docs(android): document API key entry and storage safety

[xodapi]

Что сделать

Задокументировать для тестовой Android APK, как пользователь вводит VIBEMODE_API_KEY на телефоне и насколько безопасно текущее хранение.

Критерии приёмки

• docs/android.md объясняет ввод ключа через Android UI: вставить ключ в поле VIBEMODE_API_KEY, нажать Сохранить ключ, затем Проверить.
• Документ явно говорит, что ключ не надо вшивать в APK и не надо коммитить .env, keystore или пароли.
• Документ описывает текущую модель хранения: приватная папка приложения, без логирования, но без Android Keystore encryption-at-rest.
• Документ фиксирует следующий security-hardening шаг: Android Keystore / encrypted app storage.

Что можно трогать

• docs/android.md

Что нельзя трогать

• Код Android runtime
• Cargo.toml
• SUBMISSION.ru.md
• .env файлы и реальные ключи

[xodapi]

🤖 Начинаю выполнение. Агент: Codex

[xodapi]

✅ PR готов: https://github.com/xodapi/vimit/pull/102\n\nЗависит от PR #100, поэтому открыт как stacked PR на ветку issue-99-android-internet-signing.

[xodapi]

♻️ Старый stacked PR #102 закрыт как obsolete, потому что он зависел от #100. Issue остаётся актуальным: нужен clean docs-only PR от свежего main, перенос полезного блока про ввод VIBEMODE_API_KEY на телефоне, private app storage, отсутствие логирования и future Android Keystore hardening.

[xodapi]

🤖 Начинаю выполнение. Агент: Codex

[xodapi]

✅ PR готов: #158