security: TLS, проверка Host, шифрованное запоминание входа и аудит-лог

- TLS через подключаемый overlay docker-compose.tls.yml + Caddyfile:
  Caddy сам получает и продлевает сертификат Let's Encrypt, HSTS
  добавляется на уровне прокси — намеренно там, а не в nginx.conf,
  иначе установки без TLS заперли бы сами себя;
- проверка заголовка Host против DNS rebinding: AURUM_ALLOWED_HOSTS,
  по умолчанию localhost и 127.0.0.1, чужой Host получает 421 с
  подсказкой, какую переменную поправить;
- «запомнить меня на 7 дней» вернулось в безопасном виде: пароль
  шифруется AES-GCM ключом с extractable: false в IndexedDB, вместо
  прежнего base64 в localStorage, который разворачивался обратно в
  пароль одним atob. Требует secure context, поэтому по обычному HTTP
  к LAN-адресу чекбокс не показывается, а не притворяется рабочим;
- аудит-лог необратимых операций (восстановление бэкапа, массовое
  создание транзакций, удаление счёта) в лог контейнера. Не в БД
  сознательно: таблица аудита исчезла бы ровно в том событии, которое
  должна объяснять;
- README: раздел про TLS и таблица двух переменных, решающих, кто
  может достучаться до инстанса.

.env.example

@@ -61,3 +61,14 @@ AURUM_WEB_PORT=3000
 # proxy), but set the basic auth variables above first: without them the app
 # has no password, and this is the line that decides who can knock.
 AURUM_BIND_ADDRESS=127.0.0.1
+
+# Hostnames Aurum will answer to, space- or comma-separated. Anything else
+# gets a 421 with a message telling you to edit this line. It exists to block
+# DNS rebinding: a site you're visiting can point its own domain at
+# 127.0.0.1 and then read your instance through your own browser — the Host
+# header is what gives it away.
+#
+# If you opened AURUM_BIND_ADDRESS above, add whatever you type in the
+# address bar here too: the LAN IP (192.168.1.50), your domain
+# (aurum.example.com), a .local name. Set it to * to turn the check off.
+AURUM_ALLOWED_HOSTS=localhost 127.0.0.1