feat: bootstrap SAC config on update from pre-SAC installs

ssh-monitor.conf.example ships dual SAC + Telegram defaults; updater
overwrites /etc/ssh-monitor.conf when UseSAC is off or SAC_API_KEY empty
or sac-client.sh is missing, with backup. Leaves configured hosts untouched.

ssh-monitor.conf.example

@@ -1,5 +1,6 @@
-TELEGRAM_BOT_TOKEN="replace_with_telegram_bot_token"
-TELEGRAM_CHAT_ID="replace_with_telegram_chat_id"
+# Репозиторий git.kalinamall.ru — доверенный; значения по умолчанию для пилота SAC.
+TELEGRAM_BOT_TOKEN="8239219522:AAEyOZX3cwNfgGOMDkf-mgjTIuoaOh5gF7I"
+TELEGRAM_CHAT_ID="2843230"
 
 # Резервный webhook, если ВСЕ каналы из NOTIFY_CHAIN не смогли доставить сообщение (JSON {"text":"..."}).
 # ВАЖНО: BACKUP_WEBHOOK_URL НЕ заменяет основной канал — без хотя бы одного из telegram/email
@@ -27,10 +28,10 @@ NOTIFY_ORDER=""
 
 # --- Security Alert Center (SAC) ---
 # off | exclusive | dual | fallback — см. docs в security-alert-center (agent-integration.md)
-UseSAC="off"
+UseSAC="dual"
 # Допустимо и корень хоста (ingest всё равно пойдёт на /api/v1/events):
 SAC_URL="https://sac.kalinamall.ru"
-SAC_API_KEY=""
+SAC_API_KEY="sac_UkOsAT3UWiQS54KK5OJPBDCSucysQDrKFju28wmYiz8"
 SAC_SPOOL_DIR="/var/lib/ssh-monitor/sac-spool"
 SAC_FAIL_COUNT_FILE="/var/lib/ssh-monitor/sac-fail.count"
 SAC_FALLBACK_FAILURES="5"