HTTP API закрыт за вход через OIDC у Authelia

- шаг схемы закрывает поверхность, которую хранилище приносит открытой:
  собственную регистрацию, вход по паролю и одноразовый код — без этого
  закрытие приёма обходилось двумя запросами
- продление сессии выключено, срок семь суток: иначе отзыв доступа у
  провайдера до сервиса не доходит никогда
- файл записи отдаётся вошедшему по токену файла — пересмотр
  ADR-2026-08-12-file-link-open-but-not-logged

docs/conventions/config.md

@@ -60,6 +60,11 @@ users_while_list       = ["<@name>"]  # кому отвечает бот; стр
 *Расхождение:* секции `[server]` в `config.dist.toml` не хватает поля
 `users_while_list`, из-за чего бот на свежем конфиге отвечает отказом всем.
 
+*Расхождение:* адреса провайдера в секции `[auth]` образца заполнены примерами
+вида `https://auth.example.com/...`, а не оставлены пустыми: пустой адрес не
+говорит, какой формы значение здесь ждут. Пустым оставлен только
+`client_secret` — он и есть секрет.
+
 ## Поля по дискриминатору `type`
 
 Когда набор полей секции зависит от поля-дискриминатора `type` (выбор одного из
@@ -87,7 +92,7 @@ Ansible из `pet-project-server`). Приложение просто читае
 
 - Секретные поля transcriber: `telegram.bot_token`, `yandex.speech_kit_api_key`,
   `yandex.object_storage_access_key_id`,
-  `yandex.object_storage_secret_access_key`.
+  `yandex.object_storage_secret_access_key`, `auth.client_secret`.
 - Отрендеренный `config.toml` (с секретами) **не коммитится**; права `0600`,
   владелец — пользователь процесса (`1000:1000`).
 - В `config.dist.toml` секретные поля — пустые строки.
@@ -115,6 +120,13 @@ TOML. Пустой токен бота ловится в `NewTelegramController`
 конструкторе распознавателя, и вот там процесс уже выходит с кодом 1. Единого
 места проверки нет.
 
+Секция `[auth]` — первая, у которой проверка своя и стоит на старте:
+`AuthConfig.Validate()` зовётся из `main.go` сразу после загрузки и роняет
+процесс с перечнем незаполненных ключей. Причина в цене умолчания: поднявшись с
+молча выключенным входом, сервис остался бы открытым наружу, а узнать об этом
+было бы неоткуда. Сообщение называет **имена ключей**, а не значения — значение
+`client_secret` в журнал попасть не должно.
+
 ## Структура в коде
 
 - Весь разбор и проверка — в `internal/config`; наружу отдаётся готовая `Config`.