вход переехал на доверенный заголовок Authelia вместо собственного OIDC

- пришедшего называет заголовок Remote-User от прокси, и верят ему только с
  адреса из перечня trusted_proxies; своего входа у сервиса не осталось — ни
  корня /auth, ни кук, ни срока сессии, ни секрета клиента в конфиге и в базе
- учётная запись заводится первым обращением: EnsureUser в пакете хранилища,
  шаг схемы 202608220001 с колонкой provider_login и снятыми правилами users
- cmd/oidcstub заменён на cmd/devtools с подкомандой proxy; заодно закрыт
  унаследованный DL3066 — пользователь образа назван числом

docs/review.md

@@ -172,13 +172,15 @@
 Форма: `<тема>: <вопрос> (<откуда>)`.
 
 - `operations`: не завёл ли инструмент разработчика второй дом тому, что уже есть
-  в проверках. Подставных провайдера OIDC в репозитории теперь два — `cmd/oidcstub`
-  и `fakeProvider` в `internal/controller/http/login_test.go`, — с теми же
-  адресами и той же посылкой про `email_verified`, и они уже разошлись в мелочи
-  (`token_type` «bearer» против «Bearer»). Тем же вопросом судится подставной
-  распознаватель. Записанной конвенции о единственном доме подставных внешних
-  собеседников у проекта нет, поэтому спрашивать надо, а не считать нарушением
-  (ревью задачи про заглушку OIDC, 2026-08-15).
+  в проверках. Прецедент: подставных провайдера OIDC в репозитории было два —
+  `cmd/oidcstub` и `fakeProvider` в проверках входа, — с теми же адресами и той
+  же посылкой, и они уже разошлись в мелочи (`token_type` «bearer» против
+  «Bearer»). Оба ушли 2026-08-22 вместе с протоколом; на их месте
+  `cmd/devtools proxy`, а проверки ставят заголовок сами и подставного собеседника
+  не держат вовсе. Тем же вопросом судится подставной распознаватель. Записанной
+  конвенции о единственном доме подставных внешних собеседников у проекта нет,
+  поэтому спрашивать надо, а не считать нарушением (ревью задачи про заглушку
+  OIDC, 2026-08-15).
 - `operations`: как шаг отвечает на отмену посреди работы — контекст доходит до
   внешнего собеседника и это держат правила `noctx` и `contextcheck`
   ([conventions/go-linters.md](conventions/go-linters.md), «Отмена и внешний
@@ -294,13 +296,14 @@ API и имя не откатываются обратной правкой по
   день, и утверждения о росте остаются условиями, а не замерами;
 - `security`: стойкость `ffmpeg` к вредоносному входу — разбор чужого формата
   отдан внешней программе, и она вне нашей границы;
-- `security`: поведение настоящей Authelia и её правило на нашего клиента.
-  Провайдера в прогоне нет, подменяет его свой сервер; кто допущен — настройка
-  выкладки вне репозитория, и по коду её не проверить
+- `security`: поведение настоящей Authelia и правило обратного прокси на домен
+  сервиса. Ни того ни другого в прогоне нет, а с 2026-08-22 от прокси зависит
+  **весь** барьер: он обязан заголовки `Remote-*` перезаписывать, а не пропускать
+  пришедшие. Проверить это отсюда нечем — правило живёт в `pet-project-server`
   ([adr/ADR-2026-08-12-access-delegated-to-provider.md](adr/ADR-2026-08-12-access-delegated-to-provider.md));
-- `security`: поведение браузера с куками — применение `SameSite`, приём
-  `Set-Cookie` при переходе с чужого сайта. Браузера в прогоне нет, и находки
-  этого рода остаются гипотезами.
+- `security`: поведение браузера с куками. Своих кук сервис больше не ставит
+  (2026-08-22), и класс сузился до кук, которые ставит панель хранилища; браузера
+  в прогоне нет, и находки этого рода остаются гипотезами.
 
 **Перестали проверять сознательно:**
 
@@ -321,8 +324,14 @@ API и имя не откатываются обратной правкой по
   **Остаток**: за настоящие SpeechKit и Object Storage живой прогон по-прежнему
   не отвечает — ключи Yandex в прогоне выдуманные, а распознавание подменяют в
   коде. Проверить живьём можно подъём, отказ старта, маршруты, метрики и
-  остановку; нельзя — расшифровку и заливку. Вход через живого провайдера OIDC
-  тоже недоступен: сессию в прогоне выдать нечем.
+  остановку; нельзя — расшифровку и заливку.
+
+  **Вход живой прогон теперь проверяет целиком, и это сдвиг 2026-08-22.** Прежде
+  сессию в прогоне выдать было нечем; теперь заголовок ставит `cmd/devtools
+  proxy`, и живьём проверяются узнавание, заведение учётной записи первым
+  обращением, отказ с недоверенного адреса и отказ старта на пустом перечне.
+  Настоящая Authelia по-прежнему недоступна — её правило на домен живёт в
+  контуре (см. «Не проверит ни один проход»).
 
 ## Журнал дефектов