feat: раздел Настройки (.env-оверрайды UI) и PWA с web-push каналом ...

Настройки: реестр app/settings_registry.py + хранение оверрайдов в
app_settings (settings_store, без кэша). Дефолт из .env, перебивается из
админки без перезапуска. Секреты (VAPID private, тг-токен, SMTP-пароль)
— write-only: записываются через UI, никогда не возвращаются API.
Эндпоинты GET/PUT /api/v1/admin/settings.

Web-push: канал push (целенаправлен как user — адресат из payload.user_id),
таблица push_subscriptions, самопользовательская подписка браузера через
/me/push* (upsert по endpoint, чужой 404). Воркер send_push: pywebpush
(DER base64url ключи), 404/410 — подписка удаляется, ретраи как у s2s.
PWA: manifest + sw.js (pass-through, push/notificationclick), иконки из
gnexus-mark.svg, /settings с личным пуш-блоком и админ-конфигами.

Миграция 0006 (ck_channel ×3 +push, app_settings, push_subscriptions).
Верификация: 47 бэкенд-проверок + mecheck/retcheck + 17 puppeteer — ALL OK.

Co-Authored-By: Claude Code <noreply@anthropic.com>

System-to-System (#28): подписанные доставки в системные webhooks ...

- app/signature.py: HMAC-подпись/проверка — зеркало WebhookSignature.php
  gnexus-auth ("t=<unix>,v1=hmac_sha256('<t>.<body>', secret)"); verify —
  константное сравнение + окно свежести 300 с (replay). Пригодится и для
  входящих вебхуков gnexus-auth (single sign-out).
- app/worker/senders.py: POST в endpoint цели s2s с заголовками
  X-Gnexus-Event-Id/Type/Timestamp/Signature + X-Synapse-Source; секрет
  per-target (token_ref → S2S_SECRET_*), в БД только ссылка; 2xx = успех.
- tasks.py: первая попытка отправки сразу на маршрутизации (не ждать
  beat-цикла), провал — общий ретрай-цикл; _attempt_send теперь одна.
- docs/05: отправка/ретраи/референс-код для принимающих сервисов;
  .env.example: S2S_SECRET_*; README: структура, опечатка.

Проверено на живом стеке с приёмником-верификатором: OK (подпись/свежесть/
заголовки/тело), и цель без секрета — честная ошибка с именем переменной.

Co-Authored-By: Claude Code <noreply@anthropic.com>