имя файла отправителя убрано из журнала приёма

- расширение приводится к перечню известных форматов прежде метки метрики:
  страница метрик открыта, и хвост имени уезжал на неё дословно
- проверки приёма перехватывают все три потока журнала и читают реестр метрик,
  каждая падает при снятии того, что сторожит

docs/conventions/logging.md

@@ -213,7 +213,10 @@ Object Storage, скачивание файла из Telegram и опрос оп
 - ключ SpeechKit и заголовок `Authorization`;
 - пара ключей Object Storage;
 - **сам текст расшифровки и имена файлов пользователя** — это содержимое личной
-  переписки. Логируем длину текста, а не текст.
+  переписки. Логируем длину текста, а не текст. Имя файла ничем не заменяем:
+  ни укороченным именем, ни отпечатком от него — отпечаток та же приватная
+  величина, а корреляцию держат идентификаторы сущностей. Чем при этом
+  прослеживается приём, нормирует спека `intake`, а не эта запись.
 
 Дополнительно:
 
@@ -233,6 +236,12 @@ Object Storage, скачивание файла из Telegram и опрос оп
 она не логируется — то есть утечки нет, но защищает от неё только отсутствие
 строки лога.
 
+*Расхождение:* расширение берётся из имени отправителя дословно
+(`filepath.Ext`), поэтому имя `запись.тайное-слово` отдаёт приватный хвост
+расширением, и в журнал оно попадает полем пути. Наружу — в метку метрики — этот
+хвост не выходит: там расширение приводится к перечню известных форматов. Остаток
+описан в [../security.md](../security.md).
+
 ## Куда пишем и уровень
 
 - Пишем JSON в `stdout` одним потоком; сбор и ротацию делает окружение. Не