docs: define secret store and auth profile plan

docs/admin-api.md

@@ -26,6 +26,7 @@
 - `memberships`
 - `invitations`
 - `operations`
+- `secrets`
 - `auth-profiles`
 - `agents`
 - `platform-api-keys`
@@ -116,12 +117,26 @@
 
 ### 5.5. Upstream auth profiles
 
+- `GET /api/admin/workspaces/{workspace_id}/secrets`
+- `POST /api/admin/workspaces/{workspace_id}/secrets`
+- `GET /api/admin/workspaces/{workspace_id}/secrets/{secret_id}`
+- `POST /api/admin/workspaces/{workspace_id}/secrets/{secret_id}/rotate`
+- `DELETE /api/admin/workspaces/{workspace_id}/secrets/{secret_id}`
+
 - `GET /api/admin/workspaces/{workspace_id}/auth-profiles`
 - `POST /api/admin/workspaces/{workspace_id}/auth-profiles`
 - `GET /api/admin/workspaces/{workspace_id}/auth-profiles/{auth_profile_id}`
 - `PATCH /api/admin/workspaces/{workspace_id}/auth-profiles/{auth_profile_id}`
 - `DELETE /api/admin/workspaces/{workspace_id}/auth-profiles/{auth_profile_id}`
 
+Контракт:
+
+- `POST /secrets` принимает metadata и plaintext value, но plaintext возвращается только в create/rotate request path и не выдается повторно;
+- `GET /secrets` и `GET /secrets/{secret_id}` возвращают только metadata, `kind`, `status`, `current_version`, `created_at`, `updated_at`, `last_used_at` при наличии;
+- `POST /secrets/{secret_id}/rotate` создает новую secret version;
+- `DELETE /secrets/{secret_id}` запрещен, если secret используется опубликованными auth profiles или operations;
+- `AuthProfile.config` хранит ссылки на `secret_id`, а не placeholder-строки `${secrets.*}`.
+
 ### 5.6. Agents
 
 - `GET /api/admin/workspaces/{workspace_id}/agents`
@@ -188,6 +203,8 @@
 - samples;
 - draft generation;
 - gRPC descriptor upload и discovery.
+- upstream auth selector;
+- quick-create secret / auth profile modal.
 
 Детальные DTO и response shapes для экранов `Operations` и `Wizard` зафиксированы отдельно в:
 
@@ -209,6 +226,15 @@
 - list/create/revoke/delete platform API keys;
 - one-time reveal значения ключа при создании.
 
+### Secrets
+
+Нужны:
+
+- list/create/rotate/delete upstream secrets;
+- metadata-only retrieval после создания;
+- связь с auth profiles;
+- usage references, чтобы оператор видел, где секрет используется.
+
 ### Logs
 
 Нужны: