ci: trusted releases and SignPath readiness / доверенные релизы

[OneDeadMachine-Dev]

Русский

Что изменено

• добавлены двуязычные политики конфиденциальности, безопасности и подписи кода;
• зафиксированы отсутствие телеметрии, локальное хранение отчётов и правила обработки credentials;
• добавлены CODEOWNERS и безопасный beta issue template;
• исправлены канонические ссылки репозитория;
• добавлен tag-driven Release workflow: строгая сборка, тесты, NuGet audit, portable publish, origin artifact, опциональная SignPath-подпись, Authenticode/timestamp verification, подпись known-issues catalog, SHA-256 и GitHub Release;
• подготовлены двуязычные release notes v3.0.0.

Почему

Это создаёт воспроизводимую цепочку выпуска до подачи W-Fix в SignPath Foundation и не позволяет случайно опубликовать неподписанную сборку как подписанную. До подключения SignPath workflow явно маркирует unsigned-путь.

Проверки

• actionlint для CI и Release workflow;
• Release build с -warnaserror: 0 предупреждений, 0 ошибок;
• 29/29 тестов;
• NuGet vulnerability report: уязвимых пакетов нет.

English

Changes

• added bilingual privacy, security, and code-signing policies;
• documented the no-telemetry model, local report storage, and credential handling;
• added CODEOWNERS and a privacy-aware beta issue template;
• fixed canonical repository links;
• added a tag-driven Release workflow with strict build, tests, NuGet audit, portable publish, origin artifact upload, optional SignPath signing, Authenticode/timestamp verification, known-issues catalog signing, SHA-256 generation, and GitHub Release publication;
• prepared bilingual v3.0.0 release notes.

Why

This establishes a reproducible release chain before the SignPath Foundation application and prevents an unsigned binary from being presented as signed. Until SignPath is configured, the workflow explicitly follows the unsigned path.

Validation

• actionlint passed for CI and Release workflows;
• Release build with -warnaserror: 0 warnings, 0 errors;
• 29/29 tests passed;
• NuGet vulnerability report found no vulnerable packages.