feat(auth): вход по ключу доступа (passkeys, WebAuthn)

Фаза 7, AGENT.md 7.1: регистрация ключа в настройках безопасности с
обязательным step-up, вход по ключу без пароля (в т.ч. без ввода почты —
обнаруживаемый ключ), несколько ключей на аккаунт, отзыв и переименование,
события безопасности и аудит.

Сервер: github.com/go-webauthn/webauthn (BSD-3-Clause), RP ID и Origin
берутся из конфига домена; если домен — IP-адрес (стенд без домена),
passkeys честно выключены (auth.passkey_unsupported). Церемонии живут в
памяти процесса 5 минут и одноразовые: повторная отправка challenge
отклоняется. Миграция 00018 пересобирает неиспользуемую таблицу
webauthn_credentials под полную запись credential в JSON. Новые ручки
входа ограничены по IP (10/мин).

Клиент: тонкая обёртка над navigator.credentials без тяжёлых SDK,
раздел «Ключи доступа» в настройках безопасности и кнопка «Войти по ключу»
на экране входа; понятные сообщения для браузеров без поддержки WebAuthn
и при отмене диалога.

Тесты: Go — регистрация/вход с эмулятором аутентификатора (реальная
проверка подписи P-256), отказ при чужом challenge, одноразовость
церемонии, обязательный step-up при управлении ключами, запрет входа
забаненному, ограничение allowCredentials при входе с почтой, лимит и
валидация имени; web — 12 vitest с моком navigator.credentials;
Playwright — живой сценарий с виртуальным аутентификатором Chromium.

internal/server/server.go

@@ -67,6 +67,9 @@ type Server struct {
 	uploadDailyLimiter *httpx.RateLimiter
 	// reactionLimiter — 20 реакций в минуту на пользователя.
 	reactionLimiter *httpx.RateLimiter
+	// passkeyLimiter ограничивает новые ручки входа (Фаза 7): 10 запросов в
+	// минуту на IP — с запасом на пару begin/finish.
+	passkeyLimiter *httpx.RateLimiter
 	// slowmode — время последней отправки в комнату для режима медленной
 	// отправки; словарь ограничен по размеру (AGENT.md 7.5).
 	slowmodeMu sync.Mutex
@@ -124,6 +127,7 @@ func New(cfg config.Config, db *database.DB, logger *slog.Logger, deps Deps) *Se
 		uploadLimiter:      httpx.NewRateLimiter(10, 10),
 		uploadDailyLimiter: httpx.NewRateLimiterWindow(100, 24*time.Hour, 100),
 		reactionLimiter:    httpx.NewRateLimiter(20, 20),
+		passkeyLimiter:     httpx.NewRateLimiterWindow(10, time.Minute, 10),
 		slowmode:           map[string]time.Time{},
 		presence:           map[uint64]time.Time{},
 		webhookSeen:        map[string]time.Time{},
@@ -153,6 +157,9 @@ func New(cfg config.Config, db *database.DB, logger *slog.Logger, deps Deps) *Se
 		s.api = s.registerAPI(apiRouter)
 		s.registerMetaRoutes(s.api)
 		s.registerAuthRoutes(apiRouter)
+		if deps.Auth != nil {
+			s.registerPasskeyRoutes(apiRouter)
+		}
 		if deps.Store != nil {
 			s.registerUserRoutes(s.api)
 			s.registerGuildRoutes(s.api)