точки входа переехали в cmd/, заведена заглушка OIDC для локального входа

- main.go и journal_route_test.go переехали в cmd/transcriber без правок
  содержимого; образ собирает ./cmd/transcriber поимённо
- cmd/oidcstub отвечает на /authorize, /token и /userinfo, проверок не делает
  и слушает петлевой адрес: войти без Authelia стало чем
- ступень сборки приложения переехала на node:24 с alpine — musl ждёт ответа
  на AAAA, которого нет, и npm ci висел вместо отказа

docs/conventions/config.md

@@ -5,12 +5,12 @@
 
 **Взято из проекта jellybit.** Расхождения с сегодняшним кодом названы по месту.
 Главные: комментариями снабжена половина полей; единого места проверки на старте
-нет: у секций `[auth]` и `[pipeline]` свой `Validate()` в `main.go`, а пустые
+нет: у секций `[auth]` и `[pipeline]` свой `Validate()` в точке входа, а пустые
 ключи `[yandex]` ловит конструктор распознавателя.
 
 **Механизировано:** запрет `os.Getenv` — `forbidigo` в `.golangci.yml`
 ([go-linters.md](go-linters.md), «Механизировано»). Он держит правило «настройки
-приезжают из TOML»; `godotenv` в `main.go` по-прежнему загружает `.env`, но кладёт
+приезжают из TOML»; `godotenv` в `cmd/transcriber` по-прежнему загружает `.env`, но кладёт
 его в окружение процесса, а не в настройки приложения.
 
 ## Принципы
@@ -18,7 +18,7 @@
 - **Конфигурация — только TOML.** Переменные окружения для конфигурации **не
   используем**: окружение наследуется дочерними процессами и видно через
   `/proc/<pid>/environ` — для секретов это слабее файла под `0600`.
-  *Расхождение:* `main.go` зовёт `godotenv.Load()` и молча продолжает без файла.
+  *Расхождение:* `cmd/transcriber` зовёт `godotenv.Load()` и молча продолжает без файла.
 - Грузим **один раз при старте** в одну типизированную структуру `Config`
   (под-структуры по секциям). Дальше по коду читаем только её — чтения файла в
   прикладном коде нет, только загрузчик `internal/config`.
@@ -62,6 +62,12 @@ force_shutdown_timeout = <N>          # ждать остановки ворке
 говорит, какой формы значение здесь ждут. Пустым оставлен только
 `client_secret` — он и есть секрет.
 
+Там же, комментарием под секцией, стоит **второй набор значений `[auth]` — под
+подставной провайдер `cmd/oidcstub`**. Они — не живая форма, и это намеренно:
+образец описывает боевую выкладку, а локальный вход — способ до неё дойти, и два
+рабочих набора в одном файле читались бы как выбор без указания, какой из них
+чей.
+
 ## Поля по дискриминатору `type`
 
 Когда набор полей секции зависит от поля-дискриминатора `type` (выбор одного из
@@ -130,7 +136,7 @@ TOML. Пустые ключи Yandex ловятся в конструкторе
 входом 2026-08-14: секции больше нет, и своей проверки у неё тоже.
 
 Секция `[auth]` — первая, у которой проверка своя и стоит на старте:
-`AuthConfig.Validate()` зовётся из `main.go` сразу после загрузки и роняет
+`AuthConfig.Validate()` зовётся из `cmd/transcriber` сразу после загрузки и роняет
 процесс с перечнем незаполненных ключей. Причина в цене умолчания: поднявшись с
 молча выключенным входом, сервис остался бы открытым наружу, а узнать об этом
 было бы неоткуда. Сообщение называет **имена ключей**, а не значения — значение

docs/conventions/logging.md

@@ -31,7 +31,10 @@ OpenSpec.
 {"time":"2026-08-10T11:23:45.123456Z","level":"INFO","msg":"record accepted","capability":"intake","record_id":"…","source":"api","duration_seconds":137}
 ```
 
-*Расхождение:* `main.go` ставит `slog.NewTextHandler(os.Stdout, …)`.
+*Расхождение:* текстовый обработчик ставят **оба** пакета `cmd/` —
+`slog.NewTextHandler(os.Stdout, …)` и в `transcriber`, и в `oidcstub`. У второго
+это выбор, а не долг: его вывод читает человек в терминале, и разбирать его
+отбором никто не станет.
 
 ## Сообщение
 
@@ -78,7 +81,7 @@ OpenSpec.
 - `slog` не разделяет CRITICAL и FATAL — сбой на старте логируем `ERROR` и
   завершаем процесс с ненулевым кодом.
 
-*Расхождение:* уровень зашит константой в `main.go`, `DEBUG` включить нечем.
+*Расхождение:* уровень зашит константой в `cmd/transcriber`, `DEBUG` включить нечем.
 Пустой прогон воркера не логируется вовсе — и это правилу не противоречит.
 
 ## Время
@@ -208,7 +211,7 @@ Object Storage и опрос операции не логируются ника
   `INFO` они не пишутся.
 
 Расхождения здесь больше нет: слой журналирования запросов свой,
-`main.go`, хук `OnServe` — вместе с gin ушёл и `sloggin`. `/health` и `/metrics`
+`cmd/transcriber`, хук `OnServe` — вместе с gin ушёл и `sloggin`. `/health` и `/metrics`
 идут на `DEBUG`, то есть при боевом `INFO` не пишутся вовсе.
 
 Хранилище ведёт **свой** журнал запросов в собственной таблице, и он виден