Секреты вынесены в config/init.custom.conf + config/secrets.env

- config/init.conf — шаблон (секреты всегда пустые), в git
- config/init.custom.conf — боевой конфиг, монтируется в /lampac/init.conf,
  собирается scripts/config-secrets.py apply из шаблона + secrets.env
- docker-compose.yaml: монтирует ./config/init.custom.conf:/lampac/init.conf
- scripts/config-secrets.py: apply/export/check/status
- scripts/install-git-hooks.sh: post-merge/post-checkout -> apply,
  pre-commit -> check --staged
- scripts/restore-lampa-main.sh: восстановление веб-клиента из архива
- .gitignore: init.custom.conf, secrets.env, lampa-main/, restore.sh zip
- lampa-main смонтирован как bind-mount ./lampa-main:/lampac/wwwroot/lampa-main,
  переживает docker compose up -d (раньше исчезал из writable-слоя)
- README: раздел «Секреты», обновлена «Структура проекта» и «Обновление»,
  «Безопасность» переписана под новую схему
- AGENT: правило 10 дополнено init.custom.conf/secrets.env/хуками,
  §11 Tg-notify ссылается на apply, §1 упоминает lampa-main bind-mount

.gitignore

@@ -1,5 +1,7 @@
 # Секреты
 config/passwd
+config/secrets.env                 # токены ботов и mutations_api_secret
+config/init.custom.conf            # боевой конфиг со secrets (собирается config-secrets.py)
 
 # Локальные данные и кеш (только корневые каталоги; якорь «/» обязателен —
 # иначе «cache/» игнорирует и mods/Music/Services/Cache/ и т.п.)
@@ -14,3 +16,12 @@ config/passwd
 
 # Серверный override (Proxmox: том DLNA -> /mnt/torrents), живёт только на сервере
 docker-compose.override.yml
+
+# Секреты (не коммитить — см. README, раздел «Секреты»)
+config/passwd
+config/secrets.env
+config/init.custom.conf
+
+# Веб-клиент Lampa (качается LampaCron с github.com, нет в образе,
+# пропадает при пересоздании контейнера; см. scripts/restore-lampa-main.sh)
+wwwroot/lampa-main/