Docs and requirements: signing key replaced and shared Redis cache are live; pin dependency versions

- CLAUDE.md: status block for 2026-10-07 (what changed on the server, how it was checked, what was not).
- docs/security-before-production.md: signing key, shared cache and unit DEBUG items moved to the guard table.
- requirements.txt: ranges replaced by the versions running on the server (pip freeze, 2026-10-07).

Co-Authored-By: Claude Sonnet 5.5 <noreply@anthropic.com>

requirements.txt

@@ -10,16 +10,17 @@ whitenoise==6.11.0
 gunicorn==26.2.0
 # وابستگیِ غیرمستقیمِ requests و qdrant-client؛ نسخه‌های پایین‌تر آسیب‌پذیریِ شناخته‌شده دارند
 # (GHSA-8988-9cw3-xx77، GHSA-vxq7-64xx-v4gw، GHSA-gh4c-6fx4-qh6g).
-urllib3>=2.8.0
+urllib3==2.8.0
 
+# نسخه‌ها همان‌هایی‌اند که روی سرور نصب بود (۲۰۲۶-۱۰-۰۷، pip freeze)؛ ارتقا یعنی عوض‌کردنِ عمدیِ یک خط.
 # RAG / AI tutor (اپ rag). کلاینت‌ها lazy import می‌شن؛ نبودِ این‌ها فقط
 # مسیرِ RAG رو از کار می‌ندازه، نه بقیه‌ی پروژه رو.
-openai>=1.40,<3
-qdrant-client>=1.12
+openai==2.54.0
+qdrant-client==1.19.0
 
 # فقط برای ingestِ PDF (اختیاری). pdf2image به poppler سیستمی نیاز داره
 # (macOS: brew install poppler). نبودشون فقط endpointِ /api/rag/ingest/pdf
 # رو با خطای صریح از کار می‌ندازه.
-pymupdf>=1.24
-pdf2image>=1.17
-pillow>=10
+pymupdf==1.28.2
+pdf2image==1.17.0
+pillow==12.3.0