вход переехал на доверенный заголовок Authelia вместо собственного OIDC

- пришедшего называет заголовок Remote-User от прокси, и верят ему только с
  адреса из перечня trusted_proxies; своего входа у сервиса не осталось — ни
  корня /auth, ни кук, ни срока сессии, ни секрета клиента в конфиге и в базе
- учётная запись заводится первым обращением: EnsureUser в пакете хранилища,
  шаг схемы 202608220001 с колонкой provider_login и снятыми правилами users
- cmd/oidcstub заменён на cmd/devtools с подкомандой proxy; заодно закрыт
  унаследованный DL3066 — пользователь образа назван числом

internal/controller/http/errors.go

@@ -96,15 +96,19 @@ func mapDomainError(err error) (int, ErrorBody) {
 		return http.StatusNotFound, ErrorBody{Code: CodeNotFound, Message: message}
 
 	case errors.Is(err, contract.ErrUnauthorized):
+		// Не «требуется вход»: своего входа у сервиса нет, и уводить человека
+		// некуда. Сообщение называет то, что произошло на самом деле, — сервис
+		// не узнал пришедшего, — и приложение показывает его как есть, своего
+		// словаря текстов под коды ответа не заводя.
 		return http.StatusUnauthorized, ErrorBody{
 			Code:    CodeUnauthorized,
-			Message: "Требуется вход",
+			Message: "Сервис вас не узнал",
 		}
 
 	case errors.Is(err, contract.ErrOwnerRequired):
 		return http.StatusForbidden, ErrorBody{
 			Code:    CodeForbidden,
-			Message: "У вашей сессии нет учётной записи пользователя",
+			Message: "У предъявителя нет учётной записи пользователя",
 		}
 	}
 
@@ -214,9 +218,13 @@ func translateAPIError(apiErr *router.ApiError) (int, ErrorBody) {
 func RequireUser(usersCollection string) *hook.Handler[*core.RequestEvent] {
 	return &hook.Handler[*core.RequestEvent]{
 		Id: "transcriberRequireUser",
-		// Сразу после слоя, который читает предъявленный токен: раньше него
-		// `e.Auth` ещё пуст, и всякий запрос получал бы отказ.
-		Priority: apis.DefaultLoadAuthTokenMiddlewarePriority + 1,
+		// Сразу после слоя узнавания: раньше него `e.Auth` ещё пуст, и всякий
+		// запрос получал бы отказ. Слой узнавания, в свою очередь, стоит за
+		// ограничителем частоты — см. `TrustedHeaderIdentity`.
+		//
+		// Предел тела библиотеки идёт следом (−990), и это обязательно: отказ
+		// неузнанному наступает **до** чтения тела.
+		Priority: apis.DefaultRateLimitMiddlewarePriority + 2,
 		Func: func(e *core.RequestEvent) error {
 			if e.Auth == nil {
 				return fail(e, contract.ErrUnauthorized)