[endercodezz]

Closes #489

Поднимает версию до 0.4.3 и явно разрешает неподписанную упаковку Windows/macOS для точного тега refs/tags/v0.4.3. Это решение сопровождающего; постоянная подпись по-прежнему в #392. Исключение остаётся списком точных тегов, ReleaseWorkflowTests это проверяет.

• Directory.Build.props: 0.4.2 → 0.4.3. UI, app.manifest, Velopack --packVersion и nix/package.nix читают версию отсюда.

• signing-policy: добавлен github.ref == 'refs/tags/v0.4.3' в UNSIGNED. Гейты native-packages, package и release не менялись.

• docs/RELEASE_NOTES.md: раздел # BYDLO v0.4.3. Темы:

  • подписанный каталог обновлений (Проверять подлинность метаданных и пакетов до передачи обновления в Velopack #411);
  • согласия при первом запуске (Первый запуск: отдельные согласия на автообновления, уведомления и темы с GitHub #438);
  • тип установки и единые состояния обновления (Объединить состояния обновления и учитывать владельца установки #413, Сделать автообновления видимыми: прогресс, состояние и ручная установка #457, Pick up releases published soon after an empty update check #460);
  • OpenVPN 2.7.9 (Обновить OpenVPN до 2.7.9-I001 и перепроверить состав Windows/Unix-бандлов #420);
  • sing-box 1.14.4 (Update pinned sing-box to 1.14.4 #463, Reject the removed direct rule action in custom sing-box JSON #469, Move sing-box FakeIP IPv6 range out of ULA #470);
  • исправления AmneziaWG ([P2] AmneziaWG: гонка подписки на stdout теряет сигнал готовности #468, Fix AmneziaWG helper DNS verification (#466) #472, Support pinned AmneziaWG v3 fields safely (#467) #475, Bump AmneziaWG Go dependencies past advisory ranges #459);
  • журнал (Конвейер логов тормозит интерфейс при подробном выводе движков #357);
  • предпросмотр резервной копии (Backup: убрать расшифрованные секреты из предпросмотра #478) и лицензии (Обновить лицензии компонентов и упростить слоган #479).

  scripts/extract-release-notes.sh v0.4.3 извлекает только этот раздел.

• README, BUILD, CODE-SIGNING и шаблон баг-репорта приведены к 0.4.3. В BUILD отмечен 21-й asset releases-catalog.json.

Каталог обновлений в release-job подписывается секретом BYDLO_UPDATE_SIGNING_KEY: он уже задан, и его публичная часть совпадает с UpdateTrustRoots.CurrentPublicKeySpki. При несовпадении скрипт остановит релиз.

Проверено: scripts/check.ps1 с BYDLO_SAFE_DEV=1 — 1780 пройдено, 0 упало. Движки, установщики и сеть не запускались.

После вливания: developer → main, затем тег v0.4.3 на main запускает сборку черновика. В черновике --generate-notes дописывает «What's Changed».