docs: spell out .spbk and .spde extensions

SelfPost backup / SelfPost domain export — in the guide, security notes,
architecture, and Backup/Export panel copy.

Co-Authored-By: Composer <noreply@cursor.com>
Co-authored-by: Cursor <cursoragent@cursor.com>

docs/architecture.md

@@ -290,10 +290,10 @@ restore. Stopped-container `tar` of `./data` is safe (see guide).
 ([internal/secretfile](../internal/secretfile/secretfile.go)): password →
 scrypt → AES-256-GCM over 64 KiB chunks, each authenticated with the header,
 its counter and an end-of-stream flag (so truncation and reordering fail to
-open). Full backup `.tar.gz` → `.spbk`, domain export `.json` → `.spde`; the
-plain forms remain the default. Domain import detects the envelope by magic
-bytes; an encrypted full backup is converted back with `selfpost-backup
--decrypt` before restore.
+open). Full backup `.tar.gz` → `.spbk` (SelfPost backup), domain export
+`.json` → `.spde` (SelfPost domain export); the plain forms remain the
+default. Domain import detects the envelope by magic bytes; an encrypted full
+backup is converted back with `selfpost-backup -decrypt` before restore.
 
 ---
 

docs/guide.md

@@ -332,8 +332,11 @@ file that comes down is an encrypted envelope instead of the plain archive:
 
 | Artefact | Plain | Encrypted |
 |----------|-------|-----------|
-| Full backup | `.tar.gz` | `.spbk` |
-| Domain export | `.json` | `.spde` |
+| Full backup | `.tar.gz` | `.spbk` (**S**elf**P**ost **b**ac**k**up) |
+| Domain export | `.json` | `.spde` (**S**elf**P**ost **d**omain **e**xport) |
+
+The suffixes are for the operator only — the server detects an encrypted file
+by its magic bytes (`SELFPOST1`), not by the extension.
 
 The key is derived from the password with scrypt and the contents are sealed
 with AES-256-GCM, in chunks, so a truncated or altered file fails to open rather

docs/security.md

@@ -80,9 +80,10 @@ Hardening сверх обязательного (security-заголовки, п
   аутентифицирован заголовком, номером и флагом конца потока — обрезанный или
   подменённый файл не открывается вместо тихого восстановления «хвоста».
   Формат и обёртка: [internal/secretfile](../internal/secretfile/secretfile.go).
-- Расширения: `.spbk` (полный бэкап), `.spde` (экспорт домена); незашифрованные
-  остаются `.tar.gz` / `.json`. Импорт домена определяет шифрование по magic
-  файла, а не по расширению.
+- Расширения: `.spbk` (**S**elf**P**ost **b**ac**k**up — полный бэкап),
+  `.spde` (**S**elf**P**ost **d**omain **e**xport — экспорт домена);
+  незашифрованные остаются `.tar.gz` / `.json`. Импорт домена определяет
+  шифрование по magic файла, а не по расширению.
 - Пароль нигде не сохраняется: восстановить файл без него нельзя. Пароль в CLI —
   только через `SELFPOST_BACKUP_PASSWORD` или `-password-file`, никогда
   аргументом (список процессов читается любым процессом контейнера).