Implement activation checks across various commands and queries

- Introduced `IRequiresActivation` interface to enforce activation requirements for multiple commands and queries, ensuring that only activated users can create, edit, or access configurations, news, and applications.
- Updated the `RequireActivationBehavior` to handle activation checks uniformly, returning appropriate errors for unauthenticated or inactive users.
- Enhanced error handling by adding `NotActivated` error to provide clear feedback for users attempting to access restricted features.
- Updated documentation to reflect the new activation requirements and their implications on user access and functionality.

docs/domain-model.md

@@ -107,7 +107,10 @@ NewsPost                        (лента новостей; публикует
   трогает уже созданных клиентов в 3x-ui (см. `IXuiPanelGateway.UpdateClientAsync`, где `LimitIp`
   всегда `null` — «не менять»).
 - `UpdateTraffic(up, down)` → пишет `TrafficSyncService` при периодической синхронизации, только для отображения.
-- **Создание разрешено только активированному пользователю** (`AppUser.IsActivated == true`).
+- **Доступ разрешён только активированному пользователю** (`AppUser.IsActivated == true`): создание,
+  просмотр списка, редактирование, ротация, отзыв, получение ссылки/подписки на свои конфиги, а также
+  чтение новостей и каталога приложений — единая проверка в `RequireActivationBehavior` (pipeline
+  behavior, маркер `IRequiresActivation` на команде/запросе), а не разбросанные проверки в хендлерах.
 - Число активных конфигов пользователя не может превышать **квоту его роли** (`AppRole.MaxConfigs`;
   роль `admin` — без лимита). У пользователя ровно одна роль. См. `AppRole` ниже.
 - Инбаунд должен быть доступен роли пользователя (`Inbound.AllowedRoles`).
@@ -196,7 +199,8 @@ NewsPost                        (лента новостей; публикует
 | `TelegramLinkedAt`  | `DateTimeOffset?` | Когда привязан                                       |
 
 Инварианты: один `TelegramUserId` ↔ один аккаунт (повторная привязка требует `/unlink`);
-неактивированный пользователь не может создавать конфиги; при регистрации выдаётся роль `user`.
+неактивированный пользователь не имеет доступа к конфигам, новостям и каталогу приложений (см. выше);
+при регистрации выдаётся роль `user`.
 **Блокировка** (`IsBlocked = true`) переводит все конфиги в `Disabled` (отключение клиентов в 3x-ui);
 разблокировка включает их обратно. У пользователя ровно одна роль.