Полный продовый фикс fix22: DNS preflight, inet firewall, idempotent bootstrap, auth-semantics и redact-config

docs/13-production-runbook.md

@@ -91,3 +91,18 @@ hy2xs-orchestrator doctor --package-dir /usr/local/lib/hy2xs/package --config /e
 
 Команда выполняет preflight + smoke как post-install/post-reboot validation.
 
+## 13. Secret-safe config sharing
+
+Для передачи конфигов в тикеты/чаты используйте встроенную redaction-команду:
+
+```bash
+hy2xs-orchestrator redact-config --config /etc/hy2xs/hy2xs.env --out /root/hy2xs.redacted.env
+hy2xs-orchestrator redact-config --config /etc/hysteria/post-install.env --out /root/post-install.redacted.env
+hy2xs-orchestrator redact-config --config /etc/hysteria/config.yaml --out /root/hysteria-config.redacted.yaml --format yaml
+```
+
+Инварианты:
+- команда не выводит исходные секреты в stdout;
+- требуется выбрать ровно один режим: `--in-place` или `--out <path>`;
+- `--format auto` пытается определить формат по имени файла, при неоднозначности используйте `--format env|yaml`.
+