feat(push): Web Push — VAPID, подписки устройств и отправка (AGENT.md 7.16)

Уведомления в браузере и на телефоне: сервер сам решает, кому их слать, и
подписывает запрос VAPID-ключом, поэтому уведомление приходит, даже когда
клиент закрыт.

Сервер:
- миграция 00021: `push_subscriptions` (эндпоинт уникален, ключи, счётчик
  неудач, время последней доставки);
- `internal/push` — VAPID-ключи (приватный PKCS#8 из конфига, публичный
  выводится из него), правила уведомлений повторяют
  `web/src/lib/desktopNotifications.ts` (упоминания и личные беседы, без своих
  и системных сообщений), очередь доставки, TTL 12 часов, Topic по комнате;
- 404/410 от push-сервиса удаляют подписку сразу, 5 неудач подряд — тоже,
  иначе копились бы мёртвые эндпоинты; retention чистит «молчащие» подписки;
- `internal/httpx/safeurl.go` — общий запрет внутренних адресов с проверкой
  адреса в момент подключения (DNS rebinding): эндпоинт подписки приходит от
  клиента, и без проверки сервер сам себе организует SSRF;
- `internal/gateway/presence.go` — `IsUserOnline`: если получатель в клиенте,
  уведомление покажет клиент, дублировать на телефон не нужно;
- ручки `GET /push/config`, `GET|POST|DELETE /push/subscriptions`, лимиты
  10 подписок и 20 уведомлений в минуту; ключ p256dh проверяется как настоящая
  точка P-256;
- установщик генерирует `VAPID_PRIVATE_KEY` (openssl, PKCS#8 DER в base64) и
  `VAPID_SUBJECT`, ключ переиспользуется при переустановке; для ручной установки
  есть `glchat vapid-keys`; `features.web_push_enabled` виден в `/meta`.

Тесты: правила и VAPID, доставка с поддельным push-эндпоинтом (шифрование,
заголовки VAPID/TTL/Topic, очистка мёртвых подписок), ручки и лимиты, отправка
при личном сообщении и упоминании, пропуск онлайн-получателей, миграция на
чистой БД.

deploy/glchat-cli.sh

@@ -45,6 +45,7 @@ glchat — управление инстансом
   glchat profile [tier]         показать/применить профиль производительности
   glchat security-check         аудит: SSH, fail2ban, порты, лимиты
   glchat reindex                пересобрать индекс поиска (FTS5)
+  glchat vapid-keys             сгенерировать пару VAPID-ключей для Web Push
   glchat cleanup                чистка: сессии, аудит, файлы без ссылок
   glchat create-user            создать аккаунты (--count/--prefix/--sessions)
   glchat change-domain <domain> сменить домен
@@ -227,6 +228,14 @@ cmd_reindex() {
     ${COMPOSE} exec -T app glchat reindex
 }
 
+# cmd_vapid_keys печатает новую пару VAPID-ключей (Фаза 7): строки из вывода
+# добавляются в .env инстанса вручную — смена ключа отзывает все подписки,
+# поэтому автоматически её никто не делает.
+cmd_vapid_keys() {
+    require_stack
+    ${COMPOSE} exec -T app glchat vapid-keys "$@"
+}
+
 # cmd_cleanup запускает чистку данных вручную: те же правила, что у
 # периодического обслуживания (AGENT.md 6.4).
 cmd_cleanup() {
@@ -261,6 +270,7 @@ main() {
         profile) cmd_profile "$@" ;;
         security-check) cmd_security_check "$@" ;;
         reindex) cmd_reindex "$@" ;;
+        vapid-keys) cmd_vapid_keys "$@" ;;
         verify-backup) cmd_verify_backup "$@" ;;
         cleanup) cmd_cleanup "$@" ;;
         create-user) cmd_create_user "$@" ;;