feat: harden firewall policies telemetry and operations

Implement reliable agent apply, telemetry v2, analytics retention, guarded rollouts, enrollment, labels and webhooks. Improve ReUI frontend data safety and bounded list loading, and add Docker smoke, recovery and resource checks. Document local verification and pending native acceptance.

docs/agents.md

@@ -24,17 +24,13 @@ curl -fsSL https://<cp>/agent-install/<id> | bash
 
 API (auth): `POST /api/v1/install-links` `{ "name": "web-01", "platform": "linux" | "mikrotik" }`.
 
-## Linux (legacy one-liner)
+## Одноразовое подключение и совместимость
 
-```bash
-curl -fsSL https://<cp>/v1/agent/install.sh | \
-  EVOFW_CP_URL=https://<cp> \
-  EVOFW_SEED=<seed> \
-  EVOFW_CLIENT_NAME="web-01" \
-  bash
-```
+Новый агент подключается только по созданной в UI install-ссылке. Скрипт содержит ограниченный credential конкретной ссылки; `POST /v1/agent/enroll` принимает его в `X-EvoFW-Enrollment-Credential`. Успешная регистрация потребляет credential атомарно; точный повтор того же запроса возвращает того же агента. Истёкшая, отозванная или использованная с другими данными ссылка не создаёт нового агента. Для чистой переустановки создайте новую ссылку.
 
-Создаёт нового агента со статусом Pending (без Invited).
+Глобальный `EVOFW_SEED` / `X-EvoFW-Seed` больше не подходит для регистрации. `enroll_seed` хранится только на контроллере как HMAC master; UI/API возвращает маску, а не значение. Сохранение `********` оставляет ключ прежним. Явная смена master делает ещё не использованные старые install credentials недействительными; действующие токены агентов сохраняются.
+
+Ротация токена поддерживается версиями `linux/10`, `rsc/10` и `install.sh/2`; более старый агент сначала обновляют. Администратор запрашивает ротацию для конкретного Approved агента; клиент сохраняет новый токен до обмена, получает подтверждение и атомарно обновляет конфигурацию. Старый токен после обмена принимается только для точного повтора завершённого обмена в течение 24 часов, а не для чтения политики. Отзыв агента запрещает и такие повторы.
 
 Файлы: `/etc/evofw/agent.conf`, `/usr/local/sbin/evofw-firewall.sh`, timer `evofw-firewall.timer` (default 1min).