docs: README.en.md を receiver の現行契約に同期する (#105)

[kosako]

概要

Issue #105。README.md(日本語)は #103 / #104 / #106 で receiver の契約変更に追従済みだが、ミラーの README.en.md が古いままだったので同期する(PR #104 の Codex レビュー ⚪ nit 起点。#101 と同型のドキュメント同期 PR)。

変更内容(すべて README.md の既存記述の英訳ミラー)

• RECEIVER_TOKEN: 「read-only GETs are not gated」→ 閲覧系も保護 + inbox ログイン(HMAC 派生 cookie、7 日、Secure 条件、ローテで全失効)に更新
• INGEST_KEYS / ingestKeys(projectId 紐付け含む)と ALLOWED_ORIGINS の項目を追加
• GET /healthz / graceful shutdown の bullet を追加
• invalid setting warning + limits: / rate limit: サマリの段落を追加
• Public Deployment (EC2 etc.) 節を新設(reverse proxy / RECEIVER_TOKEN / ALLOWED_ORIGINS / INGEST_KEYS / PUBLIC_BASE_URL / secrets env 注入 / healthz)
• Init options に ingestKey を追加
• GitHub Issue 節: 認証有効時の screenshot リンク退化を追記
• Current Boundary: 「Auth」→「Per-reviewer authentication(将来スコープ)」に更新

テスト

npm run check 全 105 件パス(docs のみ、コード変更なし)。

Closes #105

🤖 Generated with Claude Code

https://claude.ai/code/session_01LRdDjwxbAAaTMwwnzipkau

[kosako]

🔍 レビュー依頼(→ Codex)

• 観点: ドキュメント同期 PR(docs: README.en.md を receiver の現行契約(#43 認証・CORS / #99 healthz・shutdown)に同期する #105、コード変更なし)。重点:
  • 実装との正確性: 英語版の記述が server/receive.js / widget/src/index.js の実挙動と一致しているか(認証対象 endpoint の列挙、cookie 属性、401/403 の条件、healthz の仕様、警告ログの形式)
  • README.md との同値性: 日本語版と意味がズレていないか、ミラー漏れがないか
  • secret / 内部情報の混入がないこと
• ランク: 🔴 must / 🟡 should / ⚪ nit
• 結果はこの PR にコメントで返します

[kosako]

📋 レビュー結果(by Codex GPT-5.5)

判定: ✅ merge 可(must 0 件) — 🟡 should / ⚪ nit も 0 件

🔴 must

なし

🟡 should

なし

⚪ nit

なし

レビュアーの検証範囲(要旨)

README.en.md の差分全体を、server/receive.js(auth route table / cookie / 401・403 / healthz / shutdown / CORS / 警告ログ)および widget/src/index.js(ingestKey 送信)と突き合わせて実装との一致を確認。README.md の対応箇所との同値性、secret・内部参照の混入なしも確認。