Пуши на iOS: sub уезжал как mailto:mailto:, Apple отвечал BadJwtToken

webpush-go в getVAPIDAuthorizationHeader приписывает "mailto:" всему,
что не начинается с "https:". В /etc/bare/env лежит правильная по
спецификации VAPID форма mailto:admin@xmatic.team, и в JWT уходил
sub = mailto:mailto:admin@xmatic.team. Apple отвергал токен, пуши
не работали ни разу за всё время.

Проверено экспериментом на живом endpoint: mailto:<адрес> → 201,
https://<хост> → 201, mailto:mailto:<адрес> → 403 BadJwtToken,
голый адрес без схемы → 403. Значит убрать схему из конфига нельзя:
адаптируется код, а не операционный файл.

Субъект нормализуется один раз при создании отправщика, форма
BARE_VAPID_SUBJECT проверяется при старте — негодное значение валит
запуск с понятной ошибкой, а не выключает пуши молча.

ADR-064: в журнал пишется код причины от push-сервиса. Без него отказ
был неотличим от любого другого 403, и дефект прожил незамеченным
весь этап 4 и всю закалку. Адрес подписки в журнал по-прежнему
не попадает: наружу идёт только короткий код из латиницы и цифр.

Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_015DbCjVfTFq4ZFG8juD45YJ

internal/config/config.go

@@ -68,9 +68,47 @@ func Load() (*Config, error) {
 			return nil, fmt.Errorf("%s пуст: уберите переменную, чтобы взять значение по умолчанию, или задайте непустое", v.key)
 		}
 	}
+	if err := checkVAPIDSubject(c); err != nil {
+		return nil, err
+	}
 	return c, nil
 }
 
+// checkVAPIDSubject проверяет форму VAPID-субъекта при старте. Ошибка
+// в нём иначе не видна вовсе: сервер поднимается, подписки ставятся,
+// а push-сервис отвергает каждый токен — «пуши не приходят» без единой
+// строки о причине. Отказ на старте дешевле.
+//
+// Годится ровно то, что допускает RFC 8292: «mailto:<адрес>» или
+// «https://<хост>» (docs/deploy.md).
+func checkVAPIDSubject(c *Config) error {
+	if c.VAPIDSubject == "" {
+		// Без ключей пуши и так выключены — это рабочий локальный запуск.
+		// А вот ключи без субъекта означают, что настроить пуши хотели
+		// и не настроили.
+		if c.VAPIDPublic == "" && c.VAPIDPrivate == "" {
+			return nil
+		}
+		return fmt.Errorf("BARE_VAPID_SUBJECT пуст при заданных VAPID-ключах: нужен mailto:<адрес> или https://<хост>")
+	}
+	bad := fmt.Errorf("BARE_VAPID_SUBJECT=%q не годится: нужен mailto:<адрес> или https://<хост>", c.VAPIDSubject)
+	if addr, ok := strings.CutPrefix(c.VAPIDSubject, "mailto:"); ok {
+		local, domain, at := strings.Cut(addr, "@")
+		if !at || local == "" || domain == "" || strings.ContainsAny(addr, " \t") {
+			return bad
+		}
+		return nil
+	}
+	if rest, ok := strings.CutPrefix(c.VAPIDSubject, "https://"); ok {
+		host, _, _ := strings.Cut(rest, "/")
+		if host == "" || strings.ContainsAny(rest, " \t") {
+			return bad
+		}
+		return nil
+	}
+	return bad
+}
+
 func env(key, fallback string) string {
 	if v, ok := os.LookupEnv(key); ok {
 		return strings.TrimSpace(v)