Mac DMG signing: full Apple Developer ID + notarization path

## Что это Сегодня macOS-сборка ROX.ONE — это unsigned DMG, и пользователи получают «cannot be opened because the developer cannot be verified». Workflow: 1. Купить Apple Developer ID ($99/год) 2. Решить SDK-mismatch (Electron 0.91 vs ^0.81) 3. Настроить notarization pipeline: hardened-runtime + entitlements + notary-staple 4. Nested Mach-O entitlements для бандлированных executable'ов (Rox Design embed, pi-subprocess) 5. CI: Apple-signed nightly + RC + GA 6. Verify-script на установке: spctl ## 🔗 Linear - [PZD-217](https://linear.app/kuhjie/issue/PZD-217) (match confidence: 0.36)