release: cut 1.0.0

Pin compose and local trial to ghcr.io/mixeme/selfpost:1.0.0, close the
CHANGELOG cut, and retire implementation-plan / v1.x-closure-plan.

Includes the post-cut startup fixes needed for a green release e2e gate:
root-owned TLS copies for postfix check, maillog_file_prefixes for /data,
hostname gate and traversable /data, panel /healthz before setup, and
setup-token / TempDir reclaim via docker exec.

Co-Authored-By: Composer <noreply@cursor.com>
Co-authored-by: Cursor <cursoragent@cursor.com>

docs/security.md

@@ -94,8 +94,8 @@ Hardening сверх обязательного (security-заголовки, п
 
 ## Принятые риски
 
-Здесь, а не в [implementation-plan.md](implementation-plan.md): план — про
-несделанную работу, принятый риск — решение с условием возврата.
+Принятый риск — решение с условием возврата, а не отложенная задача из
+дорожной карты.
 
 - **`POST` без `Sec-Fetch-Site` и без `Origin` пропускается.**
   Клиент, не посылающий ни одного из двух — по-настоящему старый браузер или
@@ -171,7 +171,7 @@ Origin-проверка закрывает это без изменения ни
 
 ## Как этот список пополняется
 
-Предрелизная проверка на уязвимости ([implementation-plan.md](implementation-plan.md)
-§ D, модель Fable) закрывает каждую находку одним из двух способов: правка до
+Предрелизная проверка на уязвимости (модель Fable; история — CHANGELOG
+`[0.5.0]` Security) закрывает каждую находку одним из двух способов: правка до
 тега — либо запись сюда, с обоснованием и условием возврата, как у пунктов выше.
 Третьего варианта («посмотрели и ладно») нет.