приложение собрано каркасом и вшито в бинарник

- заведён каталог web/ — Vue 3, роутер пятой версии, сборка Vite; собранное
  вшивается через go:embed и раздаётся корневым маршрутом: разметка на
  неизвестном пути вне корней сервиса, отказ контракта внутри корня
- перечень корней сервиса стал единой точкой и порождает регистрацию маршрутов,
  а не описывает её; журнал раздачи пишет исход и длину пути, но не сам путь
- шаг front зовёт Node контейнером docker — Biome, юнит-тесты Vue и сборка
  входят в гейт, а в Dockerfile появилась ступень приложения

docs/architecture.md

@@ -45,6 +45,11 @@
   Здесь же обязанность, переехавшая с убранного опроса готовности: причину
   остановки владелец записи узнаёт карточкой. Задача `json-api-for-spa`
   2026-08-15;
+- [webapp](../openspec/specs/webapp/spec.md) — **приложение в браузере**: чем
+  сервис его отдаёт, каким адресом оно открывается, что делает обновление
+  страницы посреди него и что человек видит, открыв его. Здесь же правило
+  неизвестного пути — разметка вне корней сервиса, отказ внутри, — срок хранения
+  ответов и то, что раздача пишет в журнал. Задача `spa-skeleton` 2026-08-15;
 - [access](../openspec/specs/access/spec.md) — кто пришёл в сервис и пускают ли
   его дальше: вход через внешнего провайдера OIDC, чем предъявляется сессия, что
   её прекращает и какие адреса остаются открытыми. Задача `oidc-login`
@@ -97,6 +102,8 @@
 | Репозитории | `internal/adapter/repo/pocketbase` | Записи, файлы, тексты, структура, попытки распознавания и журнал событий — коллекциями хранилища; захват — сырым запросом |
 | Шаги схемы | `internal/adapter/repo/pocketbase/migrations` | Файл на шаг, имя файла — имя шага; там же имена коллекций |
 | Панель владельца | `internal/adapter/repo/pocketbase`, `panel.go` | Панель хранилища; правила правки записи нормирует [storage](../openspec/specs/storage/spec.md), «Владелец видит записи в панели» |
+| Приложение | `web/` | Vue 3, роутер пятой версии, сборка Vite. Собранное лежит в `web/embed/dist` и вшивается в бинарник; в git его нет |
+| Раздача приложения | `internal/controller/http`, `webapp.go` | Корневой маршрут: разметка вне корней сервиса, отказ внутри, срок хранения по каталогу сборщика |
 
 Цепочка рубежей — `uploaded` → `normalized` → `submitted` → `transcribed` →
 `done`; рубеж называет достигнутое, а не предстоящее, и нормирует его
@@ -115,6 +122,11 @@
   асинхронное: запрос возвращает идентификатор операции, готовность опрашивается
   через `operation.api.cloud.yandex.net:443`, текст читается потоком.
 - **ffmpeg и ffprobe.** Внешние процессы, ищутся в `PATH`.
+- **Node и его установщик пакетов.** Нужны только сборке приложения и на машину
+  не ставятся: шаг зовёт их контейнером, а образ берёт из ступени `Dockerfile`.
+  Требованием к машине разработчика поэтому становится docker. Реестр пакетов —
+  сетезависимый адрес набора проверок; все такие перечислены в
+  [CLAUDE.md](../CLAUDE.md), «Гейт».
 
 ## Эксплуатация
 
@@ -187,6 +199,7 @@
 | Отображение доменной ошибки в ответ | `internal/controller/http.mapDomainError` — код, машиночитаемый код отказа и сообщение человеку; ветвь по умолчанию определена, новая ветвь заводится добавлением сюда. Отказы, рождённые слоями библиотеки (предел тела, ограничитель частоты, неизвестный путь), к той же форме приводит слой `OneErrorForm`, стоящий снаружи всех прочих |
 | Состояния отбора списка | `internal/entity.ListFilter` вместе с `WorkingStages` и `TerminalStages` — предикаты выводятся из дескриптора рубежа, а не пишутся строкой запроса |
 | Уборка имени файла отправителя | `internal/entity.SanitizeOriginalFilename` — режет по пределу и убирает управляющие знаки; зовёт её приём |
+| Адресное пространство сервиса | `internal/controller/http.ServiceMounts` — перечень корней и адресов наблюдения. Он **порождает** регистрацию наших маршрутов, а не описывает её, и из него же выводятся правило неизвестного пути и уровень журнала |
 
 Единых точек, которых **нет** и которые ожидались бы: идентификаторы
 генерируются вызовом `uuid.NewString()` по месту. Время из этого перечня ушло
@@ -201,8 +214,15 @@
 образ едет на сервер через `docker save`/`load`. Выкладку целиком запускает человек командой
 `inv pl -- transcriber` из `pet-project-server`.
 
-Сборка двухступенчатая, финальный слой — alpine с `ca-certificates` и `ffmpeg`,
-процесс работает под непривилегированным пользователем `transcriber`.
+Сборка трёхступенчатая: приложение, бинарник, рабочий слой. Приложение
+собирается первым — вшивание требует готового каталога, — а в рабочий слой Node
+не попадает. Финальный слой — alpine с `ca-certificates` и `ffmpeg`, процесс
+работает под непривилегированным пользователем `transcriber`.
+
+**По весу финальный образ от ступени приложения не растёт вовсе:** она отдаёт
+следующей только собранное, а сама в рабочий слой не копируется. Вшитое
+приложение прибавляет к бинарнику 86 072 байта. Время сборки образа не
+замерялось и замеряться не будет — решение владельца от 2026-08-15.
 
 ## Открытые вопросы
 
@@ -217,7 +237,10 @@
   зависит возвращение убранного входа.
   Панель администратора при этом Authelia не закрывает: у неё свой пароль
   суперпользователя.
-- **Приложение.** Экранов нет вовсе, есть только API. Решено делать SPA,
+- **Приложение.** Каркас поставлен `spa-skeleton` 2026-08-15: приложение
+  открывается, показывает вошедшего и вшито в бинарник. Экранов загрузки и
+  списка нет — их делают `upload-and-status-screen` и `records-list-screen`.
+  Решено делать SPA,
   устанавливаемое на телефон, а фреймворком взят Vue 3 с роутером пятой версии и
   сборкой Vite — 2026-08-11,
   [ADR](adr/ADR-2026-08-11-spa-on-vue.md), сравнение кандидатов в