fix(admin): связать отзыв учётных данных с идентичностью сессий и свести адрес control plane к одному

Отзыв секрета не сходился: `auth_id` при смене секрета оставался прежним,
поэтому сессия, установленная по отозванным учётным данным, была неотличима от
законной, и цикл учёта не имел признака, по которому её следовало завершить. У
состояния есть путь без единой неудачи — Hysteria регистрирует соединение в
Traffic Stats API только после возврата backend-auth, поэтому успешный /kick
может пройти мимо. Новое поколение credentials получает новый auth_id, kick идёт
по старому, пережившая сессия становится orphan.

Адрес Traffic Stats API имел два контракта: оркестратор принимал любой IPv4,
админка всегда шла на loopback. Валидная по всем гейтам конфигурация выключала
лимит устройств, учёт трафика и принудительное отключение разом. Адрес
зафиксирован, а расхождение файла с ним админка называет.

Состояние службы стало трёхзначным: util.Exec выбрасывал вывод systemctl при
ненулевом коде, поэтому «остановлена» и «спросить не удалось» приходили одним
значением, а доступность Traffic Stats API выводилась из него же. Журнал
Hysteria разбирается в фактическом формате upstream (time — дробное число),
страница конфигурации показывает файл вместо дефолтов UI и не возит секреты в
браузер, санитайзер выгрузки следует по YAML-якорям.

Разбор: docs/acceptance/2026-09-02-v1.0.0-rc4-preflight-findings.md

apps/service/metrics_collector.go

@@ -104,7 +104,16 @@ func CollectMetricsSnapshot() {
 		s.System.DiskTotalBytes = diskInfo.Total
 	}
 
-	s.Hysteria.Running = Hysteria2IsRunning()
+	// Два независимых источника, два независимых вопроса.
+	//
+	// Раньше второй выводился из первого: общий Hysteria2Online отдавал пустую
+	// карту БЕЗ ошибки, когда systemctl говорил «служба неактивна», и сюда
+	// приходило `err == nil` — то есть `ApiReachable = true` выставлялся, ни
+	// разу не сходив в Traffic Stats API. Дашборд утверждал «Hysteria
+	// остановлена» и «API доступен, онлайн 0» одновременно.
+	serviceState := Hysteria2ServiceState()
+	s.Hysteria.ServiceState = string(serviceState)
+	s.Hysteria.Running = serviceState == HysteriaServiceActive
 	s.Hysteria.Version = getCachedHysteriaVersion(time.Now())
 
 	if onlineMap, err := Hysteria2Online(); err == nil {