fix(admin): связать отзыв учётных данных с идентичностью сессий и свести адрес control plane к одному

Отзыв секрета не сходился: `auth_id` при смене секрета оставался прежним,
поэтому сессия, установленная по отозванным учётным данным, была неотличима от
законной, и цикл учёта не имел признака, по которому её следовало завершить. У
состояния есть путь без единой неудачи — Hysteria регистрирует соединение в
Traffic Stats API только после возврата backend-auth, поэтому успешный /kick
может пройти мимо. Новое поколение credentials получает новый auth_id, kick идёт
по старому, пережившая сессия становится orphan.

Адрес Traffic Stats API имел два контракта: оркестратор принимал любой IPv4,
админка всегда шла на loopback. Валидная по всем гейтам конфигурация выключала
лимит устройств, учёт трафика и принудительное отключение разом. Адрес
зафиксирован, а расхождение файла с ним админка называет.

Состояние службы стало трёхзначным: util.Exec выбрасывал вывод systemctl при
ненулевом коде, поэтому «остановлена» и «спросить не удалось» приходили одним
значением, а доступность Traffic Stats API выводилась из него же. Журнал
Hysteria разбирается в фактическом формате upstream (time — дробное число),
страница конфигурации показывает файл вместо дефолтов UI и не возит секреты в
браузер, санитайзер выгрузки следует по YAML-якорям.

Разбор: docs/acceptance/2026-09-02-v1.0.0-rc4-preflight-findings.md

docs/admin/15-ui-contracts.md

@@ -209,7 +209,51 @@ ElMessageBox.confirm(...)` без разбора отказа оставляет
 
 ---
 
-## 8. Атрибуция
+## 8. Панель не выдумывает состояние
+
+**Правило.** Отсутствие данных показывается как отсутствие данных.
+
+Нарушений было три, и все три давали оператору ответ, противоположный истине.
+
+**Страница конфигурации** строила форму merge'ем ответа сервера поверх полного
+объекта значений по умолчанию, поэтому отсутствующая секция `trafficStats`
+показывалась как `listen: :9999`, а явное `speedTest: false` считалось
+ненастроенным и прятало свою вкладку. Экран, существующий ради диагностики
+дрейфа, этот дрейф скрывал. Теперь ответ отличает «не задано» (`null`) от
+значения, а секции вне production-профиля перечисляются отдельным списком
+расхождений.
+
+**Список пиров** получал `onlineUsers, _ := Hysteria2Online()` и при любом сбое
+control plane показывал всех пиров офлайн. Теперь страница несёт
+`onlineState: ok | unavailable` — один признак на ответ, а не флаг в каждой
+строке, — и при `unavailable` показывает «онлайн неизвестен», а число устройств
+как `?`.
+
+**Дашборд** выводил доступность Traffic Stats API из ответа `systemctl` и умел
+утверждать «служба остановлена» и «API доступен» одновременно. Теперь это два
+независимых факта, а у состояния службы три значения: `active`, `inactive`,
+`unknown`.
+
+**Запрещено:**
+
+* подставлять значение по умолчанию вместо отсутствующего в ответе;
+* показывать `0`, `false` или «офлайн» там, где данные не получены;
+* выводить один факт из другого, если их можно спросить по отдельности.
+
+**Секреты на читающем экране.** Read-only страница не имеет права быть щедрее
+санитизированной выгрузки того же документа. Вместо значения показывается
+диагностический факт: «задан» / «не задан» для паролей и секретов, имена
+параметров без значений для `acme.dns.config`, адрес с вырезанным
+`access_token` для auth-URL.
+
+**Редакторы без сохранения запрещены.** Конфигом владеет оркестратор, маршрутов
+записи в API нет, поэтому поля ввода на странице конфигурации обещают действие,
+которого не существует. Проверяется контрактным тестом: в шаблоне нет ни
+`el-input`, ни `el-switch`, ни `el-select`, ни `v-model`.
+
+---
+
+## 9. Атрибуция
 
 Адрес атрибуции объявлен один раз в `apps/frontend/src/constants/branding.ts` и
 принадлежит приложению. Он не является операторской настройкой: ни `hy2xs.env`,