docs: split integrator guide (Diplodoc) vs internal docs + add build-docs CI

Чёткое разделение audiences:
- docs/ — consumer-facing only, Diplodoc-built. Public contract для
  интеграторов (Альтум, BI, third-party).
- docs-internal/ — operator runbooks, status snapshots, legacy tech pages.
  НЕ в Diplodoc build, НЕ публикуются.

Изменения:
- Move docs/{ops,status,tech} → docs-internal/{ops,status,tech}
- docs/toc.yaml: убраны секции Operations, Архитектура (legacy), Status
- docs/index.md: убран tab "оператор / on-call", focus на integrators
- docs/README.md: rewritten — scope только integrator guide, editorial
  guidelines (no leak internal architecture, stable API contract)
- .yfm: убран явный ignore status/* (теперь не нужно — папка переехала)
- docs-internal/README.md: index для внутренней документации с rationale
  разделения

Scrubbing implementation details из Diplodoc страниц:
- events.md: убраны Strimzi/cluster.142 references, OutboxPoller детали,
  internal alert names (OrdinisOutboxLagHigh, OrdinisOutboxDLQNonEmpty),
  metric names (nsi_outbox_*). Заменены на consumer-observable contract.
- webhooks.md: убраны metric names (nsi_webhook_ssrf_rejected_total),
  alert table (OrdinisWebhookHighFailureRate и т.д.). Retry policy
  переписана на user-side perspective.
- errors.md: убран alert name OrdinisReadApiErrorBudgetBurnFast, Tempo
  endpoint URL, internal connection details.
- x-references.md: OrphanReferenceScanner → general "Ordinis периодически
  детектирует". Убраны metric/alert names. Cascade roadmap без link на
  internal design doc.
- auth.md: убран file path ScopeContext.java.
- bundle-cuod.md: убран Maven module path.
- caching.md: cascade design link заменён на text reference.

CI:
- .gitlab-ci.yml: новый job build-docs (stage: build) — Node 20 alpine,
  pnpm install --frozen-lockfile + pnpm build, artifact docs/_dist на
  неделю. Triggers: auto на docs/**, либо manual web. Готов к follow-up
  pages-deploy job когда host решён.
- Новый pattern .docs-changes для rules.

Build verified clean: 13 HTML pages, 6.9M, no broken links/refs.

docs/integration/api/errors.md

@@ -97,9 +97,9 @@ Ordinis следует стандартам REST с расширениями:
 | Code | Описание |
 |---|---|
 | `internal_unexpected` | Server bug — escalate с traceId |
-| `db_unavailable` | Postgres недоступен |
-| `vault_unavailable` | Vault sealed либо unreachable |
-| `kafka_publish_failed` | Outbox не смог publish (но запись в БД OK — eventually consistent) |
+| `db_unavailable` | БД недоступна — retry с long backoff |
+| `dependent_unavailable` | Зависимый сервис (config, secrets) недоступен — retry |
+| `event_publish_failed` | Запись в БД ОК, но события не отправлены — eventually consistent (events доедут позже) |
 
 ## Rate limits
 
@@ -114,9 +114,8 @@ limits через resource constraints:
 | Concurrent JWT verifications | bounded heap (~5k/sec практический максимум) |
 
 При превышении (типично DDoS-like patterns):
-- HTTP `429 Too Many Requests` после ingress rate limit (ingress nginx default).
+- HTTP `429 Too Many Requests` после ingress rate limit.
 - HTTP `503 Service Unavailable` при exhausting connection pool.
-- `5xx error rate spike` → alert `OrdinisReadApiErrorBudgetBurnFast`.
 
 ### Recommended client-side limits
 
@@ -155,13 +154,14 @@ def retry_with_backoff(
 ## Tracing
 
 Каждый response имеет `X-Trace-Id` header и `traceId` field в error body.
-Ordinis эмитит OpenTelemetry traces в Tempo (`tempo.monitoring:4317`).
 
 При эскалации Ordinis team:
 1. Скопируй `traceId` из response либо логов.
 2. Создай issue с воспроизведением.
-3. Ordinis team query'ит Tempo: `traceId="abc123-..."`.
-4. Trace покажет full path: ingress → read-api → postgres → response.
+3. Ordinis team поднимет trace по этому ID — full path запроса виден.
+
+Без `traceId` investigation занимает существенно больше времени —
+обязательно сохраняй его при ошибках.
 
 ## Дальше