infra(process): bundle and review index change only on the way to dev (#657)

Решения владельца: 1б — индекс ревью не пересобирается в ветке задачи,
только коммитами, идущими в dev; 2б — бандл меняет только кандидат
беты/релиза, стенд dev берёт его из артефакта Validate.

- scripts/bundle-policy.mjs: коммит, трогающий dist/** или
  custom_components/houseplan/frontend/**, обязан нести Release:
  (хук commit-msg и история в CI через validate-commit-provenance;
  коммиты с датой автора до 2026-09-27 не судятся); --verify судит
  целостность свежей сборки всегда, побайтовую сверку с закоммиченной
  копией — только на коммите, меняющем бандл, или кандидате; --clean.
- release-prerelease: публикация отказывает, если отпечаток исходников
  в закоммиченном манифесте не равен отпечатку дерева (хотфикс поверх
  кандидата без пересборки).
- bundle-sync: по умолчанию только demo/srv/assets; --release
  (npm run bundle:release) — ещё и custom_components.
- rebase-on-dev: конфликт в бандле берёт копию dev, без пересборки
  и amend.
- validate.yml: job dev_build публикует card-bundle головы dev в
  сиротскую ветку dev-build (scripts/dev-build.mjs); стенд накладывает
  её demo/stand/update-dev-bundle.sh.
- _process.yml: индекс ревью больше не пересобирается при приведении
  к dev и при публикации документа в ветку задачи.
- golden-wsl-artifact/golden-container: сборка перед съёмкой не
  считается правкой источника, после — bundle:clean.
- test/bundle-tree-committed: судит закоммиченный снимок, не диск.
- 11 мутантов в реестре; PROCESS/AGENTS/DEVELOPMENT/AUTHOR/REVIEWER.

Issue: #657
User-Visible: no

docs/process/AUTHOR.md

@@ -131,11 +131,14 @@
 ## Гейты перед хендоффом
 
 - Минимальный набор по изменённым поверхностям: `npx tsc --noEmit`,
-  `npm test`, `npm run build` со сверкой копий бандла, `smoke-select` и
+  `npm test`, `npm run build` + `bundle-policy --verify`, `smoke-select` и
   целевые смоки, `no-new-any`; по диффу — `golden:verify`, `check-docs`,
   `model-invariants`, `pytest tests_backend`, junction parity. Команды —
   в каноне ([§8](../../PROCESS.md#8-гейты)); `npm run gate:small` собирает
   обязательную часть (`AGENTS.md`, «Gates»).
+- Бандл в коммит задачи не идёт: сборка переписывает отслеживаемый `dist/`,
+  перед коммитом — `npm run bundle:clean`; хук `commit-msg` отклоняет пути
+  бандла без трейлера `Release:` (#657, [§1](../../PROCESS.md#1-основное-правило)).
 - Новый код не добавляет `any`: гейт судит добавленные строки; исключение —
   `// any-ok: <конкретная причина>` на той же строке
   ([§8](../../PROCESS.md#8-гейты)).

docs/process/REVIEWER.md

@@ -71,7 +71,7 @@
 
 ## Объём гейтов
 
-- Всегда: `typecheck`, `npm test`, `npm run build` со сверкой копий бандла; при
+- Всегда: `typecheck`, `npm test`, `npm run build` + `bundle-policy --verify` (копии сверяются только на кандидате, #657); при
   диффе по `src/**` — ещё `node scripts/check-docs.mjs`. Зелёный Validate на
   SHA материала подтверждает дешёвые гейты ([§8](../../PROCESS.md#8-гейты)).
 - По диффу и AC: смоки — названные в AC плюс вывод