heather: add paseo daemon (systemd + caddy vhost paseo.iscg.dev, dual auth)

hosts/heather/caddy.nix

@@ -33,6 +33,15 @@ let
     }
   '';
 
+  # paseo basicauth — внешний слой. Внутренний: парольная auth самого демона
+  # (PASEO_PASSWORD, /var/lib/paseo-secrets/paseo.env). Пароли в pass:
+  # iscg.dev/paseo/basicauth (caddy) и iscg.dev/paseo/daemon (paseo daemon).
+  paseoBasicAuth = ''
+    basicauth {
+      mikl $2a$14$4ZfTWjquFPOoKyq9NA.IJeX9y3lxQO1l0J7iXSnr/.8oqJoblM8jy
+    }
+  '';
+
 in {
   services.caddy = {
     enable = true;
@@ -125,6 +134,12 @@ Allow: /" 200
         reverse_proxy 127.0.0.1:30141
       '';
 
+      # paseo (self-hosted web UI для CLI-агентов, systemd paseo.service)
+      # Два слоя auth: basicauth (здесь) + парольная auth демона (PASEO_PASSWORD).
+      "paseo.iscg.dev".extraConfig = paseoBasicAuth + ''
+        reverse_proxy 127.0.0.1:6767
+      '';
+
       # File explorer (directory listing) для раздачи файлов через браузер.
       # browse включает Caddy's built-in directory listing. Корень /var/www/pub.
       # Без auth — класть только публичные файлы.