refactor: сертификат и ключ в каталоге secrets/, один параметр на каталог

Локально путь к сертификату вёл в ~/Downloads у каждого свой, а в контейнере
задавался двумя отдельными переменными. Теперь каталог один и подменяется
целиком через SECRETS_DIR: по умолчанию secrets/ в корне репозитория, в
контейнере /certs (смонтированный каталог с хоста, GRAPH_CERT_DIR не меняется).

Имена файлов внутри фиксированы, поэтому GRAPH_CERT_PATH и GRAPH_KEY_PATH
больше не нужны. Содержимое secrets/ в .gitignore, кроме README.

Отсутствие файлов теперь даёт понятную ошибку вместо ENOENT — на свежем
клоне это основной сценарий отказа.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

server/.env.example

@@ -1,13 +1,13 @@
-# Локальный запуск: скопируйте в server/.env и подставьте свои пути к сертификату.
-# На проде эти переменные задаёт docker-compose (см. docker-compose.yml), .env там свой.
+# Локальный запуск: скопируйте в server/.env.
+# На проде эти переменные задаёт docker-compose (см. docker-compose.yml).
 
 GRAPH_TENANT_ID=b4c2af35-bfd6-4cff-9af9-556efb53e65a
 GRAPH_CLIENT_ID=26d2e058-0b27-4a00-b49f-1f17c4eecd1d
 
-# Сертификат и приватный ключ приложения — в git не хранятся, взять у администратора.
-GRAPH_CERT_PATH=C:/path/to/SPFxDeploy_cert.pem
-GRAPH_KEY_PATH=C:/path/to/SPFxDeploy_key.pem
-
 # 3000 занят vite (см. vite.config.ts), поэтому локально сервис слушает 3100 —
 # именно туда проксирует /api из dev-сервера.
 PORT=3100
+
+# Каталог с сертификатом и ключом. По умолчанию — secrets/ в корне репозитория,
+# задавать нужно только чтобы подменить его на другой (см. secrets/README.md).
+# SECRETS_DIR=/path/to/secrets