Шхуна не тонет: security, infra и доки на русском.

Безопасность довёл до ума — Cursor-генерацию переписал руками.
IDOR закрыл, CSRF задушил, refresh rotation теперь как надо.
HSTS на staging, ENABLE_DOCS=false, install.env recovery протестил.

Backend:
- jwt_denylist + auth_epoch: мгновенный revoke access JWT (logout/block/reset)
- auth/admin/users: bump epoch, logout с Bearer, forgot_password skip для blocked
- install_secrets: путь всегда apps/api/data/secrets/ (bootstrap из корня не ломает Docker)
- seed: SEED_DEMO_USERS=false на prod/staging
- тесты: jwt revoke, integration, coverage gate 90%

Frontend:
- logout шлёт Bearer, обработка TOKEN_REVOKED
- guards TypeScript fix
- E2E: blocked user → 401 сразу после block

Infra:
- staging/prod compose, TLS nginx, deploy-скрипты
- k6 §17.2, backup/health/smoke scripts

Docs:
- docs/ на русском: project, security, deploy, release (старые md слили)
- README короткий + план ТЗ + стандартные логины dev

Код готов к плаванию. Капитан может идти писать фронт.

apps/web/e2e/admin/admin-users.spec.ts

@@ -2,6 +2,25 @@ import { expect, test } from "@playwright/test";
 import { API_URL, adminLogin, loginViaUi, registerVerifyLogin, uniqueEmail } from "../helpers/api";
 
 test.describe("§15.7 scenarios 5 & 9: Admin users", () => {
+  test("blocked user access token rejected immediately after block", async ({ request }) => {
+    const email = uniqueEmail("e2e-block-jwt");
+    const session = await registerVerifyLogin(request, email);
+    const admin = await adminLogin(request);
+    const adminToken = (await admin.json()).access_token;
+
+    const patch = await request.patch(`${API_URL}/api/v1/admin/users/${session.user.id}`, {
+      headers: { Authorization: `Bearer ${adminToken}` },
+      data: { status: "blocked" }
+    });
+    expect(patch.ok()).toBeTruthy();
+
+    const me = await request.get(`${API_URL}/api/v1/users/me`, {
+      headers: { Authorization: `Bearer ${session.accessToken}` }
+    });
+    expect(me.status()).toBe(401);
+    expect((await me.json()).detail).toBe("TOKEN_REVOKED");
+  });
+
   test("admin blocks user → blocked user cannot login", async ({ page, request }) => {
     const email = uniqueEmail("e2e-block");
     const session = await registerVerifyLogin(request, email);