telegram: сервис поднимается без бота и работает одним входом

- Клиент бота собирается один раз и достаётся отправителю и транспорту;
  разрез прошёл по «ответил ли Telegram»: ответ «такого бота нет» роняет
  старт, недоступность даёт подъём без Telegram (ADR-2026-08-13). Ожидание
  при сборке ограничено сроком — иначе молчащий Telegram вешал подъём.
- Недоставленный ответ не роняет шаг: пишется с job_id и считается метрикой,
  уровень по причине — WARN для неподнятого входа, ERROR для неназванного
  адресата. Заведены transcriber_intake_up и transcriber_undelivered_reply_count.
- Закрыта утечка токена в журнал: отказ разбора адреса рождается раньше
  обращения к клиенту, то есть мимо чистки на его границе.

internal/adapter/telegram/bot.go

@@ -7,6 +7,7 @@ import (
 	"net/http"
 	"net/url"
 	"strings"
+	"time"
 
 	tgbotapi "github.com/go-telegram-bot-api/telegram-bot-api/v5"
 )
@@ -43,9 +44,35 @@ func newBot(token, endpoint string, logger *slog.Logger) (*tgbotapi.BotAPI, erro
 		return nil, fmt.Errorf("failed to set telegram logger: %w", err)
 	}
 
-	return tgbotapi.NewBotAPIWithClient(token, endpoint, &safeClient{inner: &http.Client{}})
+	// Сборка ходит за `getMe` и стоит на пути старта — раньше HTTP-сервера,
+	// панели и воркеров. Без срока ожидания молчащий Telegram (соединение
+	// принято, ответа нет) вешал бы весь подъём бессрочно: порт не слушается,
+	// проба здоровья не отвечает, а в журнале ни строки.
+	probe := &safeClient{inner: &http.Client{Timeout: ProbeTimeout}}
+
+	// Отказ конструктора чистится здесь, а не клиентом: адрес собирается
+	// строкой с токеном внутри, и `http.NewRequest` падает на его разборе
+	// **до** обращения к клиенту — то есть мимо `safeClient`. Токен с
+	// управляющим символом или неверной `%`-последовательностью иначе уезжает
+	// в журнал целиком: перенос строки в конце значения ловится так же.
+	bot, err := tgbotapi.NewBotAPIWithClient(token, endpoint, probe)
+	if err != nil {
+		return nil, WithoutURL(err)
+	}
+
+	// Дальше живёт длинный опрос, и срок ему не нужен: он ждёт обновлений
+	// столько, сколько задано настройкой, и клиент со сроком рвал бы его.
+	bot.Client = &safeClient{inner: &http.Client{}}
+
+	return bot, nil
 }
 
+// ProbeTimeout — сколько ждём Telegram при сборке клиента. Число выбрано
+// решением, а не замером: одно обращение за `getMe` укладывается в доли
+// секунды, а десять секунд — потолок, после которого Telegram считается
+// недоступным и сервис поднимается без него.
+const ProbeTimeout = 10 * time.Second
+
 // safeClient — клиент, чей отказ не несёт адреса. Библиотека объявляет
 // зависимость интерфейсом `HTTPClient` и возвращает наш отказ вызывающему
 // нетронутым, поэтому чистка отсюда доходит до каждого вызова Bot API.