auth: вход по логину/паролю от веб-админки роутера + сессионные токены

- auth.py: NDM-аутентификация (md5+sha256 challenge) к http://ROUTER_HOST/auth
- Сессионные токены (secrets, TTL 8ч, скользящее окно), заголовок X-Session-Token
- WEB_PASSWORD остаётся как запасной мастер-пароль
- /api/login и /api/logout, форма входа в UI с полем «Логин»
- Шапка автора в UI: GitHub, Telegram, Boosty, Поддержать (Ozon СБП)
- README: NDM-флоу, переменные ROUTER_HOST/ROUTER_LOGIN/ROUTER_TIMEOUT
- install.sh копирует auth.py

install.sh

@@ -9,7 +9,7 @@ echo "==> Установка в $INST"
 
 mkdir -p "$INST/data" /opt/var/run /opt/var/log 2>/dev/null || mkdir -p "$INST/data"
 
-for f in app.py brand.py executor.py runner.py store.py requirements.txt run.sh; do
+for f in app.py auth.py brand.py executor.py runner.py store.py requirements.txt run.sh; do
   cp -f "$ROOT/$f" "$INST/"
 done
 rm -rf "$INST/templates"