Этап 0 п.3: безопасность-минимум (trust-all off в release, шифрование пароля, allowBackup, ревокация)

1. trust-all TLS отключён в release: гейт if(!BuildConfig.DEBUG) в UnsafeSsl +
   OfficeWebViewClient + TalkCallActivity; чекбокс скрыт в release. buildConfig
   включён в core:network и feature:talk.
2. allowBackup=false (tools:replace поверх vendor true).
3. app password шифруется в покое AndroidKeystore AES-256-GCM (KeystoreCrypto),
   AuthStore мигрирует legacy-plaintext при первом load. Биометрия — отдельная
   задача (ломает фоновые push/звонки, нужен кэш в памяти).
4. Ревокация app password при logout (AppPasswordRevoker, DELETE core/apppassword,
   best-effort).

Проверено: assembleRelease 53 МБ, подпись v2+v3, allowBackup=false в манифесте OK.

core/network/build.gradle

@@ -10,6 +10,9 @@ android {
     defaultConfig {
         minSdk 26
     }
+    buildFeatures {
+        buildConfig true   // нужен BuildConfig.DEBUG для гейта trust-all TLS (только debug)
+    }
     compileOptions {
         sourceCompatibility JavaVersion.VERSION_17
         targetCompatibility JavaVersion.VERSION_17

core/network/src/main/java/ru/forbion/f7cloud/core/network/UnsafeSsl.kt

@@ -8,6 +8,10 @@ import javax.net.ssl.TrustManager
 import javax.net.ssl.X509TrustManager
 
 internal fun OkHttpClient.Builder.applyUnsafeSslIfNeeded(trustAllCerts: Boolean): OkHttpClient.Builder {
+    // trust-all (доверие любому TLS-сертификату) — ТОЛЬКО в debug-сборках. В release флаг
+    // игнорируется полностью, даже если сохранён в старой сессии (защита от MITM). Реальные
+    // тенанты F7 имеют валидный TLS; для self-signed — отдельная задача (пиннинг/user-CA).
+    if (!BuildConfig.DEBUG) return this
     if (!trustAllCerts) return this
     val trustAll = arrayOf<TrustManager>(
         object : X509TrustManager {