имя файла отправителя убрано из журнала приёма

- расширение приводится к перечню известных форматов прежде метки метрики:
  страница метрик открыта, и хвост имени уезжал на неё дословно
- проверки приёма перехватывают все три потока журнала и читают реестр метрик,
  каждая падает при снятии того, что сторожит

docs/review.md

@@ -103,6 +103,9 @@
 - `security`: не строится ли путь на диске или ключ объекта из значения,
   пришедшего снаружи, — расширение файла сегодня берётся из имени отправителя
   (чтение `service/transcribe.go`, 2026-08-10).
+- `security`: не уходит ли значение, пришедшее снаружи, меткой метрики — страница
+  метрик отдаётся без проверки отправителя, и метка это поверхность пошире
+  журнала (журнал, запись 2026-08-11 про хвост имени).
 - `architecture`: не появился ли второй путь приёма мимо
   `createTranscribeJob` — сегодня через него идут оба входа
   ([architecture.md](architecture.md), «Единые точки проекта»).
@@ -178,6 +181,26 @@ API и имя не откатываются обратной правкой по
 поймать их было некому. У восстановленных нет поля «Чем воспроизведён», и
 выдумывать его задним числом нельзя.
 
+## 2026-08-11 — хвост имени отправителя уезжал на открытую страницу метрик [пойман ревью]
+
+- **Где:** `internal/service/transcribe.go`, метки `file_extension` у размера
+  принятой записи и `source_format` у длительности конвертации
+- **Симптом:** имя `запись.тайное-слово` клало `тайное-слово` меткой метрики, а
+  `GET /metrics` отдаётся без проверки отправителя. Тем же каналом множеством значений
+  метки распоряжался анонимный отправитель
+- **Причина:** расширение берётся из имени отправителя дословно (`filepath.Ext`)
+  и употреблялось меткой без приведения. Канал старше задачи, которая его нашла
+- **Чем воспроизведён:** прогон `filepath.Ext` на именах вида
+  `запись.тайное-слово`, `Разговор с Петровым 11.08`, затем чтение реестра
+  метрик после приёма — метка несла хвост дословно
+- **Почему не поймали:** метрику никто не считал выходом приватного значения.
+  Тема `security` смотрела журнал, ответ и пути на диске; вопроса про метку в
+  перечне вопросов не было, и ни один проход её не открывал. Поймали три прохода
+  разом на задаче, которая закрывала соседний канал
+- **Что меняем:** вопрос про метку добавлен в «Вопросы по темам»; правило
+  приведения нормировано спекой `intake` и записано
+  [решением](adr/ADR-2026-08-11-known-format-label.md)
+
 ## 2026-08-11 — проверка приёма не могла упасть [пойман ревью]
 
 - **Где:** `internal/controller/http/transcribe_test.go`, случай успеха приёма