fix: release QA hardening across processing, media, security, and CI gates (#649)

A release-readiness QA pass over the whole product. The commits split into
defects a user would hit and gates that were reporting green while measuring
nothing.

## Fixes that change behaviour

Rate limiting was bypassable on every install: TRUST_PROXY defaulted to true, so
request.ip came from a client-set header and a forged X-Forwarded-For got past
the login limiter. The default is now a private-network trust list.

A transient Postgres outage stranded in-flight jobs, leaving finished output on
disk with no row pointing at it. A reconciler now resolves those rows and adopts
the bytes rather than dropping the work.

A Redis connection that moved to a new address wedged every read-blocked
consumer, so completions stopped signalling while health still answered 200.
Socket timeouts plus subscriber pings recover it.

Installing more than one AI bundle left the shared venv multi-versioned and
silently broke three tools. The installer now reconciles distributions to one
version each.

Converting an image to JXL at quality 1 through 4 returned a 500, because
libjxl 0.7 rejects the distance those values compute. The quality is floored at
what the encoder honours. A missing ffmpeg was also reported to the user as a
corrupt upload; it now says the engine is unavailable.

RAW uploads reached an unpatched LibRaw on arm64, so it is built from source at
0.22.2, and the release scan was split so it can fail on an unfixed critical
instead of hiding it behind ignore-unfixed.

## Gates that could not fail

Two mutation lanes ran zero mutants because Stryker crawled the gitignored docs
build; coverage discarded its whole report on any failing test; the lint gate
skipped root tests, scripts, and two workspaces; and several generated matrices
counted a host missing ffmpeg as a passing tool. Each now measures what it
claims.

Full evidence and the outstanding release items are tracked locally and are not
part of this branch.

apps/docs/ru/guide/getting-started.md

@@ -1,8 +1,9 @@
 ---
 description: "Установите SnapOtter с помощью Docker одной командой. Включает настройку Docker Compose, сборку из исходников и полный обзор функций."
-i18n_output_hash: 92434430b233
-i18n_source_hash: 68bf7f60b68d
-i18n_provenance: human
+i18n_source_hash: 8040133a6982
+i18n_provenance: machine
+i18n_output_hash: 5c6651b86c55
+i18n_hash_version: 2
 ---
 
 # Начало работы {#getting-started}
@@ -17,7 +18,7 @@ i18n_provenance: human
 docker run -d --name SnapOtter -p 1349:1349 -v SnapOtter-data:/data snapotter/snapotter:latest
 ```
 
-Этот единственный контейнер запускает всё необходимое: без установленной `DATABASE_URL` он запускает собственные PostgreSQL и Redis на loopback-интерфейсе (встроенный режим) и хранит все данные в томе `SnapOtter-data`. Это самый быстрый способ попробовать SnapOtter или развернуть на своём homelab. Для продакшена запустите стек [Docker Compose](#docker-compose) ниже, который держит PostgreSQL и Redis в их собственных контейнерах. Встроенный режим работает от имени root (по умолчанию) и автоматически отключается, как только вы установите `DATABASE_URL`.
+Этот единственный контейнер выполняет все, что ему нужно: без установленного `DATABASE_URL` он запускает свои собственные PostgreSQL и Redis на интерфейсе обратной связи (встроенный режим) и сохраняет все данные в томе `SnapOtter-data`. Это самый быстрый способ опробовать SnapOtter или самостоятельно разместить его в домашней лаборатории. Для производства используйте [канонический стек Docker Compose](#docker-compose), который хранит PostgreSQL и Redis в отдельных контейнерах. Встроенный режим запускается от имени пользователя root (по умолчанию) и автоматически отключается, как только вы устанавливаете `DATABASE_URL`.
 
 Устанавливаете SnapOtter на Raspberry Pi, старый ноутбук или небольшой VPS? В разделе [Установка на маломощном оборудовании](/ru/guide/low-resource) есть пошаговое руководство с подобранными лимитами и описание того, чего ожидать от ограниченного оборудования.
 
@@ -40,7 +41,7 @@ SnapOtter по умолчанию включает анонимную проду
 docker run -d --name SnapOtter -p 1349:1349 --gpus all -v SnapOtter-data:/data snapotter/snapotter:latest
 ```
 
-Требует [NVIDIA Container Toolkit](https://docs.nvidia.com/datacenter/cloud-native/container-toolkit/latest/install-guide.html). Автоматически переходит на CPU, когда CUDA недоступна. Ускорение через iGPU Intel/AMD посредством VA-API, Quick Sync или OpenCL для ИИ-инференса сегодня не поддерживается. См. [Docker Tags](/ru/guide/docker-tags) для бенчмарков.
+Требуется [NVIDIA Container Toolkit](https://docs.nvidia.com/datacenter/cloud-native/container-toolkit/latest/install-guide.html). Автоматически переключается на процессор, когда CUDA недоступна. Ускорение Intel/AMD iGPU через VA-API, Quick Sync или OpenCL сегодня не поддерживается для вывода AI. См. [Docker Tags](/ru/guide/docker-tags) для ознакомления с тестами. Если инструменты ИИ работают на ЦП, несмотря на `--gpus all`, см. [Проверка ускорения графического процессора](/ru/guide/deployment#verify-gpu-acceleration).
 :::
 
 ::: details Также на GHCR
@@ -51,67 +52,33 @@ docker run -d --name SnapOtter -p 1349:1349 -v SnapOtter-data:/data ghcr.io/snap
 Оба реестра публикуют один и тот же образ при каждом релизе.
 :::
 
-## Docker Compose {#docker-compose}
+## Docker Создать {#docker-compose}
 
-```yaml
-services:
-  SnapOtter:
-    image: snapotter/snapotter:latest  # or ghcr.io/snapotter-hq/snapotter:latest
-    ports:
-      - "1349:1349"
-    volumes:
-      - SnapOtter-data:/data
-    environment:
-      - AUTH_ENABLED=true
-      - DEFAULT_USERNAME=admin
-      - DEFAULT_PASSWORD=admin
-      - DATABASE_URL=postgres://snapotter:snapotter@postgres:5432/snapotter
-      - REDIS_URL=redis://redis:6379
-    depends_on:
-      postgres:
-        condition: service_healthy
-      redis:
-        condition: service_healthy
-    restart: unless-stopped
+Используйте рабочий файл, поддерживаемый и тестируемый с каждым выпуском, вместо копирования сокращенного примера Compose с этой страницы:
 
-  postgres:
-    image: postgres:17-alpine
-    environment:
-      POSTGRES_USER: snapotter
-      POSTGRES_PASSWORD: snapotter
-      POSTGRES_DB: snapotter
-    volumes:
-      - SnapOtter-pgdata:/var/lib/postgresql/data
-    restart: unless-stopped
-    healthcheck:
-      test: ["CMD-SHELL", "pg_isready -U snapotter"]
-      interval: 10s
-      timeout: 5s
-      retries: 12
+```bash
+install -d -m 700 snapotter && cd snapotter
+curl --proto '=https' --tlsv1.2 -fsSLo docker-compose.yml \
+  https://raw.githubusercontent.com/snapotter-hq/SnapOtter/v2.1.0/docker/docker-compose.yml
 
-  redis:
-    image: redis:8-alpine
-    command: ["redis-server", "--maxmemory-policy", "noeviction", "--appendonly", "yes"]
-    volumes:
-      - SnapOtter-redisdata:/data
-    restart: unless-stopped
-    healthcheck:
-      test: ["CMD", "redis-cli", "ping"]
-      interval: 10s
-      timeout: 5s
-      retries: 12
+# Keep generated service credentials out of shell history and world-readable files.
+umask 077
+POSTGRES_PASSWORD="$(openssl rand -hex 32)"
+REDIS_PASSWORD="$(openssl rand -hex 32)"
+printf 'POSTGRES_PASSWORD=%s\nREDIS_PASSWORD=%s\n' \
+  "$POSTGRES_PASSWORD" "$REDIS_PASSWORD" > .env
 
-volumes:
-  SnapOtter-data:
-  SnapOtter-pgdata:
-  SnapOtter-redisdata:
+docker compose -f docker-compose.yml pull
+docker compose -f docker-compose.yml up -d --no-build
 ```
 
-См. [Конфигурация](/ru/guide/configuration) для всех переменных окружения.
+Канонический [`docker/docker-compose.yml`](https://github.com/snapotter-hq/SnapOtter/blob/v2.1.0/docker/docker-compose.yml) включает все четыре тома среды выполнения, проверки работоспособности, ограничения ресурсов, устойчивую конфигурацию Redis, закрепленные образы базы данных/кэша и текущее усиление защиты контейнера. Измените пароль администратора по умолчанию сразу после первого входа в систему. Для воспроизводимого развертывания прикрепите образ приложения SnapOtter к проверенному вами тегу выпуска или дайджесту вместо того, чтобы следовать `latest`.
+
+См. [Конфигурация](/ru/guide/configuration) для всех переменных среды и [Безопасность и усиление](/ru/guide/security) для секретов, сетевой политики и инструкций по резервному копированию.
 
 ## Сборка из исходников {#build-from-source}
 
-**Предварительные требования:** Node.js 22+, pnpm 9+, Docker (для Postgres + Redis), Python 3.10+ (для функций ИИ), Git.
+**Предварительные требования:** Node.js 22.22+, pnpm 9+, Docker (для Postgres + Redis), Python 3.11+ (для функций ИИ), Git.
 
 ```bash
 git clone https://github.com/snapotter-hq/SnapOtter.git
@@ -121,7 +88,7 @@ pnpm install
 pnpm dev
 ```
 
-- Фронтенд: [http://localhost:1349](http://localhost:1349)
+- Фронтенд: [http://localhost:1351](http://localhost:1351)
 - Бэкенд: [http://localhost:13490](http://localhost:13490)
 
 ## Что вы можете делать {#what-you-can-do}
@@ -130,11 +97,11 @@ pnpm dev
 
 | Модальность | Количество | Примеры инструментов |
 |----------|-------|---------------|
-| **Изображения** | 105 | Изменение размера, Обрезка, Сжатие, Конвертация, Удаление фона, Апскейл, OCR, Водяной знак, Коллаж, Раскрашивание, Инструменты GIF, пресеты форматов |
+| **Изображения** | 107 | Изменение размера, Обрезка, Сжатие, Конвертация, Удаление фона, Апскейл, OCR, Водяной знак, Коллаж, Раскрашивание, Инструменты GIF, пресеты форматов |
 | **Видео** | 57 | Обрезка, Кадрирование, Сжатие, Конвертация, Объединение, Извлечение аудио, Авто-субтитры, Видео в GIF, Изменение размера, Стабилизация, пресеты форматов |
 | **Аудио** | 27 | Обрезка, Объединение, Конвертация, Нормализация, Шумоподавление, Транскрипция, Сдвиг высоты тона, Затухание, Создание рингтона, пресеты форматов |
-| **PDF / Документы** | 42 | Объединение, Разделение, Сжатие, OCR, Водяной знак, Редактирование, Word в PDF, Excel в PDF, Поворот, Защита, Восстановление |
-| **Файлы** | 10 | CSV в JSON, JSON в XML, Объединение CSV, Разделение CSV, Создание ZIP, Извлечение ZIP, Создание диаграмм, YAML/JSON |
+| **PDF / Документы** | 29 | Объединение, Разделение, Сжатие, OCR, Водяной знак, Редактирование, Word в PDF, Excel в PDF, Поворот, Защита, Восстановление |
+| **Файлы** | 23 | CSV в JSON, JSON в XML, Объединение CSV, Разделение CSV, Создание ZIP, Извлечение ZIP, Создание диаграмм, YAML/JSON |
 
 ### Конвейеры {#pipelines}