security: phase D pre-release review — pass; harden saslpasswd2 argv

Fable review of the full diff from the v1.0 audit (Phase 11, 65a420d) to
HEAD plus a complete pass over the docs/security.md checklist (former spec
7.6). No exploitable findings. One defence-in-depth fix: the application
login is passed to saslpasswd2 behind a -- end-of-options marker so a
login starting with - can never be parsed as a flag. Accepted risks
unchanged; plan § D closed.

Co-Authored-By: Claude Fable 5 <noreply@anthropic.com>

docs/security.md

@@ -1,8 +1,12 @@
 # Безопасность
 
 **Что здесь.** (1) **Обязательные требования** — чеклист, который v1.0 обязан
-выполнять; полный аудит на v1.0 пройден. (2) **Принятые риски** — сознательные
-отступления сверх обязательного, чтобы решение не потерялось.
+выполнять; полный аудит на v1.0 пройден. Предрелизная ревизия (план § D,
+модель Fable, 2026-08-06) прошла по всему дифу от аудита v1.0 (Фаза 11) до
+HEAD и по чек-листу целиком: эксплуатируемых находок нет; одна правка
+defence-in-depth — `--` перед логином в argv `saslpasswd2`
+([internal/app/sasl.go](../internal/app/sasl.go)). (2) **Принятые риски** —
+сознательные отступления сверх обязательного, чтобы решение не потерялось.
 
 Hardening сверх обязательного (security-заголовки, проверка origin, cookie
 `__Host-` с обнаружением дублей — Фаза 14) закрыт; история — в