docs: канон приведён к сегодняшнему состоянию после сверки

- периметр: passport.md и security.md больше не утверждают, что HTTP API
  открыт без аутентификации, а review.md не числит эту находку типовой
  ложноположительной — приём, опрос и файл закрыты сессией с 2026-08-12;
- logging.md писал, что расширение попадает в журнал полем пути: описано
  изъятие инварианта приватности — собственное поле, имени и пути нет;
- узел ревью переименован в repo/pocketbase, поведение конвейера из обзора
  уехало ссылкой в спеку pipeline, Purpose спеки storage написан вместо
  заглушки, в ADR о переезде дописано уточнение о действующей раскладке.

docs/conventions/errors.md

@@ -135,8 +135,11 @@ transcriber — **приложение, а не библиотека**: внеш
 - Не для управления потоком и не для ожидаемых ошибок (нет сети, плохой ввод) —
   это значения `error`.
 - `recover` — на верхней границе обработчика, чтобы один паникующий запрос не
-  ронял процесс. В transcriber это `gin.Recovery()`; у воркеров и у бота такой
-  границы **нет**: паника в шаге конвейера роняет процесс целиком.
+  ронял процесс. В transcriber его вешает роутер хранилища сам
+  (`apis.panicRecover`, слой с идентификатором `DefaultPanicRecoverMiddlewareId`
+  на каждом роутере PocketBase): паникующий обработчик отдаёт `500`, процесс
+  живёт. Своего слоя мы не пишем. У воркеров и у бота такой границы **нет**:
+  паника в шаге конвейера роняет процесс целиком.
 
 ## Несколько ошибок