fix(rc5): harden frontend runtime and diagnostics

docs/operations/13-production-runbook.md

@@ -346,6 +346,8 @@ hy2xs-orchestrator redact-config --config /etc/hysteria/config.yaml --out /root/
   редакцию, а результат остаётся валидным YAML;
 - в env-файлах секрет вырезается и из URL-значения, даже если имя ключа
   несекретное — например, `HY2_AUTH_URL` в `post-install.env`.
+- `HY2XS_FORCE_PASSWORD_CHANGE=true|false` сохраняется как диагностический
+  boolean; это точное исключение, остальные ключи с `PASSWORD` редактируются.
 
 Та же редакция применяется к diagnostics-бандлу
 (`hy2xs-orchestrator diagnostics collect`), который собирается автоматически при