docs: clean-install-only, versions.env и очистка предыдущего поколения

Новый docs/14-legacy-cleanup.md: как выглядит отказ установщика, полный
список маркеров чужой установки, что сохранить перед очисткой, работа
purge-v0.sh, ручная процедура и отдельно - случай незавершённой
установки текущего поколения, где нужен repair, а не очистка.

Обновлено под фактическое поведение:

- README и package/docs: установка описана как две фазы, PHASE 0 ничего
  не меняет; добавлен troubleshooting по отказу clean-host; версии
  toolchain больше не передаются через окружение;
- 02-build-layer: раздел про versions.env (что в нём есть и чего нет и
  почему), verify_versions_contract, проверка происхождения артефакта
  по upstream hashes.txt;
- 08-orchestrator-spec: двухфазный контракт, read-only guard,
  идентификация поколения в install-state, ownership-aware rollback,
  расширенная семантическая проверка конфига, структурная редакция;
- 04-admin-panel: таблица удалённых маршрутов и почему они удалены, а
  не оставлены заглушками; сужена формулировка гарантии санитайза;
- 11-testing: новые unit-наборы, полный список инвариантов конфига,
  раздел про одну реализацию URI вместо двух, сценарий проверки
  границы установки на живом сервере;
- 12-operations и 13-runbook: диагностика отказов по поколению,
  поведение diagnostics-бандла;
- tools/build/README: контракт версий, обе суммы Bun, hashes.txt.

CHANGELOG: раздел Unreleased с разбором каждого исправленного дефекта.

CHANGELOG.md

@@ -8,6 +8,127 @@
 
 ## [Unreleased]
 
+Hardening-проход перед релизом `1.0.0`. Основная тема — сделать политику
+«только чистая установка» настоящим системным инвариантом, а не строчкой в
+документации.
+
+### Исправлено
+
+- **Установщик мог повредить работающий сервер до того, как откажется его
+  трогать.** `install.sh` переписывал `/usr/local/lib/hy2xs`, раскладывал
+  runtime-пакет и перезаписывал `/var/lib/hy2xs/install-state.json`, и лишь
+  потом запускал clean-host preflight. При ошибочном запуске поверх старого
+  сервера rollback дополнительно выполнял `stop` и `disable` для работающих
+  `hysteria-server` и `hy2xs-admin`.
+
+  Установка разделена на две фазы с жёсткой границей: **PHASE 0 — read only**,
+  **PHASE 1 — mutation**. Read-only проверка выполняется новой командой
+  `hy2xs-orchestrator preflight-install` из распакованного архива, а граница
+  держится runtime-guard'ом, а не соглашением.
+
+- **Отсутствие `HY2XS_CONFIG_SCHEMA_VERSION` считалось текущей схемой.** До v1
+  этого поля не существовало, поэтому именно пустое значение — самый вероятный
+  признак конфигурации `0.x`. Теперь оно отклоняется как legacy с указанием на
+  чистую установку. Тест, закреплявший прежнее поведение, инвертирован.
+
+- **`reconfigure` и `repair` работали поверх любого маркера установки.**
+  Проверялся только флаг `installed`, который мог остаться и от `0.x`.
+  Маркер получил идентификацию поколения (`product`, `release_line`,
+  `config_schema_version`), и обе команды проверяют её до всего остального.
+
+- **Классификация отказа шла по тексту сообщения об ошибке.** Ошибка
+  preflight со словом `nftables` классифицировалась как отказ firewall и
+  приводила к откату чужого ruleset. Теперь классификация опирается на то, что
+  операция реально успела применить. `systemctl stop/disable` выполняется
+  только для юнитов, развёрнутых текущей операцией, а `fatal_pre_apply` по
+  определению не выполняет системный откат и не собирает diagnostics-бандл.
+
+- **Diagnostics-бандл уносил machine token наружу.** Построчное правило
+  редакции `auth:` подставляло маркер в заголовок mapping'а и оставляло
+  нетронутым вложенный `auth.http.url` с `access_token=<секрет>` — тем самым,
+  что открывает и trafficStats API, и auth-endpoint. Редакция YAML переписана
+  структурно; в env-файлах секреты теперь вырезаются и из URL-значений
+  (`HY2_AUTH_URL` не подходил ни под один маркер имени).
+
+- **`quic.maxIdleTimeout` не проверялся** семантической проверкой конфига, хотя
+  присутствовал в production-профиле. Заодно `auth.http.url` теперь сверяется
+  целиком (host/port/path/token), а не по наличию подстроки `access_token=`;
+  добавлены проверки `auth.http.insecure`, полей ACME и отсутствия посторонних
+  секций верхнего уровня.
+
+- **Версия админки разъехалась с версией пакета**: пакет `1.0.0` сообщал
+  `HY2XS admin version v0.0.22`. Константа заменена переменной, которую
+  проставляет сборка через ldflags из `versions.env`.
+
+- **Кнопки в панели, которые всегда возвращали ошибку.** «Перезапустить панель»
+  и загрузка сертификатов обращались к заглушкам. Маршруты и UI удалены.
+
+### Добавлено
+
+- **`versions.env`** — единственный источник истины для контракта
+  «продукт / платформа / toolchain»: версия продукта, линия релиза, схема
+  конфигурации, целевая платформа, версии и контрольные суммы Go/Bun/Node/pnpm,
+  политика выбора Hysteria. Прикладные зависимости и конкретная версия
+  Hysteria сюда намеренно не переносятся: у них есть собственные lock-механизмы.
+
+- **Шаг сборки `verify_versions_contract`.** Роняет сборку до создания tarball,
+  если разошлись `PACKAGE_VERSION`, `packageManager` в двух `package.json`,
+  схема в `package/config/hy2xs.env`, константы, скомпилированные в
+  оркестратор, директива `go` в `apps/go.mod`, metadata пакета или версия,
+  которую сообщает собранный `hy2xs-admin`.
+
+- **Контрольные суммы toolchain в контракте**, включая **обе** сборки Bun
+  (`bun-linux-x64` и `bun-linux-x64-baseline`): артефакт выбирается по наличию
+  AVX2, поэтому одной суммы архитектурно недостаточно. Передавать суммы через
+  окружение больше не нужно — production-сборка запускается одной командой.
+
+- **Проверка происхождения артефакта Hysteria.** Ожидаемый SHA-256 берётся из
+  upstream-ассета `hashes.txt` и сверяется со скачанным бинарником до записи в
+  HY2XS lock. Раньше сумма считалась локально от уже скачанного файла, то есть
+  была trust-on-first-use.
+
+- **Полный clean-host контракт.** Список маркеров чужой установки расширен с
+  двух до четырнадцати: состояние, runtime-пакет, конфиги, бинарник Hysteria,
+  фрагмент nftables, systemd-юниты, база админки и наследие `0.x`. Пути
+  установки и данных берутся из конфигурации, а не захардкожены.
+
+- **`tools/legacy/purge-v0.sh`** и [docs/14-legacy-cleanup.md](docs/14-legacy-cleanup.md) —
+  явная очистка сервера от предыдущего поколения. По умолчанию скрипт
+  показывает план и ничего не делает; выполнение требует
+  `--apply --yes-i-know`. Из установщика он не вызывается никогда: это вернуло
+  бы destructive migration logic в путь свежей установки.
+
+- **Явный флаг `--allow-partial-state` для `repair`.** Прежде согласие на
+  работу поверх незавершённой установки подразумевалось молча.
+
+### Изменено
+
+- **E2E подключается по ссылке из production-кода.** Внутри
+  `tools/test/e2e-hysteria.sh` жила вторая реализация `hysteria2://` URI на
+  bash: дрейф любой из двух реализаций оставлял обе группы тестов зелёными.
+  Теперь ссылку выдаёт `service.BuildHysteria2ShareURI` через
+  `apps/tools/share-uri`. Единственное расхождение — `insecure=1` для
+  самоподписанного сертификата, и оно ограничено тестами с двух сторон.
+
+- **Формулировка гарантии санитайза экспорта.** Вместо «любой будущий секрет
+  будет удалён» — «известные секреты и неизвестные поля с секретоподобным
+  именем». Список маркеров расширен (`apiKey`, `privateKey`, `authorization`,
+  `cookie`, `bearer`, `passphrase`, `signature`, …) и синхронизирован между
+  Go-админкой и оркестратором.
+
+### Удалено
+
+- Маршруты, операциями которых продукт не владеет:
+  `POST /hysteria2ChangeVersion`, `GET /listRelease`,
+  `POST /config/updateHysteria2Config`, `POST /config/importHysteria2Config`,
+  `POST /config/restartServer`, `POST /config/uploadCertFile`,
+  `GET /config/hysteria2AcmePath`. Вместе с ними — соответствующие сервисы,
+  клиентские функции фронтенда, кнопки и строки i18n.
+
+  Маршруты удалены, а не оставлены отвечающими «feature disabled»: API-контракт
+  не должен обещать updater, которого у продукта нет, а неиспользуемый маршрут
+  остаётся attack surface.
+
 ## [1.0.0] — 2026-08-27
 
 Первый релиз линейки `v1`.
@@ -119,8 +240,13 @@
 Порядок перехода:
 
 1. Выпишите с работающего сервера список пиров и их секреты.
-2. Разверните `1.0.0` на чистом Debian 13 из release-пакета.
-3. Заведите пиров заново и раздайте новые клиентские ссылки.
+2. Очистите сервер: `tools/legacy/purge-v0.sh` или ручная процедура из
+   [docs/14-legacy-cleanup.md](docs/14-legacy-cleanup.md).
+3. Разверните `1.0.0` на чистом Debian 13 из release-пакета.
+4. Заведите пиров заново и раздайте новые клиентские ссылки.
+
+Установщик `1.0.0` обнаружит остатки предыдущей установки на шаге PHASE 0,
+откажется работать и **не изменит на сервере ничего**.
 
 Клиентские ссылки `0.x` в любом случае перестанут работать: смена
 обфускации — это изменение wire-совместимости.