fix(fix3): runtime env hardening and public endpoint source-of-truth

docs/11-testing-and-acceptance.md

@@ -47,6 +47,8 @@
 12. bootstrap admin secret существует и имеет `0600`
 13. `trafficStats` API: корректный secret принимает запрос, неверный secret отклоняется
 14. TLS mode в `config.yaml` соответствует runtime env (`acme|file|self_signed_dev`)
+15. при `HY2XS_TLS_MODE=acme` в `config.yaml` выставлен `acme.type` из `HY2XS_ACME_TYPE`
+16. subscribe/node URL в API/QR формируются по `HY2XS_PUBLIC_HOST` + `HY2XS_PUBLIC_PORT`
 15. `nft -c -f /etc/nftables.conf` проходит после apply
 
 ## D. Negative tests
@@ -76,3 +78,4 @@
 8. Telegram/access layer не требуется для прохождения install acceptance
 9. отсутствует production path для port hopping
 10. UI не запускается от root
+11. клиентские endpoint не зависят от request `Host`/`hostname`