feat(push): Web Push — VAPID, подписки устройств и отправка (AGENT.md 7.16)

Уведомления в браузере и на телефоне: сервер сам решает, кому их слать, и
подписывает запрос VAPID-ключом, поэтому уведомление приходит, даже когда
клиент закрыт.

Сервер:
- миграция 00021: `push_subscriptions` (эндпоинт уникален, ключи, счётчик
  неудач, время последней доставки);
- `internal/push` — VAPID-ключи (приватный PKCS#8 из конфига, публичный
  выводится из него), правила уведомлений повторяют
  `web/src/lib/desktopNotifications.ts` (упоминания и личные беседы, без своих
  и системных сообщений), очередь доставки, TTL 12 часов, Topic по комнате;
- 404/410 от push-сервиса удаляют подписку сразу, 5 неудач подряд — тоже,
  иначе копились бы мёртвые эндпоинты; retention чистит «молчащие» подписки;
- `internal/httpx/safeurl.go` — общий запрет внутренних адресов с проверкой
  адреса в момент подключения (DNS rebinding): эндпоинт подписки приходит от
  клиента, и без проверки сервер сам себе организует SSRF;
- `internal/gateway/presence.go` — `IsUserOnline`: если получатель в клиенте,
  уведомление покажет клиент, дублировать на телефон не нужно;
- ручки `GET /push/config`, `GET|POST|DELETE /push/subscriptions`, лимиты
  10 подписок и 20 уведомлений в минуту; ключ p256dh проверяется как настоящая
  точка P-256;
- установщик генерирует `VAPID_PRIVATE_KEY` (openssl, PKCS#8 DER в base64) и
  `VAPID_SUBJECT`, ключ переиспользуется при переустановке; для ручной установки
  есть `glchat vapid-keys`; `features.web_push_enabled` виден в `/meta`.

Тесты: правила и VAPID, доставка с поддельным push-эндпоинтом (шифрование,
заголовки VAPID/TTL/Topic, очистка мёртвых подписок), ручки и лимиты, отправка
при личном сообщении и упоминании, пропуск онлайн-получателей, миграция на
чистой БД.

internal/config/config.go

@@ -73,6 +73,11 @@ type Config struct {
 	// OAuthRedirectBase — внешний адрес инстанса для redirect_uri (пусто —
 	// берётся BaseURL из домена). Нужен, если клиент ходит по другому адресу.
 	OAuthRedirectBase string
+	// Web Push (AGENT.md 7.16, Фаза 7): приватный VAPID-ключ (PKCS#8 DER в
+	// base64, генерирует установщик) и контакт администратора для push-сервисов
+	// (mailto:… или https://…). Пустой ключ — Web Push выключен.
+	VAPIDPrivateKey string
+	VAPIDSubject    string
 }
 
 func Load() (Config, error) {
@@ -119,6 +124,9 @@ func Load() (Config, error) {
 		OAuthDiscordClientID:     env("OAUTH_DISCORD_CLIENT_ID", ""),
 		OAuthDiscordClientSecret: env("OAUTH_DISCORD_CLIENT_SECRET", ""),
 		OAuthRedirectBase:        env("OAUTH_REDIRECT_BASE", ""),
+
+		VAPIDPrivateKey: env("VAPID_PRIVATE_KEY", ""),
+		VAPIDSubject:    env("VAPID_SUBJECT", ""),
 	}
 	if cfg.FilesDomain == "" {
 		cfg.FilesDomain = "files." + cfg.Domain
@@ -168,6 +176,10 @@ func (c Config) VoiceEnabled() bool {
 // OAuthEnabled сообщает, настроен ли хотя бы один OAuth-провайдер (AGENT.md 7.1).
 func (c Config) OAuthEnabled() bool { return len(c.OAuthProviders()) > 0 }
 
+// WebPushEnabled сообщает, настроен ли Web Push: без VAPID-ключа подписки
+// браузеров принимать некуда (AGENT.md 7.16).
+func (c Config) WebPushEnabled() bool { return strings.TrimSpace(c.VAPIDPrivateKey) != "" }
+
 // WebAuthnEnabled сообщает, годится ли домен инстанса как RP ID для passkeys.
 // WebAuthn не работает на IP-адресах (исключение — localhost), поэтому стенд
 // без домена честно отдаёт `passkeys_enabled: false`, а не ломает вход.