refactor: сертификат и ключ в каталоге secrets/, один параметр на каталог

Локально путь к сертификату вёл в ~/Downloads у каждого свой, а в контейнере
задавался двумя отдельными переменными. Теперь каталог один и подменяется
целиком через SECRETS_DIR: по умолчанию secrets/ в корне репозитория, в
контейнере /certs (смонтированный каталог с хоста, GRAPH_CERT_DIR не меняется).

Имена файлов внутри фиксированы, поэтому GRAPH_CERT_PATH и GRAPH_KEY_PATH
больше не нужны. Содержимое secrets/ в .gitignore, кроме README.

Отсутствие файлов теперь даёт понятную ошибку вместо ENOENT — на свежем
клоне это основной сценарий отказа.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

README.md

@@ -32,10 +32,10 @@ npm run dev
 так же, как nginx в проде (`nginx.conf`). Без запущенного `[auth]` отправка
 формы отдаёт 500 от прокси.
 
-Сервису нужен `server/.env` с сертификатом Azure AD — скопируйте
-[server/.env.example](server/.env.example) и подставьте свои пути. Сами
-`.pem`-файлы в git не хранятся, их надо взять у администратора. Подробнее —
-в [server/README.md](server/README.md).
+Сервису нужны две вещи: `server/.env` (скопируйте
+[server/.env.example](server/.env.example)) и сертификат Azure AD в каталоге
+[`secrets/`](secrets/README.md). Сами `.pem`-файлы в git не хранятся — их надо
+взять у администратора. Подробнее — в [server/README.md](server/README.md).
 
 Прочие команды: