fix(payments): drop the notification sender-IP gate; re-check on its own cadence

A real test payment on the contour exposed both problems at once. YooKassa
delivered the notification five times; all five were rejected because the
backend saw the sender as 10.77.0.1 — the contour sits behind a tunnel and
cannot observe real client addresses, the same reason the IP bans in this
repository are prod-only. The chips were not lost (the reconcile sweep would
have credited them), but the primary path was dead and the customer was left
watching an unchanged balance.

The address check is removed rather than made conditional. It never was the
security boundary — the confirming GET /v3/payments/{id} is — and the one thing
it bought is already bought earlier and far more tightly: the order is resolved
from the notification's metadata *before* any provider call, so a notification
naming no known order costs a single indexed read and stops there. Guessing a
live order id means guessing a uuid. Against that, an address check adds nothing
and breaks every deployment that cannot see real client addresses, while turning
any future change to YooKassa's published ranges into a silent degradation.

The second problem was mine. The reconcile threshold was keyed off the order
lifetime, so a lost notification cost the customer the full 30-minute TTL before
the chips landed. Those are different questions: the lifetime governs how long a
customer may take to pay, the re-check governs how soon we notice a lost
callback. Split apart — `payments.ReconcileAfter`, one minute, swept on every
reaper tick. The bound D49 was chosen for survives: the calls one order can
cause are still its lifetime divided by the sweep interval, a handful, not an
open-ended poll. Worst case for a failed notification drops from ~30 minutes to
~5; an order the customer is still paying for is left alone.

Tests: the foreign-sender test is replaced by the two properties that now carry
the load — a notification naming an unknown order makes no provider call at all,
and a genuine notification is honoured whatever address it appears to come from.
Plus one pinning that a seconds-old order is not polled.

The shared bundle budget goes 31 -> 32 KB, with the reason recorded in the
script header: every user-visible string lands in that chunk and it had been
sitting 40 bytes under the cap.

Decisions D48 and D49 revised.

docs/PAYMENTS_ru.md

@@ -254,17 +254,25 @@ durable).
 действовать по содержимому тела нельзя. Оно лишь называет платёж, который сервер затем перечитывает
 запросом `GET /v3/payments/{id}`; доверяем только этому ответу. На нём же держатся две проверки:
 метаданные платежа должны называть тот самый заказ, а его флаг `test` — совпадать с флагом магазина,
-поэтому платёж тестового магазина никогда не начислит настоящие Фишки (и наоборот). В качестве
-эшелонированной защиты — и чтобы подделыватель не превращал каждое фальшивое уведомление в наш
-исходящий запрос — адрес отправителя сперва сверяется с опубликованными диапазонами ЮKassa. Ответ
-сообщает провайдеру, повторять ли доставку: 200 на всё, что решено окончательно, включая дубль и
-неустранимый отказ, и 5xx только на временный сбой (ЮKassa повторяет доставку 24 часа).
+поэтому платёж тестового магазина никогда не начислит настоящие Фишки (и наоборот). Ответ сообщает
+провайдеру, повторять ли доставку: 200 на всё, что решено окончательно, включая дубль и неустранимый
+отказ, и 5xx только на временный сбой (ЮKassa повторяет доставку 24 часа).
 
-**Сверка на истечении заказа (D49).** Постоянного опроса нет. Но безвозвратно потерянное уведомление
-оставило бы деньги списанными, а Фишки — не выданными, и молча. Поэтому уже существующий жнец
-просроченных заказов спрашивает у провайдера судьбу каждого заказа, который дожил до своего срока с
-идентификатором платежа, и начисляет те, что на самом деле оплачены. Один запрос на заказ за всю его
-жизнь.
+Адрес отправителя **не проверяем** (ревизия D48). Безопасности это не добавляет — вся граница доверия
+в подтверждающем чтении, — а единственное, что такая проверка давала (чтобы подделыватель не
+превращал каждое фальшивое уведомление в наш исходящий запрос), уже обеспечено раньше и жёстче: заказ
+находится по метаданным **до** любого обращения к провайдеру, поэтому идентификатор, которому не
+соответствует ни один заказ, стоит одного чтения по индексу и на этом всё, а угадать живой order_id —
+значит угадать uuid. Вдобавок проверка адреса вредна везде, где развёртывание не видит настоящих
+адресов клиентов (контур за туннелем видит только свой), — там она отбивает настоящие уведомления.
+
+**Сверка с коротким шагом (ревизия D49).** Бесконечного опроса нет, но проверка **не привязана** к
+времени жизни заказа: оно отвечает на вопрос «сколько покупателю позволено думать», а не «как быстро
+мы должны заметить потерянный колбэк». Связав их, мы заставили бы покупателя ждать Фишки всё время
+жизни заказа всякий раз, когда ломается доставка уведомлений. Вместо этого жнец спрашивает провайдера
+о каждом незакрытом заказе старше минуты, у которого есть идентификатор платежа, и начисляет реально
+оплаченные. Число запросов на один заказ при этом ограничено его временем жизни, делённым на шаг
+жнеца, — единицы, — а сбой основного пути стоит минут, а не получаса.
 
 **Об отклонённой оплате сообщаем.** `payment.canceled` от ЮKassa пишет событие `failed`, поэтому
 покупатель узнаёт, что попытка не прошла, вместо разглядывания неменяющегося баланса. Просто