chore(openspec): archive shared-album and sync main specs

Move the completed shared-album change to
openspec/changes/archive/2026-10-10-shared-album/ and create the 8 main
specs (albums, auth, members, notifications, photos, realtime, share-links,
social) from the delta ADDED requirements.

openspec/specs/auth/spec.md

@@ -0,0 +1,47 @@
+# auth Specification
+
+## Purpose
+
+Регистрация и аутентификация пользователей по email и паролю с выдачей краткоживущих и долгоживущих JWT-токенов.
+
+## Requirements
+
+### Requirement: Регистрация пользователя
+Пользователь SHALL иметь возможность зарегистрироваться, указав email, пароль и имя. Пароль SHALL храниться в виде bcrypt-хэша.
+
+#### Scenario: Успешная регистрация
+- **WHEN** пользователь отправляет уникальный email, пароль и имя
+- **THEN** система создаёт учётную запись и возвращает access- и refresh-токены
+
+#### Scenario: Повторный email
+- **WHEN** пользователь регистрируется с уже занятым email
+- **THEN** система возвращает ошибку конфликта и не создаёт вторую запись
+
+### Requirement: Вход по email и паролю
+Пользователь SHALL иметь возможность войти, указав email и пароль.
+
+#### Scenario: Успешный вход
+- **WHEN** пользователь вводит верные email и пароль
+- **THEN** система возвращает access- и refresh-токены
+
+#### Scenario: Неверные учётные данные
+- **WHEN** пользователь вводит неверный email или пароль
+- **THEN** система возвращает 401, не раскрывая, какое именно поле неверно
+
+### Requirement: Обновление access-токена
+Пользователь SHALL иметь возможность обменять refresh-токен на новую пару токенов. Access-токен живёт 15 минут, refresh-токен — 30 дней.
+
+#### Scenario: Валидный refresh-токен
+- **WHEN** пользователь предоставляет действующий refresh-токен
+- **THEN** система выдаёт новый access-токен и ротирует refresh-токен
+
+#### Scenario: Недействительный refresh-токен
+- **WHEN** пользователь предоставляет истёкший или отозванный refresh-токен
+- **THEN** система возвращает 401
+
+### Requirement: Выход из системы
+Пользователь SHALL иметь возможность выйти, отозвав refresh-токен.
+
+#### Scenario: Выход
+- **WHEN** пользователь вызывает logout с действующим refresh-токеном
+- **THEN** система отзывает refresh-токен, и его дальнейшее использование отклоняется