Документация: TelegramAuth + TelegramAuthBot (вход в Lampa через Telegram)

- README: пара Community-модулей, гейт (условия активации), конфиг, отличие от Tg-notify,
  состояние у нас (выключены, accsdb нет)
- AGENT.md: правило 12 — механика, mutations_api_secret, не путать с Tg-notify

README.md

@@ -191,6 +191,40 @@ rm -rf cache/static/59   # bucket /extensions; либо rm -rf cache/static
 - `bot_token` **пуст** → long polling не работает (лог: `[TelegramBot] Установите bot_token…`); уведомления придут только после заполнения токена.
 - Трекинг озвучек зависит от балансиров: на текущий момент `GET /lite/mirage` → тело `disable`, `GET /lite/collaps` → `503` — до тех пор, пока они не будут доступны (или не включится `lampac_token` при защите), бот будет уведомлять только о выходе серий (TMDB/Trakt).
 
+## TelegramAuth + TelegramAuthBot: вход в Lampa через Telegram
+
+Пара модулей из группы **Community** — замена пароля аккаунта подтверждением в Telegram (сценарий: ТВ, где вводить пароль неудобно). Не путать с Tg-notify.bot — тот только уведомляет о сериях.
+
+- **`TelegramAuth`** — серверная часть: хранение пользователей/устройств, HTTP API `/tg/auth/*`, синхронизация UID в `accsdb`; **Telegram Auth Gate** — вместо экрана `deny.js` (модалка пароля) показывает fullscreen-оверлей с UID, кнопкой «Открыть Telegram» и QR-кодом на крупных экранах.
+- **`TelegramAuthBot`** — long-polling бот: пользователь открывает бота (`/start link_{uid}` или отправляет UID), бот сам вызывает `POST /tg/auth/bind/complete`; есть админ-команды. HTTP UI нет.
+
+Активация гейта — только при трёх условиях сразу: `accsdb.enable: true` + `LampaWeb.telegramAuthGate.enabled: true` + непустой `botUsername`. Иначе тихий откат на `deny.js`.
+
+Конфиг (по образцу `init.merge.example.json` модулей):
+
+```json
+"TelegramAuth": {
+  "enable": true,
+  "mutations_api_secret": "SECRET"
+},
+"TelegramAuthBot": {
+  "enable": true,
+  "bot_token": "ТОКЕН_ОТ_BOTFATHER",
+  "mutations_api_secret": "SECRET"
+},
+"LampaWeb": {
+  "telegramAuthGate": {
+    "enabled": true,
+    "botUsername": "имя_бота_без_@",
+    "serviceName": "lampa"
+  }
+}
+```
+
+`mutations_api_secret` должен совпадать в обоих модулях и быть ненулевым — защищает `bind/complete` и бот-админку; вместе с `bot_token` не публиковать. Оба модуля выключены в `base.conf` (`SkipModules`) и в манифестах (`enable: false`).
+
+**Состояние у нас:** выключены, `accsdb` в `init.conf` не включён → гейт неактивен, используем беззащитный доступ + root-пароль AdminPanel. Включать связку имеет смысл вместе с `accsdb` (защита сервера учётными записями).
+
 ## Обновление Lampac
 
 ```bash