Шхуна не тонет: security, infra и доки на русском.

Безопасность довёл до ума — Cursor-генерацию переписал руками.
IDOR закрыл, CSRF задушил, refresh rotation теперь как надо.
HSTS на staging, ENABLE_DOCS=false, install.env recovery протестил.

Backend:
- jwt_denylist + auth_epoch: мгновенный revoke access JWT (logout/block/reset)
- auth/admin/users: bump epoch, logout с Bearer, forgot_password skip для blocked
- install_secrets: путь всегда apps/api/data/secrets/ (bootstrap из корня не ломает Docker)
- seed: SEED_DEMO_USERS=false на prod/staging
- тесты: jwt revoke, integration, coverage gate 90%

Frontend:
- logout шлёт Bearer, обработка TOKEN_REVOKED
- guards TypeScript fix
- E2E: blocked user → 401 сразу после block

Infra:
- staging/prod compose, TLS nginx, deploy-скрипты
- k6 §17.2, backup/health/smoke scripts

Docs:
- docs/ на русском: project, security, deploy, release (старые md слили)
- README короткий + план ТЗ + стандартные логины dev

Код готов к плаванию. Капитан может идти писать фронт.

apps/api/tests/core/test_email.py

@@ -0,0 +1,29 @@
+from unittest.mock import MagicMock, patch
+
+from app.core.email import SmtpMailer, get_mailer, memory_mailer, send_template_email
+
+
+def test_memory_mailer_latest_token():
+    memory_mailer.clear()
+    send_template_email(
+        to="user@example.com",
+        template="verify_email",
+        subject="Verify",
+        body="Open link\nTOKEN:abc123\n",
+    )
+    assert memory_mailer.latest_token("user@example.com", "verify_email") == "abc123"
+
+
+def test_smtp_mailer_sends_message(monkeypatch):
+    monkeypatch.setattr("app.core.email.settings.email_delivery_mode", "smtp")
+    monkeypatch.setattr("app.core.email.settings.smtp_from", "noreply@example.com")
+    monkeypatch.setattr("app.core.email.settings.smtp_host", "localhost")
+    monkeypatch.setattr("app.core.email.settings.smtp_port", 1025)
+    monkeypatch.setattr("app.core.email.settings.smtp_user", "")
+    monkeypatch.setattr("app.core.email.settings.smtp_password", "")
+
+    smtp_instance = MagicMock()
+    with patch("app.core.email.smtplib.SMTP") as smtp_cls:
+        smtp_cls.return_value.__enter__.return_value = smtp_instance
+        get_mailer().send("user@example.com", "Subject", "Body", "verify_email")
+        smtp_instance.send_message.assert_called_once()