HTTP API закрыт за вход через OIDC у Authelia

- шаг схемы закрывает поверхность, которую хранилище приносит открытой:
  собственную регистрацию, вход по паролю и одноразовый код — без этого
  закрытие приёма обходилось двумя запросами
- продление сессии выключено, срок семь суток: иначе отзыв доступа у
  провайдера до сервиса не доходит никогда
- файл записи отдаётся вошедшему по токену файла — пересмотр
  ADR-2026-08-12-file-link-open-but-not-logged

docs/architecture.md

@@ -8,8 +8,8 @@
 [passport.md](passport.md) и в [tasks/ROADMAP.md](../tasks/ROADMAP.md); что из
 этого ещё не решено — в разделе «Открытые вопросы».
 
-Заведены четыре capability. Три первые нормируют **поведение сервиса** для его
-потребителей; четвёртая — исключение из первого абзаца: она нормирует не сервис, а
+Заведены пять capability. Четыре первые нормируют **поведение сервиса** для его
+потребителей; пятая — исключение из первого абзаца: она нормирует не сервис, а
 инструмент, которым его собирают, и потребитель у неё другой — тот, кто собирает.
 
 - [intake](../openspec/specs/intake/spec.md) — **только приём по HTTP**: его
@@ -23,6 +23,11 @@
 - [storage](../openspec/specs/storage/spec.md) — где живут запись, её метаданные
   и её файл, как файл отдаётся и что видит владелец: задача `pocketbase-storage`
   2026-08-12;
+- [access](../openspec/specs/access/spec.md) — кто пришёл в сервис и пускают ли
+  его дальше: вход через внешнего провайдера OIDC, чем предъявляется сессия, что
+  её прекращает и какие адреса остаются открытыми. Задача `oidc-login`
+  2026-08-12. Разграничения записей по владельцу здесь нет: всякий вошедший
+  видит всё, что видел прежде аноним;
 - [toolchain](../openspec/specs/toolchain/spec.md) — каким инструментом и какой
   его версии собирается сервис: одно число версии Go во всех местах, где она
   названа, и шаг гейта, который это сверяет. Задача `go-1-26-upgrade`