локальный вход задаётся конфигом: заголовки подставляет сам сервис

- в конфиг добавлены секция [auth.test_headers] и предохранитель [server] debug:
  заголовки входа подставляет слой транспорта, второго процесса локальный запуск
  больше не требует
- подкоманда devtools proxy удалена целиком: всё, ради чего её поднимали, делает
  сам сервис
- адресного предохранителя нет по решению владельца — цена названа в ADR и в
  модели угроз

docs/review.md

@@ -31,6 +31,13 @@
 квота на три темы. Механизации нет — потолок объявляет сам проход, и заставить его нечем;
 остаётся сверка триажа.
 
+Пробел повторился на прогоне `config-test-headers-login` 2026-08-23, и это уже
+не единичный случай: строки о потолке не дал ни один из шести проходов, а
+заметил это снова только триаж. Прогон при этом шёл с меткой `large`, то есть с
+самым широким составом, — и разница с прошлым разом ровно в числе проходов,
+промолчавших одинаково. Читать пробел надо как границу покрытия каждого прогона,
+а не как свойство одного из них.
+
 Что уже проверяет машина и о чём поэтому спрашивать не нужно — конвенция
 [conventions/go-linters.md](conventions/go-linters.md). Вопросы ниже — то, чего
 машина не проверяет; свойства, которые обязан проверять тест, — в «Типовых
@@ -178,12 +185,17 @@
   в проверках. Прецедент: подставных провайдера OIDC в репозитории было два —
   `cmd/oidcstub` и `fakeProvider` в проверках входа, — с теми же адресами и той
   же посылкой, и они уже разошлись в мелочи (`token_type` «bearer» против
-  «Bearer»). Оба ушли 2026-08-22 вместе с протоколом; на их месте
-  `cmd/devtools proxy`, а проверки ставят заголовок сами и подставного собеседника
-  не держат вовсе. Тем же вопросом судится подставной распознаватель. Записанной
-  конвенции о единственном доме подставных внешних собеседников у проекта нет,
-  поэтому спрашивать надо, а не считать нарушением (ревью задачи про заглушку
-  OIDC, 2026-08-15).
+  «Bearer»). Оба ушли 2026-08-22 вместе с протоколом; на их месте встал
+  `cmd/devtools proxy`, а 2026-08-23 задачей `config-test-headers-login` убран и
+  он: заголовки входа подставляет сам сервис под предохранителем
+  `[server] debug`. Проверки ставят заголовок сами и подставного собеседника не
+  держат вовсе. Тем же вопросом судится подставной распознаватель. **Пробел
+  закрыт той же задачей:** норма о подставных собеседниках записана в
+  [architecture.md](architecture.md), «Принципы» — пункт «Подставной собеседник
+  в боевом бинарнике объявлен своим ключом»; здесь она не пересказывается.
+  Вопрос при этом остаётся вопросом:
+  норма называет, где собеседнику жить, а не сколько домов у него уже завелось
+  (ревью задачи про заглушку OIDC, 2026-08-15).
 - `operations`: как шаг отвечает на отмену посреди работы — контекст доходит до
   внешнего собеседника и это держат правила `noctx` и `contextcheck`
   ([conventions/go-linters.md](conventions/go-linters.md), «Отмена и внешний
@@ -332,9 +344,11 @@ API и имя не откатываются обратной правкой по
   остановку; нельзя — расшифровку и заливку.
 
   **Вход живой прогон теперь проверяет целиком, и это сдвиг 2026-08-22.** Прежде
-  сессию в прогоне выдать было нечем; теперь заголовок ставит `cmd/devtools
-  proxy`, и живьём проверяются узнавание, заведение учётной записи первым
-  обращением, отказ с недоверенного адреса и отказ старта на пустом перечне.
+  сессию в прогоне выдать было нечем; теперь заголовок ставит сам сервис по
+  секции `[auth] test_headers` под предохранителем `[server] debug` — прежде
+  `cmd/devtools proxy`, убранный 2026-08-23, — и живьём проверяются узнавание,
+  заведение учётной записи первым обращением, отказ с недоверенного адреса и
+  отказ старта на пустом перечне.
   Настоящая Authelia по-прежнему недоступна — её правило на домен живёт в
   контуре (см. «Не проверит ни один проход»).