docs: describe subgroup DM delivery, file keys and retention protocol

src/dm/dm_mailbox.h

@@ -7,9 +7,10 @@
  * Квитанция сохраняется отдельно для повторов PUT и доставки отправителю.
  *
  * Роль S — supernode=yes в подписанных adm_tags общей CHAT-группы A/B; storage её не заменяет.
- * При PUT от A в одной транзакции фиксируются сообщение и, для file, задание dm_mailbox_media.
+ * PUT фиксирует сообщение; независимый MEDIA_REQUEST регистрирует задание dm_mailbox_media.
  * Сервис ETCP_RT_ID_DM_MAILBOX (0x35); все пакеты подписаны router, числа native-endian:
- *   PUT=1 [recipient:8][message]; DELIVER=2 [message]; RECEIPT=3 [receipt:136]; STORED=4 [conv:8][seq:8].
+ *   PUT=1 [recipient:8][message]; DELIVER=2 [message]; RECEIPT=3 [receipt:136]; STORED=4 [conv:8][seq:8][recipient:8].
+ *   MEDIA_REQUEST=5 [recipient:8][file-message]; ACK текста не отменяет потребность в файловом хранилище.
  * STORED подтверждает запись на S, только подписанная B квитанция подтверждает доставку сообщения.
  * Текст не имеет TTL. Таймер 1с обрабатывает до 32 задач с retry_at через 5с.
  * Входные буферы заимствуются на время вызова; их копией в пакете/SQLite владеет соответствующий owner.

src/dm/dm_media.h

@@ -30,9 +30,10 @@ int dm_media_metadata_decode(const uint8_t* data, size_t size, struct attachment
 
 /* ETCP_RT_ID_DM_MEDIA=0x38: [cmd:1][body], router-подпись обязательна; числа native-endian.
  * OFFER: [recipient:8][holder:8][expires:8][каноническое file-сообщение]. A предлагает себя с expires=0.
- * STORE: [recipient:8][file-сообщение] от S к M; STORED: [UUID:16][expires:8].
- * RECEIPT/DELETE: ["DMFILE01":8][conv:8][seq:8][author:8][recipient:8][UUID:16][SHA256(message):32][sig_B:64].
- * B подписывает первые 88 байт; DELETE переносит ту же квитанцию, не создаёт новую.
+ * STORE: [recipient:8][file-сообщение] от S к M; STORED/RESERVED: [UUID:16][expires:8][delete_on_open:1].
+ * RECEIPT/DELETE: [domain:8][conv:8][seq:8][author:8][device:8][UUID:16][SHA256(message):32][sig:64].
+ * FILE_RECEIVED: DMFILE01/DMFILEG1; TAKEN: DMTAKE01/DMTAKEG1 для DEVICE/GROUPS.
+ * Устройство подписывает первые88 байт; DELETE переносит проверенный факт, M применяет свою сохранённую политику.
  * DELETE_ACK/EXPIRED: [UUID:16]; REJECT: [UUID:16][reason:1], reason=1 — недостаток квоты.
  * EXPIRED завершает промежуточное хранение, а не подтверждает доставку B. */
 #define DM_MEDIA_OFFER      1