Реализован production-hardening по fix1: env/reconfigure, IPv4-only, TLS, secrets, firewall, docs

docs/05-client-and-access-scope.md

@@ -9,7 +9,7 @@
 В baseline этого пакета docs входит только следующее:
 - установка Hysteria2
 - установка HY2XS admin
-- базовая настройка systemd / firewall / `post-install.env`
+- базовая настройка systemd / firewall / `hy2xs.env` / `post-install.env`
 - подготовка рабочего серверного окружения
 
 ## Что не входит в baseline
@@ -31,6 +31,15 @@
 
 Но это не делает access layer частью install baseline.
 
+## Публичный endpoint
+
+В клиентской части используется только `public_host/public_port`.
+
+Инварианты:
+- `listen` и `public endpoint` разделены;
+- в клиентских URL не используется `0.0.0.0`;
+- проект остаётся IPv4-only.
+
 ## Почему это важно
 
 Если смешать install baseline и delivery layer, документация начинает неверно обещать лишнее: