feat(deploy): установщик, docker-скелет, шаблоны Caddy/LiveKit и CLI

- deploy/install.sh: идемпотентная установка, режимы встроенного и внешнего
  прокси (§10.13), --dry-run/--skip-tls/--reconfigure, auto-детект профиля (§10.10)
- deploy/compose.yaml.tpl: app, livekit, caddy с лимитами, healthcheck,
  ротацией логов, cap_drop и no-new-privileges (§4.3)
- deploy/caddy: Caddyfile.tpl (встроенный) и external-proxy.conf.tpl (наш стенд)
- deploy/livekit: конфиг с TURN, dynacast и лимитами комнат (§10.6)
- deploy/backup.sh + restore.sh: sqlite .backup, tar, age-шифрование (§10.8)
- deploy/update.sh: бэкап → pull/сборка → up → миграции → smoke (§9.3)
- deploy/smoke.sh: проверки §10.9 (healthz/readyz/meta, порты, UFW, fail2ban, бэкап)
- deploy/security-check.sh: аудит SSH, UFW, fail2ban, прав .env и ключей
- deploy/ufw-docker.sh, nftables и fail2ban-конфиги (sshd, glchat-auth, recidive)
- deploy/glchat-cli.sh: команды §10.7, systemd-юнит glchat.service
- scripts/test-install.sh: прогон установщика в чистом Ubuntu 24.04 (systemd-контейнер)
- Dockerfile: multi-stage (node → golang CGO → debian-slim), non-root, healthcheck
- Makefile: lint/test/build/dev/generate/security/smoke и фиксация версий инструментов

deploy/livekit/livekit.yaml.tpl

@@ -0,0 +1,42 @@
+# Сгенерировано deploy/install.sh — не редактируйте вручную.
+# Документация: https://docs.livekit.io/home/self-hosting/deployment/
+port: {{LIVEKIT_WS_PORT}}
+bind_addresses:
+  - "0.0.0.0"
+
+rtc:
+  tcp_port: {{LIVEKIT_TCP_PORT}}
+  udp_port: {{LIVEKIT_UDP_PORT}}
+  use_external_ip: {{LIVEKIT_USE_EXTERNAL_IP}}
+  # Синхронизация портов с публичным адресом: контейнер публикует порты напрямую.
+  port_range_start: 0
+  port_range_end: 0
+
+turn:
+  enabled: {{TURN_ENABLED}}
+  domain: {{TURN_DOMAIN}}
+  udp_port: {{TURN_UDP_PORT}}
+  tls_port: {{TURN_TLS_PORT}}
+  external_tls: {{TURN_EXTERNAL_TLS}}
+
+room:
+  auto_create: true
+  empty_timeout: 300
+  departure_timeout: 20
+  max_participants: {{LIVEKIT_MAX_PARTICIPANTS}}
+  enable_remote_unmute: false
+
+audio:
+  # Opus с низким битрейтом: экономия канала при 1 vCPU (AGENT.md 9.1).
+  active_level: 35
+  min_level: 25
+  smooth_intervals: false
+
+video:
+  dynacast: true
+  disable_simulcast: {{LIVEKIT_DISABLE_SIMULCAST}}
+
+logging:
+  level: info
+  json: true
+  sample: true