docs: define secret store and auth profile plan

docs/architecture.md

@@ -41,6 +41,7 @@ Crank - платформа для публикации внешних API в в
 Изолирует:
 
 - операции;
+- secrets;
 - auth profiles;
 - agents;
 - platform API keys;
@@ -84,6 +85,21 @@ Crank - платформа для публикации внешних API в в
 - `Invitation`
 - `PlatformApiKey`
 
+### `Upstream secrets`
+
+Отдельный слой для доступа к внешним системам:
+
+- `Secret`
+- `SecretVersion`
+- `AuthProfile`
+
+Принцип:
+
+- секреты принадлежат workspace;
+- plaintext не хранится в открытом виде;
+- `AuthProfile` описывает способ применения секрета к upstream request;
+- runtime резолвит `auth_profile_ref` в реальный header/query/basic auth только в момент вызова.
+
 ### `Observability`
 
 Отдельный продуктовый слой:
@@ -117,6 +133,7 @@ Crank - платформа для публикации внешних API в в
 - `Agent` и привязка операций к агенту.
 - Agent-scoped MCP endpoints.
 - Platform API keys.
+- Workspace-scoped encrypted secrets для upstream access.
 - Workspace-scoped auth profiles для upstream access.
 - Product logs и usage aggregates.
 - Импорт и экспорт operation-конфигураций в `YAML`.
@@ -137,9 +154,10 @@ Crank - платформа для публикации внешних API в в
 
 1. Выбирает workspace.
 2. Создает или редактирует operation.
-3. Выполняет test run.
-4. Публикует operation version.
-5. Привязывает operation к одному или нескольким agents.
+3. При необходимости выбирает или создает upstream secret / auth profile.
+4. Выполняет test run.
+5. Публикует operation version.
+6. Привязывает operation к одному или нескольким agents.
 
 ### Оператор агентов
 
@@ -209,6 +227,8 @@ GraphQL в MCP публикуется как фиксированная опер
 Базовые сущности:
 
 - `Workspace`
+- `Secret`
+- `SecretVersion`
 - `Operation`
 - `OperationVersion`
 - `Agent`