fix: harden sing-box egress rollout

docs/configuration.md

@@ -40,8 +40,9 @@ fallback rule 32768.
 ### `healthcheck`
 
 По умолчанию выполняется HTTPS-запрос к Cloudflare trace и ожидается HTTP 200 с
-маркером `ip=`. Этот запрос идёт после запуска sing-box и подтверждает не только
-состояние systemd, но и рабочий data plane.
+маркером `ip=`. Этот локальный post-activation connectivity healthcheck идёт
+после запуска sing-box и проверяет состояние systemd и исходящую связность
+самого шлюза. Он не заменяет acceptance-тест forwarding с workload за `eth1`.
 
 `url: null` оставляет только проверку `systemctl is-active`. Это допустимо для
 изолированного стенда, но слабее production-проверки.
@@ -64,6 +65,9 @@ fallback rule 32768.
 1.13.19 используют разные виды certificate hash. `ech` будет добавлен только
 после доказанного преобразования формата config list.
 
+Специальные символы в auth должны быть percent-encoded: сырой `@` отклоняется,
+а `%40` декодируется в `@`.
+
 ## Bandwidth
 
 `up_mbps=50` и `down_mbps=200` являются локальной политикой и намеренно не