docs: канон приведён к сегодняшнему состоянию после сверки

- периметр: passport.md и security.md больше не утверждают, что HTTP API
  открыт без аутентификации, а review.md не числит эту находку типовой
  ложноположительной — приём, опрос и файл закрыты сессией с 2026-08-12;
- logging.md писал, что расширение попадает в журнал полем пути: описано
  изъятие инварианта приватности — собственное поле, имени и пути нет;
- узел ревью переименован в repo/pocketbase, поведение конвейера из обзора
  уехало ссылкой в спеку pipeline, Purpose спеки storage написан вместо
  заглушки, в ADR о переезде дописано уточнение о действующей раскладке.

docs/conventions/config.md

@@ -130,7 +130,10 @@ TOML. Пустой токен бота ловится в `NewTelegramController`
 ## Структура в коде
 
 - Весь разбор и проверка — в `internal/config`; наружу отдаётся готовая `Config`.
-- Одна корневая структура `Config` с под-структурами по секциям (`Server`,
-  `Database`, `Storage`, `Yandex`, `Telegram`).
+- Одна корневая структура `Config` с под-структурами по секциям. Перечень секций
+  и полей здесь не повторяем: источник истины по составу — `config.dist.toml`,
+  действующие числа — [../database.md](../database.md), «Настройки с числовым
+  значением». Каталог данных задаётся одним ключом `[storage] data_dir`
+  ([ADR](../adr/ADR-2026-08-12-single-data-dir-config-key.md)).
 - Умолчания задаются в `defaultConfig()`, файл их перекрывает. Новое поле
   требует правки обоих мест.