DESIGN.md: раздел «Аудит 2026-08-25» — что нашли, что исправили, что приняли
как риск (аргументы отклонённого вызова подтверждают число; нераспознанная
числовая форма бракует и правдивый текст; кэшированный ответ /api/scan всё
равно расходует квоту; счётчики лимитера живут в памяти; /api/park и статика
без квот).

README: новые переменные (CERTOPS_LISTEN, CERTOPS_TRUSTED_PROXIES,
CERTOPS_SCAN_ALLOW_PRIVATE), флаг --listen с объяснением, почему за nginx
рекомендуется 192.168.1.52:8087 и почему не петля (nginx на другой машине —
simgate), и как читается X-Forwarded-For.

Юнит: ExecStart получил --listen 192.168.1.52:8087. Значение по умолчанию у
бинаря прежнее (0.0.0.0:<порт>) — ограничение задаётся местом установки, а не
скрытой сменой поведения.

Makefile: 101 -> 135 тестов.

Co-Authored-By: Claude Fable 5 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_01UHWCAwWFk1a2sN6QLgi4EA