feat: add secret store foundation

docs/admin-api.md

@@ -131,10 +131,10 @@
 
 Контракт:
 
-- `POST /secrets` принимает metadata и plaintext value, но plaintext возвращается только в create/rotate request path и не выдается повторно;
+- `POST /secrets` принимает metadata и plaintext value, но create-response возвращает только metadata;
 - `GET /secrets` и `GET /secrets/{secret_id}` возвращают только metadata, `kind`, `status`, `current_version`, `created_at`, `updated_at`, `last_used_at` при наличии;
 - `POST /secrets/{secret_id}/rotate` создает новую secret version;
-- `DELETE /secrets/{secret_id}` запрещен, если secret используется опубликованными auth profiles или operations;
+- `DELETE /secrets/{secret_id}` в secret foundation удаляет secret без reference checks; валидация ссылок добавляется в `feat/auth-profile-secret-resolution`;
 - `AuthProfile.config` хранит ссылки на `secret_id`, а не placeholder-строки `${secrets.*}`.
 
 ### 5.6. Agents

docs/runtime-config.md

@@ -65,13 +65,13 @@ var/crank/
 - `CRANK_MCP_REFRESH_MS`
 - `CRANK_LOG_LEVEL`
 - `CRANK_SECRET_PROVIDER`
+- `CRANK_MASTER_KEY`
 - `CRANK_PUBLIC_BASE_URL`
 - `CRANK_MCP_PUBLIC_URL`
 
 Опционально:
 
 - `CRANK_ADMIN_TOKEN`
-- `CRANK_MASTER_KEY`
 - `CRANK_DEMO_SEED`
 
 Стартовое значение для refresh published tools:
@@ -131,6 +131,10 @@ Demo/deployment:
 - `CRANK_BOOTSTRAP_ADMIN_PASSWORD`
 - `CRANK_BOOTSTRAP_ADMIN_DISPLAY_NAME`
 
+Для secret store foundation нужен:
+
+- `CRANK_MASTER_KEY`
+
 Для опционального demo-seed:
 
 - `CRANK_DEMO_SEED=true`