feat(ops): protect metrics, rate-limit auth, agent secret timing, e2e smoke

Bearer для /metrics (EVOBGP_METRICS_TOKEN); rate limit /v1/auth/config; constant-time agent secret; OTel stub; Playwright smoke; HTTP_PROXY note; checklist обновлён.

Co-authored-by: Cursor <[email protected]>

docs/production-checklist.md

@@ -17,8 +17,12 @@
 
 - `EVOBGP_JOB_MAX_CONCURRENT=16`, `EVOBGP_DB_MAX_CONNS=25`, `EVOBGP_COLLECT_CONCURRENCY=16` при росте tenants.
 - `EVOBGP_NODE_DISPATCH_INSECURE_TLS=0` — только валидный TLS к agent.
-- Ограничить `/metrics` сетевой политикой или reverse proxy.
-- Профиль `evobgp-all` или HA API + персистентная `job_audit` (PostgreSQL).
+- Ограничить `/metrics`: `EVOBGP_METRICS_TOKEN` (Bearer) и/или сетевая политика / reverse proxy.
+- `EVOBGP_AUTH_RATE_LIMIT` (default 60/min per IP) на `GET /v1/auth/config`.
+- `HTTP_PROXY` / `HTTPS_PROXY` / `NO_PROXY` для CDN/DoH в censored сетях.
+- Опционально `EVOBGP_OTEL_ENDPOINT` (stub opt-in для будущего OTel export).
+- Профиль `evobgp-all` или HA API + персистентная `job_audit` (PostgreSQL SKIP LOCKED reclaim).
+- E2E smoke: `pnpm --filter @evobgp/web run test:e2e` против API (`EVOBGP_E2E_API_URL`) / UI (`EVOBGP_E2E_UI=1`).
 - Мониторинг drift: `evobgp-deploy`, `last_applied_revision_id` vs published.
 
 ## Не использовать в prod