fix(pipeline): harden upstream resilience and production shutdown

DoH через DoWithRetry; CDN preview через UpstreamHTTPDo; частичный fail CDN (EVOBGP_CDN_PARTIAL_OK); безопасный доступ к Job.Meta; drain jobs при SIGTERM; ValidateProductionEnforce при EVOBGP_PRODUCTION=1.

Co-authored-by: Cursor <[email protected]>

docs/production-checklist.md

@@ -4,12 +4,14 @@
 
 ## Обязательно
 
+- `EVOBGP_PRODUCTION=1` (или `EVOBGP_ENV=production`) — при старте API/`evobgp-all` процесс **откажется** стартовать, если нарушены жёсткие требования ниже (`config.ValidateProductionEnforce`).
 - `EVOBGP_SEED_DEMO=0` — отключить demo-tenant и токен `Bearer dev`.
 - `EVOBGP_DEV_INSECURE` не задавать или `0` — не использовать lab-флаги в prod.
 - `EVOBGP_BUNDLE_SEED_HEX` — задать стабильный hex-ключ подписи бандлов; сохранить pubkey для нод.
 - PostgreSQL с TLS (`sslmode` не `disable`) при доступе вне private network.
 - `EVOBGP_CORS_ORIGINS` — явный whitelist origin веб-панели.
 - `EVOBGP_STALE_ON_UPSTREAM_ERROR=1` (по умолчанию) — stale snapshot при сбоях CDN/ASN/DoH.
+- Опционально `EVOBGP_CDN_PARTIAL_OK=1` — при сбое одного CDN source без stale cache продолжать refresh остальных (иначе fail модуля).
 
 ## Рекомендуется