heather: expose paseo as password-only daemon endpoint

hosts/heather/caddy.nix

@@ -33,15 +33,6 @@ let
     }
   '';
 
-  # paseo basicauth — внешний слой. Внутренний: парольная auth самого демона
-  # (PASEO_PASSWORD, /var/lib/paseo-secrets/paseo.env). Пароли в pass:
-  # iscg.dev/paseo/basicauth (caddy) и iscg.dev/paseo/daemon (paseo daemon).
-  paseoBasicAuth = ''
-    basicauth {
-      mikl $2a$14$4ZfTWjquFPOoKyq9NA.IJeX9y3lxQO1l0J7iXSnr/.8oqJoblM8jy
-    }
-  '';
-
 in {
   services.caddy = {
     enable = true;
@@ -134,9 +125,10 @@ Allow: /" 200
         reverse_proxy 127.0.0.1:30141
       '';
 
-      # paseo (self-hosted web UI для CLI-агентов, systemd paseo.service)
-      # Два слоя auth: basicauth (здесь) + парольная auth демона (PASEO_PASSWORD).
-      "paseo.iscg.dev".extraConfig = paseoBasicAuth + ''
+      # paseo daemon endpoint для desktop/mobile-клиентов.
+      # Basic Auth здесь намеренно нет: мобильный клиент Paseo его не умеет.
+      # Доступ защищён встроенным PASEO_PASSWORD самого демона.
+      "paseo.iscg.dev".extraConfig = ''
         reverse_proxy 127.0.0.1:6767
       '';