приложение собрано каркасом и вшито в бинарник

- заведён каталог web/ — Vue 3, роутер пятой версии, сборка Vite; собранное
  вшивается через go:embed и раздаётся корневым маршрутом: разметка на
  неизвестном пути вне корней сервиса, отказ контракта внутри корня
- перечень корней сервиса стал единой точкой и порождает регистрацию маршрутов,
  а не описывает её; журнал раздачи пишет исход и длину пути, но не сам путь
- шаг front зовёт Node контейнером docker — Biome, юнит-тесты Vue и сборка
  входят в гейт, а в Dockerfile появилась ступень приложения

docs/security.md

@@ -4,9 +4,19 @@
 
 **Сервис открыт наружу, но не анонимен: HTTP-порт опубликован в интернет через
 обратный прокси, а приём записи, чтение её карточки и текста и файл записи требуют входа
-через OIDC у Authelia.** Вход развёрнут задачей `oidc-login` 2026-08-12. Открыты
-без входа только проба здоровья и метрики. Находки строятся против этого —
-сегодняшнего — периметра.
+через OIDC у Authelia.** Вход развёрнут задачей `oidc-login` 2026-08-12. Без
+входа открыты проба здоровья, метрики и — с 2026-08-15, задачей `spa-skeleton` —
+**само приложение**: его разметка и её ресурсы, а вместе с ними всякий путь, не
+принадлежащий ни одному корню сервиса. Иначе не вошедший не дошёл бы до входа
+вовсе: закрытая сессией разметка отдала бы ему отказ вместо экрана. Данных
+открытость не касается — всякий адрес под корнем приложения сессии по-прежнему
+требует. Находки строятся против этого — сегодняшнего — периметра.
+
+**Состав того, что отдаётся анонимно, задаёт содержимое собранного приложения**,
+а каталог его лежит в `.gitignore` и не судится ничем: всё, что окажется там у
+собирающего, уезжает в бинарник и раздаётся. Под каталогом ресурсов оно ещё и
+отдаётся с годовым сроком хранения и пометкой «неизменяемо» — отозвать выданное
+браузеру сервису нечем.
 
 Целевой периметр добавляет к нему отдельный вход для программ по личным токенам
 и два уровня доступа — пользователь видит свои записи, владелец сервиса ещё и
@@ -37,6 +47,17 @@ Telegram — связи чата с учётной записью сервис
 администраторов. Задачи в беклоге у этого нет — работа принадлежит выкладке, а
 она вне модели («Что вне модели», строка про контур).
 
+**И этот барьер обходится подменой одного знака.** Маршрутизатор сравнивает
+сегменты пути **после** раскодирования, поэтому `/%5f/` попадает в ту же группу,
+что и `/_/`, а правило прокси написано на литерал и такой формы не видит.
+Проверено прогоном 2026-08-15 ревью задачи `spa-skeleton`: обе формы отвечают
+байт в байт, и весь клиент панели грузится анониму. Вход в приложение при этом
+не обходится — `/%61pp/me` отвечает `401`. Дефект старше задачи, которая его
+нашла, и **сегодня не закрыт**: лечение — приведение пути к канонической форме на
+стороне сервиса, и глухая проверка тут не годится, потому что сломает скачивание
+файлов с пробелами и не-латиницей в имени. Половину пути проверить нечем: правило
+прокси живёт в `pet-project-server`, вне этого репозитория.
+
 **Четвёртый сдвиг — секрет клиента поселился в базе.** Задача `oidc-login`
 2026-08-12 кладёт адреса провайдера, идентификатор клиента и его секрет в
 настройки коллекции пользователей, приводя их к конфигу при каждом подъёме
@@ -186,6 +207,11 @@ Storage, оттуда его читает SpeechKit. Третий путь —
   её нет ни у пробы, ни у сборщика. Наружу их закрывает правило обратного
   прокси — работа выкладки, и сервис на неё не полагается: содержимого записей
   эти адреса не несут.
+- **Приложение** — его разметка и ресурсы открыты без сессии, и ограничителя
+  частоты на них нет: правило заведено под корень приложения, а раздача стоит
+  вне его. Содержимого записей ни разметка, ни ресурсы не несут: они одинаковы
+  для всех и собраны до всякого запроса. По ответу нельзя узнать, вошёл ли
+  кто-то, — вошедшему и не вошедшему отдаётся одно и то же.
 
 Владение записью в модели данных появилось 2026-08-14: у задачи и у её файла
 есть владелец. Знание идентификатора задачи правом её читать больше не является