docs: split integrator guide (Diplodoc) vs internal docs + add build-docs CI

Чёткое разделение audiences:
- docs/ — consumer-facing only, Diplodoc-built. Public contract для
  интеграторов (Альтум, BI, third-party).
- docs-internal/ — operator runbooks, status snapshots, legacy tech pages.
  НЕ в Diplodoc build, НЕ публикуются.

Изменения:
- Move docs/{ops,status,tech} → docs-internal/{ops,status,tech}
- docs/toc.yaml: убраны секции Operations, Архитектура (legacy), Status
- docs/index.md: убран tab "оператор / on-call", focus на integrators
- docs/README.md: rewritten — scope только integrator guide, editorial
  guidelines (no leak internal architecture, stable API contract)
- .yfm: убран явный ignore status/* (теперь не нужно — папка переехала)
- docs-internal/README.md: index для внутренней документации с rationale
  разделения

Scrubbing implementation details из Diplodoc страниц:
- events.md: убраны Strimzi/cluster.142 references, OutboxPoller детали,
  internal alert names (OrdinisOutboxLagHigh, OrdinisOutboxDLQNonEmpty),
  metric names (nsi_outbox_*). Заменены на consumer-observable contract.
- webhooks.md: убраны metric names (nsi_webhook_ssrf_rejected_total),
  alert table (OrdinisWebhookHighFailureRate и т.д.). Retry policy
  переписана на user-side perspective.
- errors.md: убран alert name OrdinisReadApiErrorBudgetBurnFast, Tempo
  endpoint URL, internal connection details.
- x-references.md: OrphanReferenceScanner → general "Ordinis периодически
  детектирует". Убраны metric/alert names. Cascade roadmap без link на
  internal design doc.
- auth.md: убран file path ScopeContext.java.
- bundle-cuod.md: убран Maven module path.
- caching.md: cascade design link заменён на text reference.

CI:
- .gitlab-ci.yml: новый job build-docs (stage: build) — Node 20 alpine,
  pnpm install --frozen-lockfile + pnpm build, artifact docs/_dist на
  неделю. Triggers: auto на docs/**, либо manual web. Готов к follow-up
  pages-deploy job когда host решён.
- Новый pattern .docs-changes для rules.

Build verified clean: 13 HTML pages, 6.9M, no broken links/refs.

docs/integration/api/webhooks.md

@@ -50,8 +50,7 @@ Webhook URLs валидируются перед отправкой:
 - **Запрещено:** non-HTTPS scheme. Только `https://`.
 - **Запрещено:** URL > 2048 chars.
 
-Метрика `nsi_webhook_ssrf_rejected_total` increments при попытках. См.
-prometheus rule `OrdinisWebhookSsrfRejected`.
+При нарушении registration возвращает 422 + список причин.
 
 ## Payload
 
@@ -155,10 +154,11 @@ Consumer должен ответить `2xx` в течение 10 секунд:
 | 4 | через 10 мин |
 | 5 | через 1ч |
 | 6-10 | каждые 6ч |
-| 1000+ | DLQ → ручной разбор |
+| После всех попыток | Ordinis team помечает delivery как failed для ручного разбора |
 
-После 1000 неудач delivery попадает в DLQ (`/api/v1/admin/webhooks/deliveries/dlq`).
-Alert: `OrdinisWebhookDLQNonEmpty`.
+Если consumer недоступен > 1000 retry попыток — Ordinis team будет
+расследовать. Долгосрочное unavailability стоит coordinate (planned
+maintenance window) чтобы не накапливать orphan deliveries.
 
 ## Test ping
 
@@ -196,19 +196,8 @@ Response:
    сложить в очередь.
 3. **HMAC verify первым** — до парсинга JSON.
 4. **Metrics** — track received / processed / errors для своего side.
-   Сравнивай с Ordinis metrics при расследовании.
-5. **Whitelist Ordinis IP** на firewall если строгие правила. IP cluster.142
-   = `192.168.100.142`, но в production будет ingress IP. Спросить у Ordinis
-   team при registration.
-
-## Alerting (Ordinis side)
-
-| Alert | Trigger |
-|---|---|
-| `OrdinisWebhookHighFailureRate` | failure rate > 50% за 5 мин |
-| `OrdinisWebhookDLQNonEmpty` | events в DLQ > 0 |
-| `OrdinisWebhookDispatcherIdle` | 0 deliveries при > 0 active subscriptions |
-| `OrdinisWebhookSsrfRejected` | SSRF guard сработал > 0 раз за 15 мин |
+5. **Whitelist Ordinis IP** на firewall если строгие правила. Точный
+   адрес запросить у Ordinis team при registration.
 
 ## Дальше