docs(readme): expand self-contained features and IP-based TLS support

- Highlight built-in ACME IP certificates, fixed Xray-core, payments, admin roles
- Add hot-reload, config generation, and safe self-update details
- Clarify zero external dependencies including domain/DNS requirements

Author: AppsGanin

README.md

@@ -29,9 +29,26 @@
 подписки, тарифы и приём платежей, маршрутизация, статистика, бэкапы, брендинг и
 тема — без правки конфигов руками.
 
-Главное отличие от Marzban / 3x-ui — **радикальная простота**: вся панель это
-**один статический бинарник** (фронтенд вшит через `go:embed`), без Docker-обвязки,
-без внешней БД, без отдельного веб-сервера. Поставил, открыл, добавил юзера.
+Панель **самодостаточна**: это **один статический бинарник**, которому не нужны Docker, внешняя БД, отдельный веб-сервер и обвязка
+из сторонних скриптов и ботов. Домен тоже не обязателен — сертификат выпустится и
+на голый IP. Поставил, открыл, добавил юзера.
+
+**Что уже внутри и не требует докручивания:**
+
+- **TLS сам** — ACME (Let's Encrypt / ZeroSSL) с авто-продлением, без reverse-proxy
+  впереди. Нет домена — сертификат выпускается прямо на IP-адрес сервера.
+- **Xray сам** — проверенная версия ядра скачивается при первом запуске и
+  зафиксирована, так что обновление Xray не может внезапно сломать панель.
+- **Тарифы и приём оплаты** — ЮКасса и CryptoBot: клиент выбирает тариф и платит,
+  доступ включается сам.
+- **Команда и следы** — несколько администраторов с ролями, журнал всего, что
+  происходило с пользователем, и отдельный журнал действий над самой панелью.
+- **Маскировка** — панель живёт за секретным путём, любой другой адрес отдаёт
+  сайт-заглушку.
+- **Без обрыва связи** — пользователи добавляются и удаляются в работающем Xray на
+  лету: активные подключения остальных не рвутся.
+- **Без знания Xray** — конфиг ядра всегда генерируется из состояния панели, JSON
+  руками править не нужно.
 
 > Это **панель управления** (control plane), а не VPN-клиент и не «волшебная кнопка».
 > Она лишь настраивает и обслуживает ваш собственный сервер: генерирует конфиг Xray,
@@ -125,7 +142,9 @@ docker logs rospanel | grep -A6 FIRST-RUN
 Панель спрятана за **секретным путём**, любой другой путь отдаёт сайт-заглушку
 (11 шаблонов) — сервер неотличим от обычного хостинга. TLS из коробки: **ACME**
 (Let's Encrypt / ZeroSSL) с авто-продлением и self-signed, пока не выпустится
-настоящий сертификат.
+настоящий сертификат. **Домена может не быть вообще** — панель умеет получать
+сертификат Let's Encrypt на сам IP-адрес сервера, так что клиенты подключаются
+по валидному TLS без покупки домена и настройки DNS.
 
 #### 👤 Пользователи
 
@@ -217,7 +236,12 @@ UI. **Вебхуки** — панель сама шлёт подписанные
 **Диагностика** одной кнопкой: процесс Xray, применение конфига, срок TLS-сертификата,
 место на диске, свежесть geo-баз, состояние выходов — каждая проверка с подсказкой,
 что делать. **Бэкап / восстановление** и сброс к заводским — из панели и из CLI;
-логи с ротацией и просмотрщиком; обновление из GitHub Releases одной командой.
+логи с ротацией и просмотрщиком.
+
+**Обновление** из GitHub Releases одной командой: панель сверяет SHA256 нового
+бинарника, прогоняет его вхолостую, снимает бэкап данных и только потом подменяет
+себя, сохраняя предыдущую версию рядом. Версия **Xray-core зафиксирована** и ставится
+самой панелью, а упавшее ядро супервизор поднимает обратно сам.
 
 **Секреты в БД зашифрованы** (AES-GCM): токены ботов, приватные ключи WARP/REALITY,
 пароли пользователей. **Токены сессий и API-ключи в базе не хранятся вообще** — только