docs(spec): document avatar/cover upload API (Back#71).

Refs EventHub/EventHubBack#71
Refs EventHub/EventHubSpec#8

EventHubFrontSpec.md

@@ -202,13 +202,13 @@ Redirects: `/discover` → `/search`; `/calendars/:id` → `/c/:id`; `/calendars
 Регистрация, верификация, вход, восстановление сессии.
 
 ### 5.2. Профиль
-`GET /v1/user/me` + форма на `/profile`. Редактируемые через `PATCH /v1/user/me`: `nickname`, `phone`, `timezone`, `avatar_url`, `language`; смена пароля — `current_password` + `password`. Read-only в UI: `id`, `email`, `role`, `status`. Mood — chip в AppShell рядом с BrandWordmark (+ compact на auth); persist `preferences.mood` через `PATCH /v1/user/me` (**не** в `/more`, **не** в calendar toolbar). Язык при первом визите — из браузера; при первом логине без `language` — пишется в профиль. Mood по умолчанию `calm`, при логине не сидится. Lens — только localStorage (не профиль).
+`GET /v1/user/me` + форма на `/profile`. Редактируемые через `PATCH /v1/user/me`: `nickname`, `phone`, `timezone`, `avatar_url`, `language`; смена пароля — `current_password` + `password`. Upload аватара: `POST /v1/user/me/avatar` (multipart `file`) → обновляет `avatar_url` (Front#69). Read-only в UI: `id`, `email`, `role`, `status`. Mood — chip в AppShell рядом с BrandWordmark (+ compact на auth); persist `preferences.mood` через `PATCH /v1/user/me` (**не** в `/more`, **не** в calendar toolbar). Язык при первом визите — из браузера; при первом логине без `language` — пишется в профиль. Mood по умолчанию `calm`, при логине не сидится. Lens — только localStorage (не профиль).
 
 ### 5.3. Поиск (участник)
 `GET /v1/search` — фильтры (`type`, `q`, `tags`, даты, `lat`/`lon`/`radius`, sort, order, пагинация). Без `q`/дат/tags/geo/sort — топы календарей и событий; иначе — поиск. В списке бейдж типа — `calendar`|`event` (не `personal`/`commercial`). Даты, теги, geo и сортировка свёрнуты по умолчанию. Переход к `/c/:id` или `/c/:id/e/:eventId`.
 В результатах calendar (и event, если Back отдаёт) может быть `image_url` — Discover показывает
 cover (`.eh-discover-media--photo`); иначе mood wash + initials (`.eh-discover-media--fallback`,
-не fake photo-hero). Битый `image_url` → fallback. **Upload API нет** — поле URL (seed / ручная установка).
+не fake photo-hero). Битый `image_url` → fallback. Cover upload владельца: `POST /v1/calendars/:id/cover` (Front#69); URL также можно задать через `PUT` `image_url`.
 
 ### 5.4. Календари
 - Список своих: `GET /v1/calendars`
@@ -372,7 +372,8 @@ legal stubs; позиция по подписке **владельца**; DNS/SP
 
 **Продукт (фаза 2):**
 - серверный logout / revoke session (`POST /v1/logout` + `{ refresh_token }`; клиент зовёт до clear storage)
-- загрузка файлов (avatar / cover / вложения)
+- загрузка файлов: avatar `POST /v1/user/me/avatar`, cover
+  `POST /v1/calendars/:id/cover` (Back#71); UI — Front#69; вложения — позже
 - полноценный push / reminders (email-reminder booking: Back#70 /
   `process_reminders`; Web Push / prefs — позже)
 - waitlist на событие