docs: define secret store and auth profile plan

docs/database-schema.md

@@ -26,7 +26,7 @@
 
 ### 2.5. Секреты не хранятся в открытом виде
 
-- upstream secrets живут за `secret_ref`;
+- upstream secrets живут в отдельных таблицах и шифруются;
 - platform API keys хранятся как hash.
 
 ## 3. Основные таблицы
@@ -36,6 +36,8 @@
 - `user_sessions`
 - `memberships`
 - `invitation_tokens`
+- `secrets`
+- `secret_versions`
 - `operations`
 - `operation_versions`
 - `published_operations`
@@ -134,7 +136,30 @@
 - `created_at`
 - `finished_at`
 
-## 6. Upstream auth
+## 6. Upstream secrets and auth
+
+### `secrets`
+
+- `id`
+- `workspace_id`
+- `name`
+- `kind`
+- `status`
+- `current_version`
+- `created_at`
+- `updated_at`
+
+Ограничение:
+
+- `unique (workspace_id, name)`
+
+### `secret_versions`
+
+- `secret_id`
+- `version`
+- `ciphertext`
+- `key_version`
+- `created_at`
 
 ### `auth_profiles`
 
@@ -146,6 +171,11 @@
 - `created_at`
 - `updated_at`
 
+Назначение:
+
+- `config_json` хранит ссылки на `secret_id`, а не plaintext значения;
+- допустимы bearer, basic, api-key-header, api-key-query профили.
+
 Ограничение:
 
 - `unique (workspace_id, name)`
@@ -308,7 +338,9 @@
 
 1. добавить `workspaces` и заполнить default workspace;
 2. добавить `workspace_id` в `operations` и `auth_profiles`;
-3. добавить `agents` и `published_agents`;
-4. внедрить `platform_api_keys`;
-5. добавить `invocation_logs` и `usage_rollups`;
-6. перевести MCP runtime на `published_agents`, а не на глобальный список operations.
+3. добавить `secrets` и `secret_versions`;
+4. перевести `auth_profiles` на secret-backed config;
+5. добавить `agents` и `published_agents`;
+6. внедрить `platform_api_keys`;
+7. добавить `invocation_logs` и `usage_rollups`;
+8. перевести MCP runtime на `published_agents`, а не на глобальный список operations.