HTTP API закрыт за вход через OIDC у Authelia

- шаг схемы закрывает поверхность, которую хранилище приносит открытой:
  собственную регистрацию, вход по паролю и одноразовый код — без этого
  закрытие приёма обходилось двумя запросами
- продление сессии выключено, срок семь суток: иначе отзыв доступа у
  провайдера до сервиса не доходит никогда
- файл записи отдаётся вошедшему по токену файла — пересмотр
  ADR-2026-08-12-file-link-open-but-not-logged

internal/config/config.go

@@ -2,7 +2,10 @@ package config
 
 import (
 	"fmt"
+	"net/url"
 	"os"
+	"sort"
+	"strings"
 
 	"github.com/BurntSushi/toml"
 )
@@ -12,6 +15,7 @@ type Config struct {
 	Storage  StorageConfig  `toml:"storage"`
 	Yandex   YandexConfig   `toml:"yandex"`
 	Telegram TelegramConfig `toml:"telegram"`
+	Auth     AuthConfig     `toml:"auth"`
 }
 
 type ServerConfig struct {
@@ -42,6 +46,69 @@ type TelegramConfig struct {
 	UpdateTimeout int    `toml:"update_timeout"`
 }
 
+// AuthConfig — вход через внешнего провайдера OIDC. Адреса, идентификатор
+// клиента и секрет приезжают сюда и приводятся к настройкам коллекции
+// пользователей при каждом подъёме: применённый шаг схемы не переписывается, и
+// секрет, положенный однажды шагом, не пережил бы ротации.
+type AuthConfig struct {
+	AuthURL      string `toml:"auth_url"`
+	TokenURL     string `toml:"token_url"`
+	UserInfoURL  string `toml:"user_info_url"`
+	ClientID     string `toml:"client_id"`
+	ClientSecret string `toml:"client_secret"`
+	// RedirectURL — адрес возврата, тот же, что записан клиенту у провайдера.
+	RedirectURL string `toml:"redirect_url"`
+	// SecureCookie — признак `Secure` у куки сессии. Умолчание «включено»;
+	// выключается только для локального запуска по `http://localhost`, где
+	// браузер такую куку не сохранит.
+	SecureCookie bool `toml:"secure_cookie"`
+}
+
+// Validate проверяет, что вход настроен целиком и что адреса — адреса. Пустое
+// или негодное поле роняет старт: с молча выключенным входом сервис поднялся бы
+// открытым наружу, а узнать об этом было бы неоткуда.
+//
+// Форма адреса проверяется здесь, а не только хранилищем, потому что хранилище
+// отвергает негодный адрес позже — из хука подъёма, до регистрации пробы
+// здоровья и метрик. Тогда владелец не получает даже кода состояния: сервис
+// молча падает целиком, вместе с ботом и воркерами.
+func (c AuthConfig) Validate() error {
+	values := map[string]string{
+		"auth_url":      c.AuthURL,
+		"token_url":     c.TokenURL,
+		"user_info_url": c.UserInfoURL,
+		"client_id":     c.ClientID,
+		"client_secret": c.ClientSecret,
+		"redirect_url":  c.RedirectURL,
+	}
+
+	missing := make([]string, 0, len(values))
+	for name, value := range values {
+		if value == "" {
+			missing = append(missing, name)
+		}
+	}
+	if len(missing) > 0 {
+		sort.Strings(missing)
+		// Названы имена ключей, а не значения: значение `client_secret` в
+		// сообщение об ошибке попасть не должно, оно уедет в журнал.
+		return fmt.Errorf("auth: не заполнены ключи: %s", strings.Join(missing, ", "))
+	}
+
+	malformed := make([]string, 0, 4)
+	for _, name := range []string{"auth_url", "token_url", "user_info_url", "redirect_url"} {
+		parsed, err := url.Parse(values[name])
+		if err != nil || parsed.Host == "" || (parsed.Scheme != "http" && parsed.Scheme != "https") {
+			malformed = append(malformed, name)
+		}
+	}
+	if len(malformed) > 0 {
+		return fmt.Errorf("auth: ключи не похожи на адрес: %s", strings.Join(malformed, ", "))
+	}
+
+	return nil
+}
+
 // DefaultConfig returns a Config with default values
 func defaultConfig() *Config {
 	return &Config{
@@ -66,6 +133,9 @@ func defaultConfig() *Config {
 			BotToken:      "",
 			UpdateTimeout: 10,
 		},
+		Auth: AuthConfig{
+			SecureCookie: true,
+		},
 	}
 }