docs: spell out .spbk and .spde extensions

SelfPost backup / SelfPost domain export — in the guide, security notes,
architecture, and Backup/Export panel copy.

Co-Authored-By: Composer <noreply@cursor.com>
Co-authored-by: Cursor <cursoragent@cursor.com>

docs/security.md

@@ -80,9 +80,10 @@ Hardening сверх обязательного (security-заголовки, п
   аутентифицирован заголовком, номером и флагом конца потока — обрезанный или
   подменённый файл не открывается вместо тихого восстановления «хвоста».
   Формат и обёртка: [internal/secretfile](../internal/secretfile/secretfile.go).
-- Расширения: `.spbk` (полный бэкап), `.spde` (экспорт домена); незашифрованные
-  остаются `.tar.gz` / `.json`. Импорт домена определяет шифрование по magic
-  файла, а не по расширению.
+- Расширения: `.spbk` (**S**elf**P**ost **b**ac**k**up — полный бэкап),
+  `.spde` (**S**elf**P**ost **d**omain **e**xport — экспорт домена);
+  незашифрованные остаются `.tar.gz` / `.json`. Импорт домена определяет
+  шифрование по magic файла, а не по расширению.
 - Пароль нигде не сохраняется: восстановить файл без него нельзя. Пароль в CLI —
   только через `SELFPOST_BACKUP_PASSWORD` или `-password-file`, никогда
   аргументом (список процессов читается любым процессом контейнера).