fix(logtail): keep mail.log in /data and reconcile stuck rows (v1.x closure phase 2)

Move the delivery log from the ephemeral /var/log to /data/log/mail.log so
the lines that resolve a queued send-log row survive a container recreate.
postlogd writes it as postfix, the panel reads it through the selfpost group
(dir 2750, file 0640, normalised every start); backups exclude log/.

Close the residual gap with a queue sweep: rows queued for over two minutes
whose id postqueue -p no longer lists are marked bounced. The sweep waits
until the tailer has read the log to its end and does nothing when the queue
cannot be listed, so a message in flight is never touched.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
Co-authored-by: Cursor <cursoragent@cursor.com>

docs/security.md

@@ -118,12 +118,25 @@ Hardening сверх обязательного (security-заголовки, п
   безвозвратно нерасшифровываемый архив хуже незашифрованного: пароль SelfPost
   не хранит. Триггером сделать шифрование обязательным считать появление
   второго администратора (тогда «кто скачал» перестаёт быть одним человеком).
-- **Send-log может навсегда остаться `queued` после пересоздания контейнера.**
-  Рестарт панели это больше не вызывает: log-tailer сохраняет позицию чтения
-  (`logtail_state`, миграция `0003`) и после старта дочитывает хвост, написанный
-  пока панель лежала. Но `mail.log` живёт не в `/data` и теряется вместе с
-  контейнером — строки, чьи delivery-строки были только в нём, останутся
-  `queued`. См. [architecture.md](architecture.md) § Log tailer.
+- **Строка журнала, оставшаяся без delivery-строк, закрывается как `bounced`, а
+  не как есть.** Риск «вечный `queued`» снят: `mail.log` переехал в
+  `/data/log/` и переживает пересоздание контейнера, а log-tailer сохраняет
+  позицию чтения (`logtail_state`, миграция `0003`), так что после старта хвост
+  дочитывается. Остаток — строки, delivery-строки которых потеряны
+  безвозвратно (лог провернулся дальше 14 файлов, пока панель лежала, либо был
+  удалён): сверка с `postqueue -p` видит, что письма в очереди нет, и через
+  2 минуты grace ставит `bounced`. Если письмо на самом деле ушло, статус
+  окажется ложно-отрицательным. Принято сознательно: доставка, которую панель
+  не может подтвердить, не должна показываться как подтверждённая, а вечный
+  `queued` не отличим от «висит прямо сейчас». Сверка не срабатывает, пока
+  tailer не дочитал лог до конца, и не трогает ничего, если `postqueue` не
+  читается. См. [architecture.md](architecture.md) § Log tailer.
+- **Доступ к `mail.log` из-под непривилегированной панели.** Каталог
+  `/data/log` — `2750 postfix:selfpost`, файл — `0640`: пишет `postlogd`
+  (пользователь `postfix`), читает панель по общей группе `selfpost`, миру файл
+  недоступен. Лог содержит envelope-адреса и IP клиентов, но не тела и не
+  заголовки писем; в бэкап он не попадает (`log/` исключён), чтобы выгрузка
+  оставалась состоянием, а не диагностикой.
 
 ## ADR: CSRF через проверку Origin, без токенов