docs: раскладка переехала в .av-dev.toml, а расхождения документов сведены

- Перевод на канон 1 доделан: адреса служебного файла и имена скиллов
  переставлены в девяти местах прозы и кода, гейт зовёт три скрипта по новым
  путям, прежние docs/.docs.json и tasks/.tasks.json удалены.
- Сверка двумя агентами нашла четырнадцать расхождений, тринадцать сведены
  строками: число прогонов ревью и преамбула журнала дефектов, счёт capability,
  маршруты README, дубли инварианта захвата и кодов прогона, протухшие указатели
  записок разведки, маркер долга на переехавшем абзаце. Срок жизни сессии
  нормирует спека access, database.md на неё ссылается.
- Purpose спеки pipeline объявляет неописанным то, что в ней же и стоит; правка
  идёт изменением openspec, поэтому заведена задача pipeline-spec-purpose-drift.

docs/security.md

@@ -122,8 +122,10 @@ Telegram отправителю.
 - **Поверхность самого хранилища.** Вместе с переводом наружу выходят
   `/api/collections/...`, `/api/logs`, `/api/backups`, `/api/settings`,
   `/api/crons` и панель `/_/`. Правила доступа коллекций оставлены пустыми, то
-  есть доступны они только владельцу панели; проверено прогоном — записи отдают
-  `403`, служебные разделы `401`.
+  есть доступны они только владельцу панели; коды, снятые прогоном, —
+  [database.md](database.md), «Коллекции», норма —
+  [storage](../openspec/specs/storage/spec.md), «Наружу хранилище отдаёт только
+  то, что заказано».
 
 Целевой периметр добавляет сюда три вещи, и все три — от новых задач:
 
@@ -143,9 +145,10 @@ Telegram отправителю.
   с фамилией), а не с числовым идентификатором. Имя пользователя Telegram
   меняется владельцем в любой момент: список привязан к изменяемому значению.
 - **HTTP API** — сессия, заведённая входом через OIDC у Authelia. Предъявляется
-  кукой `transcriber_session`, живёт семь суток, обесценивается выходом.
+  кукой `transcriber_session`, обесценивается выходом, срок жизни назначен числом
+  ([database.md](database.md), «Настройки с числовым значением»).
   Продление сессии закрыто: с ним предъявитель менял бы своё значение на новое
-  бессрочно, и семисуточный срок — единственное, чем отзыв доступа у провайдера
+  бессрочно, и назначенный срок — единственное, чем отзыв доступа у провайдера
   доходит до сервиса, — не значил бы ничего.
   Предъявленный заголовок `Authorization` принимается тоже — это та же сессия и
   та же проверка, но она названа здесь отдельно, потому что это второй способ
@@ -271,8 +274,8 @@ Telegram отправителю.
 `…/sendMessage`, `…/getMe`, `…/getUpdates`) и в ссылке на скачивание
 (`file.Link(token)`). Сами адреса нигде не логируются, но до 2026-08-13 их
 уносил **отказ транспорта**: `*url.Error` встраивает адрес целиком, а отказы
-скачивания и отправки пишутся в журнал. Теперь адрес снимается на границе
-клиента — `internal/adapter/telegram`, `NewBot`: свой `Do` чистит отказ, а
+скачивания и отправки пишутся в журнал. Теперь адрес на границе клиента снимает
+свой `Do` — `internal/adapter/telegram`, `NewBot`: он чистит отказ, а
 подменённый логгер библиотеки вычищает токен из строк длинного опроса, которые
 она печатает сама. Транспорт бота токена больше не получает вовсе: клиента ему
 отдают готовым. Правило — [conventions/logging.md](conventions/logging.md),