Merge pull request 'fix(observability): у Grafana остаётся один вход — внешний basic_auth снят с витрины (#3078)' (#3113) from fix/3078-grafana-single-auth into main

Внешний basic_auth Caddy снят с витрины по решению владельца: два запроса
пароля подряд мешали работе, а у Grafana есть собственная аутентификация с
ролями и GF_USERS_ALLOW_SIGN_UP=false.

Что теряется, чтобы решение было осознанным: basic_auth отсекал сканеры до
Grafana и прикрыл бы её собственную будущую уязвимость. Теперь страница входа
видна из интернета напрямую. Это записано комментарием прямо в конфиге, чтобы
через полгода не выглядело недосмотром.

Приём метрик НАРОЧНО остаётся под basic_auth: туда ходит агент по паролю,
который лежит в открытом виде в окружении продуктового хоста, и отдельная
учётка там ограничивает ущерб записью. Снят ровно один слой и ровно с витрины.

Файл metrics-ui.caddy.snippet и его bind-mount оставлены на месте: диффу так
меньше, вернуть слой можно одной строкой. Гард импортов (#3104) проверяет
обратное направление - что каждый import покрыт маунтом, - поэтому лишний
маунт его не трогает.

Проверено: scripts/check-caddy-snippet-mounts.py зелёный (6 конфигов,
7 маунтов); конфиг с новой версией infra.caddy проходит caddy validate в
одноразовом контейнере на Beget - Valid configuration.

caddy/sites/infra.caddy

@@ -94,8 +94,18 @@ metrics.gendsgn.ru {
         reverse_proxy loki:3100
     }
 
+    # Вход ОДИН — собственный вход Grafana (#3078). Внешний basic_auth снят по
+    # решению владельца: два запроса пароля подряд мешали работе, а Grafana имеет
+    # собственную аутентификацию с ролями и `GF_USERS_ALLOW_SIGN_UP=false`.
+    #
+    # Что при этом теряется, чтобы решение было осознанным: basic_auth отсекал
+    # сканеры до Grafana и прикрывал бы её собственную будущую уязвимость. Теперь
+    # страница входа Grafana видна из интернета напрямую.
+    #
+    # Приём метрик НАРОЧНО остаётся под basic_auth (см. handle_path выше): туда
+    # ходит агент по паролю, который лежит в открытом виде в окружении
+    # продуктового хоста, и отдельная учётка там ограничивает ущерб записью.
     handle {
-        import ../metrics-ui.caddy.snippet
         reverse_proxy grafana:3000
     }