Production hardening: host-aware install, ownership contracts, firewall safety

docs/11-testing-and-acceptance.md

@@ -25,7 +25,7 @@
 3. bundled HY2XS admin раскладывается локально из пакета
 4. создаются нужные каталоги
 5. создаются systemd unit-файлы
-6. создаются `hy2xs.env` и `post-install.env` с правами `0600`
+6. создаются `hy2xs.env` и `post-install.env` с правами `0600 root:root`
 7. baseline firewall применяется корректно через staged mode
 8. SSH остаётся доступным
 9. `reconfigure --dry-run` выводит план изменений
@@ -53,6 +53,8 @@
 18. пароль admin и `con_pass` не перезаписываются при рестарте `hy2xs-admin`
 19. остановка/рестарт UI не останавливает `hysteria-server`
 20. traffic accounting/kick ориентируются на systemd status, а не на SQLite `HYSTERIA2_ENABLE`
+21. `/etc/hysteria/config.yaml` имеет `0640 hysteria:hy2xs-admin`
+22. `hy2xs-admin` может читать `/etc/hysteria/config.yaml`, но не может писать
 
 ## D. Negative tests