Подготовить HY2XS к production-сборке

docs/10-access-layer-out-of-scope.md

@@ -0,0 +1,41 @@
+# Access layer out of scope
+
+## Цель документа
+
+Явно зафиксировать, что пользовательский access/delivery слой не является частью этого baseline-пакета.
+
+## Что не надо обещать в этих доках
+
+Нельзя описывать систему так, будто install-only оркестратор также отвечает за:
+- Telegram-бота
+- выдачу ключей пользователям
+- backend профилей
+- remote profile publishing
+- deep link delivery
+- billing или управление подписками
+
+Это отдельные контуры.
+
+## Что реально делает baseline
+
+Baseline делает только следующее:
+- устанавливает Hysteria2
+- устанавливает HY2XS admin
+- создаёт runtime-конфиги
+- создаёт systemd units
+- применяет firewall baseline
+- фиксирует deploy facts в `post-install.env`
+
+## Что может существовать рядом, но отдельно
+
+Отдельно от install baseline могут существовать:
+- клиентские инструкции
+- тестовые конфиги
+- access backend
+- бот/панель/CRM/ERP-логика выдачи доступа
+
+Но это требует отдельной документации и отдельного scope.
+
+## Итоговая формулировка
+
+HY2XS baseline в этих документах — это **оркестратор установки и базовой серверной конфигурации**, а не пользовательский delivery platform.