HTTP API закрыт за вход через OIDC у Authelia

- шаг схемы закрывает поверхность, которую хранилище приносит открытой:
  собственную регистрацию, вход по паролю и одноразовый код — без этого
  закрытие приёма обходилось двумя запросами
- продление сессии выключено, срок семь суток: иначе отзыв доступа у
  провайдера до сервиса не доходит никогда
- файл записи отдаётся вошедшему по токену файла — пересмотр
  ADR-2026-08-12-file-link-open-but-not-logged

config.dist.toml

@@ -33,6 +33,32 @@ object_storage_region = "ru-central1"
 # Endpoint Object Storage
 object_storage_endpoint = "https://storage.yandexcloud.net/"
 
+# Вход через внешнего провайдера OIDC (Authelia).
+# Без заполненной секции сервис не поднимается: молча выключенный вход оставил бы
+# API открытым наружу.
+[auth]
+# Адрес, куда сервис уводит человека на вход
+auth_url = "https://auth.example.com/api/oidc/authorization"
+
+# Адрес, где код обменивается на токен
+token_url = "https://auth.example.com/api/oidc/token"
+
+# Адрес, откуда берутся сведения о вошедшем
+user_info_url = "https://auth.example.com/api/oidc/userinfo"
+
+# Идентификатор клиента, заведённого у провайдера
+client_id = "transcriber"
+
+# Секрет клиента; приходит из выкладки, в git не коммитится
+client_secret = ""
+
+# Адрес возврата; тот же, что записан клиенту у провайдера
+redirect_url = "https://transcriber.example.com/auth/callback"
+
+# Признак `Secure` у куки сессии. Умолчание true; false только для локального
+# запуска по http://localhost, где браузер такую куку не сохранит
+secure_cookie = true
+
 # Telegram Bot Configuration
 [telegram]
 # Токен Telegram бота (получить у @BotFather в Telegram)