вход переехал на доверенный заголовок Authelia вместо собственного OIDC

- пришедшего называет заголовок Remote-User от прокси, и верят ему только с
  адреса из перечня trusted_proxies; своего входа у сервиса не осталось — ни
  корня /auth, ни кук, ни срока сессии, ни секрета клиента в конфиге и в базе
- учётная запись заводится первым обращением: EnsureUser в пакете хранилища,
  шаг схемы 202608220001 с колонкой provider_login и снятыми правилами users
- cmd/oidcstub заменён на cmd/devtools с подкомандой proxy; заодно закрыт
  унаследованный DL3066 — пользователь образа назван числом

docs/passport.md

@@ -21,7 +21,7 @@
 | --- | --- |
 | Владелец сервиса | Загрузить диктофонную запись или видео из семейного архива с телефона и получить текст. Видеть, кто сколько загрузил и во что это обошлось |
 | Приглашённый пользователь | Войти в приложение через свою учётную запись, загрузить запись, забрать текст, вернуться к ней через месяц. Приложение ставится на телефон; каждый видит только свои записи |
-| Внешняя программа | Отдать файл по HTTP, представившись своим токеном, и опросить готовность. Сегодня почти не работает: приём и опрос закрыты сессией OIDC, а своего токена у программы нет — годится только чужая сессия, снятая из браузера и предъявленная кукой либо заголовком `Authorization`. Токен приносит `api-tokens` |
+| Внешняя программа | Отдать файл по HTTP, представившись своим токеном, и опросить готовность. Сегодня не работает вовсе: домен целиком стоит за обратным прокси, и запрос программы отбивает он, не доходя до сервиса. Токен и правило прокси мимо входа приносит `api-tokens` |
 
 **Вход у сервиса один — HTTP API**, и приложение строится поверх него. До
 2026-08-11 основным входом был Telegram-бот. 2026-08-11 основным объявили
@@ -61,10 +61,13 @@ Telegram.
 - **Собственные модели.** Не обучаем и не держим у себя ни модель распознавания,
   ни языковую модель: и речь, и выводы из текста считает внешний сервис.
 - **Управление учётными записями.** Пользователей заводит и проверяет внешний
-  провайдер, свою регистрацию и свои пароли не делаем. Одно исключение появилось
-  2026-08-11 вместе с решением про PocketBase: в панель администратора владелец
-  входит своим паролем, потому что подпустить к ней внешнего провайдера
-  PocketBase не даёт.
+  провайдер, свою регистрацию и свои пароли не делаем. Своя строка учётной
+  записи у сервиса при этом есть, и границы это не двигает: сервис **зеркалит**
+  имя, названное провайдером, — заводит строку при первом обращении под новым
+  именем и связывает с ней записи владельца. Кто этот человек и пускать ли его,
+  сервис не решает никогда. Одно исключение появилось 2026-08-11 вместе с
+  решением про PocketBase: в панель администратора владелец входит своим
+  паролем, потому что подпустить к ней внешнего провайдера PocketBase не даёт.
 - **Живая расшифровка.** Работаем с готовой записью, поток в реальном времени не
   обрабатываем.
 - **Диктофон.** Запись звука делает телефон, а приложение принимает готовый
@@ -97,11 +100,10 @@ Telegram.
 3. **Загрузка по HTTP.** Программа шлёт `POST /app/audiorecords` со своим
    токеном, получает идентификатор записи и читает её карточку
    `GET /app/audiorecords/{id}`, пока не увидит `done`; текст забирает отдельным
-   адресом `GET /app/audiorecords/{id}/text`. Сегодня доступно только
-   предъявившему сессию OIDC: анонимный запрос всеми адресами отклоняется. Своего
-   входа у программы нет — его заводит `api-tokens`. Записи при этом
-   разграничены: программа с чужой сессией видит только записи того, чью сессию
-   предъявила.
+   адресом `GET /app/audiorecords/{id}/text`. Сегодня доступно только тому, кого
+   назвал доверенный источник: неузнанный запрос всеми адресами отклоняется.
+   Своего способа представиться у программы нет — его заводит `api-tokens`.
+   Записи при этом разграничены: видны только записи того, чьим именем пришли.
 4. **Отказ на середине.** Конвертация или распознавание не удались — запись
    получает признак остановки с причиной, и карточка записи отдаёт признак и
    причину тому, кто её загрузил. Сообщения о неудаче сервис никому не шлёт:
@@ -119,6 +121,6 @@ Telegram.
 задача `pocketbase-storage` 2026-08-12
 ([adr](adr/ADR-2026-08-11-pocketbase-storage-with-admin-panel.md)); там она
 держит хранилище, файлы и панель владельца. Схема и
-раскладка — [database.md](database.md). Учётные записи она хранит и получает от
-Authelia своим провайдером OIDC, но источником их не становится: заводит и
-проверяет людей по-прежнему Authelia.
+раскладка — [database.md](database.md). Учётные записи она хранит, а заводит их
+сервис по имени, названному Authelia; источником людей она при этом не
+становится: заводит и проверяет их по-прежнему Authelia.