fix(admin): связать отзыв учётных данных с идентичностью сессий и свести адрес control plane к одному

Отзыв секрета не сходился: `auth_id` при смене секрета оставался прежним,
поэтому сессия, установленная по отозванным учётным данным, была неотличима от
законной, и цикл учёта не имел признака, по которому её следовало завершить. У
состояния есть путь без единой неудачи — Hysteria регистрирует соединение в
Traffic Stats API только после возврата backend-auth, поэтому успешный /kick
может пройти мимо. Новое поколение credentials получает новый auth_id, kick идёт
по старому, пережившая сессия становится orphan.

Адрес Traffic Stats API имел два контракта: оркестратор принимал любой IPv4,
админка всегда шла на loopback. Валидная по всем гейтам конфигурация выключала
лимит устройств, учёт трафика и принудительное отключение разом. Адрес
зафиксирован, а расхождение файла с ним админка называет.

Состояние службы стало трёхзначным: util.Exec выбрасывал вывод systemctl при
ненулевом коде, поэтому «остановлена» и «спросить не удалось» приходили одним
значением, а доступность Traffic Stats API выводилась из него же. Журнал
Hysteria разбирается в фактическом формате upstream (time — дробное число),
страница конфигурации показывает файл вместо дефолтов UI и не возит секреты в
браузер, санитайзер выгрузки следует по YAML-якорям.

Разбор: docs/acceptance/2026-09-02-v1.0.0-rc4-preflight-findings.md

apps/service/config.go

@@ -117,6 +117,35 @@ func GetHysteria2ApiPort() (int64, error) {
 	return apiPort, nil
 }
 
+// Адрес Traffic Stats API — ОДИН контракт на обе половины продукта.
+//
+// Что было. Отсюда доставался только порт, а хост молча отбрасывался: слой
+// proxy в любом случае собирает `http://127.0.0.1:<порт>`. Пока оркестратор
+// разрешал в `HY2XS_HYSTERIA_TRAFFIC_STATS_HOST` произвольный IPv4, это давало
+// конфигурацию, при которой Hysteria слушает один адрес, а админка стучится в
+// другой — и весь контур доступа выключался fail-closed: `/online` недоступен,
+// значит лимит устройств проверить нельзя, значит ни один пир не пускается.
+//
+// Оркестратор теперь фиксирует адрес на `127.0.0.1`, но эта функция читает
+// ФАЙЛ, а файл может разойтись с оркестратором: правка руками, восстановление
+// чужой копии, ручной эксперимент. Поэтому расхождение называется здесь, в
+// первой же точке контакта, а не проявляется отказом соединения без объяснения.
+//
+// Молча подставлять loopback вместо прочитанного хоста нельзя ровно потому, что
+// это и есть тот самый второй контракт: значение, которое админка приняла и
+// проигнорировала.
+//
+// Что принимается:
+//
+//	":36712"          -> хост не задан, Hysteria слушает loopback;
+//	"127.0.0.1:36712" -> канонический production-профиль;
+//	"127.0.0.5:36712" -> любой loopback достижим по loopback;
+//	"0.0.0.0:36712"   -> wildcard включает loopback, обмен состоится.
+//
+// Wildcard принимается именно потому, что связь между компонентами при нём
+// РАБОТАЕТ: отказывать в обслуживании из-за лишней публикации внутреннего API
+// значило бы наказывать за неё отключением всех пиров. Запрет на wildcard —
+// решение оркестратора, который конфиг создаёт (см. validateRuntimeConfig).
 func parseTrafficStatsPort(listen string) (int64, error) {
 	trimmed := strings.TrimSpace(listen)
 	if trimmed == "" {
@@ -128,10 +157,13 @@ func parseTrafficStatsPort(listen string) (int64, error) {
 		hostPort = "127.0.0.1" + trimmed
 	}
 
-	_, portStr, err := net.SplitHostPort(hostPort)
+	host, portStr, err := net.SplitHostPort(hostPort)
 	if err != nil {
 		return 0, err
 	}
+	if err := assertTrafficStatsHostReachable(host); err != nil {
+		return 0, err
+	}
 	port, err := strconv.ParseInt(portStr, 10, 64)
 	if err != nil {
 		return 0, err
@@ -141,3 +173,29 @@ func parseTrafficStatsPort(listen string) (int64, error) {
 	}
 	return port, nil
 }
+
+// assertTrafficStatsHostReachable отвечает, сможет ли админка попасть по этому
+// адресу — а не «нравится ли он профилю».
+func assertTrafficStatsHostReachable(host string) error {
+	trimmed := strings.TrimSpace(host)
+	if trimmed == "" {
+		return nil
+	}
+
+	ip := net.ParseIP(trimmed)
+	if ip == nil {
+		return fmt.Errorf(
+			"trafficStats.listen указывает хост %q: HY2XS ожидает IP-адрес loopback (127.0.0.1)",
+			trimmed,
+		)
+	}
+	if ip.IsLoopback() || ip.IsUnspecified() {
+		return nil
+	}
+	return fmt.Errorf(
+		"trafficStats.listen слушает %s, а админка обращается к Traffic Stats API только по loopback. "+
+			"Пока адреса расходятся, лимит устройств, учёт трафика и принудительное отключение не работают. "+
+			"Верните 127.0.0.1 через `hy2xs-orchestrator reconfigure`",
+		trimmed,
+	)
+}