Документация: этапы по фазам, решения D-026…D-033

- Новый порядок этапов (D-026): фаза 1 — концепт на dev без внешних
  сервисов (1b сайт, 1c вход, 1d ключи, 1e счёт и демо-оплата,
  1f демо-выдача, 1g продления, 1h рефералы); фаза 2 — Telegram;
  фаза 3 — ALTCHA, ЮKassa, почта, Twenty, Chatwoot, Umami, выдача
  через API и публичный запуск; фаза 4 — звёзды и эквайринги.
- Решения: демо-оплата по списку IP (D-027), выдача ключей через
  адаптер manual/demo/api (D-028), страницы сайта из блоков Payload
  (D-029), пересборка через revalidatePath (D-030), RU-адрес у mass
  (D-031), счётчик свободных серверов (D-032), переводы на 5 языков
  в каждом этапе (D-033).
- Тексты описывают работающий продукт; Вейликс — выделенный IP на
  общем сервере; Telegram поддержки — @veilix_support; сроки ответа
  не обещаем; VPN-серверы не ведут журналов.
- Ссылки на этапы во всех документах, Q-12 решён (ЮKassa для RUB),
  R-19 (библиотеки для headless Chromium) сделано.

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

docs/10-security.md

@@ -23,7 +23,7 @@
 ## 4. Пользователи
 
 1. Коды входа хранятся только как HMAC, проверяются за постоянное время, 5 попыток, 10 минут жизни.
-2. ALTCHA и лимиты по IP и email на запрос кода.
+2. Лимиты по IP и email на запрос кода; ALTCHA — с этапа 3a.
 3. Ответ на запрос кода не выдаёт, есть ли аккаунт.
 4. Токены сессий в базе — только SHA-256. Cookie — `HttpOnly`, `Secure`, `SameSite=Lax`, привязаны к хосту.
 5. CSRF: `SameSite=Lax`, проверка Origin в server actions и своих POST-эндпоинтах.
@@ -42,7 +42,8 @@
 2. IP пользователей в базе не храним в открытом виде — только HMAC для сравнения (самоприглашения, лимиты). Логи nginx — ротация 14 дней.
 3. В списке приглашённых почта замаскирована: `m···@gmail.com`.
 4. Аналитика — Umami без cookies, данные не уходят третьим лицам.
-5. Что и зачем храним — в политике конфиденциальности (этап 1b).
+5. VPN-серверы не ведут журналов трафика и подключений: так сказано в политике конфиденциальности, и выдача через API (этап 3g) это соблюдает.
+6. Что и зачем храним — в политике конфиденциальности (этап 1b).
 
 ## 7. Окружения