docs: define secret store and auth profile plan

docs/implementation-plan.md

@@ -109,7 +109,21 @@ DoD:
 - mock JSON больше не используется на критическом пути;
 - UI, backend и docs синхронизированы.
 
-## 10. Этап 9. Hardening and demo readiness
+## 10. Этап 9. Secret store and upstream auth
+
+Цель:
+
+- заменить UI placeholder-модель `${secrets.*}` на рабочий backend/runtime слой secrets.
+
+DoD:
+
+- есть workspace-scoped `Secrets` resource;
+- secret values хранятся только в зашифрованном виде;
+- `AuthProfile` ссылается на `secret_id`, а не на строковый placeholder;
+- runtime умеет применять bearer/basic/api-key auth к реальному upstream request;
+- wizard имеет auth selector и quick-create flow для secrets/auth profiles.
+
+## 11. Этап 10. Hardening and demo readiness
 
 Цель: