config: включение Telegram разведено с ключом доступа

- в секции [telegram] заведён обязательный ключ enabled: умолчания у него нет,
  файл без него негоден; bot_token стал только ключом доступа и при
  enabled = false не читается вовсе, а пустой при enabled = true роняет старт
- выключенный вход даёт подъём одним входом без единого обращения к Telegram и
  записью INFO вместо прежнего WARN: это выбор владельца, а не отклонение
- отказ разбора файла настроек больше не пересказывает toml — её ParseError
  несёт в тексте разбираемое значение, и оборванная строка секретного ключа
  уносила его в журнал; теперь называются путь, строка, столбец и последний ключ

docs/architecture.md

@@ -17,7 +17,7 @@
 - [intake](../openspec/specs/intake/spec.md) — **приём по HTTP плюс наличие
   входов**: приём и опрос за сессией, имя отправителя не доходит ни до
   хранилища, ни до журнала, метка метрики несёт только известное расширение, а
-  незаданный вход Telegram не мешает подъёму. Задачи
+  выключенный вход Telegram не мешает подъёму. Задачи
   `http-handler-tests-never-green` и `no-user-filename-in-log` 2026-08-11,
   `pocketbase-storage` и `oidc-login` 2026-08-12,
   `local-run-without-telegram-token` 2026-08-13. Приём из Telegram по существу —
@@ -114,12 +114,26 @@
 - **Где работает, что рядом, кто перезапускает:** один контейнер на личном
   сервере, разворачивает и перезапускает Ansible из `pet-project-server`. Рядом —
   обратный прокси, который публикует HTTP-порт наружу.
-- **Пустой токен бота нельзя разворачивать раньше образа, который его понимает.**
-  Пустое значение стало объявленным режимом 2026-08-13; версии до неё роняли на
-  нём старт с кодом 1 **до** открытия порта. Значит, откат образа при уже
-  применённом пустом токене останавливает не бот, а весь сервис — вместе с HTTP
-  и панелью. Порядок: сперва образ, потом конфиг; при откате — наоборот.
-  Воспроизведено ревью кода на прежней версии.
+- **Порядок выкладки задаётся по ключу, а не по файлу целиком.** Общего правила
+  «сперва образ» или «сперва конфиг» нет: два ключа секции Telegram требуют
+  противоположного, и оба правила действуют одновременно.
+  - **Признак включения `telegram.enabled` едет в конфиг раньше образа.** Он
+    обязателен с 2026-08-13, умолчания у него нет, и образ, который его ждёт,
+    без него выходит с кодом 1 **до** открытия порта — вместе с HTTP, панелью и
+    конвейером. Прежний образ лишний ключ TOML просто не читает, поэтому ранняя
+    правка конфига безопасна, а поздняя роняет сервис.
+  - **Пустой ключ доступа `telegram.bot_token` едет позже образа.** Образы
+    старше 2026-08-13 роняли старт на пустом ключе, тоже до открытия порта.
+  - **Откат при выключенном входе** допустим только на образ от 2026-08-13 и
+    новее. На более старом состояния «сервис поднят, бот опущен» не существует
+    вовсе: пустой ключ роняет старт, негодный роняет старт, годный поднимает
+    бота. Откат туда делают с непустым годным ключом, приняв, что бот поднимется.
+  - **Откат образа при `enabled = false` и заполненном ключе** отменяет решение
+    владельца молча: прежний образ признака не видит и поднимает бота. Если вход
+    был выключен потому, что бот с этим токеном поднят где-то ещё, два процесса
+    поделят один длинный опрос и часть ответов до людей не дойдёт.
+
+  Ревью кода воспроизвело порядок на прежней версии, живой прогон — на нынешней.
 - **Внешние зависимости поимённо и чем каждая отказывает.** Столбец «отвечает
   медленно» читается вместе с тем, что таймаута нет ни у одного обращения
   наружу — [database.md](database.md), «Настройки с числовым значением»:
@@ -128,7 +142,7 @@
 
   | Зависимость | Падает | Отвечает медленно | Молчит | Отдаёт мусор |
   | --- | --- | --- | --- | --- |
-  | Telegram Bot API | Сервис поднимается без Telegram и работает по HTTP; старт роняет только ответ «такого бота нет». Норму держит [intake](../openspec/specs/intake/spec.md), «Недоступный или незаданный вход Telegram не мешает подъёму» | На старте — ждём не дольше срока, дальше поднимаемся без Telegram. У поднятого сервиса скачивание файла висит бесконечно: там срока нет | То же, что «отвечает медленно»: на старте — подъём без Telegram по истечении срока, у поднятого — длинный опрос пуст и новые задачи не заводятся | Файл скачался битым, отказ вылезет на конвертации |
+  | Telegram Bot API | Сервис поднимается без Telegram и работает по HTTP; старт роняют только ошибки настройки — ответ «такого бота нет» и включённый вход с пустым ключом доступа. Норму держит [intake](../openspec/specs/intake/spec.md), «Признак включения решает, поднимается ли вход Telegram» | На старте — ждём не дольше срока, дальше поднимаемся без Telegram. У поднятого сервиса скачивание файла висит бесконечно: там срока нет | То же, что «отвечает медленно»: на старте — подъём без Telegram по истечении срока, у поднятого — длинный опрос пуст и новые задачи не заводятся | Файл скачался битым, отказ вылезет на конвертации |
   | Yandex SpeechKit | Шаг возвращает ошибку, задача остаётся на повтор | Захват держится час, задача не двигается | Операция вечно `in progress`, повтор каждые 5 секунд | Пустой текст — задача завершается заглушкой «на записи нет текста» |
   | ↳ *остановка сервиса* | Принятие операции от отмены защищено своим пределом в 10 секунд: операцию там могли принять и начать считать деньги, а потерянный идентификатор заставил бы повтор оплатить ту же запись второй раз. Заливка в Object Storage отменяется штатно — её повтор бесплатен, объект ложится под тем же ключом | — | — | — |
   | Yandex Object Storage | Заливка падает, задача остаётся в `converted` | То же, что падение: висит до конца захвата | — | SpeechKit не прочитает объект и вернёт отказ операции |