fix: final review wave — public routes, inbox 419, url schemes, deep_link, tests

Co-Authored-By: Claude Fable 5.1 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_01BCrwHHnGCB5XH968Nxokqw

docs/superpowers/specs/2026-09-03-hado-core-design.md

@@ -195,6 +195,9 @@ PUT /api/events
 `HADO_RETENTION_DAYS` (по умолчанию 90) после перехода в терминальное состояние,
 чтобы вхождения не копились вечно.
 
+Реализация считает срок от `updated_at`; повторный upsert закрытого события
+продлевает хранение — допустимое приближение.
+
 ### Снятие и чтение
 
 ```
@@ -467,6 +470,10 @@ Env: `APP_URL`, `DB_*`, `HADO_DEFAULT_TZ`, `TELEGRAM_BOT_TOKEN`,
 В Caddy хаба один vhost `hado.<домен>` с двумя матчерами: публичные пути
 (`/api/*`, `/a/*`, `/hooks/*`) напрямую, остальное через `forward_auth`.
 
+Compose в репозитории — dev-стек (`Dockerfile.dev`, `artisan serve`); прод-сборка
+через `core/Dockerfile` (serversideup/php) описана, но не проверена — отдельный шаг
+перед деплоем.
+
 ## 13. Тесты
 
 Время везде через `Carbon::setTestNow`, присутствие через фейковые каналы.