docs: clarify dev-only flags and openapi implementation gaps

DOC-03: X-Tenant-Id не реализован в handlers; лимиты CDN preview; SEC-02 пометки в compose; sync endpoints в access.md.
Co-authored-by: Cursor <[email protected]>

docs/openapi.yaml

@@ -67,7 +67,9 @@ components:
       required: false
       schema:
         $ref: "#/components/schemas/ResourceId"
-      description: Явный tenant (только супер-роли). Без заголовка tenant определяется по ключу.
+      description: >
+        Явный tenant (только супер-роли). Без заголовка tenant определяется по API-ключу.
+        **Реализация v1:** заголовок в Go handlers не обрабатывается; tenant только из Bearer-токена (см. docs/access.md).
     IdempotencyKey:
       name: Idempotency-Key
       in: header
@@ -1811,7 +1813,9 @@ paths:
       tags: [Modules]
       summary: Предпросмотр префиксов из CDN-источника
       description: >
-        Загружает URL, парсит как plaintext или json и возвращает список извлечённых префиксов (до 100 записей).
+        Синхронный запрос: conditional GET к URL (до 8 MiB тела ответа), парсинг plaintext или JSON,
+        возврат до 100 префиксов в `items` (полный счётчик в `total`). Выполняется в HTTP worker;
+        при таймауте клиента используйте короткий URL или меньший payload.
       operationId: previewCdnSource
       requestBody:
         required: true