fix(fix4): enforce runtime contract and orchestrator guardrails

docs/09-post-install-env.md

@@ -63,6 +63,8 @@
 - `SSH_PORT`
 - `HY2XS_FIREWALL_ENABLED`
 - `HY2XS_FIREWALL_STAGED_APPLY`
+- `HY2XS_ADMIN_USER`
+- `HY2XS_FORCE_PASSWORD_CHANGE`
 
 ### Hysteria
 - `HY2_SOURCE=official-upstream`
@@ -101,6 +103,11 @@
 3. оператор запускает `reconfigure --dry-run`, затем `reconfigure --apply`;
 4. оркестратор обновляет runtime и перезаписывает snapshot.
 
+Важно:
+- `HY2XS_ADMIN_INITIAL_PASSWORD` используется только для первичного bootstrap seed;
+- `HY2XS_ADMIN_CON_PASS` — отдельная runtime-сущность для Hysteria auth/smoke;
+- после первичного seed перезапуски `hy2xs-admin` не должны переопределять пароль admin и `con_pass`.
+
 ## Что нельзя делать
 
 - сваливать туда временный мусор