fix(nl-vds-3xui): apply Reality dest fix + rotate creds (server-side done)

Per user "и то и другое":
- Reality 443 dest www.intel.com -> www.microsoft.com (x-ui.db + restart),
  verified end-to-end tunnel through real :443 (SNI microsoft) -> HTTP 204.
  ML-DSA-65 kept. Plain VLESS 32030 unaffected (xray restarted, listening).
- Rotated leaked creds: root SSH password, panel username+password (bcrypt),
  panel JWT secret (kills install API token + sessions). New creds in
  pass nl-vds-3xui/full-env; old SSH pass now rejected; db backed up on server.
- Remaining client-side: user sets v2rayN profile pqmkayaxo2 SNI -> microsoft.

Task fix-nl-vds-reality-pq-dest -> 🟡 (awaiting client-side + confirm).

Co-Authored-By: Claude Opus 4.8 (1M context) <noreply@anthropic.com>

.tasks/fix-nl-vds-reality-pq-dest.md

@@ -1,6 +1,6 @@
 # fix-nl-vds-reality-pq-dest
 
-**Status:** ready (awaiting user "чини")
+**Status:** 🟡 server-side done 2026-06-05 — awaiting client-side SNI change + user confirm
 **Created:** 2026-06-05
 
 ## Проблема
@@ -22,6 +22,13 @@ ML-DSA-65 (post-quantum REALITY) × dest/SNI `www.intel.com` (Akamai, не по
 - v2rayN профиль `pqmkayaxo2` (Reality 443) подключается, трафик идёт.
 - Plain VLESS 32030 продолжает работать.
 
+## Done 2026-06-05 (server-side, по команде user "и то и другое")
+- ✅ Reality dest `www.intel.com:443`→`www.microsoft.com:443` + serverNames→`["www.microsoft.com"]` (правка `x-ui.db` id=1 + `x-ui restart`). Проверено сквозным тоннелем (temp-клиент → реальный `:443`, SNI microsoft, uuid 5da48418+vision+mldsa65Verify) → **HTTP 204**. 32030 жив.
+- ✅ Креды ротированы (оригиналы были в плейнтексте): root SSH pass (новый работает, старый Access denied), panel username+password (CLI `x-ui setting`, bcrypt в БД), panel `secret` JWT (убил install API token/сессии). Всё в `pass nl-vds-3xui/full-env`. БД-бэкап `/root/x-ui.db.bak.20260605_083658`.
+
+## ⏳ Остаётся (client-side, делает user)
+В v2rayN профиль `pqmkayaxo2`: **SNI** `www.intel.com` → `www.microsoft.com`, save, переподключиться → должно подняться. (Не правил guiNDB.db: v2rayN держит активное соединение.) После подтверждения — закрыть таску 🟢.
+
 ## Where I stopped
-Диагностика завершена (read-only, сервер не тронут). Жду команды user на применение fix.
+Server-side fix + ротация применены и проверены. Жду от user: смену SNI в v2rayN + подтверждение, что профиль Reality поднялся.
 <!-- created-by: vitya@.admin-exec / 2026-06-05 / trigger: user-задача "не получается vless+Reality" -->