HTTP API закрыт за вход через OIDC у Authelia

- шаг схемы закрывает поверхность, которую хранилище приносит открытой:
  собственную регистрацию, вход по паролю и одноразовый код — без этого
  закрытие приёма обходилось двумя запросами
- продление сессии выключено, срок семь суток: иначе отзыв доступа у
  провайдера до сервиса не доходит никогда
- файл записи отдаётся вошедшему по токену файла — пересмотр
  ADR-2026-08-12-file-link-open-but-not-logged

docs/database.md

@@ -96,9 +96,17 @@ capability, и третий смысл развёл бы одно слово п
   файлы, ни объекты в Object Storage не удаляются после завершения задачи:
   каталог и бакет растут неограниченно.
 - **Файл отдаётся ссылкой** `/api/files/<коллекция>/<запись>/<имя>`. Поле файла
-  не помечено защищённым: право прочитать запись даёт знание её идентификатора,
-  и файл встаёт вровень с опросом готовности задачи. Поэтому имя файла в
-  хранилище **в журнал не пишется** — оно последняя часть ссылки.
+  помечено защищённым шагом `202608120001`, а правило просмотра коллекции
+  пускает всякого вошедшего: пройти по ссылке можно только с коротким токеном
+  файла, который берут по сессии. Прежнее решение — «право прочитать запись даёт
+  знание её идентификатора» — отменено задачей `oidc-login` 2026-08-12. Имя файла
+  в хранилище **в журнал не пишется** по-прежнему: оно последняя часть ссылки.
+- **Коллекция `users`** заводится самой библиотекой, а шаг `202608120001` её
+  сужает: создание записи разрешено только контексту обмена OIDC
+  (`@request.context = "oauth2"`), вход по паролю и одноразовый код выключены.
+  Без этого сужения закрытие API обходится двумя запросами — завести себе
+  запись и войти паролем. Продление сессии закрыто слоем в приложении, а не
+  настройкой коллекции: библиотека выдаёт сессию продлеваемой всегда.
 - **Захват задачи — один запрос с `RETURNING`**, мимо записей коллекции.
   `app.DB()` направляет всё, кроме выборок, в пул с единственным соединением,
   поэтому захваты выстраиваются в очередь. Порядок выборки — по времени
@@ -134,6 +142,9 @@ capability, и третий смысл развёл бы одно слово п
 | Качество кодирования vorbis | `-q:a 4` | `adapter/converter/ffmpeg/ffmpeg.go` | — |
 | Жизнь приглашения завести владельца панели | 30 минут | умолчание PocketBase | — |
 | Потолок размера одной записи | 8 ГиБ | `entity.MaxRecordSize` | расчётный потолок в шесть часов с запасом на видео |
+| Срок жизни сессии | 7 суток | `pbrepo.SessionDuration`, ставится при подъёме | решение владельца 2026-08-12; умолчание библиотеки в 5 суток никем не выбрано |
+| Потолок времени на вход у провайдера | 10 минут | `controller/http/auth.go` | дольше носитель состояния не нужен |
+| Таймаут обмена кода у провайдера | 15 секунд | там же | молчащий провайдер иначе держит обработчик возврата открытым |
 
 **Потолок размера назван числом в двух местах сразу** — у поля файла в схеме и у
 тела запроса приёма, — и оба умолчания пришлось перекрыть: нулевой потолок поля