feat: MCP-сервер встроенным FastMCP (/mcp) + архив вместо удаления ...

MCP (docs/07-mcp.md):
- embedded FastMCP streamable-http на /mcp того же контейнера api;
  гейт — чистый ASGI McpTokenGuard по Bearer MCP_TOKEN из .env (пусто —
  /mcp выключен). Route, не Mount: Mount('/mcp') не матчит точный /mcp.
- 31 тул в app/mcp/tools.py: выдача ключей клиенту (key_issue — plaintext
  один раз), полный CRUD источников/типов/целей/правил, поток (events/
  deliveries), push-подписки, настройки, send_test_event.
- тула переиспользуют функции admin-routes напрямую (синхронные def без
  срабатывания Depends); HTTPException/ValidationError — как данные.

Архив вместо удаления (миграция 0007 b7d3e8f04a92):
- deleted_at на sources/notification_types/channel_targets/routing_rules +
  частичные live-индексы; DELETE = 204 → архив, POST .../restore → 200.
- созд поверх архива → 409 с подсказкой id; ключ архивного источника →
  401; тройка архивного типа → 422; целевые правки → 422; архивная цель в
  правиле — Delivery skipped с аудитом; история имена архива показывает.
- push-подписки — исключение: жёсткое удаление.
- fix list_settings: оверрайды DB-only ключей (push/smtp, без .env-дефолта)
  снова возвращаются в value.

Проверено: mcparch ALL OK (41), mcpcheck ALL OK (28, MCP SDK-клиент),
mecheck/retcheck ALL OK, UI-регрессия (SPA, источники+delete 204) ALL OK.

Co-Authored-By: Claude Code <noreply@anthropic.com>

Ingestion (#31): приём событий по контракту docs/05 ...

- POST /api/v1/events: Bearer-ключ -> source, анти-спуфинг (401/403/422),
  дедуп по dedup_key в окне (DEDUP_WINDOW_SECONDS, дефолт 24ч), 202 мгновенно
- POST /api/v1/events/batch: честная частичная валидация по индексам,
  202 при хоть одном принятом, dispatch строго после коммита
- GET /api/v1/events/{id}: статус + доставки, только своему источнику
- synapse.ingest: Routing Engine MVP — первое подошедшее правило по weight,
  internal_log исполняется сразу (Jinja-рендер), каналы — #29/#28
- app/cli.py: create-source/create-key/add-type/add-target/add-rule для dev

Co-Authored-By: Claude Code <noreply@anthropic.com>

Single sign-out: logout gnexus-auth отзывает токены Synapse через вебхуки ...

- logout в gnexus-auth НЕ отзывает OAuth-токены (проверено в его коде:
  isUsable = только expiry/revoked) — значит SSO-выход доедает вебхук
- store_login: выданные при callback токены лежат в Redis по user_id (TTL 30d)
- webhook auth.logout / auth.global_logout / session.revoked ->
  revoke access+refresh всех логинов пользователя на gnexus-auth + очистка
- POST /auth/logout: выход из Synapse отзывает все входы пользователя
- SPA: heartbeat adminMe каждые 45 c — 401 после logout в auth убивает
  сессию SPA автоматически; 403 ведёт на denied
- порт 8001 -> 8012 (на локальной машине занят другим проектом)

Co-Authored-By: Claude Code <noreply@anthropic.com>

SSO через gnexus-auth-client-py: OAuth-поток на сервере, без ввода токенов в UI ...

- /auth/login: state+PKCE в Redis (переживает рестарты), redirect на authorize
- /auth/callback: обмен кода, проверка system_role до выдачи токена,
  не-админу access-токен сразу revoke; токены в URL-фрагменте
- /auth/refresh и /auth/revoke; SPA: кнопка входа, /oauth/callback,
  тихий refresh по 401, логаут
- креды только из env (GAUTH_*), GAUTH_VERIFY_TLS для self-signed в LAN

Co-Authored-By: Claude Code <noreply@anthropic.com>

Каркас #33: FastAPI + Celery + Postgres в докере, Vue 3 SPA на gnexus-ui-kit ...

- FastAPI: healthz/readyz, Swagger на /api/docs, раздача SPA-статики из того же контейнера
- Гейт админки по ролям gnexus-auth (opaque-токены, userinfo, admin/superadmin, 401/403)
- Celery-воркер (redis broker) с каркасной задачей synapse.ping
- Alembic настроен на DATABASE_URL из .env, миграций пока нет (#34)
- docker-compose: api, worker, postgres, redis — одна команда, миграции при старте
- frontend: Vue 3 + Vite + gnexus-ui-kit (git-зависимость), вход-заглушка dev, дашборд, denied-экран

Co-Authored-By: Claude Code <noreply@anthropic.com>