Production hardening: host-aware install, ownership contracts, firewall safety

docs/09-post-install-env.md

@@ -39,13 +39,15 @@
 /etc/hysteria/post-install.env
 ```
 
-Оба файла должны иметь права `0600`.
+`/etc/hy2xs/hy2xs.env` и `/etc/hysteria/post-install.env` должны иметь права `0600 root:root`.
+
+`/etc/hysteria/config.yaml` должен иметь права `0640 hysteria:hy2xs-admin` (UI только читает).
 
 ## Минимальный набор переменных
 
 ### Deploy / package
 - `DEPLOY_TARGET_OS`
-- `DEPLOY_TIMESTAMP`
+- `DEPLOY_TIMESTAMP` (last apply timestamp)
 - `PACKAGE_NAME`
 - `PACKAGE_BUILD_ID`
 - `PACKAGE_VERSION`