вход переехал на доверенный заголовок Authelia вместо собственного OIDC

- пришедшего называет заголовок Remote-User от прокси, и верят ему только с
  адреса из перечня trusted_proxies; своего входа у сервиса не осталось — ни
  корня /auth, ни кук, ни срока сессии, ни секрета клиента в конфиге и в базе
- учётная запись заводится первым обращением: EnsureUser в пакете хранилища,
  шаг схемы 202608220001 с колонкой provider_login и снятыми правилами users
- cmd/oidcstub заменён на cmd/devtools с подкомандой proxy; заодно закрыт
  унаследованный DL3066 — пользователь образа назван числом

docs/conventions/web-ui.md

@@ -75,8 +75,10 @@
 - **Адреса обычные, а не после решётки** (`createWebHistory`). Отсюда требование
   к серверу: неизвестный путь **вне корней сервиса** отдаёт `index.html`, а не
   `404`; путь внутри корня в приложение не проваливается никогда. Корней
-  сегодня четыре — `/api/` у хранилища, `/app/` у приложения, `/auth/` у входа,
-  `/_/` у панели, — плюс `/health` и `/metrics` отдельными адресами. Приложение
+  сегодня три — `/api/` у хранилища, `/app/` у приложения, `/_/` у панели, —
+  плюс `/health` и `/metrics` отдельными адресами. Корень `/auth/` снят
+  2026-08-22 вместе с собственным входом, и пути под ним стали обычными путями
+  вне корней. Приложение
   уехало из общего `/api/` решением владельца 2026-08-15: пространство
   принадлежит хранилищу, и обновление библиотеки вправе занять там имя рядом с
   нашим. Перечень корней сервису не описывают, а из него **порождают**
@@ -104,9 +106,11 @@
 - **Обёртка — единственное место, где читается код ответа.** Она же превращает
   ошибку контракта в доменную ошибку приложения; экран получает готовый текст, а
   не `Response`.
-- **Сессия живёт кукой `transcriber_session`**, и приложение её не читает: кука
-  `HttpOnly`, браузер шлёт её сам, а вошедшего экран узнаёт по ответу API. Норма
-  — [access](../../openspec/specs/access/spec.md).
+- **Сессии у сервиса нет вовсе**, и приложение не хранит ничего: кто пришёл,
+  называет заголовок обратного прокси, а приложение узнаёт его ответом API.
+  Кук сервис не ставит — это свойство сторожится проверкой. Норма —
+  [access](../../openspec/specs/access/spec.md), решение —
+  [ADR-2026-08-22-login-by-trusted-header](../adr/ADR-2026-08-22-login-by-trusted-header.md).
 
 ## Показ ошибок и состояний