fix: harden runtime policy and remove legacy hysteria mutation paths

docs/09-post-install-env.md

@@ -65,6 +65,7 @@
 - `HY2XS_FIREWALL_STAGED_APPLY`
 - `HY2XS_ADMIN_USER`
 - `HY2XS_FORCE_PASSWORD_CHANGE`
+- `HY2XS_ALLOW_SELF_SIGNED_DEV`
 
 ### Hysteria
 - `HY2_SOURCE=official-upstream`
@@ -106,6 +107,7 @@
 Важно:
 - `HY2XS_ADMIN_INITIAL_PASSWORD` используется только для первичного bootstrap seed;
 - `HY2XS_ADMIN_CON_PASS` — отдельная runtime-сущность для Hysteria auth/smoke;
+- bootstrap secret хранится в явном формате `KEY=VALUE` (`ADMIN_USER`, `ADMIN_INITIAL_PASSWORD`, `ADMIN_CON_PASS`), права `0600`;
 - после первичного seed перезапуски `hy2xs-admin` не должны переопределять пароль admin и `con_pass`.
 
 ## Что нельзя делать