый — своей задачей:
 
@@ -130,7 +134,7 @@ Storage, оттуда его читает SpeechKit. Третий путь —
   — иначе строка журнала вместе с идентификатором записи собирала бы ссылку
   целиком и работала бы бессрочно. В журнал идёт расширение своим полем.
 - **Идентификатор записи** — 15 знаков, выдаёт хранилище. Он же единственное,
-  что защищает `GET /api/status/:id`.
+  что защищает карточку записи и её текст.
 - **Поверхность самого хранилища.** Вместе с переводом наружу выходят
   `/api/collections/...`, `/api/logs`, `/api/backups`, `/api/settings`,
   `/api/crons` и панель `/_/`. Правила доступа коллекций оставлены пустыми, то