Доведены пункты fix1 14/15/16: hardening install flow Hysteria, расширен smoke, синхронизированы docs

docs/01-architecture-baseline.md

@@ -74,9 +74,10 @@ Target layer **не содержит сборщика** и **не выполня
 Установка — на сервере.  
 На сервере не должно быть логики «собери мне UI» или «собери мне TypeScript оркестратор».
 
-### 3. Оркестратор install-only
+### 3. Оркестратор install/reconfigure-only
 Оркестратор умеет только:
 - установить
+- применить явную реконфигурацию из runtime env
 - разложить файлы
 - создать базовую конфигурацию
 - подготовить сервер к работе
@@ -125,3 +126,10 @@ Telegram-бот, backend выдачи ключей, remote profile publishing, b
 6. Сервер разворачивает bundled UI из пакета.
 7. Создаются systemd unit-файлы, firewall baseline и `post-install.env`.
 8. Сервер готов как базовое рабочее окружение HY2XS.
+
+## Runtime policy
+
+- editable слой: `/etc/hy2xs/hy2xs.env` (0600)
+- snapshot слой: `/etc/hysteria/post-install.env` (0600)
+- изменения runtime применяются только через явный `reconfigure --dry-run/--apply`
+- IPv6 out of scope: все bind/listen только IPv4