fix(admin): связать отзыв учётных данных с идентичностью сессий и свести адрес control plane к одному

Отзыв секрета не сходился: `auth_id` при смене секрета оставался прежним,
поэтому сессия, установленная по отозванным учётным данным, была неотличима от
законной, и цикл учёта не имел признака, по которому её следовало завершить. У
состояния есть путь без единой неудачи — Hysteria регистрирует соединение в
Traffic Stats API только после возврата backend-auth, поэтому успешный /kick
может пройти мимо. Новое поколение credentials получает новый auth_id, kick идёт
по старому, пережившая сессия становится orphan.

Адрес Traffic Stats API имел два контракта: оркестратор принимал любой IPv4,
админка всегда шла на loopback. Валидная по всем гейтам конфигурация выключала
лимит устройств, учёт трафика и принудительное отключение разом. Адрес
зафиксирован, а расхождение файла с ним админка называет.

Состояние службы стало трёхзначным: util.Exec выбрасывал вывод systemctl при
ненулевом коде, поэтому «остановлена» и «спросить не удалось» приходили одним
значением, а доступность Traffic Stats API выводилась из него же. Журнал
Hysteria разбирается в фактическом формате upstream (time — дробное число),
страница конфигурации показывает файл вместо дефолтов UI и не возит секреты в
браузер, санитайзер выгрузки следует по YAML-якорям.

Разбор: docs/acceptance/2026-09-02-v1.0.0-rc4-preflight-findings.md

docs/runtime/07-systemd-and-firewall.md

@@ -44,6 +44,20 @@
 - `ReadWritePaths=/var/lib/hysteria`
 - `CapabilityBoundingSet=CAP_NET_BIND_SERVICE`
 
+Окружение `hysteria-server.service` фиксировано тремя переменными:
+
+| переменная | значение | зачем |
+| --- | --- | --- |
+| `HYSTERIA_LOG_LEVEL` | `info` | уровень журнала |
+| `HYSTERIA_LOG_FORMAT` | `json` | структурный журнал; админка разбирает именно его формат — `time` числом epoch millis |
+| `HYSTERIA_DISABLE_UPDATE_CHECK` | `1` | версией Hysteria владеет `versions.env` -> сборка -> пакет -> оркестратор |
+
+Проверка обновлений выключена не из соображений безопасности — Hysteria сама
+бинарник не заменяет, — а потому что у версии обязан быть один владелец. Иначе
+служба ходит наружу при каждом старте и печатает в журнал советы, которые к этой
+установке не относятся. В тестовом окружении продукта она и так отключена, и
+production не имеет права отличаться.
+
 Важно:
 - HY2XS admin не должен запускаться как часть unit Hysteria
 - unit-файлы не должны быть склеены