локальный вход задаётся конфигом: заголовки подставляет сам сервис

- в конфиг добавлены секция [auth.test_headers] и предохранитель [server] debug:
  заголовки входа подставляет слой транспорта, второго процесса локальный запуск
  больше не требует
- подкоманда devtools proxy удалена целиком: всё, ради чего её поднимали, делает
  сам сервис
- адресного предохранителя нет по решению владельца — цена названа в ADR и в
  модели угроз

docs/architecture.md

@@ -81,6 +81,18 @@
   задача возвращается в работу, нормирует
   [pipeline](../openspec/specs/pipeline/spec.md), «Брошенная задача возвращается
   в работу»; здесь это принцип письма шага, а не описание поведения.
+- **Подставной собеседник в боевом бинарнике объявлен своим ключом.** Дом ему —
+  код или оснастка; в боевом бинарнике он появляется только отдельным решением
+  владельца и только под ключом, названным своим предметом: имитацию заголовков
+  входа объявляет секция `[auth] test_headers`, подмену распознавания — правка
+  кода (`internal/adapter/recognizer/memory.go`). Ключ, названный общим словом,
+  обрастает следствиями молча, и выключить его перестаёт означать «сервис ведёт
+  себя как в бою». Предохранитель `[server] debug` вторым именем собеседнику при
+  этом не служит и правилу не противоречит: собой он не называет ничего, а держит
+  **закрытый** перечень следствий, и перечень этот ведёт спека
+  [access](../openspec/specs/access/spec.md), «Предохранитель отладки включает
+  только подстановку заголовков». Новое следствие вешается на ключ только новым
+  требованием той же спеки.
 - **Чистая архитектура.** Зависимости направлены внутрь, к домену: внутренний
   слой не знает внешнего никогда. `internal/service` знает только
   `internal/contract`; ffmpeg, Yandex и хранилище подставляются в точке входа
@@ -149,7 +161,7 @@
 
 | Компонент | Где | Что делает |
 | --- | --- | --- |
-| HTTP API | `internal/controller/http` | Адреса приложения под корнем `/app/` на `net/http`: приём записи, страница своих записей, карточка, текст названного вида, файл записи, пределы сервера и «кто вошёл». Слои — свои: журнал, восстановление после паники, ограничитель частоты, узнавание, требование учётной записи |
+| HTTP API | `internal/controller/http` | Адреса приложения под корнем `/app/` на `net/http`: приём записи, страница своих записей, карточка, текст названного вида, файл записи, пределы сервера и «кто вошёл». Слои — свои: журнал, восстановление после паники, ограничитель частоты, подстановка заголовков входа отладочного запуска, узнавание, требование учётной записи. Подстановка — звено необязательное: при выключенном предохранителе `[server] debug` и при пустой имитации она в цепочку не встаёт вовсе |
 | Воркеры | `internal/controller/worker` | Пул одинаковых потоков: каждый берёт любую пригодную запись и опрашивает базу. Число — настройкой, ноль законен |
 | Сервис расшифровки | `internal/service` | Конвейер: приём, приведение, отправка, опрос, завершение. Шаг выбирается по рубежу записи |
 | Конвертер и метаданные | `internal/adapter/{converter,metaviewer}/ffmpeg` | `ffmpeg` в ogg/vorbis, `ffprobe` для длительности |
@@ -157,7 +169,7 @@
 | Репозитории | `internal/adapter/repo/sqlite` | Учётные записи, записи, файлы, тексты, структура, попытки распознавания и журнал событий — таблицами базы; захват — одним запросом с `RETURNING` по пишущему соединению |
 | Файлы записей | `internal/adapter/repo/sqlite`, `store.go` | Подкаталог на запись под её идентификатором; укладка атомарна — временное имя рядом и переименование |
 | Шаги схемы | `internal/adapter/repo/sqlite/migrations` | Файл на шаг, версия — число в начале имени; накатывает `pressly/goose/v3` под своим замком |
-| Оснастка владельца | `cmd/devtools` | Подставной прокси для местного запуска и возврат остановленной записи в работу. Панели у сервиса нет и не будет: экраны правки приносят отдельные задачи |
+| Оснастка владельца | `cmd/devtools` | Возврат остановленной записи в работу. Панели у сервиса нет и не будет: экраны правки приносят отдельные задачи |
 | Приложение | `web/` | Vue 3, роутер пятой версии, сборка Vite. Собранное лежит в `web/embed/dist` и вшивается в бинарник; в git его нет |
 | Раздача приложения | `internal/controller/http`, `webapp.go` | Корневой маршрут: разметка вне корней сервиса, отказ внутри, срок хранения по каталогу сборщика |
 
@@ -200,7 +212,10 @@
   целиком. Оставшиеся ключи, которых новый образ ждёт, в конфиге уже есть.
   Секцию `[telegram]` и ключ `server.users_while_list` человек убирает из боевого
   файла после выкладки: незнакомые ключи разбор настроек не судит, и файл с ними
-  сервис поднимает молча.
+  сервис поднимает молча. Чем это обеспечено и как проверено —
+  [research/toml-unknown-keys.md](research/toml-unknown-keys.md); тем же
+  свойством безопасно и обратное направление: прежний образ поднимается на
+  конфиге с ключами, которых он ещё не знает.
 - **Откат образа на версию до 2026-08-22 не работает вовсе.** Каталог данных
   сменил раскладку целиком: база зовётся другим файлом, файлы записей лежат
   другими путями, а учёт применённых шагов ведёт другая таблица. Прежний образ на
@@ -269,6 +284,8 @@
 | Адресное пространство сервиса | `internal/controller/http.ServiceMounts` — перечень корней и адресов наблюдения. Он **порождает** регистрацию наших маршрутов, а не описывает её, и из него же выводятся правило неизвестного пути, уровень журнала и область действия узнавания |
 | Узнавание предъявителя | `sqlite.UserRepository.EnsureUser` — поиск учётной записи по логину у провайдера и заведение при первом обращении. Дом правила один и лежит в хранилище, а не в транспорте: второй способ представиться (личные токены) возьмёт этот же метод, а уложенное куском в слой оно разошлось бы двумя копиями. Транспорт читает заголовок, судит адрес пира и зовёт метод интерфейсом `contract.UserRepository` — `internal/controller/http.TrustedHeaderIdentity` |
 | Приём значения заголовка | `internal/entity.AcceptProviderLogin`, `AcceptDisplayName`, `AcceptEmail` — правило одно на все способы представиться |
+| Имена заголовков входа | `internal/controller/http.IdentityHeaderNames` вместе с константами рядом — тройка `Remote-*` перечисляется отсюда, а не по месту. она же порождает набор имён, принимаемых секцией `[auth] test_headers`: ключ, не совпавший ни с одним, роняет старт |
+| Сверка адреса пира с перечнем доверенных | `internal/controller/http`, `identity.go` — `peerAddress` и `isTrusted`. Зовут их двое: узнавание и подстановка заголовков отладочного запуска. Второй сверщик разошёлся бы с первым молча — разбор разворачивает IPv4 в оболочке IPv6, и разница пришлась бы ровно на те адреса, ради которых он заводится |
 | Ограничитель частоты | `internal/controller/http.RateLimit` — бюджет по адресу спрашивающего под корнем приложения; из его чисел выводится объявляемая частота опроса |
 
 Единых точек, которых **нет** и которые ожидались бы, сегодня не осталось.