docs: README.en.md を receiver の現行契約(#43 認証・CORS / #99 healthz・shutdown)に同期する

[kosako]

背景

README.md(日本語)は #103(inbox ログイン + CORS 制限)と #104(graceful shutdown / healthz / 設定警告)で receiver の契約変更に追従済みだが、ミラーの README.en.md が古いまま:

• `RECEIVER_TOKEN` の説明が「read-only GETs are not gated」のまま(現在は閲覧系も保護 + inbox ログイン)
• `ALLOWED_ORIGINS` / CORS 縮約の記載なし
• 公開デプロイ節(reverse proxy / HTTPS / secrets)なし
• `GET /healthz` / graceful shutdown / invalid setting warning の記載なし

PR #104 の Codex レビュー ⚪ nit 起点。ドキュメント同期のみの小 PR で対応する(#101 と同型)。

受け入れ条件

• README.en.md の Local Receiver / Config / Deploy まわりが README.md と同じ契約を説明している