fix(admin): mask all stored configuration secrets and credential URLs

docs/server-management.md

@@ -127,6 +127,11 @@ API, общие параметры сервисов, рекомендатель
 открытым текстом: поле без изменений сохраняет прежний секрет, ввод заменяет,
 **Сбросить локальное** удаляет только значение из config.local.
 
+Маскирование охватывает `.env`, config.local, итоговое значение и значение по
+умолчанию. URL со встроенными учётными данными, query-параметрами или фрагментом
+целиком считается секретом. Поля замены изначально пусты; переключатель видимости
+показывает только новый ввод. После сохранения поле снова очищается.
+
 Сохранение атомарно, с правами 0600 и проверкой ревизии: устаревшая форма не затрёт
 правки другого администратора. Перед сохранением проверяются типы и Compose;
 при ошибке прежний файл восстанавливается. Произвольные ключи, переводы строк