feat: закрыть остаточный backlog

- keyset-пагинация аудита с курсором (occurred_at, id) и UI «Показать ещё»
- пакетный /api/v1/labs/details и переход progress на один запрос
- абсолютный потолок сессии 30 дней (identity V12 + web), очистка refresh
- админская инвентаризация legacy-активов (/admin/legacy-assets, скрипт)
- E2E в Chromium/Firefox/WebKit (18/18), CI preflight
- LDD: 51 claim, 346 тестов, docs и handoff обновлены

docs/adr/0001-groups-courses-foundation.md

@@ -92,8 +92,9 @@
 - `ACADEMIC_LEAVE` — вход в режиме только чтения.
 - Web перепроверяет статус с кэшем 30–60 секунд; сервисы проверяют статус
   студента и группы при доступе к курсу.
-- JWT остаётся 30-дневным; остаточный риск прямого API фиксируется в
-  документации. Для браузера токен не доступен.
+- ~~JWT остаётся 30-дневным~~ — решение пересмотрено: access 15 минут,
+  refresh 7 дней с ротацией и абсолютным потолком 30 дней (`V11`–`V12`).
+  Для браузера токен не доступен.
 
 ### 6. Повышение курса