fix(admin): связать отзыв учётных данных с идентичностью сессий и свести адрес control plane к одному

Отзыв секрета не сходился: `auth_id` при смене секрета оставался прежним,
поэтому сессия, установленная по отозванным учётным данным, была неотличима от
законной, и цикл учёта не имел признака, по которому её следовало завершить. У
состояния есть путь без единой неудачи — Hysteria регистрирует соединение в
Traffic Stats API только после возврата backend-auth, поэтому успешный /kick
может пройти мимо. Новое поколение credentials получает новый auth_id, kick идёт
по старому, пережившая сессия становится orphan.

Адрес Traffic Stats API имел два контракта: оркестратор принимал любой IPv4,
админка всегда шла на loopback. Валидная по всем гейтам конфигурация выключала
лимит устройств, учёт трафика и принудительное отключение разом. Адрес
зафиксирован, а расхождение файла с ним админка называет.

Состояние службы стало трёхзначным: util.Exec выбрасывал вывод systemctl при
ненулевом коде, поэтому «остановлена» и «спросить не удалось» приходили одним
значением, а доступность Traffic Stats API выводилась из него же. Журнал
Hysteria разбирается в фактическом формате upstream (time — дробное число),
страница конфигурации показывает файл вместо дефолтов UI и не возит секреты в
браузер, санитайзер выгрузки следует по YAML-якорям.

Разбор: docs/acceptance/2026-09-02-v1.0.0-rc4-preflight-findings.md

apps/service/hysteria2_api.go

@@ -165,20 +165,36 @@ func Hysteria2Auth(conPass string) (int64, string, error) {
 
 // Hysteria2Online — картина подключений ДЛЯ ОТОБРАЖЕНИЯ.
 //
-// Терпима к недоступности Hysteria намеренно: дашборду и списку пиров нечего
-// показать, если Traffic Stats API молчит, и пустая картина — честный ответ на
-// вопрос «кто сейчас на связи», когда служба остановлена.
+// Отличается от hysteria2Online ровно ничем, и это результат исправления, а не
+// упущение. Раньше здесь стоял ярлык
 //
-// Этой терпимости НЕТ в решениях о доступе. Ярлык `!hysteria2IsRunning() ->
-// пусто, ошибки нет` раньше стоял на общем пути, и через него ограничение
-// устройств обходилось молча: systemctl отвечает через util.Exec, который не
-// отличает «служба неактивна» от «спросить не удалось», а «никого нет онлайн»
-// для проверки лимита означает «пускать всех». Отказа при этом не возникало
-// вовсе — не было даже записи в журнале.
+//	if !hysteria2IsRunning() {
+//	    return map[string]int64{}, nil
+//	}
+//
+// то есть «пусто, ошибки нет» по мнению systemd. У него было два следствия, и
+// оба вредные.
+//
+// Первое — на пути доступа: ответ systemctl не отличает «служба неактивна» от
+// «спросить не удалось», а пустая картина при проверке лимита устройств
+// означает «пускать всех». Эта половина закрыта раньше — авторизация ходит
+// строгим путём.
+//
+// Второе осталось и живёт в диагностике. Пустая карта БЕЗ ошибки неотличима от
+// «никто не подключён», поэтому сборщик метрик выставлял `ApiReachable = true`
+// и `OnlineDevices = 0`, ни разу не обратившись к Traffic Stats API, а список
+// пиров показывал всех офлайн. Дашборд утверждал одновременно «служба
+// остановлена» и «API доступен, онлайн 0» — два несовместимых факта об одной
+// системе, полученные из одного и того же ответа systemctl.
+//
+// Поэтому ярлыка нет: «кто сейчас на связи» спрашивается у того, кто это
+// знает. Недоступность остаётся ОШИБКОЙ, а решать, как её показать оператору,
+// обязан вызывающий — см. CollectMetricsSnapshot и PagePeer, где она
+// превращается в явное «состояние неизвестно», а не в «все офлайн».
+//
+// Функция сохранена отдельно от hysteria2Online как имя для внешнего слоя:
+// внутри пакета строгий путь остаётся строчным.
 func Hysteria2Online() (map[string]int64, error) {
-	if !hysteria2IsRunning() {
-		return map[string]int64{}, nil
-	}
 	return hysteria2Online()
 }
 
@@ -330,7 +346,7 @@ func Hysteria2Url(accountId int64) (string, error) {
 // несколькими пирами это ровно то различие, которое пользователю и нужно
 // видеть, и оно не требует ни одной дополнительной настройки. Fallback на
 // публичный хост нужен для пира без имени — база это допускает (name имеет
-// DEFAULT ''), а ссылка без имени профиля хуже, чем ссылка с именем сервера.
+// DEFAULT ”), а ссылка без имени профиля хуже, чем ссылка с именем сервера.
 func shareRemark(peerName *string, hostname string) string {
 	if peerName != nil {
 		if name := strings.TrimSpace(*peerName); name != "" {