fix(self-hosted): 身份改明碼 namespace（.env）+ path-based webhook trigger

壓測 §7.2：seed 通了但 creds push/push/runtime 全卡「缺少 api_key」——
self-hosted init 從不發 api_key，但三條路徑都建在多租戶 {api_key}:cred 模型上。

richblack 拍板：self-hosted 不需祕密 api_key，只需 namespace（分區標籤）：
- config：ENV_MAP 加 NAMESPACE/ENCRYPTION_KEY + .env 自動載入（無 dotenv 依賴）
- namespace 明碼用戶自填（.env NAMESPACE=leo），沿用 api_key 路徑 → 零分叉
- encryption_key 用戶 .env 自填（工具不生成不 hash），須與 worker secret 一致
- creds/push/init：缺值改引導設 .env，不再叫去 register
- runtime：cypher 加 POST /webhooks/named/:ns/:name/trigger（namespace 走 path，
  公開表單免 header）；與 header 路徑共用 triggerNamed，不分叉
- push：self-hosted 顯示 path-based 公開 webhook URL

誠實限制：namespace 明碼非密碼；防外部呼叫靠 webhook 保護（mindset §6）。
CLI 1.3.0 → 1.3.1。SDD: self-hosted-init.md §7.7。

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>

cli/src/commands/creds.ts

@@ -48,7 +48,15 @@ export async function cmdCredsPush(filePath: string): Promise<void> {
   }
 
   if (!config.api_key) {
-    console.error(chalk.red('缺少 api_key，請重新執行 acr init。'));
+    // self-hosted 用「資料分區標籤」（明碼，用戶在 .env 設 NAMESPACE）當 KV 前綴，非平台發的 api_key。
+    if (config.mode === 'self-hosted') {
+      console.error(chalk.red('缺少 NAMESPACE（你的資料分區標籤）。'));
+      console.log(chalk.gray('在專案 .env 設一行（明碼即可，這是分區標籤不是密碼）：'));
+      console.log(chalk.cyan('  NAMESPACE=leo'));
+      console.log(chalk.gray('（要防外部呼叫請對 webhook 加保護；見 README「讓 AI 連到對的 arcrun」段）'));
+    } else {
+      console.error(chalk.red('缺少 api_key，請重新執行 acr init。'));
+    }
     process.exit(1);
   }
 
@@ -68,12 +76,18 @@ export async function cmdCredsPush(filePath: string): Promise<void> {
     return;
   }
 
-  // 加密金鑰：優先從 config 讀（acr init 時自動寫入），其次從環境變數
+  // 加密金鑰：優先從 config 讀（含 .env 的 ENCRYPTION_KEY / ARCRUN_ENCRYPTION_KEY，見 config.ts loadDotEnvOnce），
+  // 其次環境變數。self-hosted：你自己保管這把（工具不生成、不外傳），須與 worker 的 ENCRYPTION_KEY secret 一致。
   const encryptionKey = config.encryption_key ?? process.env.ARCRUN_ENCRYPTION_KEY ?? '';
   if (!encryptionKey || encryptionKey.length < 64) {
-    console.error(chalk.red(
-      '缺少 encryption_key。請重新執行 acr init 取得設定。',
-    ));
+    if (config.mode === 'self-hosted') {
+      console.error(chalk.red('缺少 encryption_key（或長度不足，需 ≥64 hex chars = 256-bit）。'));
+      console.log(chalk.gray('在專案 .env 設（你自己保管，忘了就解不開已上傳的 credential）：'));
+      console.log(chalk.cyan('  ENCRYPTION_KEY=<64+ hex>   # 產生：node -e "console.log(require(\'crypto\').randomBytes(32).toString(\'hex\'))"'));
+      console.log(chalk.gray('同一把也要設進 worker：wrangler secret put ENCRYPTION_KEY（見 acr init 提示）'));
+    } else {
+      console.error(chalk.red('缺少 encryption_key。請重新執行 acr init 取得設定。'));
+    }
     process.exit(1);
   }