feat: resolve upstream auth at runtime

docs/secrets-auth-plan.md

@@ -18,12 +18,18 @@
 
 Что еще не работает end-to-end:
 
-- runtime не резолвит `auth_profile_ref` при выполнении operation;
 - `secret_ref` не подтягивает фактическое значение секрета;
 - wizard хранит auth как raw JSON headers;
 - `${secrets.*}` в UI является только текстовым placeholder;
 - отдельной страницы `Secrets` нет.
 
+Что уже работает end-to-end:
+
+- runtime резолвит `auth_profile_ref` при выполнении operation;
+- `admin-api` test-runs используют тот же auth-aware execution path, что и `mcp-server`;
+- `REST`, `GraphQL`, `gRPC`, `SOAP` и streaming execution paths получают bearer/basic/api-key auth до adapter layer;
+- `last_used_at` у secret обновляется при успешном auth resolution.
+
 ## 3. Целевая модель
 
 ### 3.1. `Secret`
@@ -238,8 +244,7 @@ DoD:
 
 1. `feat/secret-store-foundation`
 2. `feat/auth-profile-secret-resolution`
-3. `feat/runtime-upstream-auth`
-4. `feat/secrets-ui`
-5. `feat/wizard-auth-selector`
+3. `feat/secrets-ui`
+4. `feat/wizard-auth-selector`
 
 Только после этого upstream auth можно считать реально реализованным.