docs: align operator and as-built docs with the code

Fix setup URL shape, import encryption UI, architecture layering/routes,
and stale plan/roadmap pointers so the prose matches what the tree does.

Co-Authored-By: Composer <noreply@cursor.com>
Co-authored-by: Cursor <cursoragent@cursor.com>

docs/roadmap.md

@@ -38,7 +38,7 @@ compose неделю ссылается на несуществующий обр
 
 **Убрать `implementation-plan.md` — в релизном коммите.** Документ закрыт:
 уникального содержания в нём нет, § D (предрелизная ревизия безопасности)
-продублирован в [security.md](security.md) и CHANGELOG `[Unreleased]/Security`,
+продублирован в [security.md](security.md) и CHANGELOG `[0.5.0]/Security`,
 а разделы B.1–B.3 и C.4 вырезаны ещё в `22f86d1`. Держится до тега только
 потому, что описывает релизный гейт, пока тот формально не закрыт. При резке
 версии:
@@ -137,7 +137,7 @@ git-тег `vX.Y.Z`; `implementation-plan.md` и `v1.x-closure-plan.md` удал
 
 ## Роль администратора домена — кандидат на 2.x
 
-**Что это.** Сейчас в панели ровно один субъект: `requireAuth` — булев гейт, а не роль ([web.go:182](../internal/web/web.go:182)), сессия не несёт ничего, кроме факта входа. Роль выдаёт доступ к одному домену и только к нему: приложения этого домена (создание, режим отправителя, перегенерация пароля, удаление, свой L2-лимит), DKIM/DNS-статус домена и журнал отправки, отфильтрованный по домену — фильтр в журнале уже есть ([handlers_monitor.go:49](../internal/web/handlers_monitor.go:49)). Вне роли остаётся то, что глобально по своей природе: добавление и удаление доменов, `/reload`, полный бэкап (это весь `/data` вместе с `sasldb2`, то есть все домены сразу), очередь и хвост `mail.log` — они серверные и к домену не привязаны.
+**Что это.** Сейчас в панели ровно один субъект: `requireAuth` — булев гейт, а не роль ([web.go](../internal/web/web.go) — обёртка `mux.Handle("/", s.requireAuth(authed))`), сессия не несёт ничего, кроме факта входа. Роль выдаёт доступ к одному домену и только к нему: приложения этого домена (создание, режим отправителя, перегенерация пароля, удаление, свой L2-лимит), DKIM/DNS-статус домена и журнал отправки, отфильтрованный по домену — фильтр в журнале уже есть ([sendLogData](../internal/web/handlers_monitor.go)). Вне роли остаётся то, что глобально по своей природе: добавление и удаление доменов, `/reload`, полный бэкап (это весь `/data` вместе с `sasldb2`, то есть все домены сразу), очередь и хвост `mail.log` — они серверные и к домену не привязаны.
 
 **Почему 2.x, а не v1.x.** [product.md](product.md) относит «несколько пользователей
 панели, роли» к out of scope (один администратор), поэтому появление второго
@@ -172,8 +172,9 @@ README, `architecture.md`; [roadmap.md](roadmap.md) — внутренний т
 
 ## Разбиение `internal/web` на подпакеты — кандидат на 2.x
 
-**Что это.** `internal/web` — самый крупный пакет проекта: 47 файлов, ~3030
-строк, в одной плоскости лежат хендлеры всех разделов панели, сессии,
+**Что это.** `internal/web` — самый крупный пакет проекта: ~50 файлов
+(включая шаблоны и static), ~25 `.go` / ~4000 строк Go, в одной плоскости
+лежат хендлеры всех разделов панели, сессии,
 security-заголовки, проверка Origin, валидация форм и рендер шаблонов.
 Кандидаты на выделение — `web/handlers` и `web/auth`, либо разрез по доменам
 панели.