docs: refactor docs structure

docs/configuration/security.md

@@ -0,0 +1,37 @@
+# Безопасность
+
+Безопасность Minishop в первую очередь держится на стабильных секретах, корректном разделении публичных доменов и ограниченном доступе к админке.
+
+## Секреты
+
+- `WEBAPP_SESSION_SECRET` должен быть постоянным между рестартами, иначе Web App-сессии станут невалидными.
+- `WEBHOOK_SECRET_TOKEN` защищает Telegram webhook.
+- `PANEL_WEBHOOK_SECRET` проверяет входящие события Remnawave Panel.
+- Платежные токены и webhook-секреты храните в `.env` или настройках админки с учетом доступа к серверу.
+
+Сгенерировать секрет можно так:
+
+```bash
+openssl rand -hex 32
+```
+
+## Доступ администраторов
+
+- `ADMIN_IDS` задает Telegram ID администраторов.
+- Админка доступна только пользователям из `ADMIN_IDS` при входе через Telegram.
+- Email-only аккаунты не получают админский доступ.
+
+## Публичные URL
+
+- `WEBHOOK_BASE_URL` должен вести на backend webhook server.
+- `SUBSCRIPTION_MINI_APP_URL` должен вести на frontend/Mini App.
+- Не добавляйте `/api`, `/auth` или webhook-пути в `SUBSCRIPTION_MINI_APP_URL`.
+
+## Дополнительно
+
+- Используйте HTTPS на всех публичных доменах.
+- Ограничивайте доступ к серверу и `.env`.
+- Следите за логами платежных вебхуков и panel webhooks.
+- После ротации секретов перезапускайте соответствующие сервисы и проверяйте вебхуки.
+
+См. также [переменные окружения](env-vars.md) и [развертывание](../deployment.md).