вход переехал на доверенный заголовок Authelia вместо собственного OIDC

- пришедшего называет заголовок Remote-User от прокси, и верят ему только с
  адреса из перечня trusted_proxies; своего входа у сервиса не осталось — ни
  корня /auth, ни кук, ни срока сессии, ни секрета клиента в конфиге и в базе
- учётная запись заводится первым обращением: EnsureUser в пакете хранилища,
  шаг схемы 202608220001 с колонкой provider_login и снятыми правилами users
- cmd/oidcstub заменён на cmd/devtools с подкомандой proxy; заодно закрыт
  унаследованный DL3066 — пользователь образа назван числом

openspec/specs/archive/spec.md

@@ -51,7 +51,7 @@ TBD - created by archiving change app-json-contract. Update Purpose after archiv
 Сервис SHALL отвечать на адресах приложения кодом, который отвечает **причине**
 отказа, а не месту, где он случился. Перечень закрыт и назван поимённо:
 
-- отсутствие сессии — `401`, и он MUST наступать **до всякого чтения записи**,
+- пришедший не узнан — `401`, и он MUST наступать **до всякого чтения записи**,
   одинаково для заведённой записи и для неизвестного идентификатора: иначе по
   разнице кодов перебирается список заведённых записей;
 - узнанный предъявитель без учётной записи пользователя — `403`;
@@ -130,16 +130,16 @@ TBD - created by archiving change app-json-contract. Update Purpose after archiv
 - **AND** код отказа принадлежит закрытому перечню
 - **AND** ни одно из них не содержит сырого текста ошибки
 
-#### Scenario: Без сессии неизвестная запись неотличима от заведённой
+#### Scenario: Неузнанному неизвестная запись неотличима от заведённой
 
 - **GIVEN** заведена запись
-- **WHEN** её карточку спрашивают без сессии, а затем спрашивают карточку по
+- **WHEN** её карточку спрашивают неузнанным, а затем спрашивают карточку по
   неизвестному идентификатору
 - **THEN** оба ответа имеют код `401` и одно тело
 
 #### Scenario: Запись сверх потолка размера
 
-- **GIVEN** отправитель предъявил сессию
+- **GIVEN** отправитель узнан
 - **WHEN** он шлёт запись длиннее потолка размера
 - **THEN** ответ имеет код `413`, а тело несёт предел числом
 - **AND** ни файла, ни аудиозаписи не заводится