вход переехал на доверенный заголовок Authelia вместо собственного OIDC

- пришедшего называет заголовок Remote-User от прокси, и верят ему только с
  адреса из перечня trusted_proxies; своего входа у сервиса не осталось — ни
  корня /auth, ни кук, ни срока сессии, ни секрета клиента в конфиге и в базе
- учётная запись заводится первым обращением: EnsureUser в пакете хранилища,
  шаг схемы 202608220001 с колонкой provider_login и снятыми правилами users
- cmd/oidcstub заменён на cmd/devtools с подкомандой proxy; заодно закрыт
  унаследованный DL3066 — пользователь образа назван числом

docs/conventions/config.md

@@ -57,16 +57,17 @@ force_shutdown_timeout = <N>          # ждать остановки ворке
 
 Секретные поля оставляем пустыми — значение приходит из выкладки (см. «Секреты»).
 
-*Расхождение:* адреса провайдера в секции `[auth]` образца заполнены примерами
-вида `https://auth.example.com/...`, а не оставлены пустыми: пустой адрес не
-говорит, какой формы значение здесь ждут. Пустым оставлен только
-`client_secret` — он и есть секрет.
+*Расхождение:* перечень доверенных адресов в секции `[auth]` образца заполнен
+примером — подсетью docker, — а не оставлен пустым: пустое значение не говорит,
+какой формы значение здесь ждут, а сервис с пустым перечнем не поднимается вовсе.
+Секретов в этой секции больше нет: они ушли 2026-08-22 вместе с собственным
+входом.
 
-Там же, комментарием под секцией, стоит **второй набор значений `[auth]` — под
-подставной провайдер `cmd/oidcstub`**. Они — не живая форма, и это намеренно:
-образец описывает боевую выкладку, а локальный вход — способ до неё дойти, и два
-рабочих набора в одном файле читались бы как выбор без указания, какой из них
-чей.
+Там же, комментарием под секцией, стоит **второе значение перечня — петлевой
+адрес, под подставной прокси `cmd/devtools proxy`**. Оно стоит закомментированным, и это
+намеренно: образец описывает боевую выкладку, а локальный вход — способ до неё
+дойти, и два рабочих значения в одном файле читались бы как выбор без указания,
+какое из них чьё.
 
 ## Поля по дискриминатору `type`
 
@@ -95,7 +96,8 @@ Ansible из `pet-project-server`). Приложение просто читае
 
 - Секретные поля transcriber: `yandex.speech_kit_api_key`,
   `yandex.object_storage_access_key_id`,
-  `yandex.object_storage_secret_access_key`, `auth.client_secret`.
+  `yandex.object_storage_secret_access_key`. Секрет клиента OIDC отсюда ушёл
+  2026-08-22 вместе с собственным входом.
 - Отрендеренный `config.toml` (с секретами) **не коммитится**; права `0600`,
   владелец — пользователь процесса (`1000:1000`).
 - В `config.example.toml` секретные поля — пустые строки.
@@ -137,10 +139,11 @@ TOML. Пустые ключи Yandex ловятся в конструкторе
 
 Секция `[auth]` — первая, у которой проверка своя и стоит на старте:
 `AuthConfig.Validate()` зовётся из `cmd/transcriber` сразу после загрузки и роняет
-процесс с перечнем незаполненных ключей. Причина в цене умолчания: поднявшись с
-молча выключенным входом, сервис остался бы открытым наружу, а узнать об этом
-было бы неоткуда. Сообщение называет **имена ключей**, а не значения — значение
-`client_secret` в журнал попасть не должно.
+процесс с именем незаполненного ключа. Причина в цене умолчания: поднявшись с
+пустым перечнем доверенных адресов, сервис не узнавал бы никого, а узнать об
+этом было бы неоткуда — все адреса приложения просто отвечали бы отказом.
+Сообщение называет **имя ключа**; правило «значения в отказ не идут» остаётся в
+силе для прочих секций, где секреты есть.
 
 ## Структура в коде