s2s: HMAC-подпись доставок (схема gnexus-auth) + description у источников/целей ...

- docs/05: раздел «Доставка s2s» — подпись t=<unix>,v1=hmac_sha256(secret,
  "<t>.<body>") с константным сравнением и окном свежести, заголовки как у
  gnexus-auth (X-Gnexus-Event-*) плюс X-Synapse-Source; секрет per-target,
  в БД только token_ref; тело доставки несёт source_description.
- model/миграция: description (Text) у sources и channel_targets — кто это,
  для ИИ-агента и человека, не гадать по названию.
- CLI: --description у create-source и add-target.

Co-Authored-By: Claude Code <noreply@anthropic.com>

Схема БД v1 (#34): 7 таблиц + миграция в alembic ...

Конфигурация: sources, api_keys (sha256-хэши, ротация), notification_types
(уникальная тройка source/subject/action), channel_targets (креды каналов —
не здесь, в .env), routing_rules (+actions, условия JSONB, weight).
Поток: events (UUID, dedup-индекс, expires_at, CHECK-статусы), deliveries
(attempts/next_retry_at, rendered_message — аудит).

- alembic upgrade head из пустой базы — проверено в контейнере
- ORM roundtrip всей цепочки — проверен, демо-данные вычищены
- docs/04-database.md: схема, решения, что сознательно не в таблицах

Co-Authored-By: Claude Code <noreply@anthropic.com>

docs/05: контракт Ingestion API v1 — принят ...

- инвариант: источник не знает получателей/каналов; routing целиком в правилах
- source — явное поле, ключ — удостоверение; правила матчают имя, не токен
- subject/action отдельными полями; priority — шкала; payload валидируется мягко
- dedup_key/ttl_seconds в v1, scheduled_at — резерв; tags убраны; topics/recipients
  в клиентском контракте не существуют

Co-Authored-By: Claude Code <noreply@anthropic.com>