docs: document all changes and web-console plan

- doc/progress.md: funcs global service v0.1.x, URLs, next steps
- doc/decisions/log.md: storage architecture, funcs service decision, web-console plan
- doc/api/design.md: current + planned endpoints (/source, PATCH trigger)
- doc/architecture/overview.md: funcs-service component, S3 storage diagram

doc/api/design.md

@@ -1,5 +1,7 @@
 # API Design
 
+Последнее обновление: 2026-03-18
+
 ## Базовый URL
 
 ```
@@ -7,15 +9,37 @@ http://<operator-host>:9090/v1
 ```
 
 Локально: `http://localhost:9090/v1`
-В кластере (будущее): `http://sless-operator.sless.svc.cluster.local:9090/v1`
+В кластере: `http://sless-operator.sless.svc.cluster.local:9090/v1`
+Публично: `https://sless.kube5s.ru/v1/...` (через Ingress)
 
-**Реализовано** (текущий namespace-aware формат):
+**Реализованные эндпоинты:**
 
 ```
-/v1/namespaces/{namespace}/functions[/{name}]
-/v1/namespaces/{namespace}/functions/{name}/upload
-/v1/namespaces/{namespace}/triggers[/{name}]
-/v1/namespaces/{namespace}/functions/{name}/invocations
+GET    /v1/namespaces/{ns}/functions
+POST   /v1/namespaces/{ns}/functions
+GET    /v1/namespaces/{ns}/functions/{name}
+DELETE /v1/namespaces/{ns}/functions/{name}
+POST   /v1/namespaces/{ns}/functions/{name}/upload
+GET    /v1/namespaces/{ns}/triggers
+POST   /v1/namespaces/{ns}/triggers
+GET    /v1/namespaces/{ns}/triggers/{name}
+DELETE /v1/namespaces/{ns}/triggers/{name}
+GET    /v1/namespaces/{ns}/functions/{name}/invocations
+```
+
+**Запланированные эндпоинты (ветка feat/web-console):**
+
+```
+GET    /v1/namespaces/{ns}/functions/{name}/source    ← НОВЫЙ: код из S3 zip
+PATCH  /v1/namespaces/{ns}/triggers/{name}            ← НОВЫЙ: enable/disable триггера
+```
+
+**Глобальный сервис funcs (не оператор):**
+
+```
+GET    https://sless.kube5s.ru/funcs/<namespace>      ← без токена, plain text / HTML
+GET    https://sless.kube5s.ru/funcs?token=<jwt>      ← с токеном
+GET    https://sless.kube5s.ru/health                 ← liveness probe
 ```
 
 ## Аутентификация
@@ -24,6 +48,11 @@ http://<operator-host>:9090/v1
 Authorization: Bearer <cloud-token>
 ```
 
+Токен — JWT от `auth-api`. Middleware в операторе:
+1. Извлекает `sub` из payload (без проверки подписи — доверяет Ingress)
+2. Вычисляет namespace: `SHA256(sub)[:8]` hex → `sless-{16 hex символов}`
+3. Проверяет что запрошенный `{namespace}` совпадает с вычисленным
+
 ## Ресурсы
 
 ### Functions