ci: единый staged→tested→published путь установочных ассетов (#540)

`release-zip.yml` выкладывал `houseplan.zip` в ту же секунду, когда релиз
становился публичным — до Validate, Full Performance и E2E; `release.yml`
параллельно пересобирал `houseplan-card.js`, а E2E требовал публичного ZIP,
чтобы вообще начаться. Публикаторов было четыре, порядок — ни одного.

Теперь публикатор стабильных один — `release.yml`: закрепить SHA → релиз в
черновике (опубликованный руками немедленно возвращается в черновик) → гейты
на SHA (трейлер `Release: <tag>`, контракт `--stable`, Validate, Full
Performance, E2E на коммите-кандидате через tarball codeload) → одна сборка,
`git archive` ZIP из того же дерева, `SHA256SUMS` → загрузка в черновик →
публикация → скачать публичное и сверить с паспортом → анонс. Dispatch на
публичный тег — ремонт: догружается только недостающее, расходящийся хеш —
отказ. Беты кладут тот же паспорт; локальный публикатор больше не ждёт
републикаторов — их нет.

- `.github/workflows/release-zip.yml` удалён
- `scripts/release-assets.mjs` — паспорт ассетов (`sums`/`check`), чистые
  функции под юнитами
- `scripts/e2e-gate.mjs --ref=<sha>` — под тестом кандидат, `--tag` только
  для выбора `upgrade_from`
- `scripts/release-contract.mjs --stable`
- мутанты: независимый публикатор, снятая зависимость от гейта, релиз без
  возврата в черновик, `--clobber` в ремонте, E2E на теге, слепой паспорт

Issue: #540
User-Visible: no

PROCESS.md

@@ -704,8 +704,10 @@ demo/docs/capture.mjs`, коммит вместе с задачей.
 
 **Гейт стабильного релиза:** полный локальный прогон плюс Validate и Full
 Performance зелёные на точном SHA, плюс зелёный E2E на реальном Home Assistant:
-`release.yml` сам запускает `e2e.yml` в `houseplan-e2e` на теге и ждёт его
-зелёного (#514); статусов issue не касается.
+`release.yml` сам запускает `e2e.yml` в `houseplan-e2e` на SHA кандидата и ждёт
+его зелёного (#514, #540); установочные ассеты публикуются только после всех
+гейтов и только этим workflow — релиз, опубликованный руками, возвращается в
+черновик до их прохождения (#540); статусов issue не касается.
 
 ---