docs: split integrator guide (Diplodoc) vs internal docs + add build-docs CI

Чёткое разделение audiences:
- docs/ — consumer-facing only, Diplodoc-built. Public contract для
  интеграторов (Альтум, BI, third-party).
- docs-internal/ — operator runbooks, status snapshots, legacy tech pages.
  НЕ в Diplodoc build, НЕ публикуются.

Изменения:
- Move docs/{ops,status,tech} → docs-internal/{ops,status,tech}
- docs/toc.yaml: убраны секции Operations, Архитектура (legacy), Status
- docs/index.md: убран tab "оператор / on-call", focus на integrators
- docs/README.md: rewritten — scope только integrator guide, editorial
  guidelines (no leak internal architecture, stable API contract)
- .yfm: убран явный ignore status/* (теперь не нужно — папка переехала)
- docs-internal/README.md: index для внутренней документации с rationale
  разделения

Scrubbing implementation details из Diplodoc страниц:
- events.md: убраны Strimzi/cluster.142 references, OutboxPoller детали,
  internal alert names (OrdinisOutboxLagHigh, OrdinisOutboxDLQNonEmpty),
  metric names (nsi_outbox_*). Заменены на consumer-observable contract.
- webhooks.md: убраны metric names (nsi_webhook_ssrf_rejected_total),
  alert table (OrdinisWebhookHighFailureRate и т.д.). Retry policy
  переписана на user-side perspective.
- errors.md: убран alert name OrdinisReadApiErrorBudgetBurnFast, Tempo
  endpoint URL, internal connection details.
- x-references.md: OrphanReferenceScanner → general "Ordinis периодически
  детектирует". Убраны metric/alert names. Cascade roadmap без link на
  internal design doc.
- auth.md: убран file path ScopeContext.java.
- bundle-cuod.md: убран Maven module path.
- caching.md: cascade design link заменён на text reference.

CI:
- .gitlab-ci.yml: новый job build-docs (stage: build) — Node 20 alpine,
  pnpm install --frozen-lockfile + pnpm build, artifact docs/_dist на
  неделю. Triggers: auto на docs/**, либо manual web. Готов к follow-up
  pages-deploy job когда host решён.
- Новый pattern .docs-changes для rules.

Build verified clean: 13 HTML pages, 6.9M, no broken links/refs.

docs/integration/api/x-references.md

@@ -67,7 +67,7 @@ PUBLIC scope, ReferenceValidator возвращает тот же error
 (`x_references_target_not_found`) что и на real not-found. Ordinis **не leak'ает**
 existence of out-of-scope dictionary через differential errors.
 
-## Orphan reference scanner
+## Orphan references
 
 Возможна ситуация когда referenced record **закрывается**, а referencing
 record остаётся:
@@ -78,19 +78,20 @@ record остаётся:
 3. spacecraft.RESURS-P-3 теперь имеет dangling FK
 ```
 
-Periodic scanner (`OrphanReferenceScanner`, runs каждые 5 мин) находит
-такие orphan'ы и emit'ит metric:
+Ordinis периодически детектирует такие orphan'ы серверной стороной — данные
+**не корректируются автоматически** (может быть intentional state до
+update referencing записей), но Ordinis team получает уведомление и
+может coordinate fix с data stewards.
 
-```
-nsi_orphan_references_total{source_dict="spacecraft",target_dict="satellite_type"} 1
-```
-
-Alert `OrdinisOrphanReferences` срабатывает при > 0 за 10 мин.
+Consumer-side defensiveness:
+- При получении event `record.closed` для записи на которую ты ссылаешься —
+  invalidate свой cache + либо fetch свежую версию referencing
+  записи (если она тоже обновилась), либо handle dangling FK явно.
 
 ## Cascade rules — roadmap (v2)
 
 Сегодня закрытие источника НЕ closes referencing automatically. Это
-дolжно явно делаться через bulk close либо individual updates.
+дoлжно явно делаться через bulk close либо individual updates.
 
 В v2 планируется schema extension `x-references-on-close`:
 
@@ -106,21 +107,22 @@ Alert `OrdinisOrphanReferences` срабатывает при > 0 за 10 мин
 
 Опции:
 - **block** — закрытие источника невозможно пока есть active referencing (default).
-- **warn** — закрытие проходит, в response warning + metric `nsi_cascade_warnings_total`.
-- **cascade** — все referencing закрываются в той же транзакции.
+- **warn** — закрытие проходит, в response warning.
+- **cascade** — все referencing закрываются в той же транзакции, отдельные
+  events emit'ятся per record.
 
-См. design doc `dict-relationships-v2` (внутренний artifact в
-`~/.gstack/projects/claude/`) для полного scope.
+Конкретный timeline и финальная семантика будут опубликованы перед
+deployment v2 — следи за анонсами от Ordinis team.
 
 ## Lineage discovery — roadmap (v2)
 
-Сегодня нет endpoint для "что depends on X". Admin должен вручную проходить
-schemas чтобы найти ссылки. В v2 планируется:
+Сегодня нет endpoint для "что depends on X". В v2 планируется:
 
 - `GET /api/v1/dictionaries/{name}/dependents` — словари которые ссылаются.
 - `GET /api/v1/records/{dict}/{key}/dependents` — конкретные записи.
 
-См. design выше для подробностей.
+Это позволит consumer'ам и UI узнавать связи без чтения всех schemas
+руками. Spec будет опубликован перед deployment v2.
 
 ## Best practices