docs/chore: Phase 1 doc/code hygiene (code-review.md § Phase 1)

Removes ~30 stale "Phase N" / historical-staging comment references from
code and shell scripts now that v1.0 is done; fixes a stale dashboard
comment claiming applications/send-log were unimplemented; adds a CSRF ADR
to security.md documenting the Origin-check-over-tokens decision; resolves
docs/logo in roadmap.md (directory doesn't exist, criterion already met);
adds a gofmt -l check to CI so unformatted Go fails the build.

The known-limitations write-up for the log-tailer offset gap (the other
Phase 1 item) was already present in architecture.md § Log tailer, so no
change was needed there.

gofmt/go vet/go test clean on both Go modules (main + test/e2e), verified
on the dev server.

Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>

docs/progress.md

@@ -50,7 +50,8 @@
 - **Документация:** план D1–D9 закрыт ([documentation-plan.md](documentation-plan.md) — только метод и правила поддержки). Хвост v1.x (Codeberg в Quick start, тег образа, `docs/logo`) — [roadmap.md](roadmap.md) § «v1.x — хвост документации и деплоя».
 - **Рецензирование кодовой базы** (2026-08-05): [code-review.md](code-review.md) — 10 разделов (архитектура, качество, docs, GUI, legacy, риски), приоритизированный план реализации и маршрутизация моделей. Критичных багов не найдено; блокер релиза — § D ниже.
 - **§ D выполнен (2026-08-06):** предрелизная ревизия безопасности моделью Fable — диф от аудита v1.0 (Фаза 11, `bd64e80`) до HEAD + полный проход по чек-листу [security.md](security.md) (бывшее ТЗ 7.6). Эксплуатируемых находок нет; одна правка defence-in-depth (`--` перед логином в argv `saslpasswd2`, `internal/app/sasl.go` + тест). Принятые риски не пополнились. Детали — [implementation-plan.md](implementation-plan.md) § D и CHANGELOG `[Unreleased]/Security`. Локально `go vet`/`go test ./internal/app/...` чистые; падения `internal/domain` (`TestWriteLoadPrivateKeyRoundtrip`, `TestRenderTables`) и `internal/logtail` (`TestFollowTailsAndRotates`) — Windows-специфика (права файлов/`\` в путях/rename открытого файла), на Linux CI зелено.
-- **Дальше:** релизный гейт открыт (e2e C.4 + ревизия § D) — по явной команде пользователя: резка версии в CHANGELOG, тег, пуш образа (workflow release.yml). Остальные пункты из [code-review.md](code-review.md) — polish (фазы 1–3).
+- **Фаза 1 выполнена (2026-08-06)** ([code-review.md](code-review.md) § Фаза 1 — doc/code hygiene, P1): cleanup ~30 stale «Phase N» комментариев в коде и shell-скриптах; исправлен stale-комментарий в `handlers_domains.go`; ADR CSRF (Origin vs токены) добавлен в [security.md](security.md); known-limitations по log-tailer уже был в [architecture.md](architecture.md) § Log tailer — отдельного действия не потребовалось; `docs/logo` в [roadmap.md](roadmap.md) закрыт (каталога нет, критерию соответствует); `gofmt -l` добавлен в CI (`.github/workflows/test.yml`). `gofmt`/`go vet`/`go test ./...` чистые в обоих модулях (dev-server).
+- **Дальше:** релизный гейт (Фаза 0) закрыт по существу — e2e C.4 и ревизия § D пройдены; остаются только шаги, которые делаются в момент резки версии (бамп тега образа + Codeberg URL, git tag) по явной команде пользователя. Остальные пункты из [code-review.md](code-review.md) — polish (фазы 2–3, 1.5).
 - **Принятые риски** — [security.md](security.md). **Опционально v1.x / 2.x** — [roadmap.md](roadmap.md) (хвост документации, send-log gaps, Фаза O1+, роль администратора домена).
 - **Прод:** `selfpost.mixfed.ru`, реальный Let's Encrypt сертификат, живой e2e (DKIM/SPF pass). Контейнер там всё ещё на образе v1.0 — Фаза 14 в него не выкатывалась. При апгрейде: админа один раз разлогинит (сменилось имя cookie), а от reverse-proxy требуется передача исходного `Host` (Apache-фрагмент из `deploy/` это делает).
 

docs/roadmap.md

@@ -31,9 +31,6 @@ Codeberg (`codeberg.org/mix/selfpost/raw/branch/main/deploy/...`).
 `vX.Y.Z` — не раньше. Сейчас может отставать от целевой версии релиза;
 несовпадение мешает только до первого выката по тегу.
 
-**Каталог `docs/logo`.** Пустой; либо наполнить (если нужен отдельный asset для
-внешних ссылок), либо удалить каталог, чтобы не создавать ложное ожидание.
-
 **Убрать `implementation-plan.md` — в релизном коммите.** Документ закрыт:
 уникального содержания в нём нет, § D (предрелизная ревизия безопасности)
 продублирован в [progress.md](progress.md), [security.md](security.md) и
@@ -57,9 +54,11 @@ CHANGELOG `[Unreleased]/Security`, а разделы B.1–B.3 и C.4 вырез
    он выполнен.
 
 **Готово, когда:** Quick start указывает на Codeberg; тег образа в compose
-совпадает с релизом; `docs/logo` либо содержит файлы, либо отсутствует;
-`implementation-plan.md` в `docs/archive/`, ссылок на него в активных документах
-и в коде/CI не осталось.
+совпадает с релизом; `implementation-plan.md` в `docs/archive/`, ссылок на него
+в активных документах и в коде/CI не осталось.
+
+(`docs/logo` уже отсутствует как каталог — критерию «либо содержит файлы, либо
+отсутствует» удовлетворяет; отдельного действия не требуется.)
 
 **Send-log vs `mail.log` (опционально).** После рестарта панели или пересоздания
 контейнера строки send-log могут навсегда остаться `queued` — log-tailer не

docs/security.md

@@ -98,6 +98,36 @@ Hardening сверх обязательного (security-заголовки, п
   `/data` и теряется при recreate. Rename-ротация это не лечит. См. [architecture.md](architecture.md)
   § Log tailer — known gaps.
 
+## ADR: CSRF через проверку Origin, без токенов
+
+**Контекст.** Панель — формы (`POST`) с cookie-сессией; классическая CSRF-
+поверхность. Нужен способ отличить запрос со страницы панели от запроса,
+инициированного сторонним сайтом в браузере залогиненного админа.
+
+**Решение.** `originAllowed` в
+[internal/web/security.go](../internal/web/security.go) сверяет `Sec-Fetch-Site`
+(если браузер его шлёт) либо `Origin` (fallback) с хостом панели; запрос без
+обоих заголовков **пропускается**, а не отклоняется. Токенов, привязанных к
+сессии и встроенных в формы, нет.
+
+**Почему не токены.** Панель однопользовательская (один администратор на
+инстанс) — модель угроз не включает межпользовательский CSRF внутри самой
+панели, только внешний сайт, заставляющий браузер админа отправить запрос.
+Origin-проверка закрывает это без изменения ни одного шаблона: токен потребовал
+бы скрытого поля примерно в двух десятках форм и синхронизации при каждой
+новой форме, а от XSS внутри панели токен всё равно не защищает — код,
+исполняющийся в origin панели, читает токен и отправляет запрос сам. От XSS
+защищают автоэкранирование `html/template` и CSP, поэтому это отдельная линия
+обороны, не CSRF-токен.
+
+**Компромисс.** Клиент, не посылающий ни `Sec-Fetch-Site`, ни `Origin`
+(по-настоящему старый браузер или webview с замороженным движком), остаётся
+уязвим — см. «Принятые риски» выше. Это осознанный выбор в пользу не ломать
+панель в таком клиенте ценой узкой остаточной поверхности.
+
+**Пересмотр, если:** появится требование защиты, не зависящей от поведения
+браузера, или панель станет многопользовательской.
+
 ## Как этот список пополняется
 
 Предрелизная проверка на уязвимости ([implementation-plan.md](implementation-plan.md)