docs: канон приведён к сегодняшнему состоянию после сверки

- периметр: passport.md и security.md больше не утверждают, что HTTP API
  открыт без аутентификации, а review.md не числит эту находку типовой
  ложноположительной — приём, опрос и файл закрыты сессией с 2026-08-12;
- logging.md писал, что расширение попадает в журнал полем пути: описано
  изъятие инварианта приватности — собственное поле, имени и пути нет;
- узел ревью переименован в repo/pocketbase, поведение конвейера из обзора
  уехало ссылкой в спеку pipeline, Purpose спеки storage написан вместо
  заглушки, в ADR о переезде дописано уточнение о действующей раскладке.

docs/conventions/config.md

@@ -130,7 +130,10 @@ TOML. Пустой токен бота ловится в `NewTelegramController`
 ## Структура в коде
 
 - Весь разбор и проверка — в `internal/config`; наружу отдаётся готовая `Config`.
-- Одна корневая структура `Config` с под-структурами по секциям (`Server`,
-  `Database`, `Storage`, `Yandex`, `Telegram`).
+- Одна корневая структура `Config` с под-структурами по секциям. Перечень секций
+  и полей здесь не повторяем: источник истины по составу — `config.dist.toml`,
+  действующие числа — [../database.md](../database.md), «Настройки с числовым
+  значением». Каталог данных задаётся одним ключом `[storage] data_dir`
+  ([ADR](../adr/ADR-2026-08-12-single-data-dir-config-key.md)).
 - Умолчания задаются в `defaultConfig()`, файл их перекрывает. Новое поле
   требует правки обоих мест.

docs/conventions/errors.md

@@ -135,8 +135,11 @@ transcriber — **приложение, а не библиотека**: внеш
 - Не для управления потоком и не для ожидаемых ошибок (нет сети, плохой ввод) —
   это значения `error`.
 - `recover` — на верхней границе обработчика, чтобы один паникующий запрос не
-  ронял процесс. В transcriber это `gin.Recovery()`; у воркеров и у бота такой
-  границы **нет**: паника в шаге конвейера роняет процесс целиком.
+  ронял процесс. В transcriber его вешает роутер хранилища сам
+  (`apis.panicRecover`, слой с идентификатором `DefaultPanicRecoverMiddlewareId`
+  на каждом роутере PocketBase): паникующий обработчик отдаёт `500`, процесс
+  живёт. Своего слоя мы не пишем. У воркеров и у бота такой границы **нет**:
+  паника в шаге конвейера роняет процесс целиком.
 
 ## Несколько ошибок
 

docs/conventions/logging.md

@@ -241,11 +241,14 @@ Object Storage, скачивание файла из Telegram и опрос оп
 она не логируется — то есть утечки нет, но защищает от неё только отсутствие
 строки лога.
 
-*Расхождение:* расширение берётся из имени отправителя дословно
+*Изъятие, а не расхождение:* расширение берётся из имени отправителя дословно
 (`filepath.Ext`), поэтому имя `запись.тайное-слово` отдаёт приватный хвост
-расширением, и в журнал оно попадает полем пути. Наружу — в метку метрики — этот
-хвост не выходит: там расширение приводится к перечню известных форматов. Остаток
-описан в [../security.md](../security.md).
+расширением. В журнал оно идёт **собственным полем** строки приёма — это
+объявленное изъятие инварианта приватности ([CLAUDE.md](../../CLAUDE.md),
+«Инварианты»); ни имени файла в хранилище, ни пути к нему в журнале нет вовсе
+(норма — `openspec/specs/intake`). Наружу — в метку метрики — хвост не выходит:
+там расширение приводится к перечню известных форматов. Остаток описан в
+[../security.md](../security.md).
 
 ## Куда пишем и уровень