feat(detmir): add rust-first operations tooling

docs/wiki/Server-Infrastructure.md

@@ -6,18 +6,37 @@
 
 ## `aw-prune-local-state.sh`
 
-Скрипт `aw-server/aw-prune-local-state.sh` устанавливается в:
+Команда `aw-server/aw-prune-local-state.sh` устанавливается в:
 
 ```text
 /usr/local/bin/aw-prune-local-state.sh
 ```
 
+Сейчас это Rust-first wrapper. Если доступен
+`/usr/local/bin/aw-prune-local-state-rust`, wrapper использует его; иначе
+fallback идет на legacy shell script из
+`/opt/activitywatch/aw-rus-ops/aw-prune-local-state.sh`.
+
 Назначение:
 
 - чистит старые backup-файлы в `{{ aw_server_data_dir }}/backups`;
 - отдельно удерживает последние DB backups и JSON backups;
 - удаляет временные архивы из `/tmp`: `activitywatch-*.zip`, `hayabusa-*.zip`, `aw-hayabusa-profiles.txt`;
 - удаляет временные WebUI/worktime artifacts старше одного дня: `aw-worktime-ui-bridge.py`, `views-default.json`, `apply_webui_ru_patch.out`.
+- чистит старые `browser-smoke` run-директории в
+  `{{ aw_server_data_dir }}/browser-smoke`, удерживая последние запуски.
+
+Rust binary по умолчанию работает в dry-run режиме. Production wrapper без
+аргументов запускает его с `--apply`, чтобы сохранить поведение systemd timer.
+
+Safety policy:
+
+- не удалять основную ActivityWatch SQLite DB;
+- не удалять rollback-critical backups: `switch-backups`, `before-rust`,
+  `rollback`;
+- не удалять корневые state-каталоги;
+- удалять только пути из явного allowlist: `backups`, `backups/db`,
+  `browser-smoke`, ограниченный набор временных файлов в `/tmp`.
 
 ## systemd unit и timer
 

docs/wiki/Windows-Collector-Suite.md

@@ -18,10 +18,10 @@
 
 ## Process events
 
-Новый флаг:
+Флаг:
 
 ```yaml
-aw_windows_process_events_enabled: true
+aw_windows_process_events_enabled: false
 ```
 
 Он попадает в deployment config как:
@@ -30,7 +30,7 @@ aw_windows_process_events_enabled: true
 sessionEvents.processEventsEnabled
 ```
 
-Когда флаг включен, Windows collector публикует process-level изменения в session events bucket. Это дает server-side слою больше контекста для active session detection и forensic review.
+По умолчанию флаг выключен во всех путях deploy/recovery: постоянная публикация process-level изменений в `aw-session-events_<host>` создает чрезмерный поток событий и быстро раздувает SQLite на AW server. Включать его следует только явно и временно для forensic/debug окна, после чего возвращать `false`.
 
 ## Localized Administrator