feat(security): security.txt отдаётся, npm audit и SBOM в AppSec

- /.well-known/security.txt уходил в SPA-заглушку (200 text/html): добавлена
  копия в web/public и явный тип text/plain в статике (RFC 9116, AGENT.md 11.3);
- make security дополнен `npm audit --omit=dev --audit-level=high`;
- новая цель `make sbom` — CycloneDX-отчёт зависимостей (trivy, если есть).

web/public/.well-known/security.txt

@@ -0,0 +1,9 @@
+# Политика безопасности glchat (RFC 9116)
+Contact: mailto:security@gl.mhspx.su
+Expires: 2027-12-31T00:00:00.000Z
+Preferred-Languages: ru, en
+Canonical: https://gl.mhspx.su/.well-known/security.txt
+Policy: https://gl.mhspx.su/security
+
+# Этот файл отдаётся по адресу /.well-known/security.txt: копия для сборки
+# лежит в web/public/.well-known/security.txt и должна совпадать с этой.