docs: ghid utilizator (medii test/prod, termeni simpli) + README pe per-env

docs/ghid-utilizator.md (nou): ghid pentru service-uri, fara termeni tehnici —
cum configurezi credentialele RAR pe Testare/Productie, cum stii unde trimiti
(statusbar + badge rosu=real), cum trimiti (fisier/soft), starile unei trimiteri,
intrebari frecvente.

README: link catre ghid; sectiunea creds RAR actualizata la sloturi per-mediu
(rar_target pe POST /v1/conturi/rar-creds, rar_env pe POST /v1/prezentari);
corectata nota iesita din uz despre GET-uri (sunt account-scoped, nomenclator
public intentionat); RAR_ENV clarificat ca ancora globala peste care au prioritate
mediile per-cont.

Co-Authored-By: Claude Opus 4.8 (1M context) <noreply@anthropic.com>

README.md

@@ -12,6 +12,7 @@ Trimiterea catre RAR e **dezactivata implicit** (`AUTOPASS_WORKER_SEND_ENABLED=f
 
 Sursa de adevar pentru contractul RAR: [`docs/api-rar-contract.md`](docs/api-rar-contract.md).
 Progres + proces: [`docs/ROADMAP.md`](docs/ROADMAP.md).
+**Ghid pentru utilizatori (service-uri), in termeni simpli:** [`docs/ghid-utilizator.md`](docs/ghid-utilizator.md).
 
 ## Pornire rapida
 
@@ -105,16 +106,25 @@ python3 -m tools.account list [--pending] | activate --account N | set-admin --a
 python3 -m tools.apikey create|list|rotate|revoke --account N   # cheie afisata O SINGURA DATA
 ```
 
-**Creds RAR per cont** (ca worker-ul sa trimita fara parola in fiecare cerere) — criptate Fernet at-rest:
+**Creds RAR per cont, pe medii** — fiecare cont are doua sloturi separate de credentiale RAR,
+**Testare** si **Productie** (sisteme RAR distincte; un set de creds merge pe exact unul). Criptate
+Fernet at-rest. Din web se seteaza in **Cont → Credentiale RAR** (doua sectiuni, cu validare prin login
+si confirmare unica la activarea Productie). Din API, campul `rar_target` alege slotul:
 
 ```bash
+# Seteaza creds pe mediul Testare (lipsa rar_target -> mediul implicit / ancora globala)
 curl -s -X POST http://localhost:8010/v1/conturi/rar-creds \
   -H 'X-API-Key: rfak_...' -H 'Content-Type: application/json' \
-  -d '{"email": "service@exemplu.ro", "password": "parola-rar"}'
+  -d '{"email": "service@exemplu.ro", "password": "parola-rar", "rar_target": "test"}'
 ```
 
-> GET-urile de listare (`/v1/prezentari`, `/v1/nomenclator`, `/v1/audit/export`) sunt momentan
-> **globale si neprotejate** — filtrarea pe cont ramane de adaugat.
+La trimitere, `POST /v1/prezentari` accepta `rar_env` (`test`/`prod`); lipsa lui -> mediul implicit al
+contului. Pe ce mediu a mers fiecare rand vezi in `GET /v1/prezentari` (camp `rar_env`) si in badge-ul din
+dashboard. Explicatie pentru operatori: [`docs/ghid-utilizator.md`](docs/ghid-utilizator.md).
+
+> POST-urile si listarile per-cont (`/v1/prezentari`, `/v1/audit/export`, fragmentele web) sunt
+> **filtrate pe contul cheii API**. `GET /v1/nomenclator` ramane public intentionat (coduri RAR publice,
+> fara date personale).
 
 ## Proba reala la RAR (mediu test)
 
@@ -133,7 +143,7 @@ curl -s -X POST http://localhost:8010/v1/conturi/rar-creds \
 | Variabila | Implicit | Rol |
 |-----------|----------|-----|
 | `DB_PATH` | `./data/autopass.db` | calea SQLite |
-| `RAR_ENV` | `test` | `test` / `prod` |
+| `RAR_ENV` | `test` | ancora globala `test` / `prod`; mediile per-cont (Testare/Productie) au prioritate cand contul le are configurate |
 | `REQUIRE_API_KEY` | `false` | `true` = cere cheie pe `/v1/*` (prod) |
 | `WEB_AUTH_REQUIRED` | `true` | `false` = dashboard fara login, cont id=1 (dev) |
 | `CREDS_KEY` | (efemera) | **cheie Fernet creds RAR — trebuie PARTAJATA intre API si worker** |