Rate-limits этап 3: per-token тиры, trusted-пул, A1-фикс

Финальный этап гибких rate-limits (gateway). Читает rl:cfg:, применяет тир техтокенам, роутит их в изолированный trusted httpx-пул (300с, нет 504), identity всегда f:<token_fp> (A1 закрыт, jti только для rl:cfg), удалена privileged-логика, публикация gateway:services. baseline 120/60с. Правки по code-review/security: A1 для техтокенов, устойчивость resolve_rate. 233 теста зелёные локально.