docs: рантбук развёртывания для ИИ-агента (docs/08) + VAPID-ссылки ...

- docs/08: шаги деплоя (предполёт → .env+секреты → compose → nginx →
  SSO smoke → VAPID → MCP приёмка → после деплоя), таблица переменных,
  ловушки, откат. Открытые вопросы (хост/домен/тг-бот) — подтверждать
  у владельца, не выбирать молча.
- docs/07: у settings_put — явная ссылка на рецепт VAPID в docs/06
  (чтобы агент-деплоер его нашёл).
- docs/06: пара VAPID копируется в gnexus-creds; prod-путь — docs/08.
- README: список доков дополнен 06–08.

Co-Authored-By: Claude Code <noreply@anthropic.com>

feat: раздел Настройки (.env-оверрайды UI) и PWA с web-push каналом ...

Настройки: реестр app/settings_registry.py + хранение оверрайдов в
app_settings (settings_store, без кэша). Дефолт из .env, перебивается из
админки без перезапуска. Секреты (VAPID private, тг-токен, SMTP-пароль)
— write-only: записываются через UI, никогда не возвращаются API.
Эндпоинты GET/PUT /api/v1/admin/settings.

Web-push: канал push (целенаправлен как user — адресат из payload.user_id),
таблица push_subscriptions, самопользовательская подписка браузера через
/me/push* (upsert по endpoint, чужой 404). Воркер send_push: pywebpush
(DER base64url ключи), 404/410 — подписка удаляется, ретраи как у s2s.
PWA: manifest + sw.js (pass-through, push/notificationclick), иконки из
gnexus-mark.svg, /settings с личным пуш-блоком и админ-конфигами.

Миграция 0006 (ck_channel ×3 +push, app_settings, push_subscriptions).
Верификация: 47 бэкенд-проверок + mecheck/retcheck + 17 puppeteer — ALL OK.

Co-Authored-By: Claude Code <noreply@anthropic.com>