SecureStorageBackend: scope-bound с migration legacy -> tenant

## Что это SecureStorageBackend scope-bound (tied to BrandedWorkspaceScope). Миграция legacy-secrets под новый scope, delete-both на безопасных переходах. Encrypted with per-tenant HKDF key. ## Зачем Migration «без потерь» — это компромисс, который ломает изоляцию. Delete-both делает миграцию атомарной: либо новый scope успешно зашифровал, либо никто. ## Источники вдохновения - [trailbaseio/trailbase](https://github.com/trailbaseio/trailbase) — secure storage - [anomalyco/openauth](https:// ## 🔗 Linear - [PZD-275](https://linear.app/kuhjie/issue/PZD-275) (match confidence: 0.458)