точки входа переехали в cmd/, заведена заглушка OIDC для локального входа

- main.go и journal_route_test.go переехали в cmd/transcriber без правок
  содержимого; образ собирает ./cmd/transcriber поимённо
- cmd/oidcstub отвечает на /authorize, /token и /userinfo, проверок не делает
  и слушает петлевой адрес: войти без Authelia стало чем
- ступень сборки приложения переехала на node:24 с alpine — musl ждёт ответа
  на AAAA, которого нет, и npm ci висел вместо отказа

docs/conventions/config.md

@@ -5,12 +5,12 @@
 
 **Взято из проекта jellybit.** Расхождения с сегодняшним кодом названы по месту.
 Главные: комментариями снабжена половина полей; единого места проверки на старте
-нет: у секций `[auth]` и `[pipeline]` свой `Validate()` в `main.go`, а пустые
+нет: у секций `[auth]` и `[pipeline]` свой `Validate()` в точке входа, а пустые
 ключи `[yandex]` ловит конструктор распознавателя.
 
 **Механизировано:** запрет `os.Getenv` — `forbidigo` в `.golangci.yml`
 ([go-linters.md](go-linters.md), «Механизировано»). Он держит правило «настройки
-приезжают из TOML»; `godotenv` в `main.go` по-прежнему загружает `.env`, но кладёт
+приезжают из TOML»; `godotenv` в `cmd/transcriber` по-прежнему загружает `.env`, но кладёт
 его в окружение процесса, а не в настройки приложения.
 
 ## Принципы
@@ -18,7 +18,7 @@
 - **Конфигурация — только TOML.** Переменные окружения для конфигурации **не
   используем**: окружение наследуется дочерними процессами и видно через
   `/proc/<pid>/environ` — для секретов это слабее файла под `0600`.
-  *Расхождение:* `main.go` зовёт `godotenv.Load()` и молча продолжает без файла.
+  *Расхождение:* `cmd/transcriber` зовёт `godotenv.Load()` и молча продолжает без файла.
 - Грузим **один раз при старте** в одну типизированную структуру `Config`
   (под-структуры по секциям). Дальше по коду читаем только её — чтения файла в
   прикладном коде нет, только загрузчик `internal/config`.
@@ -62,6 +62,12 @@ force_shutdown_timeout = <N>          # ждать остановки ворке
 говорит, какой формы значение здесь ждут. Пустым оставлен только
 `client_secret` — он и есть секрет.
 
+Там же, комментарием под секцией, стоит **второй набор значений `[auth]` — под
+подставной провайдер `cmd/oidcstub`**. Они — не живая форма, и это намеренно:
+образец описывает боевую выкладку, а локальный вход — способ до неё дойти, и два
+рабочих набора в одном файле читались бы как выбор без указания, какой из них
+чей.
+
 ## Поля по дискриминатору `type`
 
 Когда набор полей секции зависит от поля-дискриминатора `type` (выбор одного из
@@ -130,7 +136,7 @@ TOML. Пустые ключи Yandex ловятся в конструкторе
 входом 2026-08-14: секции больше нет, и своей проверки у неё тоже.
 
 Секция `[auth]` — первая, у которой проверка своя и стоит на старте:
-`AuthConfig.Validate()` зовётся из `main.go` сразу после загрузки и роняет
+`AuthConfig.Validate()` зовётся из `cmd/transcriber` сразу после загрузки и роняет
 процесс с перечнем незаполненных ключей. Причина в цене умолчания: поднявшись с
 молча выключенным входом, сервис остался бы открытым наружу, а узнать об этом
 было бы неоткуда. Сообщение называет **имена ключей**, а не значения — значение