Stage 10: admin console & dictionary ops (complaint review, hot-reload, broadcasts)

Server-rendered admin console in the backend at /_gm (internal/adminconsole),
fronted on the gateway's public listener by Basic-Auth + a verbatim reverse proxy
(mounted on the edge mux below the h2c wrap). A same-origin check guards its POSTs;
no operator identity is tracked. This supersedes the Stage 6 gateway-fronts-
/api/v1/admin model: GATEWAY_ADMIN_ADDR and the backend /api/v1/admin ping are
dropped and gateway/internal/admin is repurposed to the verbatim proxy.

- Complaints: migration 00008 (+ jetgen) adds disposition/resolution_note/
  resolved_at/applied_in_version + the deferred status CHECK; resolution feeds a
  query-derived pending dictionary-change pipeline (marked applied after a reload).
- Dictionary hot-reload: per-version subdir BACKEND_DICT_DIR/<version>/ via the new
  Registry.LoadAvailable; engine.OpenWithVersions restores resident versions on
  restart. Partially addresses TODO-2.
- Broadcasts: a backend Telegram-connector client (internal/connector,
  BACKEND_CONNECTOR_ADDR) for SendToUser / SendToGameChannel (discharges the Stage 9
  forward-note).
- Admin reads: account.ListAccounts/CountAccounts/Identities and
  game.ListGames/CountGames/GameByID/ListComplaints/GetComplaint/CountComplaints/
  ResolveComplaint/DictionaryChanges/MarkChangesApplied.
- Tests: adminconsole render, engine reload, same-origin guard, gateway verbatim
  proxy + h2c console mount, inttest complaint pipeline + list/count + /_gm console.
- Docs: PLAN (Stage 10 done + refinements + TODO-2), ARCHITECTURE §1/§5/§6/§12/§13,
  FUNCTIONAL (+_ru), TESTING, backend/gateway READMEs.

docs/FUNCTIONAL_ru.md

@@ -113,5 +113,14 @@ push доставляется через платформу.
 ход, уже включающий все образованные им слова и бонус за все фишки).
 
 ### Администрирование *(Stage 10)*
-Админ (Basic Auth на gateway) разбирает жалобы на слова, управляет версиями
-словаря, смотрит пользователей/игры.
+Оператор открывает серверную админ-консоль по адресу `${DOMAIN}/_gm` — её рендерит
+backend; gateway закрывает её HTTP Basic Auth на публичном порту и проксирует
+один-в-один. В консоли можно смотреть **пользователей** (профиль, статистика,
+identity, их игры) и **игры** (сводка + места), разбирать **очередь жалоб на слова** —
+закрывая каждую как reject / accept-add / accept-remove — и управлять **словарём**:
+резидентные версии по вариантам, **горячая перезагрузка** новой версии из
+`BACKEND_DICT_DIR/<version>/` и **список ожидающих правок**, выведенный из принятых
+жалоб (он питает офлайн-пересборку и отмечается применённым после перезагрузки). Если
+подключён Telegram-коннектор, оператор также может **написать пользователю** (по его
+Telegram-identity) или **отправить пост в игровой канал**. Изменяющие действия
+защищены проверкой same-origin; личность оператора не отслеживается.