docs: clean-install-only, versions.env и очистка предыдущего поколения

Новый docs/14-legacy-cleanup.md: как выглядит отказ установщика, полный
список маркеров чужой установки, что сохранить перед очисткой, работа
purge-v0.sh, ручная процедура и отдельно - случай незавершённой
установки текущего поколения, где нужен repair, а не очистка.

Обновлено под фактическое поведение:

- README и package/docs: установка описана как две фазы, PHASE 0 ничего
  не меняет; добавлен troubleshooting по отказу clean-host; версии
  toolchain больше не передаются через окружение;
- 02-build-layer: раздел про versions.env (что в нём есть и чего нет и
  почему), verify_versions_contract, проверка происхождения артефакта
  по upstream hashes.txt;
- 08-orchestrator-spec: двухфазный контракт, read-only guard,
  идентификация поколения в install-state, ownership-aware rollback,
  расширенная семантическая проверка конфига, структурная редакция;
- 04-admin-panel: таблица удалённых маршрутов и почему они удалены, а
  не оставлены заглушками; сужена формулировка гарантии санитайза;
- 11-testing: новые unit-наборы, полный список инвариантов конфига,
  раздел про одну реализацию URI вместо двух, сценарий проверки
  границы установки на живом сервере;
- 12-operations и 13-runbook: диагностика отказов по поколению,
  поведение diagnostics-бандла;
- tools/build/README: контракт версий, обе суммы Bun, hashes.txt.

CHANGELOG: раздел Unreleased с разбором каждого исправленного дефекта.

docs/13-production-runbook.md

@@ -156,5 +156,20 @@ hy2xs-orchestrator redact-config --config /etc/hysteria/config.yaml --out /root/
 Инварианты:
 - команда не выводит исходные секреты в stdout;
 - требуется выбрать ровно один режим: `--in-place` или `--out <path>`;
-- `--format auto` пытается определить формат по имени файла, при неоднозначности используйте `--format env|yaml`.
+- `--format auto` пытается определить формат по имени файла, при неоднозначности используйте `--format env|yaml`;
+- YAML редактируется структурно (документ разбирается и обходится как дерево),
+  поэтому вложенные секреты вроде `auth.http.url?access_token=…` не переживают
+  редакцию, а результат остаётся валидным YAML;
+- в env-файлах секрет вырезается и из URL-значения, даже если имя ключа
+  несекретное — например, `HY2_AUTH_URL` в `post-install.env`.
+
+Та же редакция применяется к diagnostics-бандлу
+(`hy2xs-orchestrator diagnostics collect`), который собирается автоматически при
+неудачной установке или реконфигурации. Бандл предназначен для передачи наружу,
+поэтому попадающие в него `hy2xs.env`, `post-install.env` и `config.yaml`
+редактируются перед упаковкой.
+
+При отказе **до** начала применения изменений (`fatal_pre_apply`) бандл не
+собирается: его сбор сам создал бы каталоги в `/var/log/hy2xs` на сервере,
+который мы обещали не трогать.