точки входа переехали в cmd/, заведена заглушка OIDC для локального входа

- main.go и journal_route_test.go переехали в cmd/transcriber без правок
  содержимого; образ собирает ./cmd/transcriber поимённо
- cmd/oidcstub отвечает на /authorize, /token и /userinfo, проверок не делает
  и слушает петлевой адрес: войти без Authelia стало чем
- ступень сборки приложения переехала на node:24 с alpine — musl ждёт ответа
  на AAAA, которого нет, и npm ci висел вместо отказа

docs/security.md

@@ -335,6 +335,13 @@ Storage, оттуда его читает SpeechKit. Третий путь —
 
 - **Атака на сам сервер и на контур.** Компрометация хоста, прокси, Docker и
   Ansible — не наша граница.
+- **Машина разработчика и то, что он на ней поднимает.** С 2026-08-15 в
+  репозитории лежит `cmd/oidcstub` — подставной провайдер OIDC, который выдаёт
+  сессию всякому спросившему и не сверяет ни секрета клиента, ни проверочного
+  кода PKCE. Двух вещей это не отменяет, и обе проверяемы: в образ он не едет
+  (ступень собирает `./cmd/transcriber` поимённо), а слушает петлевой адрес.
+  Периметра выкладки заглушка поэтому не касается; кто поднял её у себя в чужой
+  сети, отвечает за это сам.
 - **Злоупотребление со стороны пользователя из белого списка.** Приглашённому
   доверяем полностью.
 - **Достоверность расшифровки.** Подмена или искажение текста на стороне