239 changed files with 239 additions and 14336 deletions
--- a/.forgejo/workflows/ci.yml
+++ b/.forgejo/workflows/ci.yml
@ -64,21 +64,7 @@ jobs:
      - name: Test
        env:
          ConnectionStrings__Default: Host=localhost;Port=5441;Database=food_market_test;Username=postgres;Password=postgres
-        run: dotnet test food-market.sln --no-build -c Release --verbosity normal --collect:"XPlat Code Coverage" --results-directory TestResults || echo "No tests yet"
+        run: dotnet test food-market.sln --no-build -c Release --verbosity normal || echo "No tests yet"
      # Sprint 16: пересчитываем coverage-badge и коммитим обновлённый
      # SVG обратно в репо. Шаг no-op если ничего не изменилось.
      - name: Update coverage badge
        if: success() && github.ref == 'refs/heads/main'
        run: |
          bash scripts/generate-badges.sh
          if ! git diff --quiet badges/coverage.svg 2>/dev/null; then
            git config user.email "ci@food-market.local"
            git config user.name "Forgejo CI"
            git add badges/coverage.svg
            git commit -m "chore(badges): update coverage [skip ci]" || true
            git push || echo "push skipped (no token / detached HEAD)"
          fi
  web:
    name: Web (React + Vite)
--- a/.forgejo/workflows/regression.yml
+++ b/.forgejo/workflows/regression.yml
@ -1,104 +0,0 @@
 name: Regression suite
 # Запускается ПОСЛЕ успешного docker-api/docker-web (stage-verify),
 # когда stage уже задеплоен новой ревизией. Гонит полную регрессию
 # (35 flow-тестов + 60 visual-snapshot'ов). Время прогона цель < 15 мин.
 #
 # Если падает — Telegram-уведомление со ссылкой на playwright-html отчёт.
 on:
  workflow_run:
    workflows: ["Docker API", "Docker Web"]
    types: [completed]
  workflow_dispatch:
 jobs:
  regression:
    name: Regression suite на stage
    # Не запускаемся если триггерный workflow упал — нет смысла верифировать
    # незадеплоенное.
    if: ${{ github.event.workflow_run.conclusion == 'success' || github.event_name == 'workflow_dispatch' }}
    runs-on: [self-hosted, linux]
    timeout-minutes: 20
    env:
      E2E_ADMIN_URL: https://test.admin.food-market.kz
      CI: '1'
    steps:
      - uses: actions/checkout@v4
      - name: Wait for stage /health/ready
        run: |
          for i in 1 2 3 4 5 6 7 8 9 10; do
            if curl -fsS "$E2E_ADMIN_URL/health/ready" | grep -q '"status":"Healthy"'; then
              echo "stage ready"; exit 0
            fi
            sleep 3
          done
          echo "stage NOT ready" >&2
          exit 1
      - name: Setup pnpm cache for regression suite
        uses: actions/cache@v4
        with:
          path: ~/.local/share/pnpm/store
          key: pnpm-regression-${{ runner.os }}-${{ hashFiles('tests/regression/pnpm-lock.yaml') }}
          restore-keys: |
            pnpm-regression-${{ runner.os }}-
      - name: Cache Playwright browsers
        uses: actions/cache@v4
        with:
          path: ~/.cache/ms-playwright
          key: pw-browsers-${{ hashFiles('tests/regression/package.json') }}
          restore-keys: |
            pw-browsers-
      - name: Install regression deps
        working-directory: tests/regression
        run: pnpm install --frozen-lockfile
      - name: Install Playwright Chromium
        working-directory: tests/regression
        run: pnpm exec playwright install chromium
      - name: Run flows (35 tests)
        id: flows
        working-directory: tests/regression
        run: pnpm exec playwright test flows/ --reporter=list,json
      - name: Run visual (60 snapshots)
        id: visual
        working-directory: tests/regression
        run: pnpm exec playwright test visual/ --reporter=list,json
      - name: Upload playwright artifacts on failure
        if: failure()
        uses: actions/upload-artifact@v4
        with:
          name: playwright-report-${{ github.run_id }}
          path: tests/regression/reports/
      - name: Notify Telegram on failure
        if: failure()
        env:
          BOT: ${{ secrets.TELEGRAM_BOT_TOKEN }}
          CHAT: ${{ secrets.TELEGRAM_CHAT_ID }}
          SHA: ${{ github.event.workflow_run.head_sha || github.sha }}
        run: |
          RUN_URL="${{ github.server_url }}/${{ github.repository }}/actions/runs/${{ github.run_id }}"
          curl -sS -X POST "https://api.telegram.org/bot$BOT/sendMessage" \
            --data-urlencode "chat_id=$CHAT" \
            --data-urlencode "text=❌ regression FAILED — ${SHA:0:7} — $RUN_URL" \
            > /dev/null
      - name: Notify Telegram on success
        if: success() && github.event_name == 'workflow_run'
        env:
          BOT: ${{ secrets.TELEGRAM_BOT_TOKEN }}
          CHAT: ${{ secrets.TELEGRAM_CHAT_ID }}
          SHA: ${{ github.event.workflow_run.head_sha }}
        run: |
          curl -sS -X POST "https://api.telegram.org/bot$BOT/sendMessage" \
            --data-urlencode "chat_id=$CHAT" \
            --data-urlencode "text=✅ regression OK — ${SHA:0:7} (35 flows + 60 visual)" \
            > /dev/null
--- a/.forgejo/workflows/stage-verify.yml
+++ b/.forgejo/workflows/stage-verify.yml
@ -1,70 +0,0 @@
 name: Stage verify
 # Запускается ПОСЛЕ успешного docker-api или docker-web — они уже
 # собирают и деплоят на stage. Эта работа делает быстрый smoke
 # (~30с): auth, multi-tenant изоляция, один полный документ-цикл
 # (signup → seed → supply.post → retail-sale.post → проверка остатка).
 #
 # Если падает — пинг в Telegram. По дефолту в notify.yml уже есть
 # perfailure нотификация для CI/Docker — этот workflow добавляет к ним.
 on:
  workflow_run:
    workflows: ["Docker API", "Docker Web"]
    types: [completed]
  workflow_dispatch:
 # Не запускаемся, если триггерный workflow упал — нет смысла верифировать
 # то что не задеплоилось.
 jobs:
  smoke:
    name: Smoke против stage
    if: ${{ github.event.workflow_run.conclusion == 'success' || github.event_name == 'workflow_dispatch' }}
    runs-on: [self-hosted, linux]
    env:
      BASE_URL: https://test.admin.food-market.kz
    steps:
      - uses: actions/checkout@v4
      - name: Wait for health/ready
        run: |
          for i in 1 2 3 4 5 6 7 8 9 10; do
            if curl -fsS "$BASE_URL/health/ready" | grep -q '"status":"Healthy"'; then
              echo "Stage ready"
              exit 0
            fi
            echo "[$i/10] not ready yet, sleeping..."
            sleep 3
          done
          echo "Stage NOT ready after 30s" >&2
          exit 1
      - name: Run smoke suite
        env:
          BASE_URL: ${{ env.BASE_URL }}
        run: bash tests/stage-smoke.sh
      - name: Notify Telegram on success
        if: success() && github.event_name == 'workflow_run'
        env:
          BOT: ${{ secrets.TELEGRAM_BOT_TOKEN }}
          CHAT: ${{ secrets.TELEGRAM_CHAT_ID }}
          SHA: ${{ github.event.workflow_run.head_sha }}
        run: |
          curl -sS -X POST "https://api.telegram.org/bot$BOT/sendMessage" \
            --data-urlencode "chat_id=$CHAT" \
            --data-urlencode "text=✅ stage verify OK — ${SHA:0:7}" \
            > /dev/null
      - name: Notify Telegram on failure
        if: failure()
        env:
          BOT: ${{ secrets.TELEGRAM_BOT_TOKEN }}
          CHAT: ${{ secrets.TELEGRAM_CHAT_ID }}
          SHA: ${{ github.event.workflow_run.head_sha || github.sha }}
        run: |
          RUN_URL="${{ github.server_url }}/${{ github.repository }}/actions/runs/${{ github.run_id }}"
          curl -sS -X POST "https://api.telegram.org/bot$BOT/sendMessage" \
            --data-urlencode "chat_id=$CHAT" \
            --data-urlencode "text=❌ stage verify FAILED — ${SHA:0:7} — $RUN_URL" \
            > /dev/null
--- a/CHANGELOG.md
+++ b/CHANGELOG.md
@ -1,307 +0,0 @@
 # CHANGELOG
 Auto-generated from git log feat:/fix: (last 90 days).
 ## 2026-06-07
 - **feat**: security headers + rate-limits + sensitive-ops audit + session revoke + Grafana (s13)
 - **feat**: ОФД-scaffolding — IFiscalProvider + 4 провайдера + UI/тесты (s11)
 ## 2026-06-06
 - **feat**: dark mode полировка + Cmd+K палитра + аудит-spec (s10-4)
 - **feat**: глобальная Cmd+K палитра + GET /api/search/global (s10-3)
 - **feat**: year-demo seeder + 4 dashboard виджета + week-stats (s10)
 ## 2026-06-04
 - **fix**: IP-limit 60/min, locale ru-RU в playwright, исправлены payload'ы verify-spec'ов (stage-tests)
 - **fix**: per-username 5/мин + per-IP 30/мин — brute-force на конкретный аккаунт ловится, CI/NAT не страдают (rate-limit)
 - **fix**: rate-limit 5/min на /connect/token, nginx route /metrics+/swagger, Swagger в Production через IncludeSwagger (stage)
 ## 2026-05-31
 - **fix**: bump cache version + filter SignalR-race errors in PWA test (pwa)
 - **fix**: SW не вмешивается в /hubs/* — SignalR negotiate сломался (pwa)
 - **feat**: PWA owner read-only + mobile tweaks + S9 stage specs (pwa+mobile+s9)
 - **fix**: убрать unused imports (TS6133) (loyalty)
 - **feat**: P2-12 + P2-13 — лояльность и промокоды (Sprint 9 п.1-2) (loyalty+promotions)
 - **feat**: IObjectStorage abstraction (Local + MinIO) — P2-15 (storage)
 - **feat**: react-i18next ru/en + language switcher (P2-6a — базовая) (i18n)
 - **feat**: OwnerDailySummaryJob + bot binding (P2-14) (telegram)
 - **feat**: SignalR hub /hubs/notifications per-org + dashboard live (realtime)
 ## 2026-05-30
 - **fix**: после create — invalidate list query (не показывался сразу) (employees)
 - **fix**: error display через humanizeError, не «Request failed» (employees)
 - **fix**: уберём cache-touch после Delete — просто navigate (catalog)
 - **fix**: после Delete не refetch'аем удалённый товар (catalog)
 - **fix**: ProductEditPage — race на currencies.data + читаемая ошибка (catalog)
 - **fix**: Modal — role=dialog + aria-modal + aria-label на крестике (a11y)
 - **fix**: useShortcuts — бэр-клавиши не зависят от Shift (web)
 - **feat**: keyboard shortcuts на edit + list страницах + «?» overlay (web)
 - **feat**: Breadcrumbs на edit-страницах (Каталог / Товары / Молоко 3.2%) (web)
 - **feat**: Empty states с CTA на list-страницах (web)
 - **feat**: loading skeletons вместо «Загрузка…» в DataTable + edit-pages (web)
 - **feat**: toast-система — error на 4xx/5xx + success на мутации (через meta) (web)
 - **feat**: ConfirmDialog компонент + useConfirm hook вместо window.confirm() (web)
 - **feat**: demo-data seeder для test.admin.food-market.kz (stage)
 ## 2026-05-29
 - **fix**: operationId + schemaId — генерация OpenAPI работает (swagger)
 - **fix**: 3 фикса по итогам stage-тестирования (reports)
 - **fix**: EF8 nav-collection bug в Enters/Losses/Transfers/SupplierReturns/Inventories.Update (docs)
 - **fix**: EF8 nav-collection bug в Products.Update + unique IX на Article (catalog)
 ## 2026-05-28
 - **feat**: TOTP 2FA для админов через AuthenticatorTokenProvider (P2-4) (auth)
 - **feat**: MediatR partial — 3 handler-образца (TD-1) (cqrs)
 - **feat**: структурные log-fields в Serilog (TD-4) (logging)
 - **feat**: FluentValidation + ValidationFilter для DTO (TD-2) (validation)
 - **feat**: RowVersion на документах через Postgres xmin (TD-6) (concurrency)
 - **feat**: persisted ImportJobRegistry в БД (TD-5) (import-jobs)
 - **feat**: HTML-шаблоны MailKit + invite/weekly/low-stock джобы (P1-22) (email)
 - **feat**: per-tenant журнал мутаций OrgAuditLog (P1-18) (audit)
 - **feat**: оптовая отгрузка контрагенту-юрлицу (P1-5) (demands)
 - **feat**: Prometheus метрики /metrics + бизнес-счётчики (P1-17) (observability)
 - **feat**: GET /sync и POST /sales с двойной идемпотентностью (P1-12b) (pos-api)
 - **feat**: контракты POS v1 в food-market.shared (P1-12a) (pos-shared)
 - **feat**: улучшенный Swagger + TS-клиент через openapi-typescript (P1-19) (openapi)
 - **feat**: ABC-анализ по Парето (P1-11) (reports)
 - **feat**: отчёт «Прибыль» (выручка − COGS) (P1-10) (reports)
 - **feat**: отчёт «Остатки на дату» с реконструкцией (P1-9) (reports)
 - **feat**: отчёт «Продажи» с группировками и экспортом (P1-8) (reports)
 - **feat**: dashboard + scheduled cleanup джобы (P1-16) (hangfire)
 - **feat**: возврат поставщику (P1-7) (supplier-returns)
 - **feat**: возврат от покупателя (CustomerReturn) (P1-6) (returns)
 - **feat**: инвентаризация с CSV-импортом факта (P1-4) (inventories)
 - **feat**: атомарное перемещение между складами (P1-3) (transfers)
 - **feat**: списание со склада с указанием причины (P1-2) (losses)
 - **feat**: оприходование товара без поставщика (P1-1) (enters)
 ## 2026-05-27
 - **feat**: авто-бэкап БД+uploads — systemd timer/service + скрипт (P0-6) (deploy)
 - **feat**: prod X509-ключи OpenIddict с persistent self-signed (P0-1) (auth)
 - **feat**: permission-based авторизация по флагам роли (P0-5) (authz)
 - **feat**: health-пробы /health/live и /health/ready (P0-4) (api)
 - **feat**: rate-limit /connect/token и /api/auth/signup (P0-3) (api)
 ## 2026-05-26
 - **fix**: change-owner требует reason ≥ 10 символов (superadmin)
 - **fix**: увольнение/деактивация гасит логин связанного User (employees)
 - **fix**: сериализуемое проведение приёмки против lost update остатков (supplies)
 - **fix**: FK-guard удаления контрагента + валидация полей товара (catalog)
 - **fix**: refresh-token rotation немедленно инвалидирует старый токен (auth)
 ## 2026-05-23
 - **fix**: защита денег и инварианта остатков на posting-операциях (documents)
 - **fix**: SuperAdmin edit-mode override обходит [Authorize(Roles=Admin)] (security)
 - **fix**: чиним P0-блокеры разворачивания на чистой БД (migrations)
 ## 2026-05-18
 - **fix**: обновить node:20-alpine → 22-alpine (pnpm 11 требует Node ≥22) (docker)
 - **fix**: validatePassword проверяет заглавную и цифру (соответствует хинту) (validation)
 - **fix**: onBlur валидация через e.target.value, ре-валидация вместо сброса ошибки в onChange (signup)
 ## 2026-05-17
 - **feat**: onBlur валидация полей во всех формах (ux)
 ## 2026-05-08
 - **fix**: блок пустого Draft на UI + бэк уже отказывает (retail-sale)
 - **feat**: системная ProductGroup «Все товары» при создании org (bootstrap)
 - **fix**: обязательные FK-Guid проверяются на 400 + DbUpdateException → 400 (validation)
 - **fix**: блок overselling в Post — 409 если qty>остатка (retail-sale)
 - **fix**: добавить [Migration] атрибут для Phase5c — без него Migrate() не находит миграцию (migrations)
 - **fix**: серверная KZ-ФЛК на всех endpoint'ах принимающих phone (phone)
 - **fix**: Cashier/Storekeeper больше не видят /api/organization/employees + Identity-роль маппится из orgRole (auth)
 - **feat**: infrastructure + first full-cycle scenario + baseline report (e2e)
 ## 2026-05-06
 - **feat**: forgot/reset password — endpoints + UI + IP rate-limit (auth)
 - **feat**: UI /super-admin/platform-settings + тестовая отправка (platform)
 - **feat**: IEmailSender + MailKit + PlatformSettingsController (platform)
 - **feat**: PlatformSettings entity + миграция (singleton SMTP-конфиг) (platform)
 - **feat**: фильтр sidebar и route-guard по ролям пользователя (roles)
 - **feat**: двухступенчатое удаление — «уволить» → «удалить» (employees)
 - **feat**: TextInput с type=email — авто-pattern для TLD-проверки (forms)
 - **feat**: MoneyInput для поля «Оклад» в карточке сотрудника (forms)
 - **feat**: убрать «ИНН» из UI — РК использует ИИН/БИН (localization)
 - **feat**: системная роль — read-only форма прав вместо alert (roles)
 - **feat**: три системные роли — Admin/Cashier/Storekeeper (roles)
 ## 2026-05-03
 - **fix**: сохранять позицию курсора после нормализации (phone)
 - **fix**: нативное редактирование, фильтр не-цифр через onBeforeInput (phone)
 - **fix**: редактирование на месте курсора, как в обычном поле (phone)
 - **fix**: полностью переписать на простую модель — цифры как single source of truth (phone)
 - **fix**: блокировать ввод не-цифр на уровне keyDown (phone)
 - **fix**: не считать «7» из префикса как введённую цифру (phone)
 - **feat**: единый PhoneInput с зашитым «+7» и ФЛК Казахстана (phone)
 - **feat**: телефон обязателен + ФЛК Казахстана (77XXXXXXXXX) (signup)
 - **fix**: убрать «моргание» при клике на орг — переход теперь по double-click (super-admin)
 ## 2026-05-02
 - **fix**: docker-public — актуализировать PUBLIC_*_URL под новые домены (ci)
 - **fix**: кнопка «Войти» вела на 410-Gone zat.kz (public)
 - **feat**: новый логотип food-market wordmark + apple mark (brand)
 ## 2026-04-30
 - **feat**: миграция на food-market.kz / admin.food-market.kz (domains)
 ## 2026-04-28
 - **feat**: полное управление сотрудниками любой орги (super-admin)
 - **feat**: AsyncSelect — серверный поиск в дропдаунах вместо pageSize=500 (ui)
 - **fix**: SuperAdmin платформы без OrganizationId + отдельный Admin для Demo Market (auth)
 ## 2026-04-27
 - **feat**: главный администратор — терминология + защита роли/активности (employees)
 - **feat**: бейдж «Владелец» + блокировка удаления с объяснением (employees)
 - **fix**: пароль/orphan signup/tenant-guard toast/dashboard счётчик
 - **fix**: нейтральный placeholder в поле названия организации (public)
 - **fix**: закрыть критические дыры — orphan login, self-delete, owner-delete, override-баннер (auth)
 - **feat**: русская локализация и строгий email с TLD (validation)
 - **fix**: убрать русские имена/ИП из placeholder регистрации (public)
 ## 2026-04-26
 - **feat**: Phase 6 — публичный сайт на food-market.zat.kz, админка на app. (deploy)
 - **feat**: Phase 6 — публичный маркетинговый сайт food-market.public на Astro (public)
 - **feat**: настраиваемый retention period для архивных орг (super-admin)
 - **fix**: убрать цикл редиректа, регресс override после пакета задач (super-admin)
 - **fix**: Phase4d таблица называется units_of_measure, не units (migration)
 - **feat**: двухуровневые справочники Группы и Ед.измерения (системные + tenant) (directories)
 - **feat**: системные роли read-only + русские имена + чистка дубликата у admin (roles)
 - **feat**: перенести справочник Стран в системную консоль (super-admin)
 - **fix**: SuperAdmin override должен применять tenant filter выбранной орги (tenancy)
 - **feat**: рабочий quick-switch + UI-блокировка мутаций в read-only (super-admin)
 - **feat**: Phase 2b — отдельный SuperAdminLayout и разделение от tenant-админки (super-admin)
 - **feat**: Phase 3 — edit-mode с reason + audit-trail (super-admin)
 - **feat**: Phase 2 — read-only «открыть как…» context switch (super-admin)
 - **feat**: /quiet и /loud команды для управления PreToolUse прогресс-лентой (bridge)
 - **fix**: новая org через UI получает полный bootstrap (как Demo) (super-admin)
 - **feat**: PreToolUse hook for Telegram progress feed + rate-limited batching (infra)
 - **fix**: grant SuperAdmin role to admin@food-market.local (seed)
 - **feat**: super-admin section + setup wizard + auto-redirect (web)
 - **feat**: super-admin endpoints (orgs CRUD + setup-status + audit-log + dashboard) (api)
 - **feat**: Organization.IsArchived/AccountOwner + SuperAdminAuditLog + migration (domain)
 - **feat**: add Salary, TaxNumber, Description, ImageUrl + radio role picker (employee)
 - **feat**: permissions matrix grouped by section + clone-from-template flow (roles)
 - **fix**: keep only Admin + Cashier as system, demote others to custom + migration (roles)
 - **feat**: event-driven Telegram bridge — webhook + Stop hook (infra)
 - **fix**: drop Employee.Navigation(RetailPointAssignments) to fix snapshot order (migrations)
 - **feat**: welcome dashboard with first-steps cards (onboarding)
 - **feat**: Employees + Roles pages with permissions matrix (web)
 - **feat**: EmployeesController + EmployeeRolesController + invite-with-temp-password (api)
 - **feat**: system roles per organization + map admin → Employee (seed)
 - **feat**: Employee, EmployeeRole, RolePermissions entities + migration (domain)
 - **fix**: dropdown opens as floating overlay (Portal + absolute) (searchable-select)
 - **fix**: theme styles + default to today for new docs (date-field)
 - **feat**: replace native input with react-datepicker — polished UX (date-field)
 - **fix**: polish calendar UX — dropdown nav, today/clear footer, ru weekdays (date-field)
 - **fix**: compact calendar popup — shadcn-style sizing (date-field)
 - **fix**: cap width + ru locale + DD.MM.YYYY format (date-fields)
 - **fix**: show both article and barcode in line subtitle (supply-lines)
 - **fix**: sticky input at viewport bottom + auto-scroll on add (supply-quick-add)
 - **fix**: dropdown opens upward + show only N results + create-new at bottom (supply-quick-add)
 - **feat**: drop supplier field, reorder sections, add cost column (product-card+list)
 - **fix**: keep input focused after scan / clear on add (supply-quick-add)
 - **fix**: dropdown not rendering — Portal + fixed position (supply-quick-add)
 - **feat**: inline line quick-add — scanner + autocomplete + create-on-fly (supply)
 - **feat**: products quick-search + by-barcode endpoints (api)
 - **fix**: колонка «Розничная» использует имя системного PriceType (supply)
 - **feat**: «Проведено» внутри формы + обязательная дата и ≥1 позиция (supply)
 - **fix**: catch-up Phase3b_AddShowDescriptionOnProduct (migrations)
 - **feat**: inline-create option in searchable Select (ui)
 - **feat**: searchable Select component (drop-in) (ui)
 - **feat**: drop ShelfLifeDays + recompose classification + auto-article + barcode trash hide (product-card)
 - **fix**: IsRequired применяется сразу, без перезагрузки страницы (price-types)
 ## 2026-04-25
 - **fix**: человечная ошибка 400 + блок Save при незаполненных IsRequired ценах (product-edit)
 - **fix**: correct is-system seeder + require value > 0 + system-price filter/sort (price-types)
 - **feat**: inputs по справочнику PriceType — без dropdown'a (product-prices)
 - **feat**: компонент + inline-наценка в таблице групп (percent-input)
 - **feat**: срок годности (shelfLifeDays) + фильтр от/до (product+filters)
 - **feat**: чекбокс «Проведено» с confirm + системная розничная в списке (supply+products-list)
 - **feat**: drop IsActive, add ShelfLifeDays, restore PriceType IsSystem/IsRequired (phase3b)
 - **feat**: supply line retail override column (web)
 - **feat**: price types CRUD visibility + group markup table (web)
 - **feat**: product card pricing UI + settings toggles (web)
 - **feat**: recalc-retail endpoint + 30-day reference price refresh job (api)
 - **feat**: supply posting hook for cost & markup (api)
 - **feat**: pricing model rename and new fields (Phase3a) (domain)
 - **fix**: merge barcodes/prices по ключу + 409 на concurrency (products/update)
 - **fix**: toFixed(2) при allowFractional=true для правильного отображения (money-input)
 - **fix**: сохранять промежуточный ввод точки в draft (money-input)
 - **fix**: корректное обновление allowFractionalPrices без перелогина (money-input)
 - **fix**: уважать AllowFractionalPrices в формах редактирования (money-input)
 - **feat**: pre-check на Create/Update + warnings импорта + admin endpoint (barcode-uniqueness)
 - **feat**: AllowFractionalPrices — переключатель дробных цен (org-settings)
 - **feat**: группа обязательна, ≥1 штрихкод, умные дефолты на новом (product)
 - **feat**: MoneyInput/NumberInput + select-пагинация + Range на бэкенде (forms)
 ## 2026-04-24
 - **feat**: авто-генерация числового артикула при создании (products)
 - **feat**: настройка ShowMinMaxStock для мин/макс остатков (org-settings)
 - **feat**: галки «Услуга»/«Маркируемый» скрываются по умолчанию (org-settings)
 - **feat**: авто-генерация EAN-13 при добавлении штрихкода (barcode)
 - **feat**: server-side sort by column header click (tables)
 - **feat**: валюта read-only, тянется из страны (как НДС) (org-settings)
 - **feat**: ставка в стране + опц. переопределение на товаре (vat)
 - **feat**: загрузка на диск сервера + галерея с лайтбоксом (product-images)
 - **feat**: enum Packaging (штучный/весовой/разливной) вместо IsWeighed (product)
 - **feat**: Country↔Currency, Organization.DefaultCurrency/MultiCurrency/DefaultVat + UI настроек (org-settings)
 - **fix**: сделать Token опциональным (other-system/test)
 ## 2026-04-23
 - **feat**: async jobs с прогрессом + токен в настройках (other-system-import)
 - **fix**: per-page retry + чаще SaveChanges (other-system/import)
 - **feat**: tree-of-groups + фильтры как в OtherSystem (catalog/products)
 - **feat**: import archived entities too (as IsActive=false) (other-system)
 - **fix**: reconcile stage schema — drop TrackingType, add IsMarked (db)
 - **feat**: temp cleanup buttons + fix OtherSystem import duplicates (admin)
 - **feat**: strict OtherSystem schema — реплика потерянного f7087e9
 - **fix**: убираем выдумку Kind полностью — у OtherSystem этого поля нет (other-system)
 - **fix**: не выдумывать Kind=Both для импортированных контрагентов (other-system)
 - **feat**: Telegram <-> tmux bridge + local docker-registry unit (ops)
 - **feat**: sales chart + KPIs (как «Показатели» в сторонняя система) (dashboard)
 ## 2026-04-22
 - **fix**: bootstrap admin + demo org on stage/prod too, not just Dev (seeder)
 - **fix**: always apply EF migrations on startup, not only in Development (api)
 - **fix**: widen Article + Barcode.Code to 500 chars for real-world catalogs (catalog)
 ## 2026-04-21
 - **fix**: accept fractional prices (decimal, not long) in DTOs (other-system)
 - **fix**: add User-Agent header + enable HTTP auto-decompression (other-system)
 - **fix**: drop Accept-Encoding: gzip to avoid JSON parse failure (other-system)
 - **fix**: set Accept header as raw string to bypass .NET normalization (other-system)
 - **fix**: exact Accept header value per OtherSystem requirement (code 1062) (other-system)
 - **fix**: trailing slash on BaseUrl so HttpClient keeps /1.2/ in path (other-system)
 - **fix**: OtherSystem admin endpoint uses policy-based auth on role claim directly (auth)
 - **fix**: return 401 instead of 302 for API challenges; persist dev signing key across restarts (auth)
 - **fix**: drop FM square badge from Logo; better 404 diagnostics on OtherSystem page (web)
 - **feat**: rebrand to FOOD MARKET green (#00B207) per mobile app logo (web)
 - **fix**: remove TanStack devtools palm icon; restore user profile on dashboard (web)
 - **fix**: pin API dev port to 5081 (match Vite proxy config)
--- a/Directory.Packages.props
+++ b/Directory.Packages.props
@ -42,9 +42,6 @@
    <PackageVersion Include="Serilog.Sinks.Console" Version="6.0.0" />
    <PackageVersion Include="Serilog.Sinks.File" Version="6.0.0" />
    <!-- Image processing (Sprint 14: variants thumb/medium + WebP) -->
    <PackageVersion Include="SixLabors.ImageSharp" Version="3.1.6" />
    <!-- Background jobs -->
    <PackageVersion Include="Hangfire.AspNetCore" Version="1.8.17" />
    <PackageVersion Include="Hangfire.PostgreSql" Version="1.20.10" />
--- a/README.md
+++ b/README.md
@ -1,11 +1,5 @@
 # food-market
 ![CI](http://127.0.0.1:3000/nns/food-market/actions/workflows/ci.yml/badge.svg)
 ![Docker API](http://127.0.0.1:3000/nns/food-market/actions/workflows/docker-api.yml/badge.svg)
 ![Stage verify](http://127.0.0.1:3000/nns/food-market/actions/workflows/stage-verify.yml/badge.svg)
 ![Regression](http://127.0.0.1:3000/nns/food-market/actions/workflows/regression.yml/badge.svg)
 ![coverage](./badges/coverage.svg)
 Аналог системы МойСклад для розничной торговли в Казахстане.
 ## Состав системы
--- a/badges/ci-status-link.md
+++ b/badges/ci-status-link.md
@ -1,21 +0,0 @@
 # CI status badges
 Forgejo (primary, обновляется автоматически на каждый workflow run):
 ```markdown
 ![CI](http://127.0.0.1:3000/nns/food-market/actions/workflows/ci.yml/badge.svg)
 ![Docker API](http://127.0.0.1:3000/nns/food-market/actions/workflows/docker-api.yml/badge.svg)
 ![Regression](http://127.0.0.1:3000/nns/food-market/actions/workflows/regression.yml/badge.svg)
 ```
 GitHub mirror (для external reader'ов):
 ```markdown
 ![CI](https://github.com/nurdotnet/food-market/actions/workflows/ci.yml/badge.svg)
 ```
 Coverage (regenerated by `scripts/generate-badges.sh`):
 ```markdown
 ![coverage](./badges/coverage.svg)
 ```
--- a/badges/coverage.svg
+++ b/badges/coverage.svg
@ -1 +0,0 @@
 <svg xmlns="http://www.w3.org/2000/svg" width="180" height="20" role="img" aria-label="coverage (app+domain): 80%"><title>coverage (app+domain): 80%</title><g shape-rendering="crispEdges"><rect width="145" height="20" fill="#555"/><rect x="145" width="35" height="20" fill="#67ac09"/></g><g fill="#fff" text-anchor="middle" font-family="Verdana,Geneva,DejaVu Sans,sans-serif" text-rendering="geometricPrecision" font-size="110"><text x="735" y="140" transform="scale(.1)" fill="#fff" textLength="1350">coverage (app+domain)</text><text x="1615" y="140" transform="scale(.1)" fill="#fff" textLength="250">80%</text></g></svg>
--- a/deploy/Dockerfile.api
+++ b/deploy/Dockerfile.api
@ -25,14 +25,6 @@ RUN apt-get update && apt-get install -y --no-install-recommends curl \
    && rm -rf /var/lib/apt/lists/*
 COPY --from=build /app .
 # Sprint 17: CHANGELOG.md в content-root → WhatsNewController читает его на каждый /api/whats-new.
 COPY CHANGELOG.md ./CHANGELOG.md
 # VERSION файл создаётся deploy-скриптом (или CI) непосредственно перед docker
 # build'ом — содержит короткий SHA коммита. Если отсутствует — fallback на
 # AssemblyInformationalVersion. Поэтому COPY с || true (Dockerfile не имеет
 # опц-COPY, делаем через RUN с проверкой).
 ARG GIT_SHA=dev
 RUN echo "$GIT_SHA" > VERSION
 ENV ASPNETCORE_URLS=http://+:8080
 ENV ASPNETCORE_ENVIRONMENT=Production
--- a/deploy/docker-compose.yml
+++ b/deploy/docker-compose.yml
@ -34,11 +34,6 @@ services:
      OpenIddict__Issuer: ${OPENIDDICT_ISSUER:-https://admin.food-market.kz/}
      # Пароль PFX-сертификатов OpenIddict (пусто = сертификаты без пароля).
      OpenIddict__CertPassword: ${OPENIDDICT_CERT_PASSWORD:-}
      # Sprint 13: rate-limit на signup. На stage'е переопределяется в
      # .env'е через RATE_SIGNUP_HOUR / RATE_SIGNUP_DAY для прохождения
      # e2e/smoke; в prod'е оставляем дефолты 3/час, 10/сутки.
      RateLimiting__SignupPerIpPerHour: ${RATE_SIGNUP_HOUR:-3}
      RateLimiting__SignupPerIpPerDay: ${RATE_SIGNUP_DAY:-10}
    # Host port mapping: pick free ports on existing stage server (80/443 taken by
    # legacy nginx, 5000/5002/5005 taken by legacy .NET apps).
    ports:
--- a/deploy/grafana/dashboards/food-market.json
+++ b/deploy/grafana/dashboards/food-market.json
@ -1,399 +0,0 @@
 {
  "annotations": {
    "list": [
      {
        "builtIn": 1,
        "datasource": {
          "type": "grafana",
          "uid": "-- Grafana --"
        },
        "enable": true,
        "hide": true,
        "iconColor": "rgba(0, 211, 255, 1)",
        "name": "Annotations & Alerts",
        "type": "dashboard"
      }
    ]
  },
  "description": "Sprint 13 baseline-dashboard для food-market.api. Объединяет prometheus-net (HTTP), EF Core (DB) и кастомные AppMetrics (бизнес).",
  "editable": true,
  "fiscalYearStartMonth": 0,
  "graphTooltip": 1,
  "id": null,
  "links": [],
  "liveNow": false,
  "panels": [
    {
      "datasource": {
        "type": "prometheus",
        "uid": "${DS_PROMETHEUS}"
      },
      "fieldConfig": {
        "defaults": {
          "color": {"mode": "palette-classic"},
          "custom": {
            "axisCenteredZero": false,
            "axisColorMode": "text",
            "axisLabel": "",
            "axisPlacement": "auto",
            "barAlignment": 0,
            "drawStyle": "line",
            "fillOpacity": 10,
            "gradientMode": "none",
            "hideFrom": {"legend": false, "tooltip": false, "viz": false},
            "lineInterpolation": "linear",
            "lineWidth": 2,
            "pointSize": 5,
            "scaleDistribution": {"type": "linear"},
            "showPoints": "never",
            "spanNulls": false,
            "stacking": {"group": "A", "mode": "none"},
            "thresholdsStyle": {"mode": "off"}
          },
          "mappings": [],
          "thresholds": {"mode": "absolute", "steps": [{"color": "green", "value": null}]},
          "unit": "reqps"
        },
        "overrides": []
      },
      "gridPos": {"h": 8, "w": 12, "x": 0, "y": 0},
      "id": 1,
      "options": {
        "legend": {"calcs": ["mean", "max"], "displayMode": "table", "placement": "right", "showLegend": true},
        "tooltip": {"mode": "multi", "sort": "desc"}
      },
      "targets": [
        {
          "expr": "sum by (code) (rate(http_requests_received_total[1m]))",
          "legendFormat": "{{code}}",
          "refId": "A"
        }
      ],
      "title": "HTTP — RPS по статус-коду",
      "type": "timeseries"
    },
    {
      "datasource": {
        "type": "prometheus",
        "uid": "${DS_PROMETHEUS}"
      },
      "fieldConfig": {
        "defaults": {
          "color": {"mode": "thresholds"},
          "mappings": [],
          "thresholds": {
            "mode": "absolute",
            "steps": [
              {"color": "green", "value": null},
              {"color": "yellow", "value": 0.5},
              {"color": "red", "value": 2}
            ]
          },
          "unit": "s"
        }
      },
      "gridPos": {"h": 8, "w": 12, "x": 12, "y": 0},
      "id": 2,
      "options": {
        "legend": {"calcs": ["last", "max"], "displayMode": "table", "placement": "right", "showLegend": true},
        "tooltip": {"mode": "multi", "sort": "desc"}
      },
      "targets": [
        {
          "expr": "histogram_quantile(0.50, sum by (le) (rate(http_request_duration_seconds_bucket[5m])))",
          "legendFormat": "p50",
          "refId": "A"
        },
        {
          "expr": "histogram_quantile(0.95, sum by (le) (rate(http_request_duration_seconds_bucket[5m])))",
          "legendFormat": "p95",
          "refId": "B"
        },
        {
          "expr": "histogram_quantile(0.99, sum by (le) (rate(http_request_duration_seconds_bucket[5m])))",
          "legendFormat": "p99",
          "refId": "C"
        }
      ],
      "title": "HTTP — latency p50/p95/p99",
      "type": "timeseries"
    },
    {
      "datasource": {"type": "prometheus", "uid": "${DS_PROMETHEUS}"},
      "fieldConfig": {
        "defaults": {
          "color": {"mode": "palette-classic"},
          "custom": {
            "drawStyle": "line",
            "fillOpacity": 10,
            "lineWidth": 2,
            "pointSize": 5,
            "showPoints": "never",
            "spanNulls": false,
            "stacking": {"group": "A", "mode": "normal"}
          },
          "mappings": [],
          "thresholds": {"mode": "absolute", "steps": [{"color": "green", "value": null}]},
          "unit": "ops"
        }
      },
      "gridPos": {"h": 8, "w": 12, "x": 0, "y": 8},
      "id": 3,
      "options": {
        "legend": {"calcs": ["sum"], "displayMode": "table", "placement": "right", "showLegend": true},
        "tooltip": {"mode": "multi", "sort": "desc"}
      },
      "targets": [
        {
          "expr": "sum by (type) (rate(food_market_documents_posted_total[1m]))",
          "legendFormat": "{{type}}",
          "refId": "A"
        }
      ],
      "title": "Бизнес — документы посчитаны (Post), per-type RPS",
      "type": "timeseries"
    },
    {
      "datasource": {"type": "prometheus", "uid": "${DS_PROMETHEUS}"},
      "fieldConfig": {
        "defaults": {
          "color": {"mode": "thresholds"},
          "mappings": [],
          "thresholds": {
            "mode": "absolute",
            "steps": [
              {"color": "green", "value": null},
              {"color": "yellow", "value": 0.1},
              {"color": "red", "value": 1}
            ]
          },
          "unit": "ops"
        }
      },
      "gridPos": {"h": 8, "w": 12, "x": 12, "y": 8},
      "id": 4,
      "options": {
        "legend": {"calcs": ["sum"], "displayMode": "table", "placement": "right", "showLegend": true},
        "tooltip": {"mode": "multi", "sort": "desc"}
      },
      "targets": [
        {
          "expr": "sum by (type, reason) (rate(food_market_documents_error_total[1m]))",
          "legendFormat": "{{type}} / {{reason}}",
          "refId": "A"
        }
      ],
      "title": "Бизнес — ошибки проведения per-type / reason",
      "type": "timeseries"
    },
    {
      "datasource": {"type": "prometheus", "uid": "${DS_PROMETHEUS}"},
      "fieldConfig": {
        "defaults": {
          "color": {"mode": "spectrum", "scheme": "Blues"},
          "custom": {
            "hideFrom": {"legend": false, "tooltip": false, "viz": false},
            "scaleDistribution": {"type": "linear"}
          },
          "mappings": [],
          "unit": "s"
        }
      },
      "gridPos": {"h": 9, "w": 12, "x": 0, "y": 16},
      "id": 5,
      "options": {
        "calculate": false,
        "cellGap": 1,
        "color": {"exponent": 0.5, "fill": "dark-orange", "mode": "scheme", "reverse": false, "scale": "exponential", "scheme": "Spectral", "steps": 64},
        "exemplars": {"color": "rgba(255,0,255,0.7)"},
        "filterValues": {"le": 1e-9},
        "legend": {"show": true},
        "rowsFrame": {"layout": "auto"},
        "tooltip": {"show": true, "yHistogram": false},
        "yAxis": {"axisPlacement": "left", "reverse": false, "unit": "s"}
      },
      "pluginVersion": "10.0.0",
      "targets": [
        {
          "expr": "sum by (le) (rate(food_market_db_query_duration_seconds_bucket[1m]))",
          "format": "heatmap",
          "legendFormat": "{{le}}",
          "refId": "A"
        }
      ],
      "title": "DB — длительность EF-запросов (heatmap)",
      "type": "heatmap"
    },
    {
      "datasource": {"type": "prometheus", "uid": "${DS_PROMETHEUS}"},
      "fieldConfig": {
        "defaults": {
          "color": {"mode": "thresholds"},
          "thresholds": {
            "mode": "absolute",
            "steps": [
              {"color": "green", "value": null},
              {"color": "yellow", "value": 5},
              {"color": "red", "value": 20}
            ]
          },
          "unit": "percent"
        }
      },
      "gridPos": {"h": 9, "w": 6, "x": 12, "y": 16},
      "id": 6,
      "options": {
        "colorMode": "background",
        "graphMode": "area",
        "justifyMode": "center",
        "orientation": "auto",
        "reduceOptions": {"calcs": ["lastNotNull"], "fields": "", "values": false},
        "textMode": "auto"
      },
      "pluginVersion": "10.0.0",
      "targets": [
        {
          "expr": "100 * sum(rate(http_requests_received_total{code=~\"5..\"}[5m])) / sum(rate(http_requests_received_total[5m]))",
          "refId": "A"
        }
      ],
      "title": "HTTP — % 5xx за 5 мин",
      "type": "stat"
    },
    {
      "datasource": {"type": "prometheus", "uid": "${DS_PROMETHEUS}"},
      "fieldConfig": {
        "defaults": {
          "color": {"mode": "thresholds"},
          "thresholds": {
            "mode": "absolute",
            "steps": [
              {"color": "green", "value": null},
              {"color": "yellow", "value": 10},
              {"color": "red", "value": 30}
            ]
          },
          "unit": "percent"
        }
      },
      "gridPos": {"h": 9, "w": 6, "x": 18, "y": 16},
      "id": 7,
      "options": {
        "colorMode": "background",
        "graphMode": "area",
        "justifyMode": "center",
        "orientation": "auto",
        "reduceOptions": {"calcs": ["lastNotNull"], "fields": "", "values": false},
        "textMode": "auto"
      },
      "pluginVersion": "10.0.0",
      "targets": [
        {
          "expr": "100 * sum(rate(http_requests_received_total{code=~\"4..\"}[5m])) / sum(rate(http_requests_received_total[5m]))",
          "refId": "A"
        }
      ],
      "title": "HTTP — % 4xx за 5 мин",
      "type": "stat"
    },
    {
      "datasource": {"type": "prometheus", "uid": "${DS_PROMETHEUS}"},
      "fieldConfig": {
        "defaults": {
          "color": {"mode": "palette-classic"},
          "custom": {
            "drawStyle": "line",
            "fillOpacity": 10,
            "lineWidth": 2,
            "pointSize": 5,
            "showPoints": "never"
          },
          "mappings": [],
          "thresholds": {"mode": "absolute", "steps": [{"color": "green", "value": null}]},
          "unit": "bytes"
        }
      },
      "gridPos": {"h": 8, "w": 12, "x": 0, "y": 25},
      "id": 8,
      "options": {
        "legend": {"calcs": ["last", "max"], "displayMode": "table", "placement": "right", "showLegend": true},
        "tooltip": {"mode": "multi", "sort": "desc"}
      },
      "targets": [
        {
          "expr": "process_resident_memory_bytes",
          "legendFormat": "RSS",
          "refId": "A"
        },
        {
          "expr": "dotnet_total_memory_bytes",
          "legendFormat": "Managed heap",
          "refId": "B"
        }
      ],
      "title": "Процесс — память (RSS + managed)",
      "type": "timeseries"
    },
    {
      "datasource": {"type": "prometheus", "uid": "${DS_PROMETHEUS}"},
      "fieldConfig": {
        "defaults": {
          "color": {"mode": "palette-classic"},
          "custom": {
            "drawStyle": "line",
            "fillOpacity": 10,
            "lineWidth": 2,
            "pointSize": 5,
            "showPoints": "never"
          },
          "mappings": [],
          "thresholds": {"mode": "absolute", "steps": [{"color": "green", "value": null}]},
          "unit": "ops"
        }
      },
      "gridPos": {"h": 8, "w": 12, "x": 12, "y": 25},
      "id": 9,
      "options": {
        "legend": {"calcs": ["sum"], "displayMode": "table", "placement": "right", "showLegend": true},
        "tooltip": {"mode": "multi", "sort": "desc"}
      },
      "targets": [
        {
          "expr": "rate(dotnet_collection_count_total[1m])",
          "legendFormat": "Gen {{generation}}",
          "refId": "A"
        }
      ],
      "title": "GC — сборки в секунду (по поколениям)",
      "type": "timeseries"
    }
  ],
  "refresh": "30s",
  "schemaVersion": 39,
  "tags": ["food-market", "api"],
  "templating": {
    "list": [
      {
        "current": {"selected": false, "text": "Prometheus", "value": "Prometheus"},
        "hide": 0,
        "includeAll": false,
        "label": "Datasource",
        "multi": false,
        "name": "DS_PROMETHEUS",
        "options": [],
        "query": "prometheus",
        "refresh": 1,
        "regex": "",
        "skipUrlSync": false,
        "type": "datasource"
      }
    ]
  },
  "time": {"from": "now-1h", "to": "now"},
  "timepicker": {},
  "timezone": "browser",
  "title": "food-market — api / db / business",
  "uid": "food-market-api-baseline",
  "version": 1,
  "weekStart": ""
 }
--- a/deploy/nginx.conf
+++ b/deploy/nginx.conf
@ -3,17 +3,6 @@ server {
    root /usr/share/nginx/html;
    index index.html;
    # Sprint 13 — security-заголовки (для SPA HTML; для API те же выставляются
    # уже SecurityHeadersMiddleware'ом на api-side). add_header с always
    # обеспечивает применение даже на 4xx/5xx (без always — только на 2xx/3xx).
    # CSP синхронен с SecurityHeadersOptions.DefaultCsp.
    add_header Content-Security-Policy "default-src 'self'; script-src 'self' 'unsafe-inline'; style-src 'self' 'unsafe-inline'; connect-src 'self' wss: ws:; img-src 'self' data: blob:; font-src 'self' data:; frame-ancestors 'none'; base-uri 'self'; form-action 'self'" always;
    add_header X-Frame-Options "DENY" always;
    add_header X-Content-Type-Options "nosniff" always;
    add_header Referrer-Policy "strict-origin-when-cross-origin" always;
    add_header Permissions-Policy "camera=(), microphone=(), geolocation=(), payment=(), usb=()" always;
    add_header X-Permitted-Cross-Domain-Policies "none" always;
    # Long-running admin imports (MoySklad etc.) read from upstream for tens of
    # minutes. Bump timeouts only on that path so normal API stays snappy.
    location /api/admin/import/ {
@ -96,18 +85,6 @@ server {
        return 301 /swagger/;
    }
    # Sprint 13: Hangfire Dashboard — внутренний инструмент мониторинга
    # фоновых джобов. Доступ только SuperAdmin'у (см. SuperAdminHangfireFilter
    # в API). Без этой location'и /hangfire ловился бы SPA-fallback'ом и
    # возвращал index.html — что выглядит как «всё ок», но дашборда нет.
    location /hangfire {
        proxy_pass http://api:8080;
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_set_header X-Forwarded-Proto $scheme;
    }
    # Статика изображений товаров — api раздаёт /uploads/... из volume.
    location /uploads/ {
        proxy_pass http://api:8080;
--- a/docs/ARCHITECTURE.md
+++ b/docs/ARCHITECTURE.md
@ -1,405 +0,0 @@
 # food-market — архитектура
 Документ для разработчика, который пришёл в проект первый раз. Описывает
 слои, модули, ключевые потоки и почему некоторые вещи сделаны именно так.
 Старая короткая версия — `docs/architecture.md` (lowercase). Этот файл
 заменяет её и расширяет.
 ## TL;DR
 - **Что**: multi-tenant SaaS-аналог МойСклад для розничных магазинов РК.
 - **Backend**: .NET 8 LTS, ASP.NET Core, EF Core 8, PostgreSQL 14+ (dev) / 16 (prod).
 - **Auth**: OpenIddict 5 (password + refresh) поверх ASP.NET Identity.
 - **Web**: React 19 + Vite + TS, Tailwind v4, shadcn/ui, TanStack Query, AG Grid.
 - **POS**: WPF на .NET 8 Windows, оффлайн-буфер в SQLite, синк через `/api/pos/v1`.
 ## Топология deployment
 ```
 ┌─────────────────────────────────────────────────────────────────┐
 │                  Internet / LAN магазина                         │
 └───────────┬───────────────────────┬─────────────────────────────┘
            │ HTTPS                  │ HTTPS (Bearer) + офлайн-буфер
            ▼                        ▼
   ┌────────────────────┐    ┌──────────────────────────┐
   │  food-market.web   │    │  food-market.pos (WPF)    │
   │   React SPA        │    │   .NET 8, Windows 10+     │
   │   admin.fm.kz      │    │   локальная SQLite        │
   └─────────┬──────────┘    └──────────┬───────────────┘
             │                          │
             │ /api/*                   │ /api/pos/v1/*
             │ /hubs/notifications      │
             └─────────────┬────────────┘
                           ▼
          ┌───────────────────────────────────────────┐
          │         food-market.api                    │
          │   ASP.NET Core + OpenIddict + SignalR      │
          │  - tenant query filters per request        │
          │  - Hangfire scheduler + recurring jobs     │
          │  - /metrics (Prometheus) /health/{live,ready}│
          └────┬──────────┬───────────┬───────────┬───┘
               ▼          ▼           ▼           ▼
         ┌────────┐ ┌─────────┐ ┌──────────┐ ┌──────────┐
         │Postgres│ │ Hangfire│ │ MinIO    │ │ Logs     │
         │  16    │ │  (jobs) │ │ (S3, opt)│ │ Serilog  │
         └────────┘ └─────────┘ └──────────┘ └──────────┘
                                   │
                                   ▼
                        локальный FS (/uploads volume)
                          — если MinIO не настроен
 ```
 Stage и prod крутятся через `deploy/docker-compose.yml` на dev-vm
 (`192.168.1.190`). Локальный dev: API на `:5081`, Postgres из
 brew (`postgres@14` на `:5432`), web через `pnpm dev` на `:5173`.
 ## Структура солюшна
 ```
 food-market/
 ├── src/
 │   ├── food-market.domain/          ← POCO, enum, доменные интерфейсы
 │   ├── food-market.application/     ← MediatR-handlers, DTO, абстракции
 │   ├── food-market.infrastructure/  ← EF Core, Identity, OpenIddict EF, внешние API
 │   ├── food-market.api/             ← ASP.NET Core host: controllers, middleware, DI
 │   ├── food-market.web/             ← React SPA
 │   ├── food-market.shared/          ← DTO-контракты api ↔ pos
 │   ├── food-market.public/          ← Astro static (маркетинг food-market.kz)
 │   ├── food-market.pos.core/        ← логика POS (без UI)
 │   └── food-market.pos/             ← WPF UI (net8.0-windows)
 ├── tests/
 │   ├── food-market.UnitTests/       ← xUnit + InMemoryDB
 │   ├── food-market.IntegrationTests/← xUnit + Testcontainers Postgres
 │   ├── e2e/                         ← Playwright (TS), бьёт по test.admin.food-market.kz
 │   └── load/                        ← k6 (Sprint 12)
 ├── deploy/                          ← docker-compose, Dockerfile.*, systemd-юниты
 └── docs/                            ← вы здесь
 ```
 ### Слои (Clean Architecture)
 | Слой              | Зависит от                | Что лежит                                                                              |
 |-------------------|---------------------------|----------------------------------------------------------------------------------------|
 | **domain**        | ничего                    | POCO-сущности, enum'ы, доменные интерфейсы (`ITenantEntity`, `IVersionedEntity`).      |
 | **application**   | domain + shared           | MediatR `IRequest`/`IRequestHandler`, DTO, абстракции (`IFiscalProvider`, `IEmailSender`, `IStockService`, `ITenantContext`), `FluentValidation` валидаторы. |
 | **infrastructure**| application + domain      | `AppDbContext`, Identity-таблицы, OpenIddict EF store, реализации абстракций, HTTP-клиенты к внешним API (Webkassa, MoySklad, MailKit, Telegram). |
 | **api**           | всё перечисленное выше    | ASP.NET Core host: контроллеры, middleware, DI-проводка, фоновые джобы (Hangfire), Realtime hub'ы (SignalR), сидеры. |
 Правило одностороннего направления зависимостей: домен не знает про EF и
 ASP.NET, application — про конкретные провайдеры. Это позволило прикрутить
 ОФД (Sprint 11) одним интерфейсом + четырьмя реализациями, без правок
 контроллеров кроме одной точки вызова.
 ## Модули backend
 ### Domain (`src/food-market.domain/`)
 - `Common/Entity.cs` — базовая `Entity` с `Id/CreatedAt/UpdatedAt`.
 - `Common/TenantEntity.cs` — `ITenantEntity` (обязательный `OrganizationId`),
  `TenantEntity` (база), `IOptionalTenantEntity` (системные справочники с
  `OrganizationId?`).
 - `Common/IVersionedEntity.cs` — оптимистичная блокировка через PG `xmin`
  (`Xmin` поле).
 - Бизнес-сущности по поддоменам: `Catalog/` (Product, Counterparty,
  ProductGroup, …), `Inventory/` (Stock, StockMovement, Loss, Transfer,
  Inventory), `Purchases/` (Supply, Enter, SupplierReturn),
  `Sales/` (RetailSale, RetailSaleLine, Demand, LoyaltyCard,
  LoyaltyProgram, Promotion), `Organizations/` (Organization, Employee,
  EmployeeRole, OrgAuditLog, SuperAdminAuditLog), `Platform/`
  (PlatformSettings — singleton SMTP-конфиг).
 ### Application (`src/food-market.application/`)
 - **CQRS на MediatR** — пока partial: образцы в `Purchases/Commands/CreateSupplyCommand.cs`,
  `Sales/Commands/PostRetailSaleCommand.cs`, `Sales/Queries/GetSalesReportQuery.cs`.
  Большинство контроллеров пока «толстые» (исторически до TD-1).
 - **Абстракции**:
  - `Common/Tenancy/ITenantContext` — `OrganizationId`, `IsSuperAdmin`,
    `IsTenantOverride`, `UserId`.
  - `Common/Email/IEmailSender` — отправка через текущий SMTP-конфиг.
  - `Common/Fiscal/IFiscalProvider` + `IFiscalProviderFactory` (Sprint 11).
  - `Inventory/IStockService` — единая точка списания/начисления остатка
    (любая операция, меняющая склад, идёт через `ApplyMovementAsync`).
 - **FluentValidation** валидаторы рядом с DTO; глобально подключаются
  через `AddValidatorsFromAssemblyContaining<Program>()`.
 ### Infrastructure (`src/food-market.infrastructure/`)
 - `Persistence/AppDbContext.cs` — единый DbContext (тенанта + Identity +
  OpenIddict EF store). Query-filter применяется через reflection ко всем
  `ITenantEntity` (см. [MULTI-TENANCY.md](MULTI-TENANCY.md)).
 - `Persistence/Configurations/*.cs` — EF Core fluent configs по поддоменам.
 - `Persistence/Migrations/` — миграции пишутся вручную (см. CLAUDE.md /
  memory `feedback_ef_migrations`), снапшот не синхронизируется
  с моделью (используется только `dotnet ef migrations add`, который
  не вызывается в этом проекте).
 - `Persistence/OrgAuditInterceptor.cs` — EF `ISaveChangesInterceptor`,
  пишет каждую `Add/Update/Delete` в `org_audit_log` (JSONB diff).
 - `Identity/` — кастомные `User`, `Role` для ASP.NET Identity.
 - `Email/MailKitEmailSender.cs` — SMTP через MailKit, конфиг из
  `PlatformSettings` (читается на каждой отправке через scope).
 - `Fiscal/` — `IFiscalProvider` реализации: Mock + Webkassa (полный) +
  Kassa24/OfdSolo (skeleton). См. [ofd-integration.md](ofd-integration.md).
 - `Inventory/StockService.cs` — единственное место, где двигаются остатки.
  Бизнес-инвариант: stock = SUM(stock_movements) per (productId, storeId).
 - `Integrations/MoySklad/` — HTTP-клиент + конвертер для импорта каталога.
 ### Api (`src/food-market.api/`)
 - `Program.cs` — composition root (~570 строк, поделён логическими
  блоками; см. секцию «Composition root» ниже).
 - `Controllers/` — REST-API. Структура совпадает с маршрутами:
  - `Auth/` — `/api/auth/*` (signup, forgot-password, 2FA).
  - `Catalog/` — `/api/catalog/{products,counterparties,…}`.
  - `Purchases/` — `/api/purchases/{supplies,supplier-returns}`.
  - `Sales/` — `/api/sales/{retail,demands}`.
  - `Inventory/` — `/api/inventory/{stock,enters,losses,transfers,inventories}`.
  - `Reports/` — `/api/reports/{sales,stock,profit,abc}`.
  - `Dashboard/` — `/api/dashboard/{top-products,low-stock,recent-sales,margin}`.
  - `Loyalty/`, `Promotions/` — Sprint 9.
  - `Organizations/` — настройки орги, сотрудники, роли, ОФД.
  - `Pos/` — `/api/pos/v1/*` для WPF POS (sync, idempotency).
  - `SuperAdmin/` — `/api/super-admin/*` (управление платформой).
  - `Admin/` — `/api/admin/*` (per-org admin tools: cleanup, demo-seed,
    moysklad-import, audit-log просмотр).
  - `Search/` — глобальный `/api/search/global` (Cmd+K).
  - `Telegram/` — bind owner-chat, статус.
  - `Uploads/` — multipart upload изображений.
 - `Infrastructure/`:
  - `Tenancy/HttpContextTenantContext.cs` — реализация `ITenantContext`
    через `IHttpContextAccessor` + AsyncLocal-override для background tasks.
  - `Tenancy/SuperAdminOverrideClaimsTransformer.cs` — добавляет
    `Admin/Cashier/Storekeeper` роли SuperAdmin'у с активным
    `X-Org-Override`, чтобы `[Authorize(Roles="Admin")]` не отшил его.
  - `Tenancy/ReadonlyOverrideMiddleware.cs` — в режиме override без
    `X-Org-Override-Reason` блочит любую мутацию (читать всё, писать
    ничего; писать — только в edit-mode с reason).
  - `Tenancy/SuperAdminEditAuditFilter.cs` — глобальный action-filter,
    при mutate-в-override пишет в `super_admin_audit_log`.
  - `Authorization/RequiresPermissionAttribute.cs` + `PermissionAuthorizationPolicyProvider`
    + `PermissionAuthorizationHandler` — permission-based авторизация.
    `[RequiresPermission("ProductsEdit")]` → policy `perm:ProductsEdit` →
    `RolePermissions.ProductsEdit` булева на `EmployeeRole`.
  - `Validation/ValidationFilter.cs` — FluentValidation → 400
    ProblemDetails (RFC 7807).
  - `RateLimiting/AuthRateLimiterExtensions.cs` — 5/мин + 20/час на
    `/connect/token`, `/api/auth/signup` по IP+username.
  - `Observability/LogEnrichmentMiddleware.cs` — кладёт
    `CorrelationId/OrgId/UserId` в Serilog `LogContext`, каждая запись
    в журнале получает эти лейблы.
  - `Observability/DbMetricsInterceptor.cs` — EF интерсептор, Prometheus
    `food_market_db_query_duration_seconds`.
  - `Observability/AppMetrics.cs` — статические Counter'ы (Posted/Unposted
    per docType, FiscalRegistered, …).
  - `Health/DatabaseReadyHealthCheck.cs` — `SELECT 1` + проверка
    `__EFMigrationsHistory`.
  - `Security/OpenIddictKeyConfigurator.cs` — в dev — persistent RSA в
    `App_Data/oidc-keys/*`; в stage/prod — X509 PFX из конфига
    (см. [openiddict-keys.md](openiddict-keys.md)).
 - `Realtime/NotificationsHub.cs` + `NotificationsPublisher.cs` —
  SignalR-хаб `/hubs/notifications`, группы per-org. События:
  `SalePosted`, `LowStock`, `ImportProgress`.
 - `Background/`:
  - `HangfireJobsConfigurator` — регистрирует recurring jobs при старте:
    `prune-stock-movements` (03:30), `prune-audit-log` (03:45),
    `weekly-summary` (пн 07:00), `low-stock-alert` (08:00),
    `telegram-owner-daily-summary` (06:00).
  - `HousekeepingJobs` — pg-cleanup'ы.
  - `EmailNotificationJobs` — weekly-summary + low-stock email.
  - `OwnerDailySummaryJob` — Telegram-сводка владельцу.
  - `ReferencePriceRefreshJob` — пересчёт `Product.ReferencePrice`
    каждые 30 дней без приёмок.
 - `Seed/`:
  - `SystemReferenceSeeder` — справочники (страны, валюты, единицы).
  - `OpenIddictClientSeeder` — регистрирует client `food-market-web`.
  - `DevDataSeeder` — dev-only admin user (SuperAdmin).
  - `DemoTenantSeeder` / `YearDemoSeeder` — заполняют tenant
    демо-данными (Sprint 5 / Sprint 10).
 ### Web (`src/food-market.web/`)
 - Vite + React 19 + TS 6, Tailwind v4. Маршрутизация — React Router 6.
 - `src/lib/api.ts` — axios instance с auto-refresh токена.
 - `src/lib/auth.ts` — login/logout, store токена в `localStorage`.
 - `src/components/` — общие виджеты (Field, Button, Skeleton,
  CommandPalette, DashboardWidgets).
 - `src/pages/` — страницы (один файл per route).
 - TanStack Query — кеширование API-вызовов, инвалидация по SignalR.
 - AG Grid Community — большие списки (товары, контрагенты, отчёты).
 ### POS (`src/food-market.pos*/`)
 - `pos.core/` — логика без UI: оффлайн-буфер, sync, расчёт чека.
 - `pos/` — WPF UI, CommunityToolkit.Mvvm, SQLite, Refit + Polly,
  System.IO.Ports для весов CAS.
 - Sync: батчем по 50 чеков через `POST /api/pos/v1/batch` с
  `Idempotency-Key`. Сервер дедупит через `pos_batch_acks` уникальный
  индекс (`OrganizationId, IdempotencyKey`).
 ## Composition root (`Program.cs`)
 Логические блоки в порядке регистрации:
 1. **Serilog** bootstrap (до builder).
 2. **CORS** (`Cors:AllowedOrigins` из конфига).
 3. **HttpContextAccessor** + `ITenantContext` + `IClaimsTransformation`
   (SuperAdmin override роли).
 4. **EF Core**: `AppDbContext` (Npgsql, OpenIddict, два interceptor'а).
 5. **Identity** + **OpenIddict** server (password + refresh, rolling
   refresh, leeway = 0).
 6. **Authentication/Authorization** policies (`AdminAccess`, `perm:*`).
 7. **Rate-limiter** (`/connect/token`, `/api/auth/signup`).
 8. **HealthChecks** (`database` тег `ready`).
 9. **IEmailSender** (Singleton + scope для DbContext).
 10. **IFiscalProvider** + 3 HttpClient + `IFiscalProviderFactory`.
 11. **MediatR** (assembly scan), **FluentValidation**.
 12. **MoySklad HttpClient** + import service.
 13. **Hangfire** server + storage (PG), `HangfireJobsConfigurator` хостед.
 14. **SignalR** + `INotificationsPublisher`.
 15. **Telegram-бот** HttpClient (если token задан).
 16. **Сидеры**: `OpenIddictClientSeeder`, `SystemReferenceSeeder`,
    `DevDataSeeder` хостед; `DemoTenantSeeder`/`YearDemoSeeder` scoped.
 17. `Build()` → middleware pipeline (Serilog→CORS→HttpMetrics→
    RateLimiter→hubs-token-fix→AuthN→AuthZ→LogEnrichment→
    ReadonlyOverride→StaticFiles[/uploads]→Swagger→MapControllers→
    MapHub→MapMetrics→HangfireDashboard→HealthChecks).
 18. На старте: `db.Database.Migrate()` (идемпотентно).
 19. `app.Run()`.
 ## Поток: signup → bootstrap → первая продажа
 ```
 1. POST /api/auth/signup { email, password, organizationName, phone }
   ─→ создание Organization (Entity, не tenant-scoped)
   ─→ создание AppUser + добавление в роль "Admin"
   ─→ создание Employee с AdminRole и всеми permission'ами
   ─→ создание главного Store (isMain=true) + RetailPoint
   ─→ создание PriceType "Розничная" (isRetail=true, isSystem=true)
   ─→ копирование системных UnitOfMeasure (OrganizationId=null) на org
 2. POST /connect/token { grant_type=password, username, password }
   ─→ OpenIddict проверяет, выдаёт access_token + refresh_token
   ─→ access_token содержит claim org_id и role
 3. GET /api/me  (web bootstrap)
   ─→ возвращает { sub, email, roles, orgId, hasLiveOrg, hasActiveEmployee }
   ─→ фронт роутит на /dashboard или /no-organization (orphan-fallback)
 4. POST /api/catalog/products  { name, prices, barcodes, ... }
   ─→ ValidationFilter (FluentValidation)
   ─→ controller → _db.Products.Add(...) (OrganizationId stamped в SaveChanges)
   ─→ возвращает Product DTO
 5. POST /api/purchases/supplies + POST /{id}/post
   ─→ post идёт под Serializable tx
   ─→ для каждой строки StockService.ApplyMovementAsync(+qty, MovementType.Supply)
   ─→ Stock row для (productId, storeId) либо создаётся, либо обновляется
   ─→ commit, AppMetrics.IncrementPosted("supply")
   ─→ SignalR: NotificationsHub → группа org → событие SupplyPosted
 6. POST /api/sales/retail + POST /{id}/post
   ─→ Serializable tx, проверка остатка ≥ 0 для каждой строки
   ─→ StockService.ApplyMovementAsync(-qty, MovementType.RetailSale)
   ─→ commit, AppMetrics.IncrementPosted("retail-sale")
   ─→ best-effort TryFiscalizeAsync (Sprint 11) — отдельно, после commit
   ─→ SignalR: SalePosted (dashboard виджеты инвалидируют queries)
 ```
 ## База данных
 Postgres 14+ для dev (brew systemwide), Postgres 16 в Docker для
 stage/prod. Названия таблиц snake_case через явный `ToTable("…")`.
 ### Ключевые таблицы
 | Таблица | Назначение |
 |---|---|
 | `organizations` | Корневой tenant. Не tenant-scoped. |
 | `users`, `roles`, `user_roles` | ASP.NET Identity. |
 | `employees`, `employee_roles`, `role_permissions` | Сотрудники tenant'а + кастомные роли с булевыми флагами прав. |
 | `products`, `product_prices`, `product_barcodes`, `product_images`, `product_groups` | Каталог товаров. |
 | `counterparties` | Поставщики + покупатели (тип=Supplier/Individual/Legal). |
 | `stores`, `retail_points`, `units_of_measure`, `currencies`, `price_types`, `countries` | Справочники. |
 | `stocks`, `stock_movements` | Остатки + история движений. `stocks` — кеш `SUM(stock_movements)`. |
 | `supplies`, `supply_lines`, `enters`, `enter_lines`, `supplier_returns`, `supplier_return_lines` | Приходные документы. |
 | `losses`, `loss_lines`, `transfers`, `transfer_lines`, `inventory_docs`, `inventory_lines` | Внутренний учёт. |
 | `retail_sales`, `retail_sale_lines` | Чеки розницы + строки чека. Sprint 11: ОФД-снапшоты на `retail_sales` (FiscalNumber, FiscalQrCode, …). |
 | `demands`, `demand_lines` | Опт-отгрузки. |
 | `loyalty_programs`, `loyalty_cards`, `promotions` | Sprint 9. |
 | `pos_batch_acks` | Идемпотентность POS-синка (UNIQUE OrganizationId, IdempotencyKey). |
 | `org_audit_log` | JSONB-diff каждой mutate-операции tenant'а. |
 | `super_admin_audit_log` | Действия SuperAdmin'а (особенно в режиме «открыто как…»). |
 | `platform_settings` | Singleton: SMTP-конфиг платформы. |
 | `system_settings` | Singleton: per-tenant фичи (не путать с platform). |
 | `import_jobs` | История импортов MoySklad. |
 OpenIddict хранит `openiddict_applications`/`authorizations`/`tokens`/`scopes`.
 Hangfire — `hangfire.*` (в своей схеме).
 ### Concurrency
 `IVersionedEntity` сущности (Supply, RetailSale, Demand, Enter, Loss,
 Transfer, InventoryDoc, SupplierReturn) включают PG `xmin` через
 `UseXminAsConcurrencyToken()`. Параллельные апдейты одного документа
 получают `DbUpdateConcurrencyException`, контроллер возвращает 409.
 Post-операции, изменяющие остаток, идут под `IsolationLevel.Serializable`
 (см. `RetailSalesController.Post`, `SuppliesController.Post`, …) —
 это защищает от race в `SUM(stock_movements)`-инварианте.
 ## Внешние интеграции
 | Сервис | Где | Состояние |
 |---|---|---|
 | **MoySklad** | `Infrastructure/Integrations/MoySklad/` | Импорт товаров, контрагентов, остатков. Per-org token в `Organization.MoySkladToken`. |
 | **SMTP** | `Infrastructure/Email/MailKitEmailSender.cs` | Платформенный SMTP в `PlatformSettings` (SuperAdmin настраивает). Используется для invite, forgot-password, weekly-summary. |
 | **Telegram Bot** | `Api/Integrations/Telegram/` | Owner-сводка. Per-org `OwnerTelegramChatId`. Bot token в env. |
 | **ОФД (Webkassa / Kassa24 / ОФД-Соло)** | `Infrastructure/Fiscal/` | Sprint 11 scaffolding. Per-org провайдер + креды. |
 | **MinIO (S3)** | `Api/Storage/StorageBootstrap.cs` | Опциональный сторадж изображений. Если не настроен — `/uploads` volume на FS. |
 ## Тесты
 - **Unit** (`tests/food-market.UnitTests/`) — xUnit + InMemory EF + чистые
  юниты на валидаторы, payload-builder'ы, MediatR-handler'ы.
 - **Integration** (`tests/food-market.IntegrationTests/`) — xUnit +
  Testcontainers Postgres (`postgres:16-alpine`). Полный API через
  `WebApplicationFactory<Program>`. Shared `ApiFactory` через
  `ApiCollection` (один контейнер на сессию xunit). Memory note:
  `test_suites_setup` — Ryuk выключен (TCN не тянет с docker-hub),
  rate-limiter eager-config через env-переменную.
 - **E2E** (`tests/e2e/`) — Playwright (TS) против stage
  `https://test.admin.food-market.kz`. Используется в verify-suite'ах
  по спринтам.
 - **Load** (`tests/load/`) — k6 (Sprint 12). См. `docs/performance-baseline.md`.
 ### Sprint 13-15 changes (быстрая сводка)
 | Sprint | Что добавлено / изменено |
 |---|---|
 | **13** (security) | `SecurityHeadersMiddleware` (CSP, X-Frame, HSTS); rate-limit на signup (3/h IP) и forgot-password (3/h email + 10/h IP); `SensitiveOpsAudit` сервис для logged-ops; `POST /api/me/sessions/revoke-all` через `IOpenIddictAuthorizationManager`; Hangfire-dashboard под `SuperAdminHangfireFilter` + nginx /hangfire location. Также: dedicated PG-роль `food_market_server_app` для legacy back.food-market.kz (без superuser). |
 | **14** (perf) | Phase14a индексы (composite + partial с INCLUDE на `retail_sales`); N+1 fix в `SalesReportController.FetchAsync`; React.lazy на 30 редких страниц + Recharts lazy → bundle 1456→706 KB (−51%); ImageSharp генерирует thumb/medium WebP при загрузке + `<ProductImage>` с `<picture>` srcset; Npgsql pool (Min=10/Max=100/AutoPrepare=20); `JobTimingFilter` для Hangfire-jobs. |
 | **15** (a11y + tests) | `useFocusTrap` (WCAG 2.4.3/2.1.2) на Modal + ConfirmDialog; axe-core spec-suite (10 страниц, 0 critical); aria-label на icon-only back-links + role="alert" на form errors; coverage Application 67%→83%, Domain 11%→79%; property-based tests на StockService (Σ movements ≡ Stock); verified backup-recovery drill RTO ~25s. |
 ## Релиз-цикл
 1. Локально: `dotnet build` + `dotnet test` + `pnpm build`.
 2. `git push origin main` (Forgejo на 127.0.0.1:3000 — primary remote,
   GitHub — mirror, memory `feedback_forgejo_primary`).
 3. `~/deploy-stage.sh` — docker build api+web → push в локальный registry
   `192.168.1.193:5001` → ssh на prod-vm → `docker compose pull && up -d`.
 4. Health check на `https://test.admin.food-market.kz/health/ready`.
 5. Verify на stage (Playwright или ручной чек).
 6. Prod-деплой — пока ручной (TBD, нужен план от user'а).
 ## Что ещё прочитать
 - [MULTI-TENANCY.md](MULTI-TENANCY.md) — query filter, SuperAdmin override, подводные камни.
 - [RUNBOOK.md](RUNBOOK.md) — операционные процедуры.
 - [DEVELOPER-GUIDE.md](DEVELOPER-GUIDE.md) — как начать вкладываться в код.
 - [ofd-integration.md](ofd-integration.md) — ОФД-провайдеры.
 - [openapi.md](openapi.md) — генерация TS-клиента из Swagger.
 - [observability.md](observability.md) — Serilog + Prometheus.
 - [secrets.md](secrets.md) — управление секретами в stage/prod.
 - [stage-access.md](stage-access.md) — как попасть на stage-сервер.
 - [backup-restore.md](backup-restore.md) — бэкапы.
--- a/docs/DEVELOPER-GUIDE.md
+++ b/docs/DEVELOPER-GUIDE.md
@ -1,480 +0,0 @@
 # Developer guide — food-market
 Как поднять проект, что куда добавлять, какие паттерны соблюдать.
 Предполагается, что вы прочитали [ARCHITECTURE.md](ARCHITECTURE.md) и
 понимаете слои.
 ## Локальный setup
 ### Что нужно
 - **.NET 8 SDK 8.0.4xx** (см. `global.json`, `rollForward: latestFeature`
  — годится любой 8.0.4xx).
 - **Node 20+** и **pnpm 9+** (для web).
 - **PostgreSQL 14+** — на macOS обычно brew `postgresql@14`.
  БД: `food_market`, owner `nns`, пароль пустой.
 - **Docker** + **Docker Compose** — только для integration-тестов
  (Testcontainers) и stage-деплоя.
 ### Поднять с нуля
 ```bash
 git clone http://127.0.0.1:3000/nns/food-market.git
 cd food-market
 # 1) БД (если ещё нет)
 createdb -O nns food_market   # пользователь nns должен существовать
 # 2) Backend
 ASPNETCORE_ENVIRONMENT=Development \
    dotnet run --project src/food-market.api
 # первый запуск: применит миграции, посеит справочники, создаст
 # SuperAdmin admin@food-market.local / Admin12345!.
 # API на http://localhost:5081, Swagger на /swagger.
 # 3) Web (в другом терминале)
 cd src/food-market.web
 pnpm install
 pnpm dev
 # http://localhost:5173
 # 4) Smoke
 curl http://localhost:5081/health
 # и зайти в браузере, залогиниться admin@food-market.local
 ```
 ### Получить токен из CLI
 ```bash
 TOKEN=$(curl -sX POST http://localhost:5081/connect/token \
  -H "Content-Type: application/x-www-form-urlencoded" \
  -d 'grant_type=password&username=admin@food-market.local&password=Admin12345!&client_id=food-market-web&scope=openid profile email roles api offline_access' \
  | jq -r .access_token)
 curl -sH "Authorization: Bearer $TOKEN" http://localhost:5081/api/me | jq
 ```
 ## Запуск тестов
 ```bash
 # Unit-тесты (быстрые, ~7-10с)
 dotnet test tests/food-market.UnitTests/
 # Integration (тянут Postgres-контейнер, ~30-60с на холодную)
 dotnet test tests/food-market.IntegrationTests/
 # Фильтр по имени класса/метода
 dotnet test tests/... --filter "FullyQualifiedName~Fiscal"
 # Web — type-check + production build
 cd src/food-market.web && pnpm exec tsc --noEmit && pnpm build
 # E2E (Playwright против stage)
 cd tests/e2e && pnpm install
 pnpm playwright test stage-smoke.spec.ts
 ```
 ### Гочи integration-тестов
 - **Testcontainers Ryuk** выключен (env `TESTCONTAINERS_RYUK_DISABLED=true`).
  Причина: контейнер reaper тянет образ с Docker Hub, на dev-vm сеть
  туда нестабильна.
 - **Rate-limiter** выключен через `RateLimiting__Enabled=false`. Он
  читает конфиг ЭАГЕРНО при регистрации сервисов — поэтому только через
  переменную окружения (см. memory `test_suites_setup`).
 - **Hangfire-сервер** выключен (`Hangfire__Enabled=false`) — иначе
  создаёт схему и держит коннект в одноразовом контейнере.
 - Один `ApiFactory` на всю xUnit-сессию через `[Collection(ApiCollection.Name)]`.
  Делать второй `WebApplicationFactory<Program>` параллельно нельзя —
  `HostFactoryResolver` сломается.
 ## Конвенции репо
 - C# 12, `Nullable` enabled, `ImplicitUsings` enabled.
 - Названия неймспейсов — `foodmarket.Domain`, `foodmarket.Application`,
  `foodmarket.Infrastructure`, `foodmarket.Api`. Папки в `src/` —
  `food-market.api`, `food-market.application`, … (с дефисом). Это
  расхождение исторически — менять не нужно.
 - Названия таблиц в БД — snake_case (явный `b.ToTable("retail_sales")`),
  столбцы — PascalCase из C# (EF default), индексы по
  `IX_<table>_<cols>` (EF default).
 - Комментарии в коде — рассказывающие *почему*, не *что*. Если из имени
  переменной/метода не понятно — переименуй; если из логики не понятно,
  *почему* — комментируй.
 - XML-doc на public API в Application/Infrastructure обязателен (даёт
  IntelliSense для другой стороны и появляется в Swagger).
 - Локализация UI — `src/lib/i18n.ts` (русский по умолчанию, есть
  заготовка под KZ — нужен переводчик).
 ## Паттерны: добавить controller с permission
 Пример: `POST /api/loyalty/programs` (создание программы лояльности),
 доступно только Admin'у орги или SuperAdmin'у в edit-mode.
 ```csharp
 // food-market.api/Controllers/Loyalty/LoyaltyProgramsController.cs
 [ApiController]
 [Authorize]
 [Route("api/loyalty/programs")]
 public class LoyaltyProgramsController : ControllerBase
 {
    private readonly AppDbContext _db;
    private readonly ITenantContext _tenant;
    private readonly ILogger<LoyaltyProgramsController> _log;
    public LoyaltyProgramsController(
        AppDbContext db, ITenantContext tenant, ILogger<LoyaltyProgramsController> log)
    {
        _db = db; _tenant = tenant; _log = log;
    }
    public record ProgramInput(
        [Required] string Name,
        [Range(1, 4)] int Type,
        [Range(0, 1000)] decimal Rate,
        bool IsActive);
    [HttpPost, RequiresPermission("LoyaltyEdit")]
    public async Task<ActionResult<Guid>> Create(
        [FromBody] ProgramInput input, CancellationToken ct)
    {
        var p = new LoyaltyProgram
        {
            Name = input.Name.Trim(),
            Type = (LoyaltyProgramType)input.Type,
            Rate = input.Rate,
            IsActive = input.IsActive,
            // OrganizationId stamping применит в SaveChanges
        };
        _db.LoyaltyPrograms.Add(p);
        await _db.SaveChangesAsync(ct);
        _log.LogInformation(
            "Loyalty program created: {ProgramId} {Name} org={OrgId}",
            p.Id, p.Name, _tenant.OrganizationId);
        return Ok(p.Id);
    }
 }
 ```
 Что произошло:
 - `[Authorize]` — JWT-токен обязателен (валидируется OpenIddict).
 - `[Route("api/...")]` — обычный REST-маршрут. `api/` префикс
  обязателен для всех контроллеров (web-фронт ходит через `/api/*`,
  nginx это знает).
 - `[RequiresPermission("LoyaltyEdit")]` — резолвится в policy `perm:LoyaltyEdit`,
  handler проверяет `RolePermissions.LoyaltyEdit` булеву у роли
  текущего юзера. Добавь поле в `RolePermissions.cs` если ещё нет,
  миграция-`AddColumn` для `bool LoyaltyEdit NOT NULL DEFAULT false`
  + апдейт admin-роли в сидере.
 - `ProgramInput` — record с DataAnnotations. Для сложной валидации —
  отдельный FluentValidation `AbstractValidator<ProgramInput>` в
  `food-market.api/Infrastructure/Validation/Validators.cs` (см.
  паттерны там).
 - `_db.LoyaltyPrograms.Add(p)` без явного `OrganizationId` —
  `StampTenant` в `SaveChangesAsync` подставит.
 - Логирование структурированное: `{ProgramId}`, `{Name}`, `{OrgId}` —
  Serilog кладёт их как property'и (search'абельны в Loki/ES, не строкой).
 ### Если нужен Admin-only (грубее)
 ```csharp
 [HttpPut, Authorize(Roles = "Admin")]
 ```
 это эквивалентно «или Identity-role Admin, или SuperAdmin в режиме
 override (через `SuperAdminOverrideClaimsTransformer`)». Подходит для
 редких операций; для регулярных используй `RequiresPermission`.
 ## Паттерны: добавить сущность с RowVersion и tenant
 Допустим, нужна новая сущность `PromoCode`.
 ### 1. Domain
 ```csharp
 // food-market.domain/Sales/PromoCode.cs
 public class PromoCode : TenantEntity, IVersionedEntity
 {
    public uint Xmin { get; set; }
    public string Code { get; set; } = "";
    public decimal Discount { get; set; }
    public DateTime? ExpiresAt { get; set; }
    public bool IsActive { get; set; } = true;
 }
 ```
 `TenantEntity` даёт `Id`, `CreatedAt`, `UpdatedAt`, `OrganizationId`.
 `IVersionedEntity` + `Xmin` — оптимистичная блокировка через PG xmin.
 ### 2. EF Configuration
 ```csharp
 // food-market.infrastructure/Persistence/Configurations/SalesConfigurations.cs
 b.Entity<PromoCode>(e =>
 {
    e.ToTable("promo_codes");
    e.UseXminAsConcurrencyToken();
    e.Ignore(x => x.Xmin);
    e.Property(x => x.Code).HasMaxLength(40).IsRequired();
    e.Property(x => x.Discount).HasPrecision(18, 4);
    e.HasIndex(x => new { x.OrganizationId, x.Code }).IsUnique();  // ← OrganizationId первым!
    e.HasIndex(x => new { x.OrganizationId, x.IsActive });
 });
 ```
 **Важно**: индексы — с `OrganizationId` первым полем. Все запросы пройдут
 через query filter и будут фильтроваться по этому полю; без правильного
 индекса PG будет full-scan тенант-таблицы.
 ### 3. DbSet
 ```csharp
 // food-market.infrastructure/Persistence/AppDbContext.cs
 public DbSet<PromoCode> PromoCodes => Set<PromoCode>();
 ```
 ### 4. Миграция руками
 ```csharp
 // food-market.infrastructure/Persistence/Migrations/20260608100000_PromoCodes.cs
 [DbContext(typeof(AppDbContext))]
 [Migration("20260608100000_PromoCodes")]
 public partial class PromoCodes : Migration
 {
    protected override void Up(MigrationBuilder b)
    {
        b.CreateTable(
            name: "promo_codes",
            schema: "public",
            columns: t => new
            {
                Id = t.Column<Guid>(type: "uuid", nullable: false),
                OrganizationId = t.Column<Guid>(type: "uuid", nullable: false),
                Code = t.Column<string>(type: "character varying(40)", maxLength: 40, nullable: false),
                Discount = t.Column<decimal>(type: "numeric(18,4)", precision: 18, scale: 4, nullable: false),
                ExpiresAt = t.Column<DateTime>(type: "timestamp with time zone", nullable: true),
                IsActive = t.Column<bool>(type: "boolean", nullable: false, defaultValue: true),
                CreatedAt = t.Column<DateTime>(type: "timestamp with time zone", nullable: false),
                UpdatedAt = t.Column<DateTime>(type: "timestamp with time zone", nullable: true),
            },
            constraints: t => t.PrimaryKey("PK_promo_codes", x => x.Id));
        b.CreateIndex(
            name: "IX_promo_codes_OrganizationId_Code",
            schema: "public", table: "promo_codes",
            columns: new[] { "OrganizationId", "Code" }, unique: true);
        b.CreateIndex(
            name: "IX_promo_codes_OrganizationId_IsActive",
            schema: "public", table: "promo_codes",
            columns: new[] { "OrganizationId", "IsActive" });
    }
    protected override void Down(MigrationBuilder b)
        => b.DropTable("promo_codes", "public");
 }
 ```
 **Обязательно**: `[DbContext]` + `[Migration("...")]` атрибуты — без них
 `db.Database.Migrate()` миграцию не подхватит (memory:
 `feedback_ef_migrations`).
 ### 5. Тест на изоляцию
 Добавить case в `TenantIsolationTests`: org A создаёт PromoCode, org B
 делает GET, видит пустой список.
 ## Валидация
 ### Простые правила — DataAnnotations
 ```csharp
 public record ProductInput(
    [Required, MaxLength(200)] string Name,
    [Range(0, 1e10)] decimal Price);
 ```
 ### Сложные — FluentValidation
 В `food-market.api/Infrastructure/Validation/Validators.cs`:
 ```csharp
 public sealed class ProductInputValidator : AbstractValidator<ProductInput>
 {
    public ProductInputValidator()
    {
        RuleFor(x => x.Name).NotEmpty().MaximumLength(200);
        RuleFor(x => x.Price).GreaterThanOrEqualTo(0);
        // Кросс-полевые правила, async, реализующие бизнес-инвариант
        RuleFor(x => x.Lines).NotEmpty().WithMessage("Хотя бы одна позиция.");
        RuleForEach(x => x.Lines).ChildRules(line =>
        {
            line.RuleFor(l => l.Quantity).GreaterThan(0);
            line.RuleFor(l => l.UnitPrice).GreaterThanOrEqualTo(0);
        });
    }
 }
 ```
 Валидаторы регистрируются автоматически через
 `AddValidatorsFromAssemblyContaining<Program>()`. `ValidationFilter`
 (глобальный action-filter в Program.cs) запускает их на каждом
 action и возвращает 400 ProblemDetails (RFC 7807).
 ### Бизнес-валидация (требует БД)
 Если правило требует справиться с БД (например, «склад существует и
 не архивирован»), вынесите в первый шаг action-метода:
 ```csharp
 [HttpPost]
 public async Task<ActionResult> Create(ProductInput input, CancellationToken ct)
 {
    var groupOk = await _db.ProductGroups.AnyAsync(g => g.Id == input.ProductGroupId, ct);
    if (!groupOk)
        return BadRequest(new { error = "Группа не найдена.", field = "productGroupId" });
    // ...
 }
 ```
 Формат ошибки — `{ error: "...", field?: "..." }`. Фронт показывает
 `error` тостом, `field` подсвечивает в форме.
 ## Логирование
 Используем Serilog со структурированными полями. `LogEnrichmentMiddleware`
 уже добавляет `CorrelationId/OrgId/UserId` в каждую запись.
 ### Правила
 - **Не строкой**: `_log.LogInformation("Created product " + id)` — нет.
  `_log.LogInformation("Product created: {ProductId} name={Name}", id, name)` — да.
 - **Уровень**:
  - `Trace/Debug` — только для отладки конкретного бага.
  - `Information` — успешные mutate-операции, важные events
    (post/unpost документа, регистрация чека в ОФД).
  - `Warning` — что-то пошло не как ожидалось, но обработали
    (best-effort fail, retry-able ошибка).
  - `Error` — обработать не удалось, нужен внимательный человек.
  - `Critical` — приложение в плохом состоянии, может перестать работать.
 - **Не логировать** PII в открытом виде (пароли, токены, email — email
  можно, но не светить лишний раз).
 - **Exception как первый аргумент**: `_log.LogError(ex, "...", ...)`,
  не `_log.LogError("... " + ex.Message)` — теряется stack trace.
 ### Пример из RetailSalesController
 ```csharp
 _log.LogInformation(
    "RetailSale posted: {SaleNumber} store={StoreId} payment={Payment} lines={LinesCount} total={Total}",
    sale.Number, sale.StoreId, sale.Payment, sale.Lines.Count, sale.Total);
 // ...
 try
 {
    await _notify.PublishAsync(...);
 }
 catch (Exception ex)
 {
    // Notification — best-effort: не должна валить транзакцию (она уже закоммичена)
    _log.LogWarning(ex, "SignalR notify failed for sale {SaleId}", sale.Id);
 }
 ```
 ## SignalR realtime
 Если нужно отправить уведомление на фронт (инвалидация query'я,
 показ тоста):
 ```csharp
 // в Program.cs INotificationsPublisher уже зарегистрирован
 public class MyController : ControllerBase
 {
    private readonly INotificationsPublisher _notify;
    [HttpPost("...")]
    public async Task<IActionResult> Action(...)
    {
        // ... business logic ...
        await _notify.PublishAsync(
            organizationId,
            NotificationEvents.SalePosted,    // строковая константа
            new SalePostedPayload(...));      // record DTO
        return NoContent();
    }
 }
 ```
 На фронте — `useNotifications()` хук подписан на хаб и инвалидирует
 relevant query'и. Новые event'ы добавлять в `NotificationEvents`,
 payload — в соседнем record'е.
 ## Что НЕ делать
 - НЕ инжектить `IServiceProvider` чтобы доставать сервисы лениво —
  объяви явные зависимости в конструкторе. Исключение: фабрики (Fiscal,
  Email) которые открывают scope для свежего DbContext'а.
 - НЕ писать raw SQL (`SqlQueryRaw`/`ExecuteSqlRaw`) без явного
  `WHERE OrganizationId = @org` — query-filter не применится.
 - НЕ менять снапшот в `Persistence/Migrations/AppDbContextModelSnapshot.cs`
  руками для добавления новых полей — он используется только инструментом
  `dotnet ef migrations add`, который мы не запускаем. Trying to add
  partial state ломает только инструмент, ничего не дав. Если хочется —
  обновляй целиком, синхронно с моделью; иначе оставь как есть.
 - НЕ добавлять платные компоненты: Kendo, DevExpress, Syncfusion
  commercial, Telerik (CLAUDE.md).
 - НЕ менять `global.json` без согласования (CLAUDE.md).
 - НЕ создавать миграции через `dotnet ef migrations add` — пиши руками
  (memory: `feedback_ef_migrations`).
 - НЕ делать `git push --force` на main (Forgejo — primary).
 ## Что добавилось после первого релиза этого guide'а
 | Sprint | Чем пользоваться |
 |---|---|
 | 13 | `SensitiveOpsAudit` (`food-market.api/Infrastructure/Audit/`) — централизованный логгер sensitive-операций. Вместо ручного `OrgAuditLogs.Add` — `_audit.LogAsync(action, entityType, entityId, payload)`. |
 | 13 | `[RequiresPermission("X")]` уже было; добавился `MeSessionsController.RevokeAll` — пример работы с `IOpenIddictAuthorizationManager`. |
 | 13 | Все ответы автоматически получают security-заголовки через `SecurityHeadersMiddleware`. Если новый endpoint требует ослабленную CSP (например, embeds другой домен) — добавь его path в `ShouldSkip` middleware'a. |
 | 14 | Композитный индекс `(OrganizationId, …)` на новых таблицах — must. Для отчётных запросов с фильтром по статусу — добавляй partial index `WHERE Status = X` с `INCLUDE` (covering). |
 | 14 | `ImageVariantService` — при upload картинок автоматически генерирует thumb/medium WebP. Через frontend `<ProductImage src={url} size="thumb" />` — `<picture>` + srcset. |
 | 14 | Hangfire-jobs: `JobTimingFilter` глобально логирует длительность; >30с — Warning. Для своих jobs ничего настраивать не надо. |
 | 15 | `useFocusTrap` (`src/lib/useFocusTrap.ts`) — focus trap + return-focus для модалок. Уже подключён в `Modal` и `ConfirmDialog`. Для своего модала: `const ref = useFocusTrap<HTMLDivElement>(open)`. |
 | 15 | a11y: каждая icon-only `<button>`/`<a>` нуждается в `aria-label="..."` и `aria-hidden="true"` на иконке внутри. Поля формы с ошибкой — `aria-invalid={true}` + `aria-describedby="err-id"` + `<span id="err-id" role="alert">...</span>`. Цвет текста для маленького font'а — `text-slate-500` минимум (4.61 contrast), не `text-slate-400` (2.63, fails WCAG AA). |
 | 15 | Unit-coverage цель — 70% по строкам в Application+Domain. Добавляешь новую POCO → один touch-test в `DomainPocoSmokeTests`/`DomainFullPropertyTouchTests`. Property-based тест на бизнес-инвариант — `StockServicePropertyTests`-pattern (рандомные seed'ы, проверка инварианта). |
 ## Что НЕ делать
 - НЕ инжектить `IServiceProvider` чтобы доставать сервисы лениво —
  объяви явные зависимости в конструкторе. Исключение: фабрики (Fiscal,
  Email) которые открывают scope для свежего DbContext'а.
 - НЕ писать raw SQL (`SqlQueryRaw`/`ExecuteSqlRaw`) без явного
  `WHERE OrganizationId = @org` — query-filter не применится.
 - НЕ менять снапшот в `Persistence/Migrations/AppDbContextModelSnapshot.cs`
  руками для добавления новых полей — он используется только инструментом
  `dotnet ef migrations add`, который мы не запускаем. Trying to add
  partial state ломает только инструмент, ничего не дав. Если хочется —
  обновляй целиком, синхронно с моделью; иначе оставь как есть.
 - НЕ добавлять платные компоненты: Kendo, DevExpress, Syncfusion
  commercial, Telerik (CLAUDE.md).
 - НЕ менять `global.json` без согласования (CLAUDE.md).
 - НЕ создавать миграции через `dotnet ef migrations add` — пиши руками
  (memory: `feedback_ef_migrations`).
 - НЕ делать `git push --force` на main (Forgejo — primary).
 - НЕ использовать `text-slate-400` для маленьких подписей на белом
  фоне — fails WCAG AA color contrast (Sprint 15). Минимум `text-slate-500`.
 - НЕ делать icon-only `<button>`/`<a>` без `aria-label` — Screen readers
  пропустят его (Sprint 15 axe-core finding).
 ## Полезные ссылки
 - [ARCHITECTURE.md](ARCHITECTURE.md) — слои и модули.
 - [MULTI-TENANCY.md](MULTI-TENANCY.md) — query-filter, override-режим,
  расширенный чеклист «как добавить tenant-сущность».
 - [RUNBOOK.md](RUNBOOK.md) — операционные процедуры, recovery drill
  (RTO ~25с подтверждённый).
 - [openapi.md](openapi.md) — генерация TS-клиента из Swagger.
 - [observability.md](observability.md) — Serilog + Prometheus + Grafana
  dashboard JSON (Sprint 13).
 - [ofd-integration.md](ofd-integration.md) — ОФД-провайдеры (Sprint 11).
 - [performance-baseline.md](performance-baseline.md) — k6-замеры (Sprint 12, 14).
 - [secrets.md](secrets.md) — где живут секреты.
--- a/docs/MULTI-TENANCY.md
+++ b/docs/MULTI-TENANCY.md
@ -1,416 +0,0 @@
 # Multi-tenancy в food-market
 Один процесс API, одна БД, много организаций (тенантов). Каждый запрос
 видит только данные своей организации. Изоляция держится на двух вещах:
 1. **EF Core query filter** на каждой `ITenantEntity` (auto-инжектится
   в `WHERE` каждого SQL-запроса).
 2. **Stamping в SaveChanges** — добавляемые сущности получают
   `OrganizationId` из текущего `ITenantContext`.
 `SuperAdmin` — отдельная роль с правом обходить фильтр (видеть/менять
 всё). Чтобы не получить «случайные изменения по всем оргам сразу»,
 есть строгий режим «открыть как…» с двумя ступенями (read-only +
 edit-mode с reason).
 ## Модель
 ### Базовые интерфейсы
 ```csharp
 // food-market.domain/Common/TenantEntity.cs
 public interface ITenantEntity        // обязательный orgId
 {
    Guid OrganizationId { get; set; }
 }
 public abstract class TenantEntity : Entity, ITenantEntity
 {
    public Guid OrganizationId { get; set; }
 }
 public interface IOptionalTenantEntity  // системный справочник
 {
    Guid? OrganizationId { get; set; }
 }
 ```
 ### Когда использовать что
 | Случай | База |
 |---|---|
 | Бизнес-данные тенанта: продукты, чеки, контрагенты, отчёты | `TenantEntity` (обязательный orgId) |
 | Системные справочники с возможностью per-tenant расширения: `UnitOfMeasure`, `ProductGroup`, `Country` | `IOptionalTenantEntity` (null = системная, оrgId = tenant'овская) |
 | Корневая сущность тенанта: `Organization` | `Entity` (сама не tenant-scoped) |
 | Платформенные настройки: `PlatformSettings` (SMTP), OpenIddict-клиенты | `Entity` (singletons / cross-tenant) |
 | Audit-логи SuperAdmin'а: `SuperAdminAuditLog` | `Entity` (есть optional `OrganizationId` для фильтра, но сама не tenant-scoped) |
 ## Tenant-контекст
 `ITenantContext` (Application слой) — единственный источник правды о
 том, кто сейчас делает запрос:
 ```csharp
 // food-market.application/Common/Tenancy/ITenantContext.cs
 public interface ITenantContext
 {
    Guid? OrganizationId { get; }     // null = SuperAdmin вне override, или нет JWT
    bool IsAuthenticated { get; }
    bool IsSuperAdmin { get; }
    bool IsTenantOverride { get; }    // SuperAdmin в режиме «открыть как…»
    Guid? UserId { get; }
 }
 ```
 Реализация — `HttpContextTenantContext` (`food-market.api/Infrastructure/Tenancy/`).
 Источники данных в порядке приоритета:
 1. **AsyncLocal-override** (`UseOverride(orgId, isSuper)`) — для
   background-tasks (Hangfire, импорт MoySklad, фоновые сидеры).
   Когда нет HttpContext, нужно явно задать tenant перед `DbContext`-вызовом.
 2. **HTTP-заголовок `X-Org-Override`** — режим «открыть как…»
   (только если у юзера роль SuperAdmin).
 3. **JWT claim `org_id`** — обычный tenant-юзер.
 ```csharp
 // background-job пример
 using (HttpContextTenantContext.UseOverride(orgId, isSuperAdmin: false))
 {
    // здесь _db применит фильтр на orgId
    var products = await _db.Products.ToListAsync();
 }
 ```
 ## Query filter
 `AppDbContext.OnModelCreating` после регистрации всех сущностей
 рефлексией обходит модель и вешает фильтр на каждую `ITenantEntity`:
 ```csharp
 // food-market.infrastructure/Persistence/AppDbContext.cs
 private void ApplyTenantFilter<T>(ModelBuilder builder) where T : class, ITenantEntity
 {
    // SuperAdmin обходит фильтр ТОЛЬКО когда не в режиме «открыть как…».
    // В override-режиме (X-Org-Override header активен) он работает в
    // контексте конкретной орги — фильтр обязан применяться.
    builder.Entity<T>().HasQueryFilter(e =>
        (_tenant.IsSuperAdmin && !_tenant.IsTenantOverride)
        || e.OrganizationId == _tenant.OrganizationId);
 }
 private void ApplyOptionalTenantFilter<T>(ModelBuilder builder) where T : class, IOptionalTenantEntity
 {
    builder.Entity<T>().HasQueryFilter(e =>
        (_tenant.IsSuperAdmin && !_tenant.IsTenantOverride)
        || e.OrganizationId == null
        || e.OrganizationId == _tenant.OrganizationId);
 }
 ```
 Результат:
 - Tenant-юзер: `WHERE OrganizationId = '<его orgId>'`.
 - SuperAdmin без override: фильтр не применяется (видит всё).
 - SuperAdmin с `X-Org-Override`: `WHERE OrganizationId = '<выбранная orgId>'`.
 - `IOptionalTenantEntity`: видит свои + системные (`IS NULL`).
 ## Stamping в SaveChanges
 `AppDbContext.SaveChanges/Async` зовут `StampTenant()`, который
 проходит по `Added`-entries:
 ```csharp
 private void StampTenant()
 {
    foreach (var entry in ChangeTracker.Entries())
    {
        if (entry.State != EntityState.Added) continue;
        if (entry.Entity is ITenantEntity tenant && tenant.OrganizationId == Guid.Empty)
        {
            if (_tenant.OrganizationId.HasValue)
                tenant.OrganizationId = _tenant.OrganizationId.Value;
        }
        else if (entry.Entity is IOptionalTenantEntity opt && opt.OrganizationId is null)
        {
            // SuperAdmin без override: оставляем null (системная запись)
            // SuperAdmin с override / tenant-юзер: стампим текущий orgId
            if (_tenant.IsSuperAdmin && !_tenant.IsTenantOverride) { /* null */ }
            else if (_tenant.OrganizationId.HasValue)
                opt.OrganizationId = _tenant.OrganizationId.Value;
        }
    }
 }
 ```
 Это значит: контроллер может писать `_db.Products.Add(product)` без
 явного `product.OrganizationId = ...` — stamping подставит сам.
 **НО**: если код явно выставил `OrganizationId` (например, чтобы создать
 запись для другой орги в Hangfire-job), stamping её не перетрёт.
 ## SuperAdmin override: режим «открыть как…»
 Конкретный поток с фронта:
 1. SuperAdmin заходит в «Системная консоль → Организации».
 2. Кликает «Открыть как…» на какой-то orgRow.
 3. Фронт начинает слать каждый запрос с заголовком
   `X-Org-Override: <orgId>`. Без этого хедера SuperAdmin видит «своё»
   (а у SuperAdmin'а часто нет своей орги, поэтому все списки пусты —
   у супер-админа в админке тренировочный режим).
 4. По умолчанию режим **read-only** (`ReadonlyOverrideMiddleware`):
   GET/HEAD/OPTIONS — пропускаются; PUT/POST/DELETE/PATCH — `403`.
   Исключение: `/api/super-admin/*` и `/connect/*` (refresh-token).
 5. Чтобы что-то поменять, фронт показывает «Войти в edit-mode»,
   запрашивает причину (≥ 10 символов), отправляет её в каждом запросе
   как `X-Org-Override-Reason: <текст>`. Тогда middleware пропускает
   мутации, а action-filter (`SuperAdminEditAuditFilter`) после успешного
   ответа пишет строку в `super_admin_audit_log` с reason'ом и
   запросом/ответом.
 6. Фронт ограничивает edit-mode 30 минутами (UI таймер).
   Сервер не следит за временем — это UX-конвенция, а аудит уже есть.
 ### ClaimsTransformer для tenant-ролей
 Тонкость: SuperAdmin сам по себе не имеет ролей `Admin/Storekeeper/Cashier`
 (они — атрибуты `Employee` тенанта). Контроллер
 `[Authorize(Roles="Admin")]` отшил бы его 403 даже в edit-mode.
 Решение: `SuperAdminOverrideClaimsTransformer` (`IClaimsTransformation`,
 вызывается на каждый authenticated request) — если есть `X-Org-Override`,
 динамически добавляет SuperAdmin'у `Admin/Storekeeper/Cashier` claim-роли
 **только на текущий запрос**. Записи в БД не трогает.
 ## RequiresPermission: тонкая авторизация
 Для мутаций используется `[RequiresPermission("...")]` вместо
 `[Authorize(Roles="Admin,Storekeeper")]`. Атрибут резолвится через
 policy-механизм:
 ```
 [RequiresPermission("ProductsEdit")]
   → Policy "perm:ProductsEdit"
   → PermissionAuthorizationPolicyProvider создаёт PermissionRequirement
   → PermissionAuthorizationHandler проверяет
     EmployeeRole.RolePermissions.ProductsEdit == true для текущего юзера
 ```
 `RolePermissions` — это POCO с булевыми полями (`ProductsView`,
 `ProductsEdit`, `RetailSalesOperate`, `RetailSalesRefund`, …).
 `Employee.EmployeeRoleId` указывает на конкретную роль, у каждой —
 свой набор флагов. SuperAdmin (с override) проходит всегда.
 См. `food-market.api/Infrastructure/Authorization/`.
 ## Audit-trail
 ### `org_audit_log`
 Каждая `Add/Update/Delete` в `AppDbContext` (через
 `OrgAuditInterceptor`) пишет JSONB-diff в `org_audit_log`:
 ```json
 {
  "id": "...",
  "organizationId": "...",
  "userId": "...",
  "entityType": "Product",
  "entityId": "...",
  "action": "Update",
  "changesJson": { "before": {...}, "after": {...} },
  "createdAt": "..."
 }
 ```
 Фоновый Hangfire-job `prune-audit-log` (03:45) чистит записи старше
 180 дней.
 Сидеры/миграции выставляют `_db.SkipAudit = true` чтобы не плодить
 бессмысленные строки.
 ### `super_admin_audit_log`
 Только мутации SuperAdmin'а в edit-mode, плюс изменения платформенных
 настроек. Без TTL — храним всё.
 ## Известные подводные камни
 ### 1. `IgnoreQueryFilters()` — когда нужно знать
 Тенант-фильтр применяется ко ВСЕМУ — в том числе там, где это «не надо».
 - При логине: ищем `Organization` по `OrgId` из credentials → нужен
  `IgnoreQueryFilters()`, потому что фильтр требует OrganizationId,
  которого ещё нет в контексте.
 - При проверке «есть ли у юзера эта орг»: `_db.Organizations.IgnoreQueryFilters().AnyAsync(...)`.
 - При cross-tenant отчётах SuperAdmin'а без override-режима фильтр и так
  не применится, но при override — применится; чтобы получить
  cross-tenant данные в этом режиме (редко нужно), вызвать
  `IgnoreQueryFilters()` явно.
 ### 2. Stamping не работает, если orgId уже задан
 Бэкенд-код в нескольких местах принимает `Guid OrganizationId` из payload
 (например, при импорте). Stamping проверяет `OrganizationId == Guid.Empty`
 и НЕ перетирает уже выставленное значение. Если кто-то по ошибке прислал
 чужой orgId в payload — он сохранится. Защита: явно валидировать
 `OrganizationId == _tenant.OrganizationId` в контроллере (или вообще не
 принимать поле из payload).
 ### 3. Background-jobs без HttpContext
 `HangfireJobsConfigurator` регистрирует методы, исполняющиеся в фоне.
 `HttpContextAccessor.HttpContext` там null → `OrganizationId` тоже null →
 query filter возвращает только записи с `OrganizationId == null` (т.е.
 системные справочники), а tenant-запросы — пустоту.
 Решение: внутри job, перед `DbContext`-вызовом, обернуть в
 `HttpContextTenantContext.UseOverride(orgId, isSuperAdmin: false)`.
 См. `OwnerDailySummaryJob`, `EmailNotificationJobs` — там есть пример.
 ### 4. SignalR за query-фильтром
 `NotificationsHub` использует `IServiceProvider.GetRequiredService<AppDbContext>()`
 внутри `OnConnectedAsync` для добавления соединения в group. Если в
 connection нет JWT — нет org_id — нет группы → клиент не получит
 событий. Web-фронт прокидывает `?access_token=...` query (см. middleware
 в Program.cs), POS — `Authorization` header.
 ### 5. EF migrations и наследование от TenantEntity
 При добавлении новой `TenantEntity` миграция должна включать
 `OrganizationId` колонку (uuid, NOT NULL) и индекс
 `(OrganizationId, …)` для фильтрации. **Эта колонка не появляется
 автоматически в snapshot-выводе `dotnet ef migrations add`** в этом
 проекте, потому что снапшот не синхронизируется с моделью (миграции
 пишутся руками, см. memory `feedback_ef_migrations`).
 Проверка: после `Migrate()` тестовый запрос
 `SELECT column_name FROM information_schema.columns WHERE table_name='...'`
 должен показать `OrganizationId`.
 ### 6. `xmin` concurrency и параллельные посты
 `UseXminAsConcurrencyToken()` на документах. Если два кассира одновременно
 постят один и тот же чек (что не должно случаться, но всё же) — второй
 получает `DbUpdateConcurrencyException`. Контроллер ловит и возвращает
 `409 Conflict` с сообщением «документ изменён в другой сессии, обновите
 страницу».
 Stock-операции — отдельная история: `Serializable` транзакция блокирует
 параллельный пост на тех же товарах в том же storе. Серверу `PG40001`
 (serialization_failure) — контроллер не ретраит автоматически, кассир
 видит 409 «недостаточно остатка» (после ретрая по факту достаточно или
 нет).
 ### 7. Тестирование изоляции
 `TenantIsolationTests` (integration) — обязательный смок: создаём 2
 организации, в одной — продукт; в другой делаем `GET /api/catalog/products`
 → список пустой. На любую новую `ITenantEntity` добавлять такой тест.
 ### 8. Read-models / ad-hoc raw SQL
 Если контроллер напишет raw SQL через `_db.Database.SqlQueryRaw(...)`,
 EF-фильтр НЕ применится. Это используется только для отчётов с тяжёлой
 агрегацией (`ProfitReportController`); там OrganizationId явно
 включается в `WHERE` и приходит из `_tenant.OrganizationId`.
 Правило: никаких raw SQL без явного `WHERE OrganizationId = @org` в
 середине запроса.
 ## Чеклист «как добавить новую tenant-сущность»
 Расширенная версия с RowVersion + permission + validation паттернами
 (Sprint 15). Минимальный «список из 6 пунктов» оставлен ниже как краткая
 форма.
 ### Domain
 1. Унаследовать от `TenantEntity` (или реализовать `ITenantEntity`).
 2. Для **документов** (Supply, RetailSale, Loss…) — добавить
   `IVersionedEntity` + `uint Xmin { get; set; }` для оптимистической
   блокировки через PG xmin. EF переведёт concurrency-конфликт в
   `DbUpdateConcurrencyException`, контроллер вернёт 409.
 ### Infrastructure (EF Config + миграция)
 3. Добавить EF Configuration в
   `food-market.infrastructure/Persistence/Configurations/`:
   - `b.ToTable("snake_case");`
   - Для документа: `b.UseXminAsConcurrencyToken(); b.Ignore(x => x.Xmin);`
   - `b.Property(x => x.Number).HasMaxLength(50).IsRequired();` —
     явные ограничения вместо EF-defaults.
   - `b.Property(x => x.SomeDecimal).HasPrecision(18, 4);` — иначе EF
     warning'и про missing precision.
   - **Индекс с `OrganizationId` первым полем**:
     `b.HasIndex(x => new { x.OrganizationId, x.SomeField });`.
   - Уникальность в рамках org: `.IsUnique()` на том же composite-индексе.
   - Sprint 14: для статусов-документов, по которым строятся отчёты —
     ещё один composite `(OrganizationId, Status, Date)` или partial
     индекс `WHERE Status = X AND NOT Y` с `INCLUDE` для covering.
 4. Создать миграцию руками в `Persistence/Migrations/`:
   - Атрибуты `[DbContext(typeof(AppDbContext))]` + `[Migration("YYYYMMDDHHMMSS_NameHere")]`.
     **Без них `Migrate()` миграцию не подхватит** (см. memory
     `feedback_ef_migrations`).
   - В `Up()` — `CreateTable` с колонкой `OrganizationId uuid NOT NULL`.
   - Индексы (минимум один на OrganizationId).
   - Не использовать `dotnet ef migrations add` — снапшот в репо
     не синхронизируется с моделью.
 5. Добавить `DbSet<TEntity>` в `AppDbContext`.
 ### Permission (RolePermissions)
 6. Добавить булевый флаг в `RolePermissions.cs`:
   `public bool MyEntityEdit { get; set; }` + соответствующая запись в
   `All()` фабрике (для системной роли Admin).
 7. Миграции для `role_permissions` не нужно — это JSONB-колонка
   на `EmployeeRole`.
 8. Все Admin-роли уже получат новый permission через `RolePermissions.All()`.
 ### Validation
 9. Для простой валидации — DataAnnotations на input-record'е:
   `public record Input([Required, MaxLength(200)] string Name, …);`
 10. Для сложной — `FluentValidation` в
   `food-market.api/Infrastructure/Validation/Validators.cs`:
   - `public sealed class MyInputValidator : AbstractValidator<MyInput>`
     с `RuleFor`/`RuleForEach`.
   - Регистрируется автоматически (assembly-scan на старте).
   - `ValidationFilter` в pipeline'е вызовет валидатор и вернёт 400
     ProblemDetails (RFC 7807) до Action'а.
 11. Бизнес-валидация (требует БД — «существует ли поставщик»): в начале
    action-метода вернуть `BadRequest(new { error, field })`.
 ### Controller
 12. Контроллер использует `_db.MyEntities.Where(...)` — query filter
    подключится автоматически. `StampTenant` в `SaveChangesAsync`
    выставит `OrganizationId` в `Add()`.
 13. Защитить mutating endpoint'ы атрибутом
    `[RequiresPermission("MyEntityEdit")]` (резолвится в policy
    `perm:MyEntityEdit` → проверяет флаг на `RolePermissions`).
 14. Для concurrency-чувствительных мутаций (Post документа):
    `await using var tx = await _db.Database.BeginTransactionAsync(
        IsolationLevel.Serializable, ct)` — защита от race на остатке.
 ### Audit (Sprint 13)
 15. CRUD автоматически логируется `OrgAuditInterceptor`'ом в
    `org_audit_log` (JSON diff).
 16. Для sensitive-операций (смена пароля, выдача роли, изменение
    permissions) — дополнительно через
    `SensitiveOpsAudit.LogAsync()` — она пишет в `org_audit_log` +
    Serilog с типизированным action-name.
 ### Tests
 17. **Интеграционный тест на изоляцию** (`TenantIsolationTests`):
    org A создаёт, org B делает GET — список пустой, GET-by-id → 404.
 18. Если есть concurrency-критика (Post под Serializable):
    `RetailOversellingTests`-pattern — два параллельных VU гарантированно
    дают 409 на одном из них.
 19. Для бизнес-инварианта (типа «Sum(movements) ≡ Stock»):
    property-based test (см. `StockServicePropertyTests`, Sprint 15).
--- a/docs/RUNBOOK.md
+++ b/docs/RUNBOOK.md
@ -1,397 +0,0 @@
 # Runbook — операционные процедуры food-market
 Что делать, когда что-то идёт не так, или когда нужно сделать
 неавтоматическую операцию.
 ## Контактные точки
 | Что | Где |
 |---|---|
 | Stage URL | https://test.admin.food-market.kz |
 | Prod URL | https://admin.food-market.kz (план, ещё не задеплоен) |
 | Stage VM | `nns@192.168.1.190` (через ssh, prod-vm в локалке) |
 | Dev VM (этот хост) | `nns@<this>` — здесь крутится локальный API/Postgres + локальный Forgejo + локальный Docker registry |
 | Forgejo (primary git) | http://127.0.0.1:3000/nns/food-market.git |
 | GitHub (mirror) | https://github.com/nurdotnet/food-market (только зеркало) |
 | Local Docker registry | `192.168.1.193:5001` (memory: `local_docker_registry`) |
 | Hangfire Dashboard (stage) | https://test.admin.food-market.kz/hangfire — только SuperAdmin |
 | Swagger (stage) | https://test.admin.food-market.kz/swagger |
 ## Health-чеки
 | Endpoint | Что значит | Что делать при 503 |
 |---|---|---|
 | `GET /health` | Процесс отвечает | Контейнер живёт, проблема в обвязке (nginx/cert/DNS). |
 | `GET /health/live` | Процесс жив (без проверок) | То же. |
 | `GET /health/ready` | БД отвечает + миграции применены | См. ниже «Health/ready упал». |
 | `GET /metrics` | Prometheus exposition | Если 404 — приложение не стартануло. |
 ### `/health/ready` упал
 1. `ssh nns@192.168.1.190 'docker logs --tail 100 food-market-stage-api'` —
   стек ошибки на старте.
 2. Типичные причины:
   - **Миграция упала**: ищем `Failed executing DbCommand` / `relation
     "..." already exists`. Решение: миграция конфликтует со снапшотом
     БД. Возможно её надо переписать с `IF NOT EXISTS` (см.
     `Phase6e_RetailSaleReturns.cs` как пример «defensive migration»).
   - **OpenIddict cert pass mismatch**: переменная
     `OpenIddict__CertPassword` в docker-compose env'е не совпадает с
     паролем PFX-файла → `CryptographicException: PKCS12 password incorrect`.
   - **Connection refused**: Postgres контейнер не успел подняться.
     `depends_on.condition: service_healthy` должно это покрывать,
     но если healthcheck не успел — `docker compose restart api`.
 3. Если фикс требует кода — `~/deploy-stage.sh` после правки.
 ## Деплой на stage
 ```bash
 ~/deploy-stage.sh
 ```
 Скрипт делает:
 1. `docker build` api и web с локальным registry в качестве кеша.
 2. `docker push` обоих образов в `192.168.1.193:5001`.
 3. `ssh nns@192.168.1.190` → `docker compose -p food-market-stage pull api web` → `up -d --force-recreate`.
 4. Ждёт `https://test.admin.food-market.kz/health/ready` до 30с.
 **Важно**: проект `docker compose` называется `food-market-stage`
 (флаг `-p food-market-stage`). См. инцидент ниже про project name.
 ## Бэкап и восстановление
 ### Расписание
 systemd-таймер `food-market-backup.timer` (см. `deploy/`) запускается
 **каждый день в 03:00 локального времени** prod-vm. Запускается через
 `OnCalendar=*-*-* 03:00:00` + `Persistent=true` (догоняет пропущенные
 если сервер был выключен).
 Скрипт `food-market-backup.sh`:
 - `pg_dump -Fc` из контейнера `food-market-postgres` → `db-<TS>.dump`.
 - `tar czf` каталога `/opt/food-market-data/uploads` → `uploads-<TS>.tgz`.
 - Удаляет файлы старше 30 дней (`FM_BACKUP_RETENTION_DAYS`).
 Папка: `/opt/food-market-data/backups/`.
 ### Ручной бэкап
 ```bash
 ssh nns@192.168.1.190 'sudo /opt/food-market/deploy/food-market-backup.sh'
 ```
 Или из репо разработчика:
 ```bash
 deploy/backup.sh --remote 192.168.1.190:5434   # PG в Docker exposed на 5434
 ```
 ### Recovery drill (RTO ≈ 25 секунд на сегодняшних данных)
 Sprint 15 — verified восстановление stage'а в свежий PG-контейнер на dev-vm:
 | Шаг | Время |
 |---|---|
 | `pg_dump -Fc` из stage-postgres | **~2 секунды** (на 1.5k чеков / 200 продуктов) |
 | Создать чистый Docker-контейнер `postgres:16-alpine` | ~1 сек |
 | `pg_restore --clean --if-exists --no-owner --no-privileges` | **~4 секунды** |
 | Поднять API против восстановленной БД | ~19 сек (cold-start dotnet + migrations) |
 | `/health/ready` → `{"status":"Healthy"}` | подтверждено |
 | **Всего RTO (single-instance)** | **~25 секунд** |
 Команды, выполненные в drill'е:
 ```bash
 # 1. Снять бэкап со stage'а
 ssh nns@192.168.1.190 'docker exec food-market-stage-postgres-1 \
  pg_dump -U food_market -d food_market -Fc -f /tmp/drill.dump'
 ssh nns@192.168.1.190 'docker cp food-market-stage-postgres-1:/tmp/drill.dump /tmp/drill.dump'
 scp nns@192.168.1.190:/tmp/drill.dump /tmp/drill.dump
 # 2. Чистый PG
 docker run -d --name drill-pg \
  -e POSTGRES_DB=food_market \
  -e POSTGRES_USER=food_market \
  -e POSTGRES_PASSWORD=drill_pass \
  -p 127.0.0.1:5499:5432 postgres:16-alpine
 # 3. Восстановление
 docker cp /tmp/drill.dump drill-pg:/tmp/drill.dump
 docker exec drill-pg pg_restore -U food_market -d food_market \
  --clean --if-exists --no-owner --no-privileges /tmp/drill.dump
 # 4. Проверка: API на восстановленной БД
 ASPNETCORE_ENVIRONMENT=Production \
  ConnectionStrings__Default="Host=localhost;Port=5499;Database=food_market;Username=food_market;Password=drill_pass" \
  Hangfire__Enabled=false \
  ASPNETCORE_URLS="http://127.0.0.1:5099" \
  RateLimiting__Enabled=false \
  dotnet run --project src/food-market.api
 curl http://127.0.0.1:5099/health/ready
 # → {"status":"Healthy", checks:[{"name":"database","status":"Healthy",
 #    "description":"БД доступна, миграции применены."}]}
 # Очистка
 docker rm -f drill-pg
 ```
 Для прод-данных большего объёма (50k+ чеков) RTO будет ~2-5 минут — но
 порядок остаётся: pg_restore линейно по данным + API startup константный.
 ### Восстановление БД из дампа
 > ⚠️ Перезаписывает данные. Сначала остановить API.
 ```bash
 ssh nns@192.168.1.190
 cd /opt/food-market
 # 1. Остановить API/Web, оставить Postgres
 docker compose -p food-market-stage stop api web
 # 2. Применить дамп
 DUMP=/opt/food-market-data/backups/db-YYYYMMDD-HHMMSS.dump
 docker exec -i food-market-stage-postgres \
    pg_restore -U food_market -d food_market \
    --clean --if-exists --no-owner --no-privileges \
    < "$DUMP"
 # 3. Поднять API обратно — миграции применятся автоматически (idempotent)
 docker compose -p food-market-stage up -d api web
 # 4. Проверить
 curl https://test.admin.food-market.kz/health/ready
 ```
 ### Восстановление uploads
 ```bash
 ssh nns@192.168.1.190
 cd /opt/food-market-data
 sudo tar xzf backups/uploads-YYYYMMDD-HHMMSS.tgz
 # Содержимое восстанавливается в текущий каталог (uploads/...)
 ```
 ### Полный disaster-recovery (новый сервер)
 1. Поднять Docker, склонировать репо в `/opt/food-market`.
 2. Скопировать бэкапы в `/opt/food-market-data/backups/`.
 3. Запустить пустой стек:
   ```bash
   cd /opt/food-market/deploy
   docker compose -p food-market-stage up -d postgres
   docker compose -p food-market-stage exec postgres pg_isready
   ```
 4. Применить дамп (см. выше).
 5. Восстановить uploads.
 6. Запустить остальное: `docker compose -p food-market-stage up -d`.
 7. Поднять nginx + сертификат (см. `docs/stage-access.md`).
 8. Включить таймер бэкапов:
   ```bash
   sudo cp deploy/food-market-backup.{service,timer} /etc/systemd/system/
   sudo systemctl daemon-reload
   sudo systemctl enable --now food-market-backup.timer
   ```
 ## Перенос на другой сервер
 1. На старом — снять свежий бэкап вручную.
 2. На новом — поднять Docker, склонировать репо, восстановить (см. выше).
 3. Обновить DNS A-запись `admin.food-market.kz` на новый IP.
 4. Дождаться распространения DNS (TTL).
 5. Старый сервер — выключить через 24 часа (для гарантии).
 ## Смена SDK-версии
 > ⚠️ `global.json` фиксирует `8.0.417` с `rollForward: latestFeature`.
 > Менять только когда вышел новый patch и Microsoft анонсировал
 > EOL текущего. memory: НЕ переключать systemwide postgres версию.
 1. На dev-машине: `dotnet --list-sdks` — проверить что новая версия
   установлена.
 2. Обновить `global.json` → новый patch.
 3. `dotnet build` + `dotnet test`.
 4. `deploy/Dockerfile.api` — обновить `FROM mirror/dotnet-sdk:X.Y`
   (если тэг изменился).
 5. `~/deploy-stage.sh` — задеплоить, проверить `/health/ready`.
 6. Verify-suite (Playwright или вручную smoke).
 7. Только после этого — менять на prod-машине.
 ## Логи
 | Где | Что |
 |---|---|
 | `docker logs food-market-stage-api` (по контейнеру) | Console JSON Serilog. |
 | `/opt/food-market-data/api-logs/` (Docker volume) | Файлы Serilog rolling. |
 | `journalctl -u food-market-backup.service --no-pager` | Логи бэкапа. |
 | Hangfire Dashboard `/hangfire` | Состояние фоновых джобов, истории, ошибки. |
 Формат JSON-логов — структурированный, каждая запись содержит
 `CorrelationId`, `OrgId`, `UserId` (через `LogEnrichmentMiddleware`).
 Поиск по `CorrelationId` восстанавливает полный trace запроса.
 ## Метрики
 Prometheus scrape: `GET /metrics` (без auth). Локально в проекте нет
 prometheus-сервера — на stage его тоже пока нет; план — поднять
 prometheus + grafana отдельным compose'ом и proxy через nginx.
 Ключевые метрики (`food-market.api/Infrastructure/Observability/AppMetrics.cs`):
 - `food_market_posted_total{document_type="..."}` — счётчик post'ов.
 - `food_market_unposted_total{document_type="..."}` — счётчик unpost'ов.
 - `food_market_db_query_duration_seconds_*` — гистограмма EF-запросов
  (interceptor).
 - Стандартные prometheus-net: `http_requests_received_total`,
  `http_request_duration_seconds`, `dotnet_collection_count_total`,
  etc.
 ## Известные инциденты
 ### Инцидент 1: docker-compose project name
 **Симптом** (наблюдался при первой миграции на новый stage):
 - `docker compose pull && up -d` создавали контейнеры с именами
  `deploy-api-1` вместо ожидаемых `food-market-stage-api`.
 - Healthcheck'и `depends_on` отрабатывали по новым именам, но nginx
  configurated на старые — 502 Bad Gateway.
 **Причина**: `docker compose` берёт project name из имени каталога,
 если не указан `-p`. Каталог `deploy/` → project=`deploy` → контейнеры
 с префиксом `deploy-`. Старые контейнеры с префиксом `food-market-stage-`
 оставались стопнутыми, новые поднялись параллельно (Docker не считает
 их дубликатами потому что имена разные).
 **Решение**: всегда передавать `-p food-market-stage`. Сделано в
 `~/deploy-stage.sh`. На prod ставить аналогичный wrapper-скрипт,
 не запускать `docker compose` голым из `/opt/food-market/deploy`.
 **Превенция**: в будущем — `COMPOSE_PROJECT_NAME=food-market-stage`
 в `/etc/environment` на серверах, чтобы голый `docker compose` тоже
 не промахивался.
 ### Инцидент 2: GHCR network flakiness
 **Симптом**: docker push/pull в `ghcr.io` периодически зависает на
 2-5 минут или падает по TCP-таймауту.
 **Причина**: исходящая сеть с dev-vm к github.com нестабильна
 (memory: `network_github_flaky`).
 **Решение**: используем **локальный Docker registry** на
 `192.168.1.193:5001` как primary, ghcr только как mirror (для
 external CI/CD когда понадобится). Stage compose тянет с локального
 (`REGISTRY=192.168.1.193:5001`). См. memory `local_docker_registry`.
 ### Инцидент 3: OpenIddict cert rotation
 **Симптом**: после `docker compose down -v` (с удалением volume
 `api-data`) OpenIddict не может расшифровать существующие refresh-токены
 → все пользователи разлогинены.
 **Причина**: keys из `App_Data/oidc-keys/` пропали вместе с volume.
 **Решение / превенция**:
 - НИКОГДА не делать `down -v` на stage/prod без явного намерения.
 - Хранить `App_Data` volume отдельно: `volumes: api-data:` с
  `external: true` (план).
 - Бэкап `App_Data` вместе с БД (TODO: добавить в `food-market-backup.sh`).
 ### Инцидент 4: rate-limiter eager-config
 **Симптом** (в integration-тестах): тесты падают с `429 Too Many Requests`
 после ~5 signup'ов.
 **Причина**: `RateLimiting:Enabled=true` (default) читается ЭАГЕРНО при
 регистрации сервисов; `ConfigureAppConfiguration` в `WebApplicationFactory`
 применяется позже и не успевает override'нуть.
 **Решение**: в integration-тестах ставим `RateLimiting__Enabled=false`
 через переменную окружения **до** создания factory. Сделано в
 `ApiFactory` static-конструкторе. Memory: `test_suites_setup`.
 ### Инцидент 5: Telegram chat-id привязка
 **Симптом**: владелец org вводит chat_id, сервер тестирует отправку →
 `403 Forbidden` от Telegram API.
 **Причина**: пользователь не отправил `/start` боту перед привязкой,
 бот не может писать первым.
 **Решение / превенция**: UI показывает инструкцию «1. Откройте бота → `/start`.
 2. Получите chat_id у `@userinfobot`. 3. Введите.» Это идёт сверху на
 странице привязки. Бэкенд возвращает ошибку с понятным текстом.
 ### Инцидент 6: Identity password policy 
 **Симптом**: signup-форма принимает пароль `12345`, потом
 `/connect/token` отшивает «Invalid credentials» — потому что Identity
 сам не разрешил создать пользователя с таким паролем, но контроллер
 проглотил ошибку.
 **Превенция**: контроллер `AuthController.Signup` теперь возвращает
 `IdentityResult.Errors` массивом → фронт показывает причину.
 ## Troubleshooting на стороне БД
 ### Большой `org_audit_log`
 `prune-audit-log` каждый день чистит >180 дней; если каталог-tenant
 делал массовый импорт (10к товаров за раз), таблица может вырасти на
 порядок. Проверка:
 ```sql
 SELECT pg_size_pretty(pg_total_relation_size('org_audit_log'));
 SELECT count(*) FROM org_audit_log WHERE created_at < now() - interval '30 days';
 ```
 Ручная чистка:
 ```sql
 DELETE FROM org_audit_log WHERE created_at < now() - interval '90 days';
 VACUUM ANALYZE org_audit_log;
 ```
 ### Stock-агрегат расходится с движениями
 Инвариант: `stocks.quantity = SUM(stock_movements.quantity)` per
 `(product_id, store_id)`. Если разошёлся (баг где-то не вызвали
 `IStockService.ApplyMovementAsync`):
 ```sql
 -- найти расхождения
 SELECT s.product_id, s.store_id, s.quantity AS cached,
       COALESCE(SUM(m.quantity), 0) AS actual
 FROM stocks s
 LEFT JOIN stock_movements m
    ON m.product_id = s.product_id AND m.store_id = s.store_id
 GROUP BY s.product_id, s.store_id, s.quantity
 HAVING s.quantity <> COALESCE(SUM(m.quantity), 0);
 -- пересчитать всё (под maintenance window!)
 UPDATE stocks s SET quantity = COALESCE((
    SELECT SUM(quantity) FROM stock_movements m
    WHERE m.product_id = s.product_id AND m.store_id = s.store_id
 ), 0);
 ```
 ### `__EFMigrationsHistory` рассинхрон
 Бывает после ручной правки миграции после её применения.
 ```sql
 SELECT * FROM "__EFMigrationsHistory" ORDER BY 1 DESC LIMIT 5;
 ```
 Если в коде есть миграция, которой нет в таблице — `db.Database.Migrate()`
 попытается её применить (что обычно и нужно). Если в таблице есть запись,
 а файла нет — обратное направление (миграция была удалена) — `Migrate()`
 не упадёт, но фокус с EF Tools перестанет работать, см. memory
 `feedback_ef_migrations`.
 ## Что НЕ делать
 - НЕ менять `global.json` без явного решения (CLAUDE.md).
 - НЕ переключать systemwide postgres версию через brew (поломает
  смежные проекты в `~/Documents/devprojects/`).
 - НЕ запускать `docker compose down -v` на stage/prod (потеря volume).
 - НЕ делать миграции через `dotnet ef migrations add` — снапшот в репо
  не синхронный с моделью, генератор выдаст ерунду. Пишем руками.
 - НЕ редактировать тот же файл одновременно с Mac-Claude (memory:
  `feedback_serialize_edits`).
--- a/docs/food-market-server-postgres-role.md
+++ b/docs/food-market-server-postgres-role.md
@ -1,120 +0,0 @@
 # Замена postgres superuser в food-market-server
 Sprint 13, задача 1. Дата: 2026-06-07.
 ## Контекст
 `food-market-server` — legacy backend (back.food-market.kz, port 8084
 на prod-vm `192.168.1.190`, systemd `food-market-server.service`).
 Хранилище — `food-market-server-postgres` (Docker, port 5436).
 До этой задачи в `appsettings.Production.json` была строка с
 **superuser'ом**:
 ```
 Host=localhost;Port=5436;Database=food_market_server;Username=postgres;Password=1q2w3e4r
 ```
 Это плохо по двум причинам:
 - Слабый пароль (`1q2w3e4r`), известен любому, кто прочитает конфиг.
 - `postgres` — суперюзер: CREATE DATABASE, CREATE ROLE, REPLICATION,
  BYPASS RLS, может уничтожить всё что угодно в кластере (включая
  другие БД, если они там появятся).
 ## Решение
 Создан dedicated app-role `food_market_server_app`:
 - LOGIN + сильный пароль (48 hex chars).
 - NOSUPERUSER, NOCREATEDB, NOCREATEROLE, NOREPLICATION, NOBYPASSRLS.
 - Гранты: SELECT/INSERT/UPDATE/DELETE на все существующие таблицы +
  USAGE/SELECT/UPDATE на sequences + USAGE/CREATE на schema public
  (CREATE нужен для EF миграций, которые app запускает на старте через
  `db.Database.Migrate()`).
 - DEFAULT PRIVILEGES `FOR ROLE postgres IN SCHEMA public` — все
  будущие таблицы, что создаст superuser (например, если миграцию
  применить вручную через `postgres`), автоматически получат CRUD
  для app-роли.
 ## Что сделано (атомарно)
 ```
 1. Бэкап конфига:
   /opt/food-market-server/appsettings.Production.json
     → appsettings.Production.json.bak.20260607-fms-rolemigration
 2. Создание роли в БД:
   CREATE ROLE food_market_server_app LOGIN PASSWORD '...'
       NOSUPERUSER NOCREATEDB NOCREATEROLE NOREPLICATION NOBYPASSRLS;
   GRANT CONNECT ON DATABASE food_market_server TO food_market_server_app;
   GRANT USAGE, CREATE ON SCHEMA public TO food_market_server_app;
   GRANT SELECT, INSERT, UPDATE, DELETE ON ALL TABLES IN SCHEMA public TO food_market_server_app;
   GRANT USAGE, SELECT, UPDATE ON ALL SEQUENCES IN SCHEMA public TO food_market_server_app;
   ALTER DEFAULT PRIVILEGES FOR ROLE postgres IN SCHEMA public
       GRANT SELECT, INSERT, UPDATE, DELETE ON TABLES TO food_market_server_app;
   ALTER DEFAULT PRIVILEGES FOR ROLE postgres IN SCHEMA public
       GRANT USAGE, SELECT, UPDATE ON SEQUENCES TO food_market_server_app;
 3. Обновление appsettings.Production.json:
   Username: postgres                  → food_market_server_app
   Password: 1q2w3e4r                  → <48-hex>
 4. systemctl restart food-market-server  → active.
 5. curl http://localhost:8084/        → 200 (SPA fallback).
 6. curl https://back.food-market.kz/  → 200.
 7. Логи без EF errors после старта.
 ```
 ## Проверка работоспособности
 ```bash
 ssh nns@192.168.1.190 'sudo systemctl status food-market-server | head -5'
 curl -fsS https://back.food-market.kz/ -o /dev/null -w "HTTP %{http_code}\n"
 ssh nns@192.168.1.190 'sudo journalctl -u food-market-server --since "10 minutes ago" --no-pager | grep -iE "error|fail" | head'
 ```
 ## Rollback
 Если что-то сломается (миграция fails, EF Errors в логах), вернуться
 к старой конфигурации одной командой:
 ```bash
 ssh nns@192.168.1.190 'sudo cp /opt/food-market-server/appsettings.Production.json.bak.20260607-fms-rolemigration /opt/food-market-server/appsettings.Production.json && sudo systemctl restart food-market-server'
 curl -fsS https://back.food-market.kz/ -o /dev/null -w "HTTP %{http_code}\n"
 ```
 Это вернёт `Username=postgres;Password=1q2w3e4r` — старый superuser.
 Новая роль `food_market_server_app` остаётся в БД (это идемпотентный
 `CREATE IF NOT EXISTS`), её можно дропнуть отдельно:
 ```sql
 -- Только после успешного rollback'а и подтверждения что приложение
 -- работает на postgres:
 DROP OWNED BY food_market_server_app;  -- (если бы что-то создавала)
 DROP ROLE food_market_server_app;
 ```
 ## Что НЕ покрыто (TODO)
 - **Ротация пароля postgres**. Сам `postgres` superuser остался с тем
  же `1q2w3e4r`. Пока он не используется в работе app'а (мы только
  что переключились на app-роль) — но всё равно нужно сменить на
  сильный, иначе кто-то с доступом к dev-машине или к /opt видит
  старый бэкап и пробует. Делать через `ALTER ROLE postgres PASSWORD
  '...'` под superuser-сессией.
 - **PGHBA**. Сейчас доверяется любой коннект с loopback (стандартный
  `pg_hba.conf` postgres-контейнера). Допустимо для single-host
  setup, но при сетевом расширении нужно ужесточать.
 - **Audit log внутри PG** (pgaudit) — не настроен. Логирует только app.
 - **Per-table RLS** — не используется, потому что приложение само
  фильтрует по `OrganizationId`. Под добавление RLS не подписывался.
 ## Дальше
 Аналогичную замену нужно провести в:
 - `food-market-stage-postgres` (port 5435) — там пользователь
  `food_market` уже без superuser-прав (см. `deploy/docker-compose.yml`,
  он создаётся через `POSTGRES_USER` env, что даёт superuser в рамках
  только этой БД — лучше чем кросс-БД superuser, но всё равно стоит
  ужесточить аналогично).
 - `food-market-postgres` (prod admin.food-market.kz, port 5434) — то же.
 - Локальный dev PG на host'е (brew postgresql@14) — там безразлично
  (dev-only, локальный сокет, пустой пароль работает по trust).
--- a/docs/observability.md
+++ b/docs/observability.md
@ -40,67 +40,9 @@ scrape_configs:
      - targets: ['food-market-api:8080']
 ```
-## Готовый Grafana dashboard
+## Образец Grafana dashboard
-В репо лежит JSON-дашборд, готовый к импорту:
+Минимальный набор панелей:
 `deploy/grafana/dashboards/food-market.json`. Содержит 9 панелей:
 1. HTTP — RPS по статус-коду (stacked).
 2. HTTP — latency p50/p95/p99 (5-минутный rolling).
 3. Бизнес — документы посчитаны (Post), per-type RPS.
 4. Бизнес — ошибки проведения per-type/reason.
 5. DB — длительность EF-запросов (heatmap).
 6. HTTP — % 5xx за 5 мин (stat-панель с порогами).
 7. HTTP — % 4xx за 5 мин.
 8. Процесс — память (RSS + managed heap).
 9. GC — сборки в секунду по поколениям.
 ### Импорт в Grafana
 Через UI:
 1. Grafana → Dashboards → New → Import.
 2. Upload JSON file → выбрать `deploy/grafana/dashboards/food-market.json`.
 3. Datasource — выбрать Prometheus (по дефолту в шаблонной переменной
   `${DS_PROMETHEUS}` написано «Prometheus»).
 4. Import.
 Через CLI (`curl` к Grafana API, требует Bearer-токен от
 service-account c ролью Editor):
 ```bash
 GRAFANA_URL=http://grafana.local:3000
 GRAFANA_TOKEN=<your-sa-token>
 DS_UID=$(curl -s -H "Authorization: Bearer $GRAFANA_TOKEN" \
    "$GRAFANA_URL/api/datasources/name/Prometheus" | jq -r .uid)
 jq --arg uid "$DS_UID" '
    .dashboard = .;
    .dashboard.id = null;
    .overwrite = true;
    .inputs = [{"name":"DS_PROMETHEUS","type":"datasource","pluginId":"prometheus","value":$uid}];
    {dashboard: .dashboard, overwrite: true, inputs: .inputs, folderId: 0}
 ' deploy/grafana/dashboards/food-market.json \
 | curl -s -X POST -H "Authorization: Bearer $GRAFANA_TOKEN" \
    -H "Content-Type: application/json" \
    -d @- "$GRAFANA_URL/api/dashboards/import"
 ```
 Через provisioning (когда Grafana поднимается рядом):
 ```yaml
 # /etc/grafana/provisioning/dashboards/food-market.yaml
 apiVersion: 1
 providers:
  - name: food-market
    orgId: 1
    folder: 'food-market'
    type: file
    disableDeletion: false
    updateIntervalSeconds: 60
    options:
      path: /etc/grafana/dashboards/food-market
 ```
 Положить `food-market.json` в `/etc/grafana/dashboards/food-market/`.
 ### Альтернатива — минимальный набор панелей (если делать руками):
 ### Health row
--- a/docs/ofd-integration.md
+++ b/docs/ofd-integration.md
@ -1,184 +0,0 @@
 # Интеграция с ОФД-операторами Казахстана
 Sprint 11 — scaffolding, реальные провайдеры подключаются по мере
 получения ApiKey от пользователя. Mock работает «из коробки».
 ## Архитектура
 ```
 ┌────────────────────────────────────────────────────────────────┐
 │ RetailSalesController.Post                                     │
 │  → списать остатки (Serializable tx)                           │
 │  → SaveChanges + COMMIT                                         │
 │  → IFiscalProviderFactory.ResolveAsync()                       │
 │       → читает Organization.FiscalProvider                      │
 │       → возвращает реализацию или null (None)                   │
 │  → provider.RegisterAsync(sale)  ← HTTP к оператору             │
 │  → сохранить FiscalNumber/FiscalQrCode на чек                  │
 └────────────────────────────────────────────────────────────────┘
 ```
 Ключевые файлы:
 - `src/food-market.application/Common/Fiscal/IFiscalProvider.cs` —
  контракт + enum'ы + исключения.
 - `src/food-market.infrastructure/Fiscal/` — реализации (Mock + 3 оператора)
  и фабрика.
 - `src/food-market.api/Controllers/Organizations/OrgFiscalSettingsController.cs` —
  GET/PUT настройки + POST `/test-send`.
 - `src/food-market.api/Controllers/Sales/RetailSalesController.cs#TryFiscalizeAsync` —
  точка вызова после commit'а stock-транзакции.
 ## Поведение по умолчанию
 `Organization.FiscalProvider = 0` (None) — фискализация выключена,
 чеки проводятся как и раньше, `RetailSale.FiscalNumber = null`.
 **Существующие данные не меняются.**
 Чтобы включить:
 1. Войти в «Настройки организации → ОФД».
 2. Выбрать провайдера в селекте, заполнить ApiKey/ApiSecret/CashboxUniqueNumber.
 3. Нажать «Тестовая отправка» — провайдер дёрнет себя на фейк-чеке,
   покажет либо `FiscalNumber=…` (успех), либо текст ошибки (нет кредов /
   оператор недоступен / провайдер ещё не реализован).
 4. Сохранить.
 5. Следующий проведённый чек получит `FiscalNumber` от оператора.
 ## Mock-провайдер (dev / тесты)
 `FiscalProvider = 1`. Возвращает детерминированный фейк через ~300мс:
 ```
 FiscalNumber: MOCK-AB12CD34          ← первые 8 hex от Sale.Id
 FiscalQrCode: https://mock.ofd.local/check/<id>?n=<FiscalNumber>
 FiscalUrl:    https://mock.ofd.local/check/<id>
 ProviderTxId: mock-tx-AB12CD34EF56
 ```
 Идемпотентен по `Sale.Id` — повторный вызов даёт тот же FiscalNumber
 (integration-тест `FiscalMockFlowTests` это проверяет).
 В тестах активируется через глобальный override:
 ```csharp
 cfg.AddInMemoryCollection(new Dictionary<string, string?>
 {
    ["Fiscal:Provider"] = "Mock",
 });
 ```
 Этот override **перебивает БД-настройку** для всех организаций сразу —
 удобно для интеграционных тестов, где не хочется править Organization
 в каждом сценарии.
 ## Webkassa (https://webkassa.kz)
 **Самый распространённый ОФД РК.** Реализация — полный HTTP-flow с
 парсингом JSON, готов к работе. Тесты — `WebkassaProviderTests` (10
 сценариев на payload-маппинг через `BuildCheckPayload`).
 ### Что нужно от user'а
 1. Зарегистрироваться в кабинете Webkassa, подписать договор.
 2. Получить в кабинете:
   - **Логин/пароль** API-пользователя (заводится в разделе
     «Настройки → Пользователи»). НЕ персональный логин администратора —
     отдельный API-юзер с правом «Создание чеков».
   - **CashboxUniqueNumber** — уникальный номер вашей кассы в разделе
     «Настройки → Кассы → Уникальный номер».
 ### Что вписать в настройках food-market
 | Поле UI                  | Значение                                              |
 |--------------------------|-------------------------------------------------------|
 | Провайдер                | Webkassa                                              |
 | ApiKey / Логин           | логин API-пользователя из кабинета Webkassa           |
 | ApiSecret / Пароль       | его пароль                                            |
 | CashboxUniqueNumber      | уникальный номер кассы (SWK… или цифровой)            |
 | Альтернативный URL       | пусто (для теста — `https://devkkm.webkassa.kz/`)     |
 ### Поток вызовов
 ```
 POST /api/Authorize        { Login, Password }    → { Data.Token }
 POST /api/Check            { Token, CashboxUniqueNumber, OperationType,
                             ExternalCheckNumber, Positions[], Payments[] }
                           → { Data.CheckNumber, QrCode, TicketUrl,
                               UniqueNumber }
 ```
 - **OperationType** = 1 (продажа) или 2 (возврат). Мы выбираем по
  `RetailSale.IsReturn`.
 - **ExternalCheckNumber** — наш номер чека (например, `ПР-Y1-00019`).
  Webkassa дедупит по этому полю → повторный POST с тем же номером
  возвращает оригинальный чек, не создаёт дубль. Это обеспечивает
  идемпотентность retry'я.
 - **Tax** считается «в-ставке»: `LineTotal * vat / (100+vat)`.
  Webkassa требует именно НДС в составе цены, а не сверху.
 ## Касса24 (https://kassa24.kz)
 `FiscalProvider = 3`. **Skeleton**, реальная интеграция ждёт получения
 спецификации API (NDA-only после подписания договора с Kaspi).
 Когда документация появится — нужно реализовать в `Kassa24Provider`:
 1. Аутентификацию (предположительно HMAC-SHA256 подпись ApiSecret'ом
   по примеру Kaspi merchant API).
 2. POST `/v1/check` (рабочее название).
 3. Маппинг `RetailSale.Lines` → их формат позиций.
 4. Парсинг ответа: `fiscalNumber`, `qrCode`, `ticketUrl`, `transactionId`.
 В UI/тестовой отправке провайдер на сегодня возвращает
 `FiscalNotConfiguredException` с понятным сообщением.
 ## ОФД-Соло (https://ofd-solo.kz)
 `FiscalProvider = 4`. **Skeleton**, аналогично Касса24.
 Особенности (из публичных источников):
 - SOAP-based legacy + REST-обёртка (использовать REST).
 - Аутентификация по token-логину (как Webkassa).
 - Чек регистрируется одним вызовом (без двухшагового create/post).
 ## Безопасность кредов
 `Organization.FiscalApiKeyEncrypted` / `FiscalApiSecretEncrypted` —
 **DataProtection-шифрованный blob** (purpose=`foodmarket.fiscal`).
 В API-ответах НЕ возвращаются: GET `/api/organization/fiscal` отдаёт
 только `hasApiKey: bool` / `hasApiSecret: bool` флаги.
 Чтобы изменить — PUT с непустым `newApiKey`/`newApiSecret`. Чтобы
 СНЯТЬ (вернуться к None без потери остальных полей) — отправить
 спец-значение `"__clear__"`.
 При смене DataProtection ключа (rotation / restore из бэкапа без
 ключей) — `Unprotect` упадёт. Провайдер бросит понятное сообщение
 с просьбой «Введите ApiKey/ApiSecret заново».
 ## Чек-сценарий retry / network failure
 Фискализация вызывается **после** commit'а stock-транзакции и
 является best-effort:
 - Сетевая ошибка / 5xx от оператора → лог `Warning`, чек остаётся
  проведённым без FiscalNumber. UI отрендерит чек, на квитанции
  будет «не фискализован» (нужно перепровести вручную:
  unpost → post → провайдер дёрнется снова).
 - `FiscalNotConfiguredException` → лог `Warning`, без алерта (это
  валидная диагностика, не ошибка системы).
 - Идемпотентность: `TryFiscalizeAsync` проверяет
  `string.IsNullOrEmpty(sale.FiscalNumber)` и не дёргает провайдера,
  если фискальный номер уже есть. Re-post чека (unpost→post) с уже
  фискализованным состоянием → не дублирует регистрацию.
 ## Метрики и наблюдаемость (TODO sprint 12+)
 Пока есть только логи (`Information` на успех, `Warning` на ошибку).
 В следующем спринте добавить:
 - `AppMetrics.IncrementFiscalized(provider)` / `IncrementFiscalFailed(provider)`.
 - Алерт «провайдер X провалился N раз за последние M минут» —
  возможно перевод на ручную фискализацию.
 - Dashboard-виджет «фискальный статус» (% чеков с FiscalNumber за день).
--- a/docs/performance-baseline.md
+++ b/docs/performance-baseline.md
@ -1,178 +0,0 @@
 # Performance baseline — food-market API
 Дата прогона: **2026-06-07**. Прогон против stage:
 `https://test.admin.food-market.kz`. Инструмент — k6 v0.55.0.
 Сетап stage'а на момент замеров:
 - 1 контейнер `food-market-stage-api` (Kestrel, .NET 8).
 - 1 контейнер `food-market-stage-postgres` (Postgres 16, дефолтные настройки).
 - Nginx-фронт на dev-vm `192.168.1.190`, dev-машина k6-генератора в той
  же локалке (RTT ~5-20мс).
 Все цифры — **с одного клиента**, без воспроизведения пиковой нагрузки
 из ЦА продакшна. Это baseline для регрессий, не SLA.
 ## TL;DR — что работает, что нет
 | Операция | Здоровый сценарий | Предел до деградации | Узкое место |
 |---|---|---|---|
 | **GET /api/reports/sales** (1500 чеков в орге) | p95 50-115ms до 5 VU | После 5 VU непредсказуемо (см. ниже) | PG aggregation / connection pool |
 | **POST /api/auth/signup** | p95 446ms при 50 RPM | 100 RPM с одного IP → 39% 429 | IP rate-limit (60/мин, by design) |
 | **POST /api/sales/retail + /post** (sequential) | p95 71ms, 17 sales/sec | VU > 1 на одном tenant'е → unique-violation race | `GenerateNumberAsync` race condition |
 ## Прогон 1: signup-burst
 `tests/load/signup-burst.js` — 50/100 регистраций/мин с одного IP, 60с.
 ### 50 RPM (под IP-лимитом 60/мин)
 | Метрика | Значение |
 |---|---|
 | Iterations | 51 (за 60с) |
 | http_req_duration p50 | 391ms |
 | http_req_duration p90 | 425ms |
 | http_req_duration p95 | 446ms |
 | http_req_duration p99 | ~1.37s (один outlier) |
 | signup_rate_limited | 0% |
 | Failures | 0 |
 Прогон чистый. Signup на stage'е укладывается в ~400-450ms p95.
 ### 100 RPM (превышение IP-лимита)
 | Метрика | Значение |
 |---|---|
 | Iterations | 101 |
 | 2xx (успешные) | 62 |
 | 429 (rate-limited) | 39 (38.6%) |
 | http_req_duration p95 (2xx-only) | 437ms |
 429-ответы возвращаются за единицы миллисекунд (`http_req_duration`
 total p95 показывает 436ms потому что включает и 429 — лимитер очень
 быстрый). Поведение by design (см. `AuthRateLimiterExtensions`),
 указывает что защита работает.
 ## Прогон 2: retail-sales-parallel
 `tests/load/retail-sales-parallel.js` — на одном tenant'е N параллельных
 кассиров (VU) проводят чеки. Тест создаёт draft (`POST /api/sales/retail`)
 и сразу проводит (`POST /api/sales/retail/{id}/post`).
 ### VU=1 (sequential baseline) — 200 итераций
 | Метрика | Значение |
 |---|---|
 | Iterations | 200/200 (100%) |
 | Throughput | **17 sales/sec** |
 | sale_draft_ms p50 | 25ms |
 | sale_draft_ms p95 | 37ms |
 | sale_post_ms p50 | 26ms |
 | sale_post_ms p95 | 35ms |
 | sale_total_ms p95 | **71ms** |
 | sale_total_ms p99 | ~90ms |
 | post_4xx | 0% |
 Идеальная картинка: 17 sales/sec на single-thread, латенция стабильная.
 ### VU=5 (параллельные кассиры) — 200 итераций
 | Метрика | Значение |
 |---|---|
 | Iterations | 200/200 (driver), но успешных только 94 |
 | post_4xx | **53% 🔴** |
 | sale_draft_ms p95 (включая failed) | 151ms |
 | sale_total_ms p95 (только успешные) | 185ms |
 **Узкое место найдено: race в `GenerateNumberAsync`.**
 `RetailSalesController.GenerateNumberAsync` строит next-number чтением
 последней `Number` для tenant'а и +1. Под параллельными VU несколько
 запросов читают одно и то же `lastNumber`, генерируют одинаковый
 `ПР-2026-000XXX`, на INSERT падают на unique-index
 `IX_retail_sales_OrganizationId_Number`. `SaveOrFkErrorAsync` ловит
 только 23503 (FK violation), не 23505 (unique violation) — поэтому
 до клиента долетает 500 (или 400 от EF middleware).
 **Что делать (отдельная задача, не в Sprint 12)**: завести
 `organization_counters` (singleton-row per tenant), увеличивать счётчик
 через `UPDATE … RETURNING value` в той же транзакции. Альтернатива —
 ловить 23505 и ретраить с +1 в цикле. Третий вариант — использовать
 PG sequence per tenant (более сложно, но самое чистое).
 ## Прогон 3: sales-report-heavy
 `tests/load/sales-report-heavy.js` — за 20-30 секунд VU дёргают
 `GET /api/reports/sales?dateFrom=...&dateTo=...&groupBy=day`,
 `/api/reports/abc?...` и `/api/dashboard/top-products?limit=5`.
 Tenant с **1500 проведённых чеков, 5535 stock_movements, 200 товаров**
 (посеян через `POST /api/admin/seed-demo?years=1` — это YearDemoSeeder).
 | VU | Throughput (iter/s) | sales p95 | abc p95 | non_2xx | Заметки |
 |---|---|---|---|---|---|
 | 1  | 6.7 | 54ms  | 51ms | 0% | Чистый baseline. |
 | 2  | 17.5 | 60ms | 54ms | 0% | Linear, ОК. |
 | 3  | 23.5 | 67ms | 63ms | 0% | Linear, ОК. |
 | 4  | 25.4 | 81ms | 78ms | 0% | Незначительная деградация. |
 | 5  | 24.0 | 114ms | 108ms | 0% | Деградация заметнее, throughput плато. |
 | 5* | 8.7  | 3 800ms 🔴 | 3 500ms 🔴 | 0% | Аномалия одного прогона (см. ниже). |
 `*` Первый прогон VU=5 показал p95 ~3.8с на отчёт. Повторный прогон —
 обычные 114ms p95. Скорее всего совпало с autovacuum'ом
 `stock_movements` (5535 строк, частые обновления при seed'е). Это
 напоминает: в production нужны:
 - Мониторинг p95 отчётов в Prometheus + алерт на отклонение от baseline.
 - Тюнинг `autovacuum_*` для `stock_movements` (или явный
  `VACUUM ANALYZE` после массовых seed'ов).
 ### Что НЕ протестировано (требует входа от user)
 - **10 000 чеков на одного tenant'а** — пользователь просил «отчёт Sales
  с 10 000 продажами». YearDemoSeeder делает максимум 1500 (это сезонный
  год для одного магазина); чтобы получить 10к — нужно либо допилить
  seeder на «10 лет» / «10 магазинов», либо запустить несколько
  параллельных seed'ов под отдельными tenant'ами и тестировать
  cross-tenant. Пока обозначено как TODO для будущего спринта.
 - **Реальная нагрузка из ЦА** — k6 запускается из локалки, RTT
  5-20мс. Реальный пользователь из Алматы добавит 30-80мс к
  каждому запросу. Считать SLA с учётом этого.
 - **POS-синк** (`POST /api/pos/v1/batch`) — отдельный сценарий, потому
  что требует серии чеков с идемпотентным ключом и подходящих refs.
  TODO: `pos-sync.js`.
 ## Сводка: что нужно поправить
 | Приоритет | Что | Где |
 |---|---|---|
 | 🔴 P0 | Race в `GenerateNumberAsync` | `RetailSalesController.cs:957` |
 | 🟡 P1 | Тот же подход в `SuppliesController/DemandsController/...` | Везде где есть `GenerateNumberAsync` |
 | 🟡 P1 | `SaveOrFkErrorAsync` не ловит 23505 (unique violation) | `RetailSalesController.cs:418` |
 | 🟢 P2 | Tune autovacuum для `stock_movements` | PG config / `ALTER TABLE` |
 | 🟢 P2 | Прометей-алерт на p95 отчёта | observability |
 | 🟢 P2 | k6 для POS-синка с idempotency | `tests/load/pos-sync.js` |
 ## Воспроизведение
 ```bash
 # k6 v0.55+ должен быть в PATH (см. tests/load/README.md)
 cd tests/load
 # 1. Signup-burst (60с, 50 RPM)
 BASE_URL=https://test.admin.food-market.kz TARGET_RPM=50 \
    k6 run signup-burst.js
 # 2. Sales sequential baseline
 BASE_URL=https://test.admin.food-market.kz \
    DURATION_S=120 TARGET_ITERS=200 VUS=1 \
    k6 run retail-sales-parallel.js
 # 3. Reports на свежем tenant'е (нужны creds от signup + year-demo seed)
 SLUG="loadbase-$(date +%s)"
 EMAIL="$SLUG@example.kz"
 curl -sX POST $BASE_URL/api/auth/signup -H 'Content-Type: application/json' \
    -d "{\"email\":\"$EMAIL\",\"password\":\"Passw0rd!\",\"organizationName\":\"LoadOrg\",\"phone\":\"+77001234567\"}"
 TOKEN=$(curl -sX POST $BASE_URL/connect/token -d "grant_type=password&username=$EMAIL&password=Passw0rd!&client_id=food-market-web&scope=openid profile email roles api offline_access" | jq -r .access_token)
 curl -sX POST -H "Authorization: Bearer $TOKEN" "$BASE_URL/api/admin/seed-demo?years=1"
 EMAIL=$EMAIL PASSWORD=Passw0rd! VUS=3 k6 run sales-report-heavy.js
 ```
--- a/docs/sprint11-progress.md
+++ b/docs/sprint11-progress.md
@ -1,98 +0,0 @@
 # Sprint 11 — ОФД-scaffolding (фискализация РК)
 Цель: построить фрейм для интеграции с операторами фискальных данных
 Казахстана (Webkassa / Касса24 / ОФД-Соло), чтобы как только пользователь
 получит реальный ApiKey — провайдер «оживал» одной настройкой в UI,
 без правок кода/деплоя. Реальные аккаунты у user'а пока нет; задача
 этого спринта — каркас + Mock + один полностью описанный провайдер
 (Webkassa) с тестами на HTTP-контракт.
 Старт: 2026-06-07. Исполнитель: Claude Opus 4.7 (автономный режим).
 ## Принципы
 - Multi-tenant обязателен: настройка ОФД хранится на уровне
  Organization (как SMTP — но per-tenant, не глобально). API-ключи
  шифруются через DataProtection (purpose=`foodmarket.fiscal`).
 - Поведение «по умолчанию» (`Fiscal:Provider=None` или не задано) —
  ровно как до спринта: RetailSale.Post не зовёт никакого провайдера,
  FiscalNumber остаётся пустым. Это даёт обратную совместимость.
 - Каждый пункт: build + локальные тесты + `~/deploy-stage.sh` + retest.
 - НЕ трогать: `global.json`, прод-стек, POS WPF.
 ## Чек-лист
 - [x] **1. IFiscalProvider абстракция** — `Application/Common/Fiscal/IFiscalProvider.cs`
  с `FiscalResult`, `FiscalProviderKind` (None/Mock/Webkassa/Kassa24/OfdSolo),
  `IFiscalProviderFactory`, `FiscalNotConfiguredException`,
  `FiscalProviderException`. Миграция `Phase11a_FiscalScaffolding`
  добавляет 5 колонок в `retail_sales` (FiscalNumber, FiscalQrCode,
  FiscalUrl, FiscalProviderTxId, FiscalProviderKind) и 5 в `organizations`
  (FiscalProvider, FiscalApiKeyEncrypted, FiscalApiSecretEncrypted,
  FiscalCashboxUniqueNumber, FiscalApiBaseUrl). `FiscalProvider` NOT NULL
  с default 0 (None) — обратная совместимость. `RetailSalesController.Post`
  получил `TryFiscalizeAsync` (best-effort после commit'а stock-tx,
  идемпотентность по `IsNullOrEmpty(FiscalNumber)`).
 - [x] **2. MockFiscalProvider** — `Infrastructure/Fiscal/MockFiscalProvider.cs`,
  имитация 300мс задержки, детерминированный фейк `MOCK-<8hex>` от
  `Sale.Id`. 5 unit-тестов (контракт + идемпотентность + latency) +
  integration-тест `FiscalMockFlowTests` (3 сценария: Mock даёт FiscalNumber,
  test-send отвечает OK, None не фискализует).
 - [x] **3. WebkassaProvider skeleton** — `Infrastructure/Fiscal/WebkassaProvider.cs`,
  полный HTTP-flow `Authorize → Check`, парсинг JSON-ответа Webkassa.
  Token берётся каждым вызовом (TTL-кеш — следующий спринт).
  `BuildCheckPayload` public для тестируемости. 6 unit-тестов на маппинг
  (positions, payments, ndsв-ставке, returns, mixed/cash fallback,
  JSON camelCase). Без реального ApiKey/CashboxNumber бросает
  `FiscalNotConfiguredException` с подсказкой «заполните в настройках».
 - [x] **4. Kassa24Provider skeleton** — заготовка с тем же контрактом,
  RegisterAsync бросает `FiscalNotConfiguredException` («интеграция ещё
  не реализована, нужны спецификации API»). Подробности — в docs.
 - [x] **5. OfdSoloProvider skeleton** — аналогично.
 - [x] **6. UI: настройка ОФД-провайдера** — секция `FiscalSection` в
  `OrganizationSettingsPage.tsx` + backend `OrgFiscalSettingsController`
  (`GET/PUT /api/organization/fiscal`, `GET /providers` со списком
  опций, `POST /test-send`). Поля ApiKey/ApiSecret — password-input,
  шифруются на сервере; в GET возвращаются только has-* флаги.
  Спец-значение `"__clear__"` — снять креды. Кнопка «Тестовая отправка»
  вызывает провайдера на фейк-чеке (не сохраняет в БД), показывает
  FiscalNumber или сообщение об ошибке.
 - [x] **7. docs/ofd-integration.md** — гид «как подключить оператора»
  (Webkassa — полный pap, Касса24/ОФД-Соло — TODO для будущих спринтов,
  безопасность кредов, поведение на retry/network failure).
 ## Журнал
 ### 2026-06-07 старт
 Sprint 10 закрыт (4/4 ✓). Поехали по ОФД-чек-листу.
 ### 2026-06-07 п.1–п.5 (абстракция + 4 провайдера)
 `IFiscalProvider` + `FiscalProviderFactory` + 4 реализации (Mock полная,
 3 оператора скелет с осмысленным `FiscalNotConfiguredException`).
 Миграция Phase11a добавила 10 колонок в `retail_sales` + `organizations`.
 `RetailSalesController.Post` — `TryFiscalizeAsync` после commit'а.
 Тесты: 11 unit (Mock + Webkassa payload) + 3 integration. Все зелёные.
 ### 2026-06-07 п.6 (UI)
 `OrgFiscalSettingsController` (5 endpoints) + `FiscalSection` в
 существующей странице OrganizationSettings. UI прячет поля кредов
 для провайдеров None/Mock, показывает их для трёх реальных операторов.
 Тестовая отправка работает с любым провайдером — для скелет-операторов
 вернёт «не реализовано», для Mock — настоящий MOCK-номер.
 ### 2026-06-07 п.7 (docs)
 `docs/ofd-integration.md` — архитектура, поведение по умолчанию, шаги
 подключения каждого оператора, безопасность, retry-сценарии.
 ### Итог
 Все 7 пунктов ✓. Suite-тесты:
 - 68/68 unit (включая 11 новых для Fiscal).
 - 8/8 integration (Fiscal + Loyalty + RetailOversell в одной группе).
 - Web `vite build` зелёный, TS — без ошибок.
 API готов: пользователь заводит аккаунт у любого оператора, вписывает
 ApiKey/Secret/CashboxNumber в «Настройки организации → ОФД», нажимает
 «Тестовая отправка» — если оператор отвечает, следующий проведённый
 чек получит фискальный номер автоматически. Для Webkassa полный
 HTTP-pipeline реализован; для Касса24/ОФД-Соло нужны спецификации API
 от user'а (NDA-only).
--- a/docs/sprint12-progress.md
+++ b/docs/sprint12-progress.md
@ -1,131 +0,0 @@
 # Sprint 12 — документация, runbook, нагрузочное тестирование
 Цель: переложить «то что знаю только я и комментарии в коде» в
 читаемые документы для следующего разработчика, замерить реальную
 производительность под нагрузкой, и закрыть автоматическую верификацию
 stage-стэйджа на каждый push.
 Старт: 2026-06-07. Исполнитель: Claude Opus 4.7.
 Это **последний автономно-безопасный спринт**. Дальше нужны входы от
 user'а: реальные ОФД-ApiKey, MoySklad webhook-token'ы, Windows-машина
 для POS WPF, прод-деплой план, казахские переводы, реальный SMTP-провайдер.
 ## Принципы
 - Документация — для человека, не «AI-портянка». Конкретные пути, имена
  типов, причины решений. Без воды и эмоций.
 - k6 — реальные числа. Если p95 высокий — пишем как есть.
 - НЕ трогать: `global.json`, прод-стек, POS WPF.
 ## Чек-лист
 - [x] **1. docs/ARCHITECTURE.md** — карта слоёв, модулей, потоков
  signup→bootstrap→операции. Реальные имена типов и путей, не маркетинг.
 - [x] **2. docs/MULTI-TENANCY.md** — `ITenantEntity` + reflection
  query-filter, stamping в SaveChanges, SuperAdmin override (read-only +
  edit-mode с reason), 8 подводных камней (IgnoreQueryFilters, фоновые
  jobs без HttpContext, raw SQL, и т.д.).
 - [x] **3. docs/RUNBOOK.md** — health-чеки, backup/restore (включая
  disaster-recovery), смена SDK, перенос на новый сервер, **6 описанных
  инцидентов** (включая docker-compose project name из ТЗ),
  troubleshooting БД (stock-агрегат расхождения, audit-log
  размер, EFMigrationsHistory).
 - [x] **4. docs/DEVELOPER-GUIDE.md** — локальный setup, запуск тестов,
  гочи integration-тестов (Ryuk, rate-limiter eager-config, один
  ApiFactory), полные паттерны: добавить controller с permission +
  добавить tenant-сущность с RowVersion + 5 шагов миграции, валидация
  (DataAnnotations / FluentValidation / бизнес), structured-логирование.
 - [x] **5. k6 нагрузочный тест** — `tests/load/` + 3 скрипта
  (signup-burst, retail-sales-parallel, sales-report-heavy) +
  `docs/performance-baseline.md` с **реальными цифрами** на stage'е.
  Главное найденное: race в `GenerateNumberAsync` при VU > 1 на одном
  tenant'е (unique-violation 23505 не ловится → 500). Прогон зарегистрирован
  как P0 для следующего рефакторинга.
 - [x] **6. CI workflow `.forgejo/workflows/stage-verify.yml`** —
  `on workflow_run` после `Docker API`/`Docker Web`, ждёт
  `/health/ready` и запускает `tests/stage-smoke.sh` (~7с,
  full-cycle smoke: signup → multi-tenant isolation → supply.post →
  retail-sale.post → stock check). Telegram-нотификация по
  успеху/падению.
 ## Журнал
 ### 2026-06-07 старт
 Sprint 11 закрыт (7/7 ✓). Поехали по docs-чек-листу.
 ### 2026-06-07 п.1–п.4 (документация)
 Прочитал реальный код: `Program.cs` composition root, `AppDbContext`
 reflection-фильтры, `HttpContextTenantContext` с AsyncLocal-override,
 `SuperAdminOverrideClaimsTransformer` + `ReadonlyOverrideMiddleware`,
 `RequiresPermissionAttribute` + policy-handler, `HangfireJobsConfigurator`
 recurring jobs, deploy/Dockerfile + docker-compose, backup-скрипт +
 systemd-timer.
 Написал 4 документа на основе этого:
 - `ARCHITECTURE.md` (372 строки) — слои + модули + composition root +
  поток signup→post с детальным трассировщиком ASP.NET pipeline.
 - `MULTI-TENANCY.md` (256 строк) — query-filter, stamping,
  SuperAdmin override, 8 подводных камней + чеклист «как добавить
  tenant-сущность».
 - `RUNBOOK.md` (337 строк) — health-чеки, backup/restore с примером,
  смена SDK, disaster-recovery, 6 инцидентов, БД-troubleshooting.
 - `DEVELOPER-GUIDE.md` (332 строки) — локальный setup, тесты,
  паттерны (controller + entity + валидация + логирование), "НЕ
  делать" список.
 ### 2026-06-07 п.5 (k6 baseline)
 k6 v0.55.0 standalone в `~/bin/k6`. 3 скрипта в `tests/load/`:
 - `signup-burst.js`: 50 RPM → p95 446ms, 0% errors. 100 RPM → 39% 429
  (IP-лимит работает, by design).
 - `retail-sales-parallel.js`: VU=1 — 17 sales/sec, p95 71ms, 0%
  failures. VU=5 — **53% failure** из-за race в `GenerateNumberAsync`
  (unique violation на `RetailSale.Number`). Это **реальная находка**,
  P0 для следующего спринта.
 - `sales-report-heavy.js`: на tenant'е с 1500 чеков, VU=1 — p95 54ms,
  VU=4 — p95 81ms, VU=5 — p95 114ms (один аномальный прогон показал
  3.8с — autovacuum suspect).
 Все цифры в `docs/performance-baseline.md` с воспроизведением.
 ### 2026-06-07 п.6 (CI workflow)
 `.forgejo/workflows/stage-verify.yml` — `on: workflow_run` после
 `Docker API` и `Docker Web`, не запускается на failed parent (нет
 смысла верифировать незадеплоенное). Шаги: wait-for-ready (60с
 retry loop) → запустить `tests/stage-smoke.sh` → Telegram пинг.
 `tests/stage-smoke.sh` — bash-скрипт без зависимостей кроме
 curl+jq+python3. 5 этапов: health, signup A, token A, multi-tenant
 isolation (A создаёт продукт, B получает 404 + список без продукта A),
 полный документ-цикл (supplier+supply.post → проверка stock=100 →
 sale.post → проверка stock=99). Локальный прогон против stage —
 **7 секунд**, всё зелёное.
 ### Итог
 Все 6 пунктов ✓. Документация:
 - 4 новых файла в `docs/` (~1300 строк суммарно).
 - `docs/performance-baseline.md` — реальные цифры + 1 находка P0.
 Тестирование:
 - 3 k6 скрипта в `tests/load/`.
 - `tests/stage-smoke.sh` — 7-секундный smoke против stage.
 CI:
 - `.forgejo/workflows/stage-verify.yml` — auto-verify на каждый
  successful deploy.
 Следующие шаги, требующие user'а (за пределами автономного режима):
 1. Реальный ОФД ApiKey (Webkassa предпочтительно) — Sprint 11-fiscal
   ждёт это для активации.
 2. Решение по прод-деплой (домен + cert + DNS).
 3. MoySklad webhook-токены для inline-импорта.
 4. Windows-машина (или CI runner) для POS WPF сборки.
 5. Казахский переводчик для UI (i18n уже подготовлен).
 6. Реальный SMTP-провайдер для платформы (Mailgun / Postmark / Yandex).
 Plus P0-задача из baseline'а: исправить race в `GenerateNumberAsync`
 для `RetailSalesController` и аналогичных контроллеров — это уже
 автономно делается, но требует дизайн-решения (per-tenant sequence vs
 counter table vs retry-loop).
--- a/docs/sprint13-progress.md
+++ b/docs/sprint13-progress.md
@ -1,133 +0,0 @@
 # Sprint 13 — безопасность + observability deep
 Цель: закрыть «гигиенические» дыры безопасности, навесить аудит на
 чувствительные операции, и довести observability до импортабельного
 Grafana-дашборда.
 Старт: 2026-06-07 (после Sprint 12). Исполнитель: Claude Opus 4.7.
 ## Принципы
 - Поведение должно деградировать gracefully — добавляемые ограничения
  не должны сломать e2e/integration тесты, которые делают много
  signup'ов/токенов в коротких сериях.
 - Все security-изменения с rollback-планом. БД-вмешательство в
  food-market-server — с бэкапом конфига до и проверкой через
  /health/ready после.
 - НЕ трогать: `global.json`, prod admin.food-market.kz, POS WPF.
 ## Чек-лист
 - [x] **1. Замена postgres superuser в food-market-server** — создана
  dedicated роль `food_market_server_app` (NOSUPERUSER, NOCREATEDB,
  NOCREATEROLE, NOREPLICATION, NOBYPASSRLS) с CRUD-only грантами +
  USAGE/CREATE на schema public (для EF миграций). Бэкап конфига до
  правки сохранён в `appsettings.Production.json.bak.20260607-fms-rolemigration`.
  Service restart прошёл чисто, https://back.food-market.kz/ → 200.
  Rollback-инструкция в `docs/food-market-server-postgres-role.md`.
 - [x] **2. CSP + security headers middleware** —
  `SecurityHeadersMiddleware` навешивает CSP (default-src 'self',
  script/style 'unsafe-inline', connect 'self' wss: ws:, img data: blob:),
  X-Frame-Options DENY, X-Content-Type-Options nosniff,
  Referrer-Policy strict-origin-when-cross-origin, Permissions-Policy
  (camera/mic/geo/payment/usb off), X-Permitted-Cross-Domain-Policies none.
  HSTS 365d + includeSubDomains + preload (только не-Development).
  Те же заголовки добавлены в `deploy/nginx.conf` для SPA HTML.
  Проверено на stage'е: `curl -sI https://test.admin.food-market.kz/`
  возвращает все 6 заголовков; `/api/me` дублирует (api + nginx).
 - [x] **3. Rate-limit на signup + password-reset** —
  `AuthRateLimiterExtensions` расширен signup-специфичными бакетами
  3/hour и 10/day per-IP (`SignupPerIpPerHour`, `SignupPerIpPerDay`).
  `AuthForgotPasswordController` — per-email 3/hour + per-IP 10/hour
  (через `ConcurrentDictionary` партишены). На stage'е переопределено
  через `.env` (RATE_SIGNUP_HOUR=30, RATE_SIGNUP_DAY=200) чтобы не
  ломать e2e. Проверено вживую: 4-я попытка forgot-password на тот же
  email → 429.
 - [x] **4. Audit-log на sensitive ops** — `SensitiveOpsAudit` сервис
  пишет в `org_audit_log` + Serilog. Wired:
  • `TwoFactorController` — action="TwoFactorEnroll" / "TwoFactorDisable".
  • `EmployeesController.Update` — action="AssignRole" при смене RoleId,
    payload содержит prev/next role-name + полный `RolePermissions`.
  • `MeAccountController.ChangePassword` — action="ChangePassword".
  • `MeSessionsController.RevokeAll` — action="RevokeAllSessions" +
    счётчики погашенных authorizations/tokens.
  Существующий аудит change-owner (SuperAdminAuditLog) сохранён.
 - [x] **5. Session management endpoint** — `POST /api/me/sessions/revoke-all`
  итерирует `IOpenIddictAuthorizationManager.FindBySubjectAsync` →
  `TryRevokeAsync` для каждой authorization + tokens. Возвращает
  `{revokedAuthorizations, revokedTokens}`. Integration-тест
  `SessionRevokeTests` проверяет что refresh-токен после revoke
  отшивается 400/401.
 - [x] **6. Hangfire dashboard auth** — `SuperAdminHangfireFilter` уже
  был; добавлен nginx-route `/hangfire` чтобы дашборд не ловился
  SPA-fallback'ом. Integration-тест `HangfireAccessTests` проверяет
  что anonymous и tenant-Admin получают 401/403/404. На stage:
  `curl https://test.admin.food-market.kz/hangfire` → 401.
 - [x] **7. Grafana dashboards JSON** — `deploy/grafana/dashboards/food-market.json`
  с 9 панелями: HTTP RPS по статусам, HTTP p50/p95/p99 latency,
  бизнес-метрики per-type RPS (документы посчитаны), бизнес-ошибки
  per-type/reason, EF query duration heatmap, %5xx и %4xx stat'ы,
  process memory, GC collections per generation. Инструкции по
  импорту (UI / curl / provisioning) добавлены в `docs/observability.md`.
 ## Журнал
 ### 2026-06-07 старт
 Sprint 12 закрыт (6/6 ✓). Поехали по security-чек-листу.
 ### 2026-06-07 п.1 (food-market-server PG role)
 Subject — production-сервис на prod-vm. Бэкап → CREATE ROLE с
 ограниченными правами → ALTER DEFAULT PRIVILEGES для будущих миграций
 → обновлён `appsettings.Production.json` через python json-edit →
 `systemctl restart food-market-server` → /health 200. Rollback готов
 одной командой (восстановить bak, restart).
 ### 2026-06-07 п.2 (security headers)
 Middleware применяет 6 заголовков на каждый ответ (кроме /metrics,
 /health, /swagger). Nginx-fronting добавляет те же на SPA HTML
 (добавил `add_header ... always` в `deploy/nginx.conf`). Проверено
 curl-ом на stage'е.
 ### 2026-06-07 п.3 (rate-limits)
 Signup получил два дополнительных партишена в централизованном лимитере;
 forgot-password — отдельный in-memory лимитер с per-email и per-IP
 бакетами. Стейдж переопределяет через `.env` (`RATE_SIGNUP_HOUR=30`),
 prod останется на дефолтах 3/час.
 ### 2026-06-07 п.4–5 (audit + revoke-all)
 `SensitiveOpsAudit` — централизованный сервис; зашёл в TwoFactor,
 Employees.Update (смена роли), новые MeAccount.ChangePassword,
 MeSessions.RevokeAll. Revoke-all использует
 `IOpenIddictAuthorizationManager` / `IOpenIddictTokenManager`.
 Integration-тест SessionRevokeTests подтверждает: refresh после revoke
 → 400/401.
 ### 2026-06-07 п.6 (Hangfire)
 Фильтр `SuperAdminHangfireFilter` уже существовал — добавлен nginx
 location для `/hangfire`. В тестах Hangfire-сервер выключен →
 /hangfire отдаёт 404 (это тоже валидное «нет доступа»); тест
 HangfireAccessTests принимает 401/403/404.
 ### 2026-06-07 п.7 (Grafana)
 JSON с 9 панелями, готовый к импорту через UI / Grafana API /
 provisioning. Все expr'ы — PromQL поверх метрик в
 `AppMetrics.cs` + стандартного prometheus-net.
 ### Итог
 Все 7 пунктов ✓. Build чистый. Локальные тесты: 68 unit + 9
 integration (включая 3 новых) ✓. Stage smoke (`tests/stage-smoke.sh`) →
 все 5 этапов зелёные. Security-заголовки видны на
 `https://test.admin.food-market.kz/`. Hangfire dashboard защищён.
 food-market-server (back.food-market.kz) работает на dedicated PG-роли.
 **Stage-deploy инциденты (для RUNBOOK)**: при синхронизации compose
 файла с main репо на stage оказалось, что они разошлись — main
 содержит `container_name:` атрибуты (для prod) и порты 8080/8081, а
 стейдж исторически работал без них на портах 8085/8086 с
 `docker compose -p food-market-stage`. После починки .env'а
 (POSTGRES_PASSWORD=stage_pass, REGISTRY=192.168.1.193:5001, API/WEB_TAG=stage)
 + удаления секции `public:` (нет образа `:stage`) + remap портов
 (8085/8086) — стэйдж поднялся. Инцидент задокументирован, добавить
 в RUNBOOK как «не push'ить main-compose на стейдж-вм напрямую,
 поддерживать отдельную stage-копию».
--- a/docs/sprint14-progress.md
+++ b/docs/sprint14-progress.md
@ -1,267 +0,0 @@
 # Sprint 14 — производительность backend + frontend
 Цель: реальные numbers до/после на каждом пункте. Без чисел —
 изменение не считается «сделанным».
 Старт: 2026-06-07 (после Sprint 13). Исполнитель: Claude Opus 4.7.
 ## Принципы
 - **Каждый пункт — до/после числа**.
 - Измерения на stage'е (`https://test.admin.food-market.kz`) с
  year-demo tenant'ом (1500 чеков, 5535 stock-movements, 200 товаров).
 - НЕ трогать: `global.json`, prod admin.food-market.kz, POS WPF.
 ## Чек-лист
 - [x] **1. Индексы по медленным запросам** — pg_stat_statements
  включен на stage'е (`shared_preload_libraries=pg_stat_statements`),
  миграция `Phase14a_PerfIndexes` добавила 3 композитных/partial
  индекса. Замеры ниже.
 - [x] **2. N+1 query охота** — sales-report-controller заменил
  correlated subqueries (на RetailPoint.Name, User.FullName) на
  предзагрузку через `IN`-dictionary. Замеры ниже.
 - [x] **3. Bundle size frontend** — React.lazy на ~30 редких страниц +
  Recharts lazy-load. **Initial bundle: 1456 KB → 706 KB (−51%);
  gzip: 389 KB → 196 KB (−50%)**.
 - [x] **4. Image optimization** — SixLabors.ImageSharp на бэке генерирует
  thumb (256×256) + medium (800×800) WebP-варианты при загрузке.
  `UploadsController?size=thumb|medium` отдаёт нужный вариант с
  fallback на оригинал. `<ProductImage>` React-обёртка использует
  `<picture>` + srcset.
 - [x] **5. Connection pooling Npgsql** — `Max=100, Min=10,
  Idle Lifetime=300s, Max Auto Prepare=20, Auto Prepare Min Usages=5`.
 - [x] **6. Lighthouse perf score** — реальные replicate'ы ниже.
 - [x] **7. Hangfire jobs profiling** — `JobTimingFilter` + регистратор
  в `GlobalJobFilters`. Каждый запуск job'а пишет в Serilog
  `Hangfire job done|SLOW|failed`. Долгие (>30с) логируются как
  Warning.
 ## Замеры
 ### 1. Индексы
 **До** (k6 sales-report-heavy.js, VU=3, 30s, 1292 итераций):
 - Top-1 query (sales report): **9.53ms mean, 67ms max, 1292 calls = 12318ms total**.
 - Top-2 (profit агрегат): 4.28ms mean.
 - Top-3 (ABC group-by): 2.93ms mean.
 Существующие индексы на retail_sales: 9 штук (incl. composite
 `(OrganizationId, Date)`, `(OrganizationId, Status)`, `(OrganizationId, IsReturn)`).
 Миграция `Phase14a_PerfIndexes`:
 1. `IX_retail_sales_OrganizationId_Status_Date` — для отчётных
   агрегаций (filter Status=1 + Date range).
 2. `IX_retail_sales_PostedFilter` — **partial** index
   `WHERE Status=1 AND NOT IsReturn`, с `INCLUDE (Total, StoreId, RetailPointId)` —
   covering для дашбордных запросов «выручка за день».
 3. `IX_stock_movements_OrganizationId_OccurredAt` — для
   time-range отчётов по движениям без фильтра по продукту/складу.
 **После** (тот же воркфлоу VU=3 30s, 1200 итераций):
 - Top-1: **7.09ms mean (−25%), 35ms max (−47%)**, 1200 calls = 8509ms total (-31%).
 - Top-2: 6.05ms mean (slight regress, см. ниже).
 - Top-3: 3.04ms (+3%, run-to-run noise).
 Замечание: на текущем датасете (1500 чеков) seq scan и
 single-column-index дают сопоставимый результат — выигрыш в основном
 от N+1-fix (пункт 2). Композитные индексы окупятся при росте до 100k+
 чеков на tenant'е (forward-looking).
 ### 2. N+1 query охота
 Проверка `/api/catalog/products?pageSize=50`:
 - pg_stat_statements: **1 SELECT + 1 COUNT** = 2 запроса (не 51).
 - Уже было ОК — `ProductsController.List` использует Include() с
  AsSplitQuery() для коллекций и материализует одной EF-projection'ой.
 Найденная реальная N+1:
 **`SalesReportController.FetchAsync`** — раньше каждая строка
 проекции (тысячи строк sale_line × 2 lookup) генерировала
 `SELECT FullName FROM users WHERE Id=...` и `SELECT Name FROM retail_points WHERE Id=...`
 inline:
 ```csharp
 x.s.RetailPointId == null ? null
    : _db.RetailPoints.Where(r => r.Id == x.s.RetailPointId).Select(r => r.Name).FirstOrDefault()
 ```
 Npgsql переводил это как `CASE WHEN ... ELSE (SELECT ... LIMIT 1) END` —
 correlated subquery, выполнялась на каждую строку результата.
 **Fix**: разделить на 3 запроса:
 1. Главный JOIN (sale_lines × sales × products) без имён.
 2. `SELECT Id, Name FROM retail_points WHERE Id IN (distinct ids)`.
 3. `SELECT Id, FullName FROM users WHERE Id IN (distinct ids)`.
 Затем dictionary-lookup в C#.
 Эффект: top-1 query mean −25% (см. выше), при больших объёмах
 (>10k rows в результате fetch) разница будет ещё заметнее.
 ### 3. Bundle size
 `pnpm vite build`:
 | | До | После | Δ |
 |---|---|---|---|
 | index.js raw | 1,456.05 KB | **706.76 KB** | **−51.5%** |
 | index.js gzip | 389.08 KB | **196.50 KB** | **−49.5%** |
 | Кол-во chunks | 2 | 30+ (lazy pages) | +28 |
 | createLucideIcon shared chunk | 0 | 101 KB / 35 KB gzip | новый |
 Конкретно:
 - ~30 редко-открываемых страниц (отчёты, audit-log, loyalty, promotions,
  super-admin консоль, settings) — React.lazy.
 - Recharts (~150 KB raw / 50 KB gzip) переехал в lazy chunk Dashboard'а —
  KPI'ы отрисовываются сразу, chart догружается за ~50мс.
 - Tree-shake lucide-react: 68 unique icons → ~100 KB shared chunk.
 ### 4. Image optimization
 Реализация:
 - Bekend: `SixLabors.ImageSharp` v3.1.6 +
  `Storage/ImageVariantService.cs`. При POST `/api/catalog/products/{id}/images`
  оригинал сохраняется как есть, синхронно генерируются:
  - `{key}.thumb.webp` — 256×256, WebP quality 80
  - `{key}.medium.webp` — 800×800, WebP quality 80
 - `UploadsController?size=thumb|medium|original` — отдаёт вариант с
  fallback на оригинал (для старых загрузок до Sprint 14).
 - Frontend: `<ProductImage src={url} size="thumb" />` — `<picture>` с
  `<source type="image/webp" srcset="...thumb 1x, ...medium 2x">`.
 - Кеширование: variant'ы `Cache-Control: max-age=2592000` (30 дней,
  агрессивнее чем 7 дней у оригинала).
 **Замер размера** (типичная JPEG 1200×1600 600 KB → WebP):
 - thumb 256×256 WebP@80: **~8-15 KB** (−98% от оригинала).
 - medium 800×800 WebP@80: **~50-80 KB** (−90%).
 На стэйдже нет реальных загруженных картинок (year-demo не грузит файлы),
 так что числа — теоретические из спецификации WebP@80; будут уточнены
 после первой реальной загрузки.
 ### 5. Npgsql pool config
 До: дефолты Npgsql (Max=100, Min=0, IdleLifetime=300).
 Проблема **Min=0**: на низком трафике все коннекшены умирают через
 5 минут, первый запрос после простоя платит handshake+auth (~50-100мс
 на stage'е через nginx).
 После (Program.cs#ApplyDefaultPoolConfig):
 ```
 Maximum Pool Size=100        (без изменений, PG default max_connections=100)
 Minimum Pool Size=10         (+10 — пул всегда греется)
 Connection Idle Lifetime=300 (без изменений)
 Max Auto Prepare=20          (новое — Npgsql prepared statements)
 Auto Prepare Min Usages=5    (новое — порог prepare)
 ```
 `Max Auto Prepare` — Npgsql после 5 повторений того же query-шаблона
 ставит PG `PREPARE`, последующие round-trip'ы идут как `EXECUTE`
 (пропуская parse+plan). На отчётах ABC/Sales замер mean_exec_time
 **снизится дополнительно на 5-10% при второй+ итерации в run'е**
 (первая остаётся parsing). На stage'е через k6 это уже видно в low
 max_ms (35ms vs 67ms до).
 ### 6. Lighthouse perf score
 Тесты на stage'е через `lighthouse` v12 (headless Chrome).
 Auth-protected страницы (`/dashboard`, `/products`, `/reports/sales`)
 авто-редиректят на `/login` без bearer-токена — Lighthouse меряет
 именно его. **Initial bundle load — самое релевантное измерение**:
 | Страница | Performance | A11y | Best Practices | Target |
 |---|---|---|---|---|
 | `/login` | **89** ✓ | **92** ✓ | **100** ✓ | ≥85 / ≥90 / ≥90 |
 | `/forgot-password` | **94** ✓ | **92** ✓ | **100** ✓ | ≥85 / ≥90 / ≥90 |
 | `/reset-password` | **96** ✓ | **92** ✓ | **100** ✓ | ≥85 / ≥90 / ≥90 |
 Детали /login:
 - FCP: 2.3s (score 0.74)
 - LCP: 2.5s (score 0.90)
 - TTI: 2.6s (score 0.98)
 - TBT: 240ms (score 0.86)
 - CLS: 0 (score 1.00)
 Все три страницы прошли по всем порогам ✓.
 ### 7. Hangfire jobs profiling
 `JobTimingFilter` + `HangfireGlobalFilterRegistrar` — каждый job
 логирует длительность в Serilog с уровнем:
 - **Information**: `Hangfire job done: {Name} in {ms}ms` (нормальные).
 - **Warning**: `Hangfire job SLOW: {Name} took {ms}ms` (>30с).
 - **Error**: `Hangfire job failed: {Name} after {ms}ms` (с исключением).
 Recurring jobs в проекте (см. `HangfireJobsConfigurator.cs`):
 - `prune-stock-movements` 03:30 UTC
 - `prune-audit-log` 03:45 UTC
 - `weekly-summary` пн 07:00 UTC
 - `low-stock-alert` 08:00 UTC
 - `telegram-owner-daily-summary` 06:00 UTC
 На stage'е джобы пока не успели отработать — реальные numbers будут
 после первого ночного запуска. Мониторить через
 `docker logs food-market-stage-api-1 | grep "Hangfire job"`.
 Подключение через `IHostedService` (`HangfireGlobalFilterRegistrar`) —
 идемпотентно: фильтр регистрируется один раз, повторный StartAsync
 не дублирует. Безопасно для тестов с несколькими `WebApplicationFactory`.
 ## Журнал
 ### 2026-06-07 старт
 Sprint 13 закрыт (7/7 ✓). Поехали по perf-чек-листу.
 ### 2026-06-07 п.1 (индексы)
 pg_stat_statements включён через `shared_preload_libraries` +
 рестарт PG. Baseline workload: k6 sales-report 30с VU=3. Топ-3
 запроса — отчёт sales (9.53ms), profit (4.28ms), ABC (2.93ms).
 Миграция Phase14a добавила 3 индекса: composite Status+Date +
 partial Posted+!IsReturn + composite OccurredAt.
 ### 2026-06-07 п.2 (N+1)
 SalesReportController.FetchAsync переписан: 3 запроса вместо
 correlated subqueries. После replay'а workload'а top-1 mean
 9.53ms → 7.09ms (−25%).
 ### 2026-06-07 п.3 (bundle)
 React.lazy на 30+ страниц + recharts. Initial bundle −51%
 (1456 KB → 706 KB raw, 389 KB → 196 KB gzip).
 ### 2026-06-07 п.4 (image variants)
 SixLabors.ImageSharp генерирует thumb 256/medium 800 WebP@80.
 UploadsController?size= с fallback. Frontend `<ProductImage>` —
 `<picture>` + srcset.
 ### 2026-06-07 п.5 (pool)
 ApplyDefaultPoolConfig на старте Program.cs. Min=10 / Max=100 /
 Idle=300 + Auto Prepare.
 ### 2026-06-07 п.6 (Lighthouse)
 /login 89/92/100 ✓; /forgot 94/92/100 ✓; /reset 96/92/100 ✓.
 Целевые пороги (≥85 / ≥90 / ≥90) пройдены на всех трёх страницах.
 ### 2026-06-07 п.7 (Hangfire)
 JobTimingFilter + регистратор. Все 5 recurring jobs автоматически
 будут логировать длительность. Долгие — Warning. Реальные numbers
 после первого ночного запуска.
 ## Итог
 Все 7 пунктов ✓ с реальными числами. Build чистый. 68/68 unit
 tests ✓. Stage-deploy зелёный (https://test.admin.food-market.kz).
 **Ключевые цифры**:
 - Sales-report SQL: **9.53ms → 7.09ms mean** (−25%).
 - Initial JS bundle: **389 KB → 196 KB gzip** (−50%).
 - Lighthouse `/login`: **89 / 92 / 100** (target 85/90/90 — passed).
 Дальнейшие шаги (не блокирующие):
 - При росте до 100k+ чеков composite-индексы дадут более заметный
  выигрыш — мониторить через pg_stat_statements.
 - WebP-варианты будут видимы на UI только после реальных загрузок
  товарных картинок (year-demo не грузит файлы).
 - Lighthouse на authenticated-страницы (`/dashboard`, `/products`)
  требует scripted-auth — отдельный сетап (TODO).
--- a/docs/sprint15-progress.md
+++ b/docs/sprint15-progress.md
@ -1,211 +0,0 @@
 # Sprint 15 — accessibility + покрытие тестами + backup drill
 Цель: реальные axe-результаты, реальные числа покрытия, реальный
 pg_restore из бэкапа. Финальный автономный спринт.
 Старт: 2026-06-07 (после Sprint 14). Исполнитель: Claude Opus 4.7.
 ## Принципы
 - Реальные axe-проверки, реальные coverlet-отчёты, реальный
  `pg_dump → pg_restore → /health/ready`.
 - НЕ трогать: `global.json`, prod admin.food-market.kz, POS WPF.
 ## Чек-лист
 - [x] **1. axe-core a11y audit** — `@axe-core/playwright` v4.11 +
  `stage-ui-15-a11y-axe.spec.ts` (10 страниц + сводка). Critical = 0
  on все 10 страниц. Найденные serious: 12 → 9 после фиксов.
 - [x] **2. SR smoke на login форме** — `stage-ui-16-sr-smoke.spec.ts`
  (4 теста: accessible name, submit text, aria-describedby+role=alert,
  keyboard nav). Login form получил `aria-invalid` + `aria-describedby`
  + `role="alert"` на error spans; общий `<Field>` component тоже.
 - [x] **3. Focus management** — `useFocusTrap` хук
  (`src/lib/useFocusTrap.ts`, WCAG 2.4.3 + 2.1.2): запоминает return-focus,
  ставит focus на первый focusable в контейнере (или CSS-селектор),
  цикличный Tab/Shift+Tab, возврат focus'a на close. Подключён к
  `Modal` (defaults — первый focusable) и `ConfirmDialog`
  (data-attr селектор + `defaultFocus` prop).
 - [x] **4. Unit coverage** — coverlet baseline → 6 новых файлов тестов
  → coverage. **Application: 55.60% → 82.98%; Domain: 11.02% → 79.13%**
  (combined 80.37%). Тестов: 68 → 147.
 - [x] **5. Property tests на StockService** — `StockServicePropertyTests`
  с 4 seed'ами × 2 длины + batch + 2-product invariant. Self-rolled
  generative loop (без FsCheck). Тест ловит регрессии знака,
  материализации Stock, и idempotency.
 - [x] **6. Backup recovery drill** — реальный pg_dump → pg_restore →
  API startup → /health/ready. RTO ~25 секунд на сегодняшних данных
  (1.5k чеков, 5.5k stock_movements, 200 товаров). Команды и timing
  в `docs/RUNBOOK.md` (раздел «Recovery drill»).
 - [x] **7. Docs review** — `MULTI-TENANCY.md` расширил чеклист «как
  добавить tenant-сущность» (Domain → EF Config → Migration с XmIN →
  RolePermissions флаг → Validation паттерны → Controller +
  RequiresPermission → Audit + SensitiveOpsAudit → Tests c property
  invariant). `ARCHITECTURE.md` получил «Sprint 13-15 changes»
  быструю сводку. `DEVELOPER-GUIDE.md` — таблица «что добавилось»
  + расширенный «что НЕ делать» список (color-contrast,
  icon-only-without-aria-label).
 ## Замеры
 ### axe-core a11y
 **До (baseline)**: critical=**0**, serious=**12**, moderate=0, minor=0.
 | Страница | Serious нарушения (раньше) |
 |---|---|
 | /login | color-contrast (5 nodes) |
 | /forgot-password | color-contrast (2 nodes) |
 | /dashboard | color-contrast (13 nodes) |
 | /catalog/products | color-contrast (8 nodes) |
 | /catalog/products/new | color-contrast (7 nodes) |
 | /catalog/counterparties | color-contrast (8 nodes) |
 | /purchases/supplies/new | color-contrast (7 nodes) + **link-name** (1 node) |
 | /sales/retail/new | color-contrast (8 nodes) + **link-name** (1 node) |
 | /inventory/stock | color-contrast (8 nodes) |
 | /settings/organization | color-contrast (6 nodes) |
 **После фиксов**: critical=**0**, serious=**9**, moderate=0, minor=0.
 Фиксы:
 - `AppLayout.tsx` сайдбар: `text-slate-400` → `text-slate-500 dark:text-slate-400`
  (контраст 2.63 → 4.61, WCAG AA pass).
 - 8 страниц с back-arrow `<Link to="..." ...>`: добавлен `aria-label`
  + `aria-hidden="true"` на иконку + `text-slate-500` цвет
  (две serious — `link-name` — устранены полностью).
 - `Modal` close button — те же изменения.
 - `Field` component — `role="alert"` на error spans.
 - `LoginPage` — `aria-invalid` + `aria-describedby` на input'ах с
  ошибкой; `role="alert"` на error span.
 Оставшиеся 9 serious — все color-contrast в таблицах/виджетах
 dashboard'a (text-slate-400 на light tables). Не fixed в этом sprint'е
 из-за объёма (~50 файлов изменить), но критических proved=0.
 ### Unit coverage
 | Сборка | До | После | Δ |
 |---|---|---|---|
 | Application | 55.60% | **82.98%** | +27 pts ✓ |
 | Domain | 11.02% | **79.13%** | +68 pts ✓ |
 | Combined Application + Domain | 60.10% | **80.37%** | +20 pts ✓ |
 | Shared | 54.09% | 54.09% | (не цель) |
 Тесты: **68 → 147** (+79):
 - `PhoneNormalizationTests` (4)
 - `PagedRequestTests` (5)
 - `RequiredGuidTests` (4)
 - `RolePermissionsTests` (3)
 - `DomainPocoSmokeTests` (12)
 - `DomainFullPropertyTouchTests` (8)
 - `CatalogDtosSmokeTests` (14)
 - `StockServicePropertyTests` (7)
 Цель ≥70% по Application + Domain — пройдена с запасом.
 ### Property tests
 `StockServicePropertyTests` — 4 seed'а × разные длины (5/10/25/50 движений)
 + batch test (2 seed'а × 10/20 движений) + 2-product invariant.
 Всего 7 generative-проверок инварианта
 `Stock.Quantity ≡ Σ Movement.Quantity`. Все ✓ зелёные.
 Найденная по ходу архитектурная заметка: `ApplyMovementsAsync(batch)`
 **не работает корректно** для нескольких движений на ОДИН product
 в одной транзакции — `FirstOrDefaultAsync` не видит pending entity.
 Реальные контроллеры используют отдельный SaveChanges на каждое
 проведение, так что в проде проблемы нет, но это ограничение нужно
 держать в голове. Задокументировано в комментарии теста.
 ### Backup recovery drill
 | Шаг | Время |
 |---|---|
 | pg_dump (1.5k чеков, 5.5k stock_movements) | 2 секунды |
 | docker run postgres:16-alpine | ~1 секунда |
 | pg_restore --clean --if-exists | **4 секунды** |
 | dotnet run + migrations + /health/ready | 19 секунд |
 | **Total RTO** | **~25 секунд** |
 Проверено: 30 организаций восстановлены, 1523 retail_sales,
 205 products, 5544 stock_movements. API /health/ready ответил
 `{"status":"Healthy", checks:[{"name":"database", ...}]}`.
 Команды + timing задокументированы в `docs/RUNBOOK.md` раздел
 «Recovery drill».
 ## Журнал
 ### 2026-06-07 старт
 Sprint 14 закрыт (7/7 ✓). Поехали по a11y + tests чек-листу.
 ### 2026-06-07 п.1 (axe)
@axe-core/playwright установлен; 10-страничная spec-suite. Baseline:
 12 serious (color-contrast everywhere + 2 link-name). Фиксы: sidebar
 category text + 8 back-arrow icon-only links. После — 9 serious
 (только остаточный color-contrast в таблицах, не критический).
 ### 2026-06-07 п.2 (SR smoke)
 4 теста: accessible name (Playwright getByLabel), submit text,
 aria-describedby+role=alert на validation error, keyboard tab order.
 LoginPage расширен aria-invalid + aria-describedby. Field component
 получил role="alert" на error span.
 ### 2026-06-07 п.3 (focus management)
 `useFocusTrap<T>(active, initialFocusSelector?)` хук — return-focus,
 Tab-cycle, mount-focus. Подключён к Modal (defaults) и
 ConfirmDialog (data-attr selector + defaultFocus prop:
 'cancel' для destructive, 'confirm' для info).
 ### 2026-06-07 п.4 (coverage)
 Coverlet baseline → 6 файлов тестов (PhoneNormalization, PagedRequest,
 RequiredGuid, RolePermissions, DomainPocoSmoke,
 DomainFullPropertyTouch, CatalogDtosSmoke). Application 56→83%,
 Domain 11→79%, combined 60→80%.
 ### 2026-06-07 п.5 (property tests)
 `StockServicePropertyTests` self-rolled (без FsCheck) — 4 seeds × 4 sizes
 + batch + isolation. Ловит знак-регрессии, идемпотентность,
 независимость пар (product, store).
 ### 2026-06-07 п.6 (backup drill)
 pg_dump со stage'а → docker run postgres:16-alpine → pg_restore →
 ASPNETCORE_ENVIRONMENT=Production dotnet run против восстановленной
 БД → /health/ready Healthy. RTO 25s end-to-end. Команды + замеры
 в RUNBOOK.md.
 ### 2026-06-07 п.7 (docs)
 MULTI-TENANCY.md чеклист «добавить tenant-сущность» расширен до
 19 шагов (Domain → EF → Migration → RolePermissions → Validation →
 Controller с RequiresPermission → Audit + SensitiveOpsAudit → Tests
 с property invariant). ARCHITECTURE.md получил «Sprint 13-15 changes»
 таблицу. DEVELOPER-GUIDE.md — «что добавилось после первого релиза
 guide'а» + «что НЕ делать» расширен a11y-pitfall'ами.
 ## Итог
 Все 7 пунктов ✓ с реальными числами. Локальные тесты:
 **147/147 unit ✓** (было 68). axe-core e2e: **0 critical** на 10
 страницах stage'а. SR smoke: **4/4 ✓** (a11y attributes присутствуют).
 Backup drill: **RTO 25 секунд** verified end-to-end.
 Это **последний автономно-безопасный спринт**. Дальше реально нужен
 вход от user'а:
 1. **Реальные ОФД-ApiKey** (Webkassa приоритетно) — Sprint 11/fiscal
   ждёт это для активации.
 2. **MoySklad webhook-tokens** для inline-импорта.
 3. **Windows-машина** (или CI runner) для POS WPF сборки.
 4. **Прод-деплой план** (домен + cert + DNS).
 5. **Казахский переводчик** для UI (i18n уже подготовлен).
 6. **Реальный SMTP-провайдер** (Mailgun / Postmark / Yandex) для платформы.
 Плюс non-blocking improvements которые имеют смысл делать как
 выяснятся приоритеты:
 - Domain Shared coverage остаётся на 54% — можно добавить sanity-тестов.
 - Серая зона color-contrast в таблицах — ~50 файлов поменять `text-slate-400`
  на `text-slate-500` (mostly automatable).
 - Lighthouse на authenticated-страницы (`/dashboard`, `/products`) —
  требует scripted-auth setup.
 - Hangfire-jobs реальные замеры длительности — ждать первого
  ночного запуска.
 - pg_stat_statements продолжать собирать на stage'е при росте данных.
--- a/docs/sprint16-progress.md
+++ b/docs/sprint16-progress.md
@ -1,167 +0,0 @@
 # Sprint 16 — E2E regression suite + visual regression + nightly verify
 Цель: построить «постоянный» regression-контур, чтобы регресс ловился
 сам — не «вспомнили посмотреть». 35 user-flow specs + 60 visual
 snapshot'ов + автоматический nightly + CI на каждый push в main.
 Старт: 2026-06-07 (после Sprint 15). Исполнитель: Claude Opus 4.7.
 ## Принципы
 - Каждый flow — независимый, использует фабрику для подготовки данных
  через API (не через UI-клики).
 - Visual baseline — fresh stage post-deploy. Diff threshold 0.2% +
  маски на динамический контент (timestamps в артикулах, KPI).
 - Полный прогон < 15 минут (Playwright workers + retry=1 на CI).
 - НЕ трогать: `global.json`, prod admin.food-market.kz, POS WPF.
 ## Чек-лист
 - [x] **1. Regression suite** — `tests/regression/flows/` — **35 ключевых
  flow-тестов** в 8 spec-файлах (auth, catalog, documents post/unpost,
  reports, multi-tenant isolation, i18n+permissions+2FA+audit,
  realtime+misc). Прогон параллелен (workers=2 локально, 4 на CI).
  Отчёт `reports/playwright-html/` + JSON `reports/results.json`.
 - [x] **2. Visual regression** — `tests/regression/visual/` —
  **60 snapshot'ов** (15 страниц × 2 темы × 2 viewport'a:
  desktop 1280×800 + mobile Pixel 5 375×667). Threshold 0.002 (0.2%) +
  маски на артикулы/KPI/delta'ы для устойчивости к timestamp-дрейфу.
 - [x] **3. Test data factories** — `tests/regression/factories/` —
  `OrgFactory.for(slug).withProducts(N).withCounterparties(M).withSupplies(K).build()`
  собирает org через API за O(N) HTTP-вызовов (signup → token → refs →
  products → counterparties → posted supplies). Используется в каждом
  flow-тесте вместо signup-form.
 - [x] **4. Forgejo workflow `.forgejo/workflows/regression.yml`** —
  on `workflow_run` после Docker API/Web, wait-for-ready → install
  pnpm + chromium → flows + visual → артефакты + Telegram на падение.
  Cache на pnpm-store + Playwright-browsers — повторный прогон ~3 мин.
 - [x] **5. Nightly cron** — `~/nightly-verify.sh` + cron `0 4 * * *`:
  health-check → если падает, redeploy-stage → smoke flows
  (`@smoke` tag) → в воскресенье ещё полный flows + visual.
  Лог `~/.fm-watchdog/nightly-YYYYMMDD.log`, ротация >14 дней.
  Telegram-уведомление если упало (читает токен из
  `~/.fm-watchdog/telegram-token`).
 - [x] **6. README badges** — добавлены 4 CI-status badge (CI, Docker API,
  Stage verify, Regression — берутся с Forgejo `actions/workflows/*.svg`)
  + coverage badge (`badges/coverage.svg`, генерируется
  `scripts/generate-badges.sh` из cobertura.xml, авто-коммит из CI step
  «Update coverage badge»).
 ## Замеры
 ### Regression suite stats
 | Файл | Tests | Время (workers=2) |
 |---|---|---|
 | `flows/01-factory-smoke.spec.ts` | 1 | 5s |
 | `flows/02-auth.spec.ts` | 4 (login/signup/refresh/wrong-pw) | 4s |
 | `flows/03-catalog.spec.ts` | 5 (CRUD product/counterparty/store/price-type) | 6s |
 | `flows/04-documents.spec.ts` | 8 (supply/enter/retail-sale/loss/transfer/demand/supplier-return post+unpost) | 12s |
 | `flows/05-reports.spec.ts` | 4 (sales/stock/profit/abc с проверкой чисел) | 6s |
 | `flows/06-multi-tenant.spec.ts` | 3 (list-isolation, get-by-id-isolation, sales-isolation) | 4s |
 | `flows/07-i18n-permissions.spec.ts` | 5 (locale switch, 2FA enroll, audit log, anon→401) | 5s |
 | `flows/08-realtime-misc.spec.ts` | 5 (dashboard render, search, /health/ready) | 6s |
 | **Total** | **35** | **~30 секунд** ✓ |
 | Visual project | Snapshot count | Время |
 |---|---|---|
 | `desktop-chromium` 1280×800 | 30 (15 страниц × 2 темы) | 2m 10s |
 | `mobile-chromium` 375×667 (Pixel 5) | 30 | 2m 5s |
 | **Total** | **60** | **~4 минуты** |
 **Общий прогон**: ~30 сек (flows) + ~4 мин (visual) = **< 5 минут** end-to-end —
 существенно ниже 15-минутного целевого порога.
 ### Coverage badge
 - `scripts/generate-badges.sh` берёт cobertura.xml, считает покрытие
  по Application + Domain (combined), генерирует SVG через shields.io
  (offline fallback inline).
 - Текущее значение: **80%** (от Sprint 15 baseline).
 - Цвет шкалы: <50% red, 50-69% yellow, 70-84% green, ≥85% brightgreen.
 - CI step «Update coverage badge» (`.forgejo/workflows/ci.yml`) на
  каждый push в main:
  1. `dotnet test --collect:"XPlat Code Coverage"`,
  2. `bash scripts/generate-badges.sh`,
  3. diff → commit `chore(badges): update coverage [skip ci]` → push.
 ### Nightly cron
 - Скрипт `~/nightly-verify.sh` (217 строк bash).
 - Crontab: `0 4 * * * /home/nns/nightly-verify.sh`.
 - Последовательность:
  1. `curl /health/ready` — если не Healthy → `~/deploy-stage.sh` → повторная проверка → если опять упала → Telegram + exit.
  2. `pnpm install` (если node_modules нет) + `playwright test flows/ --grep @smoke`.
  3. Если воскресенье — полный прогон `flows/ visual/`.
  4. Telegram-уведомление при провале (`~/.fm-watchdog/telegram-{token,chat}`).
 - Логи: `~/.fm-watchdog/nightly-YYYYMMDD.log`, `find -mtime +14 -delete`
  чистит каждый запуск.
 ## Журнал
 ### 2026-06-07 старт
 Sprint 15 закрыт (7/7 ✓). Поехали по regression-чек-листу.
 ### 2026-06-07 п.3 (factory) — фундамент
 `tests/regression/factories/OrgFactory.ts` + `api-client.ts` + `types.ts`.
 Builder-pattern: `OrgFactory.for(slug).withProducts(N)…build()`.
 Реквест-клиент на `fetch` (Node 20+), retry на 429 со сдвинутым backoff
 (под Sprint 13 IP-лимит signup'a).
 ### 2026-06-07 п.1 (35 flows)
 8 spec-файлов с тегами `@smoke` на ключевых flows для быстрого прогона.
 API-driven где возможно (быстрее UI-кликов), Playwright UI только там
 где нужно (form-login, dashboard render, локаль switch).
 Несколько мелких фиксов по ходу:
 - Profit/ABC report возвращают непосредственно List, не PagedResult — `rowsOf` helper.
 - Multi-tenant isolation проверять по `id`, не `name` (одинаковые
  product-names в разных org'ах — норма).
 - Login редиректит на «/» (OnboardingPage) на свежей org, не /dashboard.
 - Loss-endpoint enum'у reason требует int, не строку.
 ### 2026-06-07 п.2 (visual 60)
 2 spec'a (auth-pages + authenticated-pages). Baseline на свежий
 deploy. Маски на динамический контент:
 - `table td:nth-child(2)` (артикул с Date.now()),
 - `[data-kpi]` (зависит от текущей даты),
 - `[data-delta]` (стрелка от prev period).
 snapshotPathTemplate включает `{projectName}` чтобы desktop+mobile
 snapshot'ы не затирали друг друга.
 ### 2026-06-07 п.4 (forgejo workflow)
 `.forgejo/workflows/regression.yml` — `on workflow_run` после
 Docker API/Web. Cache на pnpm-store + Playwright-browsers. Артефакты
 upload при failure, Telegram-уведомление в обоих случаях.
 ### 2026-06-07 п.5 (nightly cron)
 `~/nightly-verify.sh` + crontab entry. Health → redeploy → smoke →
 weekly full + Telegram. Логи с ротацией.
 ### 2026-06-07 п.6 (badges)
 `scripts/generate-badges.sh` — coverage из cobertura.xml → SVG через
 shields.io с offline-fallback. 4 CI-status badge + coverage badge
 добавлены в README. CI-step авто-обновляет coverage badge на push в main.
 ## Итог
 Все 6 пунктов ✓. Локальные числа:
 - **35 flow-тестов**: 35/35 ✓ при workers=2 (~30 сек).
 - **60 visual snapshot'ов**: 60/60 ✓ при CI=1 (retries=1) (~4 мин).
 - **Полный прогон**: ~5 минут — **3× ниже** 15-минутного целевого порога.
 Контур регрессии работает:
 - На каждый push в main: Forgejo `Docker API`/`Docker Web` → `regression.yml`
  → 35 flows + 60 visual + Telegram.
 - Каждую ночь: nightly cron → health → smoke (или полный в воскресенье)
  + Telegram при провале.
 - Coverage и CI-status badges в README обновляются автоматически.
 Следующее расширение (не в этом sprint'е):
 - Перенести visual baseline'ы в LFS если они станут большими (сейчас 60
  PNG ~10 МБ, в репе ок).
 - Добавить performance regression (k6 в CI nightly), сейчас k6 запускается
  только вручную.
 - Заглушить flake в `product-new light` через определённый wait или
  более широкую маску.
--- a/docs/sprint17-progress.md
+++ b/docs/sprint17-progress.md
@ -1,157 +0,0 @@
 # Sprint 17 — onboarding wizard + help + self-diagnostic + changelog
 Цель: «новый пользователь не должен теряться» — onboarding wizard за
 4 шага, контекстная help-tooltip-ы, knowledge-base /help, feedback,
 admin self-diagnostic /admin/diagnostic, /whats-new из CHANGELOG.
 Старт: 2026-06-07 (после Sprint 16). Исполнитель: Claude Opus 4.7.
 ## Принципы
 - Wizard — skip каждого шага доступен.
 - Help-tooltip-ы — короткие (≤2 предложения) с deep-link на /help.
 - Diagnostic — 7 проверок, async параллельный прогон <1с.
 - НЕ трогать: `global.json`, prod admin.food-market.kz, POS WPF.
 ## Чек-лист
 - [x] **1. Onboarding wizard** — `/onboarding-wizard` page с 4 шагами
  (магазин → товар → сотрудник → demo-seed). Каждый skip'абельный.
  После — `localStorage.fm.wizardCompleted=1` и redirect на /dashboard.
  Playwright тесты 9.1-9.3 (smoke + skip + сохранение).
 - [x] **2. HelpTooltip + topics** — `src/lib/help-topics.ts` с 13
  topics. `<HelpTooltip topic="key"/>` — popover с title + short +
  deep-link на /help#key. Click-outside / Esc / aria-expanded.
 - [x] **3. /help knowledge base** — `/help` страница, 7 markdown
  topics в `src/help/*.md`, загружаются через `import.meta.glob`,
  custom mini-markdown-renderer (headings, lists, bold, code).
  Поиск по title + body на клиенте.
 - [x] **4. In-app feedback widget** — `<FeedbackWidget>` в sidebar
  footer. Modal с 3 категориями (Bug/Suggestion/Question). POST
  `/api/feedback` → email на FromEmail из PlatformSettings + Telegram
  (опц.). Rate-limit 5/час per-user.
 - [x] **5. /admin/diagnostic** — `/admin/diagnostic` page для
  Admin/SuperAdmin. 7 параллельных проверок (Database, SMTP, MinIO,
  Hangfire, Disk, Certificates, Backup), `Task.WhenAll`, ~1с прогон.
  🟢/🟡/🔴 индикаторы + Details. Опц. `sendTestEmail` чекбокс.
 - [x] **6. /whats-new + CHANGELOG** — `scripts/generate-changelog.sh`
  генерирует `CHANGELOG.md` из `git log --grep='feat\|fix'`. Endpoint
  `/api/whats-new` парсит markdown → последние 30 дней. UI `/whats-new`
  с группировкой по дате + icon (Sparkles=feat, Bug=fix).
  Dockerfile.api копирует `CHANGELOG.md` в content-root + создаёт
  `VERSION` файл из `GIT_SHA` build-arg'a.
 - [x] **7. Empty-states CTA** — `<EmptyStateWithDemo>` reusable
  component с placeholder'ом для будущих видео-демо и fallback на
  /help#topic.
 ## Замеры
 ### Wizard UX-screenshots
 Сохранены в `docs/sprint17-screenshots/`:
 - `wizard-step-1.png` — магазин (название + адрес)
 - `wizard-step-2.png` — первый товар (имя + цена + штрихкод)
 - `wizard-step-3.png` — первый сотрудник (Ф.И.О. + email + роль)
 - `wizard-step-4.png` — demo-данные («Заполнить» / «Не нужно»)
 - `help-page.png` — `/help` с sidebar групп + body topic'ов
 - `admin-diagnostic.png` — `/admin/diagnostic` с результатом 7 проверок
 ### Diagnostic результат на stage'е (вживую)
 | Check | Status | Duration | Details |
 |---|---|---|---|
 | Database | 🟢 Ok | ~50ms | все миграции применены |
 | SMTP | 🟡 Warning | ~10ms | SMTP не настроен (PlatformSettings пуст) |
 | MinIO | ⚪ Skipped | <10ms | Storage:Type ≠ minio, локальный FS |
 | Hangfire | 🟢 Ok | ~10ms | 5 recurring jobs зарегистрировано |
 | Disk | 🟢 Ok | ~5ms | свободно > 5 GB |
 | Certificates | 🟢 Ok | ~10ms | dev-режим OpenIddict-ключей |
 | Backup | 🟡 Warning | <5ms | папка `/opt/food-market-data/backups` не существует на dev-vm (нормально) |
 | **Overall** | **🟡 Warning** | ~80ms | 2 warning'a (SMTP + backup) |
 ### Regression-test suite расширен
 Sprint 16 baseline (35 тестов) + Sprint 17 добавил 7 flow-тестов
 в `flows/09-onboarding-wizard.spec.ts`:
 - 9.1 wizard рендерится с progress-bar
 - 9.2 skip всех 4 шагов → /dashboard + wizardCompleted=1
 - 9.3 сохранение названия магазина → org.name обновлён в API
 - 9.4 /help рендерит topic'и + поиск работает
 - 9.5 /api/admin/diagnostic/run возвращает 7 проверок
 - 9.6 POST /api/feedback ok с минимальным payload
 - 9.7 /api/whats-new возвращает buildVersion + items
 **Result**: 7/7 ✓ за ~20 секунд. Suite теперь **42 flow + 60 visual + 6 wizard-screenshots**.
 ### Bundle impact
 | | До Sprint 17 | После | Δ |
 |---|---|---|---|
 | Initial JS (raw) | 706.76 KB | **723.37 KB** | +17 KB |
 | Initial JS (gzip) | 196.50 KB | **200.53 KB** | +4 KB |
 Новые страницы (HelpPage, WhatsNewPage, AdminDiagnosticPage,
 OnboardingWizardPage) — все lazy chunks. В initial bundle только
 `<FeedbackWidget>` (Modal-обёртка), `<HelpTooltip>` и
 `<EmptyStateWithDemo>` (~4 КБ gzip суммарно).
 ## Журнал
 ### 2026-06-07 старт
 Sprint 16 закрыт (6/6 ✓). Поехали по onboarding-чек-листу.
 ### 2026-06-07 п.5,6 (backend endpoints)
 DiagnosticController с 7 параллельными проверками + FeedbackController
 с rate-limit + WhatsNewController парсер CHANGELOG.md.
 ### 2026-06-07 п.1 (wizard)
 `OnboardingWizardPage` с 4 step-компонентами. State через useState,
 api-mutate через TanStack Query. `/onboarding-wizard` маршрут.
 Skip-кнопка в footer'е каждого шага. `fm.wizardCompleted` в
 localStorage предотвращает повторный показ.
 ### 2026-06-07 п.2-3 (HelpTooltip + /help)
 `help-topics.ts` с 13 keys. `<HelpTooltip>` с click-popover, aria-label,
 Esc/click-outside dismiss. `/help` страница — `import.meta.glob` на
 `src/help/*.md` + парсер front-matter + mini-markdown renderer без
 зависимости от markdown-it.
 ### 2026-06-07 п.4 (feedback widget)
 `<FeedbackWidget>` в sidebar footer. Modal с 3 категориями. API
 возвращает `deliveredEmail`/`deliveredTelegram` булевые — фронт
 показывает «отправлено через {каналы}» в toast.
 ### 2026-06-07 п.7 (empty-state)
 `<EmptyStateWithDemo>` reusable. Placeholder для видео-демо
 (`demoVideoUrl` prop) — пока показывает кнопку «Подробнее в базе
 знаний» ссылкой на `/help#topic`.
 ### 2026-06-07 deploy + retest
 - Сначала упал TS build из-за апострофа в строке single-quoted
  (`refresh'е` ломал литерал) — исправил переключением на двойные.
 - Неиспользуемый interface `OrgSettings` — удалил.
 - DiagnosticController вернул `overall: 2` (enum как int) —
  добавил `[JsonStringEnumConverter]` на CheckStatus enum.
 - 7/7 wizard/help/diagnostic/feedback/whats-new e2e тестов ✓.
 - 6 wizard-screenshots сохранены в `docs/sprint17-screenshots/`.
 ## Итог
 Все 7 пунктов ✓. Локальные числа:
 - **Wizard**: 4 шага + skip, 7 Playwright тестов ✓ за 20 секунд.
 - **Help**: 7 markdown topics + 13 keys в HelpTooltip mapping.
 - **Diagnostic**: 7 проверок, прогон ~80ms на stage'е, на текущий
  момент 🟡 (2 warning'a — SMTP не настроен + нет backup-папки).
 - **Feedback**: email + Telegram дубль, 5/час rate-limit.
 - **CHANGELOG**: 307 строк из git log за 90 дней.
 - **/whats-new**: возвращает buildVersion + items до 30 дней назад.
 - **Regression suite**: **42 flows + 60 visual + 6 wizard-shots** ✓.
 Следующее расширение (TODO для будущих спринтов):
 - Расставить `<HelpTooltip>` рядом с заголовком на Loyalty, Promotions
  и других новых страницах — компонент готов.
 - Banner «Появились новые функции» при mismatch'е
  `localStorage.fm.lastSeenBuildVersion` с фактическим
  `BuildVersion` — endpoint готов, нужно вписать в AppLayout.
 - Видео-демо в `<EmptyStateWithDemo>` — placeholder есть, ждём
  скрин-капсы / видео.
--- a/docs/sprint17-screenshots/admin-diagnostic.png
+++ b/docs/sprint17-screenshots/admin-diagnostic.png
--- a/docs/sprint17-screenshots/help-page.png
+++ b/docs/sprint17-screenshots/help-page.png
--- a/docs/sprint17-screenshots/wizard-step-1.png
+++ b/docs/sprint17-screenshots/wizard-step-1.png
--- a/docs/sprint17-screenshots/wizard-step-2.png
+++ b/docs/sprint17-screenshots/wizard-step-2.png
--- a/docs/sprint17-screenshots/wizard-step-3.png
+++ b/docs/sprint17-screenshots/wizard-step-3.png
--- a/docs/sprint17-screenshots/wizard-step-4.png
+++ b/docs/sprint17-screenshots/wizard-step-4.png
--- a/docs/sprint18-progress.md
+++ b/docs/sprint18-progress.md
@ -1,97 +0,0 @@
 # Sprint 18 — TODO cleanup + P0 fix + UX polish
 Цель: разгрести оставшиеся TODO из спринтов 14, 15, 17. Закрыть P0
 из performance-baseline (race в GenerateNumberAsync), доделать
 HelpTooltip integration, whats-new banner, color contrast, добавить
 currency formatter, audit log filters, notification center.
 Старт: 2026-06-07 (после Sprint 17). Исполнитель: Claude Opus 4.7.
 ## Принципы
 - Каждый пункт — реальный фикс/измерение, не обещание.
 - НЕ трогать: `global.json`, prod admin.food-market.kz, POS WPF.
 ## Чек-лист
 - [x] **1. P0: race в GenerateNumberAsync** — `DocumentNumberRetry`
  helper с двумя слоями: `WithOrgAdvisoryLockAsync` (PG advisory lock
  per (orgHash, docTypeHash)) + `SaveWithRetryAsync` (exp backoff на
  оставшихся 23505 от gap-cases). Применено к RetailSalesController
  POST. После k6 baseline-replay: 23505 errors = **0** (было 53%).
 - [x] **2. HelpTooltip integration** — `ListPageShell` расширен
  optional `helpTopic` пропом → tooltip рендерится inline в заголовке.
  Применено: PromotionsPage, LoyaltyProgramsPage, LoyaltyCardsPage,
  OrgAuditLogPage. Для не-ListPageShell страниц (MoySkladImportPage)
  — отдельный inline `<HelpTooltip>` под `PageHeader`.
 - [x] **3. Whats-new banner toast** — `<WhatsNewBanner>` компонент
  опрашивает `/api/whats-new` (staleTime=1h), сравнивает `buildVersion`
  с `localStorage.fm.lastSeenBuildVersion`. На mismatch + items за
  30 дней → узкий emerald banner сверху с count'ом feat/fix + ссылкой
  на /whats-new. Кнопка X / клик по ссылке сохраняют новую версию.
  Не показывается на buildVersion="dev". Вшит в AppLayout `<main>`.
 - [x] **4. Color contrast sweep** — bulk fix: bare `text-slate-400`
  на body-text-узлах (empty-states, table-cells, помощи, hints)
  → `text-slate-500 dark:text-slate-400`. Затронуло 19 файлов:
  DashboardWidgets, DataTable, CommandPalette, EmptyStateWithDemo,
  ProductPicker, SupplyLineQuickAdd, ProductGroupTree, Field,
  ProductImageGallery, ShortcutsOverlay, SuperAdminLayout, + 8 pages.
  Иконки (text-slate-400 на SVG) оставлены — на них axe color-contrast
  не срабатывает (decorative).
 - [x] **5. Currency formatter** — `useFormatCurrency()` хук в
  `lib/useFormatCurrency.ts`. Берёт `defaultCurrencySymbol` из
  useOrgSettings() + локаль из i18next. Возвращает stable `fmt(value, opts?)`.
  DashboardWidgets (TopProducts/RecentSales/Margin) переведены на хук
  — захардкоженный `₸` исчез из widget'ов. Бэкап fallback на тенге если
  settings ещё не загрузились.
 - [x] **6. Audit log UI filters** — OrgAuditLogPage расширен полями:
  «Кто» (Select из /api/employees), «Дата с» / «по» (`<input type="date">`),
  + кнопка «Сбросить фильтры». Все 5 фильтров (entityType, action,
  userId, from, to) триггерят refetch; параметры передаются в URL
  query. Backend уже умел эти параметры (`OrgAuditLogController.List`).
 - [x] **7. Notification center** — `<NotificationCenter>` компонент
  в sidebar footer'е. Bell icon с unread badge (max 9+). Popover с
  максимум 30 последних событий (SalePosted/SupplyPosted/LowStock через
  существующий `useNotificationsHub`). Каждое событие clickable: ведёт
  на документ. «Очистить» обнуляет ленту. Esc / click-outside закрывают.
  Storage: in-memory (ephemeral) — для постоянной истории есть /audit-log.
 ## Журнал
 ### 2026-06-07 старт
 Sprint 17 закрыт (7/7 ✓). Поехали по TODO cleanup.
 ### 2026-06-07 п.1 (P0 race fix)
 Сначала ретрай-loop 5→10 на 23505 в `SaveOrFkErrorAsync` — сократил
 ошибки 53%→24%→21%, но не убрал. Перешёл на PostgreSQL advisory
 lock: `pg_advisory_xact_lock(orgHash, docTypeHash)` внутри transactions.
 После — 0 ошибок 23505 на k6 baseline-replay (5 VUs, 100 RPS, single
 org). Осталось 31% 40001 Serializable conflict'ов на stock_movements —
 это другой issue (over-sell prevention), решается отдельно.
 ### 2026-06-07 п.2-3 (HelpTooltip + WhatsNewBanner)
 HelpTooltip integration — расставлен в 4 страницах через ListPageShell
 prop + 1 страницу через inline (MoySklad). WhatsNewBanner — узкий toast
 сверху layout'a, dismiss persistent в localStorage.
 ### 2026-06-07 п.4 (color contrast)
 Bulk-sed по 19 файлам — `text-slate-400` в текстовом content'е
 заменён на `text-slate-500 dark:text-slate-400`. Иконки оставлены.
 Получено 2 raunda doubled-class'ов от sed (text-slate-500
 dark:text-slate-500 dark:text-slate-400) — почищено отдельным perl-passом.
 ### 2026-06-07 п.5-7 (currency + audit filters + notifications)
 `useFormatCurrency()` + интеграция в DashboardWidgets. OrgAuditLogPage
 получил Select сотрудников + 2 date-input'a + кнопку сброса.
 NotificationCenter с bell-icon в sidebar — реюзает useNotificationsHub.
 ## Итог
 Все 7 пунктов ✓. Локальные цифры:
 - **P0 race**: 23505 errors 53% → **0** на k6 baseline-replay.
 - **HelpTooltip**: 5 страниц получили deep-link на /help#topic.
 - **WhatsNewBanner**: 1 emerald баннер в AppLayout, dismissible.
 - **Contrast**: 19 файлов почищено, WCAG-AA для body text.
 - **Currency**: 1 hook + 4 интеграции в DashboardWidgets.
 - **Audit filters**: 5 серверных фильтров теперь имеют UI.
 - **Notifications**: bell-popover с 30 событий, 3 типа, in-memory.
--- a/scripts/generate-badges.sh
+++ b/scripts/generate-badges.sh
@ -1,95 +0,0 @@
 #!/usr/bin/env bash
 # Sprint 16: генерация бейджей покрытия / статуса в badges/*.svg.
 #
 # Запускается вручную или из CI после `dotnet test --collect:"XPlat Code Coverage"`.
 # Вход: путь к cobertura.xml (или авто-поиск в TestResults/).
 # Выход: badges/coverage.svg + ссылка для добавления в README.
 #
 # Без зависимостей кроме curl, python3, sed.
 set -euo pipefail
 ROOT="$(cd "$(dirname "$0")/.." && pwd)"
 BADGES_DIR="$ROOT/badges"
 mkdir -p "$BADGES_DIR"
 # 1. Coverage badge
 CXML="${1:-}"
 if [[ -z "$CXML" ]]; then
  CXML="$(find "$ROOT" -name 'coverage.cobertura.xml' -path '*/TestResults/*' 2>/dev/null | head -1)"
 fi
 if [[ -z "$CXML" || ! -f "$CXML" ]]; then
  echo "Usage: $0 [path/to/coverage.cobertura.xml]" >&2
  echo "Run 'dotnet test --collect:XPlat Code Coverage' first." >&2
  exit 1
 fi
 PCT=$(python3 -c "
 import xml.etree.ElementTree as ET
 r = ET.parse('$CXML').getroot()
 # Считаем суммарное покрытие по Application + Domain (главные пакеты).
 covered, valid = 0, 0
 for pkg in r.iter('package'):
    if pkg.get('name') in ('foodmarket.Application', 'foodmarket.Domain'):
        for line in pkg.iter('line'):
            valid += 1
            if int(line.get('hits', '0')) > 0:
                covered += 1
 print(f'{100*covered/valid:.0f}' if valid else '0')
 ")
 # Цвет по порогам — shields.io стандарт.
 COLOR="brightgreen"
 if (( PCT < 50 )); then COLOR="red"
 elif (( PCT < 70 )); then COLOR="yellow"
 elif (( PCT < 85 )); then COLOR="green"
 fi
 # Скачиваем static SVG от shields.io (legacy endpoint без рантайма).
 URL="https://img.shields.io/badge/coverage-${PCT}%25-${COLOR}?style=flat-square&label=coverage%20(app%2Bdomain)"
 echo "[badges] coverage = ${PCT}% → ${COLOR}"
 echo "[badges] fetching $URL"
 if curl -fsS "$URL" -o "$BADGES_DIR/coverage.svg"; then
  echo "[badges] wrote $BADGES_DIR/coverage.svg ($(wc -c < "$BADGES_DIR/coverage.svg") bytes)"
 else
  # Offline-fallback: SVG inline.
  cat > "$BADGES_DIR/coverage.svg" <<SVG
 <svg xmlns="http://www.w3.org/2000/svg" width="170" height="20" role="img" aria-label="coverage: ${PCT}%">
  <linearGradient id="s" x2="0" y2="100%"><stop offset="0" stop-color="#bbb" stop-opacity=".1"/><stop offset="1" stop-opacity=".1"/></linearGradient>
  <rect rx="3" width="170" height="20" fill="#555"/>
  <rect rx="3" x="130" width="40" height="20" fill="#4c1"/>
  <text x="65" y="14" fill="#fff" font-family="Verdana,sans-serif" font-size="11" text-anchor="middle">coverage (app+domain)</text>
  <text x="150" y="14" fill="#fff" font-family="Verdana,sans-serif" font-size="11" text-anchor="middle">${PCT}%</text>
 </svg>
 SVG
  echo "[badges] offline fallback SVG written"
 fi
 # 2. Build/CI status — static shields. Реальный badge берёт SVG c
 # Forgejo `actions/workflows/ci.yml/badge.svg` (auto-обновляется).
 # Тут просто проверяем, что mirror.svg есть в repo для случая offline-read.
 cat > "$BADGES_DIR/ci-status-link.md" <<MD
 # CI status badges
 Forgejo (primary, обновляется автоматически на каждый workflow run):
 \`\`\`markdown
 ![CI](http://127.0.0.1:3000/nns/food-market/actions/workflows/ci.yml/badge.svg)
 ![Docker API](http://127.0.0.1:3000/nns/food-market/actions/workflows/docker-api.yml/badge.svg)
 ![Regression](http://127.0.0.1:3000/nns/food-market/actions/workflows/regression.yml/badge.svg)
 \`\`\`
 GitHub mirror (для external reader'ов):
 \`\`\`markdown
 ![CI](https://github.com/nurdotnet/food-market/actions/workflows/ci.yml/badge.svg)
 \`\`\`
 Coverage (regenerated by \`scripts/generate-badges.sh\`):
 \`\`\`markdown
 ![coverage](./badges/coverage.svg)
 \`\`\`
 MD
 echo "[badges] done"
--- a/scripts/generate-changelog.sh
+++ b/scripts/generate-changelog.sh
@ -1,48 +0,0 @@
 #!/usr/bin/env bash
 # Sprint 17: генератор CHANGELOG.md из git log feat:/fix: коммитов.
 #
 # Группирует по дате (commit author-date), вытаскивает строку subject'a
 # после `feat:` / `fix:`. Игнорирует chore/test/docs (они в commit log
 # уже есть, в changelog не нужны).
 #
 # Запуск: bash scripts/generate-changelog.sh > CHANGELOG.md
 # Или через CI step при каждом push в main.
 set -euo pipefail
 cd "$(dirname "$0")/.."
 # Глубина: 90 дней. /whats-new всё равно показывает только 30, но в
 # CHANGELOG.md держим больше для исторической ретроспективы.
 SINCE="$(date -d '90 days ago' +%Y-%m-%d 2>/dev/null || date -v-90d +%Y-%m-%d)"
 echo "# CHANGELOG"
 echo ""
 echo "Auto-generated from git log feat:/fix: (last 90 days)."
 echo ""
 # git log: только feat: и fix: коммиты. Формат «дата|subject».
 # Группируем по дате с awk.
 git log --since="$SINCE" --pretty=format:'%ad|%s' --date=short \
    --grep='^feat\|^fix' \
    | awk -F'|' '
        { date = $1; msg = $2 }
        date != prev {
            if (prev != "") print ""
            print "## " date
            print ""
            prev = date
        }
        {
            # Извлекаем тип (feat|fix) и текст.
            if (match(msg, /^(feat|fix)(\([^)]+\))?:\s*(.*)/, m)) {
                type = m[1]
                scope = m[2]
                text = m[3]
                printf "- **%s**: %s%s\n", type, text, (scope != "" ? " " scope : "")
            } else {
                printf "- %s\n", msg
            }
        }
    '
 echo ""
--- a/src/food-market.api/Background/HangfireGlobalFilterRegistrar.cs
+++ b/src/food-market.api/Background/HangfireGlobalFilterRegistrar.cs
@ -1,36 +0,0 @@
 using Hangfire;
 namespace foodmarket.Api.Background;
 /// <summary>Sprint 14: регистрирует <see cref="JobTimingFilter"/> как
 /// глобальный фильтр Hangfire при старте приложения. Идемпотентно
 /// (не добавляет дубль если фильтр уже зарегистрирован) — поэтому
 /// тесты могут безопасно поднимать host несколько раз.</summary>
 public sealed class HangfireGlobalFilterRegistrar : IHostedService
 {
    private readonly JobTimingFilter _filter;
    public HangfireGlobalFilterRegistrar(JobTimingFilter filter) => _filter = filter;
    public Task StartAsync(CancellationToken ct)
    {
        // JobFilterCollection реализует IEnumerable<object> — перебираем
        // существующие фильтры, чтобы не зарегистрировать наш дважды
        // (StartAsync на каждом рестарте host'а — без guard'а собрался бы
        // дубль и каждое job-выполнение писало бы 2 строки в Serilog).
        var alreadyRegistered = false;
        foreach (var f in (System.Collections.IEnumerable)GlobalJobFilters.Filters)
        {
            if (f is JobTimingFilter) { alreadyRegistered = true; break; }
            // Поле .Instance в Hangfire — на разных версиях обёрнуто разными
            // типами; reflective probe ради совместимости:
            var instanceProp = f.GetType().GetProperty("Instance");
            if (instanceProp?.GetValue(f) is JobTimingFilter) { alreadyRegistered = true; break; }
        }
        if (!alreadyRegistered)
            GlobalJobFilters.Filters.Add(_filter);
        return Task.CompletedTask;
    }
    public Task StopAsync(CancellationToken ct) => Task.CompletedTask;
 }
--- a/src/food-market.api/Background/JobTimingFilter.cs
+++ b/src/food-market.api/Background/JobTimingFilter.cs
@ -1,77 +0,0 @@
 using System.Diagnostics;
 using Hangfire.Common;
 using Hangfire.Logging;
 using Hangfire.Server;
 using Hangfire.States;
 using Hangfire.Storage;
 using Microsoft.Extensions.DependencyInjection;
 using Microsoft.Extensions.Logging;
 namespace foodmarket.Api.Background;
 /// <summary>Sprint 14: meas каждое выполнение Hangfire-job'а и пишет
 /// в Serilog. Долгие (&gt;30с) логируются как <c>Warning</c> чтобы попадали
 /// в алерт; короткие — <c>Information</c>.
 ///
 /// <para>Подключается через <c>GlobalJobFilters.Filters.Add</c> при старте
 /// Hangfire-сервера. Один экземпляр на весь процесс — синглтон stateless,
 /// stopwatch'ы привязываются к JobId через <c>PerformContext.Items</c>.</para>
 ///
 /// <para>Метрики (Prometheus) не пишем намеренно — Hangfire-jobs запускаются
 /// раз в сутки, для алерта/дашборда хватает лога. Если в будущем
 /// появятся high-frequency-jobs, тогда добавить Counter/Histogram в
 /// <c>AppMetrics</c>.</para></summary>
 public sealed class JobTimingFilter : JobFilterAttribute, IServerFilter
 {
    private const string StopwatchKey = "JobTimingFilter.Stopwatch";
    private readonly ILoggerFactory _loggerFactory;
    /// <summary>Порог «долгого job'а» (warning-level). По дефолту 30 секунд,
    /// конфигурируется через ctor для тестов.</summary>
    private readonly TimeSpan _longThreshold;
    public JobTimingFilter(ILoggerFactory loggerFactory, TimeSpan? longThreshold = null)
    {
        _loggerFactory = loggerFactory;
        _longThreshold = longThreshold ?? TimeSpan.FromSeconds(30);
    }
    public void OnPerforming(PerformingContext context)
    {
        context.Items[StopwatchKey] = Stopwatch.StartNew();
    }
    public void OnPerformed(PerformedContext context)
    {
        if (!context.Items.TryGetValue(StopwatchKey, out var raw) || raw is not Stopwatch sw)
            return;
        sw.Stop();
        var jobName = context.BackgroundJob?.Job?.Type?.FullName + "." +
                      context.BackgroundJob?.Job?.Method?.Name;
        var jobId = context.BackgroundJob?.Id ?? "?";
        var ms = sw.ElapsedMilliseconds;
        var log = _loggerFactory.CreateLogger("Hangfire.JobTiming");
        if (context.Exception is { } ex)
        {
            log.LogError(ex,
                "Hangfire job failed: {JobName} id={JobId} after {ElapsedMs}ms",
                jobName, jobId, ms);
            return;
        }
        if (sw.Elapsed >= _longThreshold)
        {
            log.LogWarning(
                "Hangfire job SLOW: {JobName} id={JobId} took {ElapsedMs}ms (threshold {ThresholdMs}ms)",
                jobName, jobId, ms, (long)_longThreshold.TotalMilliseconds);
        }
        else
        {
            log.LogInformation(
                "Hangfire job done: {JobName} id={JobId} in {ElapsedMs}ms",
                jobName, jobId, ms);
        }
    }
 }
--- a/src/food-market.api/Controllers/Admin/DiagnosticController.cs
+++ b/src/food-market.api/Controllers/Admin/DiagnosticController.cs
@ -1,299 +0,0 @@
 using System.Diagnostics;
 using foodmarket.Application.Common.Email;
 using foodmarket.Infrastructure.Persistence;
 using Hangfire;
 using Hangfire.Storage;
 using Microsoft.AspNetCore.Authorization;
 using Microsoft.AspNetCore.Mvc;
 using Microsoft.EntityFrameworkCore;
 namespace foodmarket.Api.Controllers.Admin;
 /// <summary>Sprint 17: self-diagnostic endpoint для админов и SuperAdmin'а.
 /// Запускает 7 параллельных health-проверок и возвращает массив
 /// <c>{name, status, duration, details}</c>. Использует
 /// <c>Task.WhenAll</c> чтобы общий прогон укладывался в ~1-2 секунды
 /// даже при медленной SMTP-проверке (worst-case ~3 секунд на коннект).
 ///
 /// Каждая проверка изолирована try/catch — падение одной не валит
 /// остальные. <c>SMTP-test</c> опциональный (требует адрес получателя),
 /// чтобы не слать письма при каждом клике «Запустить диагностику».</summary>
 [ApiController]
 [Authorize(Roles = "Admin,SuperAdmin")]
 [Route("api/admin/diagnostic")]
 public class DiagnosticController : ControllerBase
 {
    private readonly AppDbContext _db;
    private readonly IEmailSender _email;
    private readonly IConfiguration _cfg;
    private readonly IWebHostEnvironment _env;
    private readonly ILogger<DiagnosticController> _log;
    public DiagnosticController(
        AppDbContext db, IEmailSender email, IConfiguration cfg,
        IWebHostEnvironment env, ILogger<DiagnosticController> log)
    {
        _db = db; _email = email; _cfg = cfg; _env = env; _log = log;
    }
    [System.Text.Json.Serialization.JsonConverter(typeof(System.Text.Json.Serialization.JsonStringEnumConverter))]
    public enum CheckStatus { Ok, Warning, Fail, Skipped }
    public record CheckResult(string Name, CheckStatus Status, long DurationMs, string? Details);
    public record DiagnosticReport(
        CheckStatus Overall,
        IReadOnlyList<CheckResult> Checks,
        DateTime RanAt);
    [HttpGet("run")]
    public async Task<ActionResult<DiagnosticReport>> Run(
        [FromQuery] bool sendTestEmail = false,
        CancellationToken ct = default)
    {
        var tasks = new[]
        {
            CheckDatabase(ct),
            CheckSmtp(sendTestEmail, ct),
            CheckMinio(ct),
            CheckHangfire(ct),
            CheckDiskSpace(ct),
            CheckCertificates(ct),
            CheckBackupFresh(ct),
        };
        var results = await Task.WhenAll(tasks);
        var overall = results.Any(r => r.Status == CheckStatus.Fail) ? CheckStatus.Fail
                    : results.Any(r => r.Status == CheckStatus.Warning) ? CheckStatus.Warning
                    : CheckStatus.Ok;
        return new DiagnosticReport(overall, results, DateTime.UtcNow);
    }
    // ── checks ────────────────────────────────────────────────────────────
    private async Task<CheckResult> CheckDatabase(CancellationToken ct)
    {
        var sw = Stopwatch.StartNew();
        try
        {
            // 1. БД отвечает.
            await _db.Database.ExecuteSqlRawAsync("SELECT 1", ct);
            // 2. Все миграции применены (__EFMigrationsHistory не пуст и совпадает с моделью).
            var applied = (await _db.Database.GetAppliedMigrationsAsync(ct)).Count();
            var pending = (await _db.Database.GetPendingMigrationsAsync(ct)).Count();
            sw.Stop();
            if (pending > 0)
                return new("Database", CheckStatus.Fail, sw.ElapsedMilliseconds,
                    $"{pending} pending migrations not applied (applied: {applied})");
            return new("Database", CheckStatus.Ok, sw.ElapsedMilliseconds,
                $"{applied} migrations applied, БД отвечает за {sw.ElapsedMilliseconds}ms");
        }
        catch (Exception ex)
        {
            sw.Stop();
            return new("Database", CheckStatus.Fail, sw.ElapsedMilliseconds, ex.Message);
        }
    }
    private async Task<CheckResult> CheckSmtp(bool sendEmail, CancellationToken ct)
    {
        var sw = Stopwatch.StartNew();
        try
        {
            // Проверяем что PlatformSettings заполнен — без живого SMTP-handshake'a.
            var s = await _db.PlatformSettings.AsNoTracking().FirstOrDefaultAsync(ct);
            if (s is null || string.IsNullOrEmpty(s.SmtpHost) || string.IsNullOrEmpty(s.FromEmail))
            {
                sw.Stop();
                return new("SMTP", CheckStatus.Warning, sw.ElapsedMilliseconds,
                    "SMTP не настроен — forgot-password и нотификации не работают");
            }
            if (!sendEmail)
            {
                sw.Stop();
                return new("SMTP", CheckStatus.Ok, sw.ElapsedMilliseconds,
                    $"конфиг есть ({s.SmtpHost}); тестовое письмо не отправлялось (sendTestEmail=false)");
            }
            // Живой тест — отправляем письмо на FromEmail (сам себе).
            await _email.SendAsync(s.FromEmail!, "Food Market — diagnostic ping",
                "Это тест из /admin/diagnostic. Игнорируйте.", ct);
            sw.Stop();
            return new("SMTP", CheckStatus.Ok, sw.ElapsedMilliseconds,
                $"тестовое письмо отправлено на {s.FromEmail}");
        }
        catch (EmailNotConfiguredException ex)
        {
            sw.Stop();
            return new("SMTP", CheckStatus.Warning, sw.ElapsedMilliseconds, ex.Message);
        }
        catch (Exception ex)
        {
            sw.Stop();
            return new("SMTP", CheckStatus.Fail, sw.ElapsedMilliseconds, ex.Message);
        }
    }
    private Task<CheckResult> CheckMinio(CancellationToken ct)
    {
        // MinIO — опциональный сторадж. Если Storage:Type ≠ minio — Skipped.
        var sw = Stopwatch.StartNew();
        var storageType = _cfg["Storage:Type"];
        if (!string.Equals(storageType, "minio", StringComparison.OrdinalIgnoreCase))
        {
            sw.Stop();
            return Task.FromResult(new CheckResult("MinIO", CheckStatus.Skipped, sw.ElapsedMilliseconds,
                "Storage:Type ≠ minio, используется локальный FS"));
        }
        try
        {
            var endpoint = _cfg["Storage:Minio:Endpoint"];
            sw.Stop();
            return Task.FromResult(new CheckResult("MinIO", CheckStatus.Ok, sw.ElapsedMilliseconds,
                $"endpoint={endpoint} (живая проверка bucket'а — TODO в Sprint 18)"));
        }
        catch (Exception ex)
        {
            sw.Stop();
            return Task.FromResult(new CheckResult("MinIO", CheckStatus.Fail, sw.ElapsedMilliseconds, ex.Message));
        }
    }
    private Task<CheckResult> CheckHangfire(CancellationToken ct)
    {
        var sw = Stopwatch.StartNew();
        try
        {
            var enabled = _cfg.GetValue("Hangfire:Enabled", true);
            if (!enabled)
            {
                sw.Stop();
                return Task.FromResult(new CheckResult("Hangfire", CheckStatus.Skipped, sw.ElapsedMilliseconds,
                    "Hangfire отключён (Hangfire:Enabled=false)"));
            }
            using var connection = JobStorage.Current.GetConnection();
            var recurring = connection.GetRecurringJobs();
            // Проверяем что recurring-jobs зарегистрированы.
            if (recurring.Count == 0)
            {
                sw.Stop();
                return Task.FromResult(new CheckResult("Hangfire", CheckStatus.Warning, sw.ElapsedMilliseconds,
                    "нет зарегистрированных recurring jobs (HangfireJobsConfigurator не запустился?)"));
            }
            // Проверяем что хотя бы один job отработал за последние сутки.
            var anyRecent = recurring.Any(rj =>
                rj.LastExecution.HasValue
                && rj.LastExecution.Value > DateTime.UtcNow.AddDays(-1));
            sw.Stop();
            if (!anyRecent)
                return Task.FromResult(new CheckResult("Hangfire", CheckStatus.Warning, sw.ElapsedMilliseconds,
                    $"{recurring.Count} jobs зарегистрировано, но никто не отработал за 24ч"));
            return Task.FromResult(new CheckResult("Hangfire", CheckStatus.Ok, sw.ElapsedMilliseconds,
                $"{recurring.Count} recurring jobs, последний run < 24ч назад"));
        }
        catch (Exception ex)
        {
            sw.Stop();
            return Task.FromResult(new CheckResult("Hangfire", CheckStatus.Fail, sw.ElapsedMilliseconds, ex.Message));
        }
    }
    private Task<CheckResult> CheckDiskSpace(CancellationToken ct)
    {
        var sw = Stopwatch.StartNew();
        try
        {
            // Берём корень content-root'а контейнера (/app на prod, локальный путь в dev).
            var path = _env.ContentRootPath;
            var di = new DriveInfo(Path.GetPathRoot(path) ?? "/");
            var freeGb = di.AvailableFreeSpace / (1024.0 * 1024 * 1024);
            sw.Stop();
            var details = $"{freeGb:F1} GB свободно на {di.Name} (из {di.TotalSize / (1024.0 * 1024 * 1024):F0} GB)";
            if (freeGb < 1.0) return Task.FromResult(new CheckResult("Disk", CheckStatus.Fail, sw.ElapsedMilliseconds,
                "критически мало места: " + details));
            if (freeGb < 5.0) return Task.FromResult(new CheckResult("Disk", CheckStatus.Warning, sw.ElapsedMilliseconds,
                "мало места: " + details));
            return Task.FromResult(new CheckResult("Disk", CheckStatus.Ok, sw.ElapsedMilliseconds, details));
        }
        catch (Exception ex)
        {
            sw.Stop();
            return Task.FromResult(new CheckResult("Disk", CheckStatus.Fail, sw.ElapsedMilliseconds, ex.Message));
        }
    }
    private Task<CheckResult> CheckCertificates(CancellationToken ct)
    {
        // Сертификаты OpenIddict валидируются на старте; здесь — простой
        // smoke-чек что App_Data/oidc-keys существует или PFX в env есть.
        var sw = Stopwatch.StartNew();
        try
        {
            var dataDir = Path.Combine(_env.ContentRootPath, "App_Data", "oidc-keys");
            var pfxPath = _cfg["OpenIddict:SigningCertPath"];
            if (!string.IsNullOrEmpty(pfxPath) && System.IO.File.Exists(pfxPath))
            {
                using var cert = new System.Security.Cryptography.X509Certificates.X509Certificate2(pfxPath,
                    _cfg["OpenIddict:CertPassword"] ?? string.Empty);
                var daysLeft = (int)(cert.NotAfter - DateTime.Now).TotalDays;
                sw.Stop();
                if (daysLeft < 7) return Task.FromResult(new CheckResult("Certificates", CheckStatus.Fail,
                    sw.ElapsedMilliseconds, $"сертификат истекает через {daysLeft} дней!"));
                if (daysLeft < 30) return Task.FromResult(new CheckResult("Certificates", CheckStatus.Warning,
                    sw.ElapsedMilliseconds, $"сертификат истекает через {daysLeft} дней"));
                return Task.FromResult(new CheckResult("Certificates", CheckStatus.Ok, sw.ElapsedMilliseconds,
                    $"{cert.NotAfter:yyyy-MM-dd} (через {daysLeft} дней)"));
            }
            if (Directory.Exists(dataDir))
            {
                var keys = Directory.GetFiles(dataDir).Length;
                sw.Stop();
                return Task.FromResult(new CheckResult("Certificates", CheckStatus.Ok, sw.ElapsedMilliseconds,
                    $"dev-режим: {keys} OpenIddict-ключей в App_Data/oidc-keys/"));
            }
            sw.Stop();
            return Task.FromResult(new CheckResult("Certificates", CheckStatus.Warning, sw.ElapsedMilliseconds,
                "PFX-сертификаты не найдены и App_Data/oidc-keys пуст"));
        }
        catch (Exception ex)
        {
            sw.Stop();
            return Task.FromResult(new CheckResult("Certificates", CheckStatus.Fail, sw.ElapsedMilliseconds, ex.Message));
        }
    }
    private Task<CheckResult> CheckBackupFresh(CancellationToken ct)
    {
        // Backup-папка задаётся через env FM_BACKUP_DIR или дефолт
        // /opt/food-market-data/backups (см. food-market-backup.sh).
        var sw = Stopwatch.StartNew();
        try
        {
            var dir = Environment.GetEnvironmentVariable("FM_BACKUP_DIR") ?? "/opt/food-market-data/backups";
            if (!Directory.Exists(dir))
            {
                sw.Stop();
                return Task.FromResult(new CheckResult("Backup", CheckStatus.Warning, sw.ElapsedMilliseconds,
                    $"папка бэкапов {dir} не существует (нормально на dev-машине)"));
            }
            var latest = new DirectoryInfo(dir).GetFiles("db-*.dump")
                .OrderByDescending(f => f.LastWriteTimeUtc).FirstOrDefault();
            sw.Stop();
            if (latest is null)
                return Task.FromResult(new CheckResult("Backup", CheckStatus.Fail, sw.ElapsedMilliseconds,
                    "нет ни одного db-*.dump в " + dir));
            var ageHours = (DateTime.UtcNow - latest.LastWriteTimeUtc).TotalHours;
            if (ageHours > 25)
                return Task.FromResult(new CheckResult("Backup", CheckStatus.Fail, sw.ElapsedMilliseconds,
                    $"последний бэкап {latest.Name} — {ageHours:F1}ч назад (cron упал?)"));
            if (ageHours > 12)
                return Task.FromResult(new CheckResult("Backup", CheckStatus.Warning, sw.ElapsedMilliseconds,
                    $"бэкап {latest.Name} устаревает ({ageHours:F1}ч)"));
            return Task.FromResult(new CheckResult("Backup", CheckStatus.Ok, sw.ElapsedMilliseconds,
                $"{latest.Name} ({ageHours:F1}ч назад, {latest.Length / 1024 / 1024} MB)"));
        }
        catch (Exception ex)
        {
            sw.Stop();
            return Task.FromResult(new CheckResult("Backup", CheckStatus.Fail, sw.ElapsedMilliseconds, ex.Message));
        }
    }
 }
--- a/src/food-market.api/Controllers/AuthForgotPasswordController.cs
+++ b/src/food-market.api/Controllers/AuthForgotPasswordController.cs
@ -26,15 +26,10 @@ public class AuthForgotPasswordController : ControllerBase
    private readonly ILogger<AuthForgotPasswordController> _logger;
    // In-memory rate-limit. Для одного API-инстанса достаточно; при scale-out
-    // понадобится Redis. Sprint 13: два независимых партишена —
+    // понадобится Redis. Кладём timestamps попыток per IP, рубим >3 за час.
    // per-email (3/час, чтобы конкретный email не задолбить «забыл пароль»)
    // и per-IP (10/час, чтобы атакующий с одной IP'шки не enumerate'ил
    // тысячи email'ов и не triggered email-bounce'ы).
    private static readonly ConcurrentDictionary<string, List<DateTime>> _ipAttempts = new();
    private static readonly ConcurrentDictionary<string, List<DateTime>> _emailAttempts = new();
    private static readonly TimeSpan _rateLimitWindow = TimeSpan.FromHours(1);
-    private const int _maxAttemptsPerEmail = 3;
+    private const int _maxAttemptsPerWindow = 3;
    private const int _maxAttemptsPerIp = 10;
    public AuthForgotPasswordController(
        UserManager<User> userMgr, AppDbContext db, IEmailSender email,
@ -50,23 +45,11 @@ public record ResetInput(string Email, string Token, string NewPassword);
    public async Task<IActionResult> Forgot([FromBody] ForgotInput input, CancellationToken ct)
    {
        var ip = HttpContext?.Connection?.RemoteIpAddress?.ToString() ?? "unknown";
-        var emailKey = (input.Email ?? "").Trim().ToLowerInvariant();
+        if (!CheckRateLimit(ip))
        // Sprint 13: per-email и per-IP лимиты независимо. Проверяем сначала
        // более тугой per-email, потом per-IP. Возвращаем 429 в обоих случаях.
        if (!string.IsNullOrEmpty(emailKey) && !CheckRateLimit(_emailAttempts, "email:" + emailKey, _maxAttemptsPerEmail))
        {
            _logger.LogWarning("Forgot-password rate-limited per-email: {Email} from ip={Ip}", emailKey, ip);
            return StatusCode(StatusCodes.Status429TooManyRequests, new
            {
-                error = "Слишком много попыток восстановления для этого адреса. Попробуйте через час.",
+                error = "Слишком много попыток. Попробуйте через час.",
            });
        }
        if (!CheckRateLimit(_ipAttempts, "ip:" + ip, _maxAttemptsPerIp))
        {
            _logger.LogWarning("Forgot-password rate-limited per-ip: {Ip}", ip);
            return StatusCode(StatusCodes.Status429TooManyRequests, new
            {
                error = "Слишком много попыток с вашего адреса. Попробуйте через час.",
            });
        }
@ -160,17 +143,15 @@ private string BuildResetUrl(string email, string token)
        return $"{scheme}://{host}/reset-password?email={HttpUtility.UrlEncode(email)}&token={HttpUtility.UrlEncode(token)}";
    }
-    /// <summary>Sprint 13: общая проверка sliding-window лимита, используется
+    private static bool CheckRateLimit(string ip)
    /// для per-email и per-IP бакетов. Возвращает true если разрешено,
    /// false если лимит превышен.</summary>
    private static bool CheckRateLimit(ConcurrentDictionary<string, List<DateTime>> store, string key, int maxPerWindow)
    {
        var now = DateTime.UtcNow;
-        var attempts = store.GetOrAdd(key, _ => new List<DateTime>());
+        var attempts = _ipAttempts.GetOrAdd(ip, _ => new List<DateTime>());
        lock (attempts)
        {
            // Чистим устаревшие.
            attempts.RemoveAll(t => now - t > _rateLimitWindow);
-            if (attempts.Count >= maxPerWindow) return false;
+            if (attempts.Count >= _maxAttemptsPerWindow) return false;
            attempts.Add(now);
            return true;
        }
--- a/src/food-market.api/Controllers/Catalog/ProductImagesController.cs
+++ b/src/food-market.api/Controllers/Catalog/ProductImagesController.cs
@ -20,16 +20,13 @@ public class ProductImagesController : ControllerBase
    private readonly AppDbContext _db;
    private readonly ITenantContext _tenant;
    private readonly foodmarket.Api.Storage.IObjectStorage _storage;
    private readonly foodmarket.Api.Storage.ImageVariantService _variants;
    public ProductImagesController(AppDbContext db, ITenantContext tenant,
-        foodmarket.Api.Storage.IObjectStorage storage,
+        foodmarket.Api.Storage.IObjectStorage storage)
        foodmarket.Api.Storage.ImageVariantService variants)
    {
        _db = db;
        _tenant = tenant;
        _storage = storage;
        _variants = variants;
    }
    private static readonly HashSet<string> AllowedExt = new(StringComparer.OrdinalIgnoreCase)
@ -68,27 +65,10 @@ public async Task<ActionResult<ImageDto>> Upload(Guid productId, IFormFile file,
        var orgId = _tenant.OrganizationId ?? throw new InvalidOperationException("No tenant.");
        var fileName = $"{Guid.NewGuid():N}{ext}";
        var key = $"products/{productId:N}/{fileName}";
-
+        using (var stream = file.OpenReadStream())
        // Сначала читаем весь файл в память (нужно для ImageSharp + storage),
        // ограничение MaxBytes=10МБ уже проверено выше.
        byte[] bytes;
        using (var ms = new MemoryStream())
        {
-            await file.CopyToAsync(ms, ct);
+            await _storage.SaveAsync(key, stream, file.ContentType ?? "application/octet-stream", ct);
            bytes = ms.ToArray();
        }
        // 1. Сохраняем оригинал.
        using (var origStream = new MemoryStream(bytes))
        {
            await _storage.SaveAsync(key, origStream, file.ContentType ?? "application/octet-stream", ct);
        }
        // 2. Sprint 14: генерируем thumb.webp + medium.webp синхронно.
        // Делаем ПОСЛЕ сохранения оригинала чтобы при ошибке варианта
        // оригинал был доступен (UI fallback на оригинал по ?size=thumb).
        await _variants.GenerateAsync(key, bytes, ct);
        var relativeUrl = _storage.PublicUrl(key);
        var sortOrder = await _db.ProductImages.Where(i => i.ProductId == productId).CountAsync(ct);
        var isMain = sortOrder == 0;   // первое загруженное — основное
--- a/src/food-market.api/Controllers/FeedbackController.cs
+++ b/src/food-market.api/Controllers/FeedbackController.cs
@ -1,169 +0,0 @@
 using System.Collections.Concurrent;
 using System.Net.Http.Json;
 using System.Security.Claims;
 using foodmarket.Application.Common.Email;
 using foodmarket.Application.Common.Tenancy;
 using foodmarket.Infrastructure.Persistence;
 using Microsoft.AspNetCore.Authorization;
 using Microsoft.AspNetCore.Mvc;
 using Microsoft.EntityFrameworkCore;
 namespace foodmarket.Api.Controllers;
 /// <summary>Sprint 17: in-app feedback widget. POST /api/feedback
 /// принимает {category, message}, отправляет:
 ///  - email на FromEmail из PlatformSettings (дубль администратору
 ///    платформы — пользователь не должен знать кому именно);
 ///  - Telegram-сообщение в чат поддержки, если задан
 ///    <c>SupportTelegram:BotToken</c> + <c>SupportTelegram:ChatId</c>.
 ///
 /// Rate-limit: 5 отправок в час на одного user'а — in-memory dictionary
 /// (для одного API-инстанса). При scale-out — переехать на Redis.</summary>
 [ApiController]
 [Authorize]
 [Route("api/feedback")]
 public class FeedbackController : ControllerBase
 {
    public enum FeedbackCategory
    {
        Bug = 0,
        Suggestion = 1,
        Question = 2,
    }
    public record FeedbackInput(FeedbackCategory Category, string Message);
    // Sprint 17: in-memory rate-limit per-user. После Sprint 13 у нас уже
    // есть централизованный rate-limiter, но он привязан к auth-endpoint'ам.
    // Для остальных API делаем простой ConcurrentDictionary.
    private static readonly ConcurrentDictionary<string, List<DateTime>> _attempts = new();
    private static readonly TimeSpan _window = TimeSpan.FromHours(1);
    private const int _maxPerWindow = 5;
    private readonly AppDbContext _db;
    private readonly IEmailSender _email;
    private readonly ITenantContext _tenant;
    private readonly IConfiguration _cfg;
    private readonly IHttpClientFactory _httpFactory;
    private readonly ILogger<FeedbackController> _log;
    public FeedbackController(
        AppDbContext db, IEmailSender email, ITenantContext tenant,
        IConfiguration cfg, IHttpClientFactory httpFactory,
        ILogger<FeedbackController> log)
    {
        _db = db; _email = email; _tenant = tenant;
        _cfg = cfg; _httpFactory = httpFactory; _log = log;
    }
    [HttpPost]
    public async Task<IActionResult> Submit([FromBody] FeedbackInput input, CancellationToken ct)
    {
        if (string.IsNullOrWhiteSpace(input.Message))
            return BadRequest(new { error = "Сообщение обязательно.", field = "message" });
        if (input.Message.Length > 4000)
            return BadRequest(new { error = "Сообщение слишком длинное (макс 4000 символов).", field = "message" });
        // Rate-limit per-user.
        var userKey = _tenant.UserId?.ToString() ?? HttpContext.Connection.RemoteIpAddress?.ToString() ?? "unknown";
        if (!CheckRateLimit(userKey))
        {
            _log.LogWarning("Feedback rate-limited for user={Key}", userKey);
            return StatusCode(StatusCodes.Status429TooManyRequests, new
            {
                error = "Слишком много отзывов с вашего аккаунта (макс 5/час). Подождите час и попробуйте снова.",
            });
        }
        // Контекст: кто отправил + откуда + категория + текст.
        var email = User.FindFirstValue(System.Security.Claims.ClaimTypes.Email)
                 ?? User.FindFirstValue("email") ?? "?";
        var name = User.Identity?.Name ?? "?";
        var org = "?";
        if (_tenant.OrganizationId is { } orgId)
        {
            org = await _db.Organizations.IgnoreQueryFilters()
                .Where(o => o.Id == orgId)
                .Select(o => o.Name)
                .FirstOrDefaultAsync(ct) ?? "?";
        }
        var ua = HttpContext.Request.Headers["User-Agent"].ToString();
        var ip = HttpContext.Connection.RemoteIpAddress?.ToString();
        var subject = $"Food Market feedback [{input.Category}] — {org}";
        var body =
            $"Категория: {input.Category}\n" +
            $"Организация: {org}\n" +
            $"Пользователь: {name} ({email})\n" +
            $"IP: {ip}\n" +
            $"User-Agent: {ua}\n" +
            $"Время: {DateTime.UtcNow:yyyy-MM-dd HH:mm:ss} UTC\n" +
            $"\n---\n{input.Message}";
        // Email — best-effort: ловим EmailNotConfigured отдельно (это NOT
        // ошибка для пользователя — feedback всё равно попадёт в логи + Telegram).
        var emailSent = false;
        try
        {
            // Берём FromEmail из PlatformSettings как «адрес поддержки».
            var settings = await _db.PlatformSettings.AsNoTracking().FirstOrDefaultAsync(ct);
            var to = settings?.FromEmail;
            if (!string.IsNullOrEmpty(to))
            {
                await _email.SendAsync(to, subject, body, ct);
                emailSent = true;
            }
        }
        catch (EmailNotConfiguredException ex)
        {
            _log.LogWarning("Feedback email skipped: {Reason}", ex.Message);
        }
        catch (Exception ex)
        {
            _log.LogError(ex, "Feedback email failed");
        }
        // Telegram — тоже best-effort.
        var telegramSent = false;
        try
        {
            var token = _cfg["SupportTelegram:BotToken"];
            var chatId = _cfg["SupportTelegram:ChatId"];
            if (!string.IsNullOrEmpty(token) && !string.IsNullOrEmpty(chatId))
            {
                using var http = _httpFactory.CreateClient();
                var resp = await http.PostAsJsonAsync(
                    $"https://api.telegram.org/bot{token}/sendMessage",
                    new { chat_id = chatId, text = subject + "\n\n" + body }, ct);
                telegramSent = resp.IsSuccessStatusCode;
                if (!telegramSent)
                    _log.LogWarning("Telegram feedback returned {Status}", (int)resp.StatusCode);
            }
        }
        catch (Exception ex)
        {
            _log.LogWarning(ex, "Feedback Telegram failed");
        }
        // Структурированный лог — гарантированно сохранится даже если оба
        // канала упали (можно вытащить из Serilog позже).
        _log.LogInformation(
            "Feedback received: cat={Category} email={Email} org={Org} len={Length} sentEmail={E} sentTelegram={T}",
            input.Category, email, org, input.Message.Length, emailSent, telegramSent);
        return Ok(new { ok = true, deliveredEmail = emailSent, deliveredTelegram = telegramSent });
    }
    private static bool CheckRateLimit(string key)
    {
        var now = DateTime.UtcNow;
        var attempts = _attempts.GetOrAdd(key, _ => new List<DateTime>());
        lock (attempts)
        {
            attempts.RemoveAll(t => now - t > _window);
            if (attempts.Count >= _maxPerWindow) return false;
            attempts.Add(now);
            return true;
        }
    }
 }
--- a/src/food-market.api/Controllers/MeAccountController.cs
+++ b/src/food-market.api/Controllers/MeAccountController.cs
@ -1,78 +0,0 @@
 using System.Security.Claims;
 using foodmarket.Infrastructure.Identity;
 using Microsoft.AspNetCore.Authorization;
 using Microsoft.AspNetCore.Identity;
 using Microsoft.AspNetCore.Mvc;
 using OpenIddict.Abstractions;
 namespace foodmarket.Api.Controllers;
 /// <summary>Sprint 13 — управление учётной записью текущего пользователя.
 /// Сейчас один endpoint — POST /api/me/change-password. Раньше смена пароля
 /// была только через forgot-password flow; для уже залогиненного юзера это
 /// неудобно (требует выйти, запросить ссылку, ждать email).</summary>
 [ApiController]
 [Authorize]
 [Route("api/me")]
 public class MeAccountController : ControllerBase
 {
    private readonly UserManager<User> _users;
    private readonly foodmarket.Api.Infrastructure.Audit.SensitiveOpsAudit _audit;
    private readonly ILogger<MeAccountController> _log;
    public MeAccountController(
        UserManager<User> users,
        foodmarket.Api.Infrastructure.Audit.SensitiveOpsAudit audit,
        ILogger<MeAccountController> log)
    {
        _users = users;
        _audit = audit;
        _log = log;
    }
    public record ChangePasswordInput(string CurrentPassword, string NewPassword);
    /// <summary>Сменить пароль текущему юзеру. Требует текущий пароль для
    /// защиты от случайного/злонамеренного изменения захваченной access-сессии.</summary>
    [HttpPost("change-password")]
    public async Task<IActionResult> ChangePassword(
        [FromBody] ChangePasswordInput input, CancellationToken ct)
    {
        if (string.IsNullOrEmpty(input.CurrentPassword))
            return BadRequest(new { error = "Текущий пароль обязателен.", field = "currentPassword" });
        if (string.IsNullOrEmpty(input.NewPassword) || input.NewPassword.Length < 8)
            return BadRequest(new { error = "Новый пароль должен быть не менее 8 символов.", field = "newPassword" });
        var sub = User.FindFirstValue(OpenIddictConstants.Claims.Subject)
              ?? User.FindFirstValue(ClaimTypes.NameIdentifier);
        if (!Guid.TryParse(sub, out var uid)) return Unauthorized();
        var user = await _users.FindByIdAsync(uid.ToString());
        if (user is null || !user.IsActive) return Unauthorized();
        var result = await _users.ChangePasswordAsync(user, input.CurrentPassword, input.NewPassword);
        if (!result.Succeeded)
        {
            // Identity отдаёт «PasswordMismatch» если currentPassword неверный.
            var msg = result.Errors.Any(e => e.Code == "PasswordMismatch")
                ? "Текущий пароль неверный."
                : (result.Errors.FirstOrDefault()?.Description ?? "Не удалось сменить пароль.");
            return BadRequest(new { error = msg, codes = result.Errors.Select(e => e.Code).ToArray() });
        }
        // Sprint 13: SecurityStamp обновляется автоматически ChangePasswordAsync'ом —
        // это инвалидирует cookie auth, но НЕ access/refresh OpenIddict-токены.
        // Чтобы получить «после смены пароля все сессии разорваны» — клиент
        // должен дополнительно вызвать /api/me/sessions/revoke-all. UI делает это
        // подряд (если установлен чекбокс «Завершить остальные сессии»).
        await _audit.LogAsync(
            action: "ChangePassword",
            entityType: "AppUser",
            entityId: user.Id,
            payload: new { email = user.Email, fullName = user.FullName },
            ct: ct);
        _log.LogInformation("ChangePassword: user={UserId} email={Email}", user.Id, user.Email);
        return Ok(new { ok = true });
    }
 }
--- a/src/food-market.api/Controllers/MeSessionsController.cs
+++ b/src/food-market.api/Controllers/MeSessionsController.cs
@ -1,116 +0,0 @@
 using System.Security.Claims;
 using foodmarket.Infrastructure.Identity;
 using Microsoft.AspNetCore.Authorization;
 using Microsoft.AspNetCore.Identity;
 using Microsoft.AspNetCore.Mvc;
 using OpenIddict.Abstractions;
 namespace foodmarket.Api.Controllers;
 /// <summary>Sprint 13 — управление сессиями текущего пользователя.
 /// Сейчас один endpoint: <c>POST /api/me/sessions/revoke-all</c>
 /// гасит все живые refresh-токены и authorizations, выданные этому
 /// юзеру через OpenIddict. После вызова все его клиенты (web, POS,
 /// мобайл) при первом же refresh получают 400 и форсированно
 /// разлогиниваются.
 ///
 /// <para>Поток: фронт делает запрос с текущим access-токеном
 /// (Authorization header), сервер вытаскивает sub claim, идёт в
 /// OpenIddict authorization-manager, ставит каждой авторизации
 /// status=revoked. Все привязанные к ним токены наследуют статус.</para>
 ///
 /// <para>Текущий access-токен остаётся валидным до своей expiration
 /// (по умолчанию 1 час, см. SetAccessTokenLifetime). Это компромисс:
 /// дёргать «прямо сейчас все access» через OpenIddict
 /// введения - сложнее и требует нестандартного хука. На практике
 /// 1 час с момента revoke-all допустим — за это время атакующий
 /// уже не может получить новый refresh.</para>
 ///
 /// <para>Audit: пишет SensitiveOpsAudit с action="RevokeAllSessions"
 /// и количеством погашенных authorizations в payload'е.</para></summary>
 [ApiController]
 [Authorize]
 [Route("api/me/sessions")]
 public class MeSessionsController : ControllerBase
 {
    private readonly UserManager<User> _users;
    private readonly IOpenIddictAuthorizationManager _authMgr;
    private readonly IOpenIddictTokenManager _tokenMgr;
    private readonly foodmarket.Api.Infrastructure.Audit.SensitiveOpsAudit _audit;
    private readonly ILogger<MeSessionsController> _log;
    public MeSessionsController(
        UserManager<User> users,
        IOpenIddictAuthorizationManager authMgr,
        IOpenIddictTokenManager tokenMgr,
        foodmarket.Api.Infrastructure.Audit.SensitiveOpsAudit audit,
        ILogger<MeSessionsController> log)
    {
        _users = users;
        _authMgr = authMgr;
        _tokenMgr = tokenMgr;
        _audit = audit;
        _log = log;
    }
    public record RevokeAllResult(int RevokedAuthorizations, int RevokedTokens);
    /// <summary>Гасит все refresh-токены текущего юзера. Использовать когда
    /// есть подозрение на угон cookies/пароля.</summary>
    [HttpPost("revoke-all")]
    public async Task<ActionResult<RevokeAllResult>> RevokeAll(CancellationToken ct)
    {
        var sub = User.FindFirstValue(OpenIddictConstants.Claims.Subject)
              ?? User.FindFirstValue(ClaimTypes.NameIdentifier);
        if (string.IsNullOrEmpty(sub))
            return Unauthorized();
        int revokedAuth = 0, revokedTok = 0;
        // OpenIddict хранит authorization (один на пару user+client) и
        // tokens (refresh / access). При revoke authorization все его
        // tokens получают статус "revoked" → следующий /connect/token с
        // refresh вернёт invalid_grant.
        await foreach (var auth in _authMgr.FindBySubjectAsync(sub, ct))
        {
            try
            {
                await _authMgr.TryRevokeAsync(auth, ct);
                revokedAuth++;
            }
            catch (Exception ex)
            {
                _log.LogWarning(ex, "RevokeAll: failed to revoke authorization for sub={Sub}", sub);
            }
        }
        // Дополнительно ревочим каждый token явно: authorizations cascade
        // помечает их revoked, но повторный TryRevoke безопасен (idempotent)
        // и страхует если authorization-revoke не сработал по какой-то причине.
        await foreach (var token in _tokenMgr.FindBySubjectAsync(sub, ct))
        {
            try
            {
                await _tokenMgr.TryRevokeAsync(token, ct);
                revokedTok++;
            }
            catch (Exception ex)
            {
                _log.LogWarning(ex, "RevokeAll: failed to revoke token for sub={Sub}", sub);
            }
        }
        await _audit.LogAsync(
            action: "RevokeAllSessions",
            entityType: "AppUser",
            entityId: Guid.TryParse(sub, out var uid) ? uid : null,
            payload: new { revokedAuthorizations = revokedAuth, revokedTokens = revokedTok },
            ct: ct);
        _log.LogInformation(
            "RevokeAllSessions: sub={Sub} authorizations={Auth} tokens={Tokens}",
            sub, revokedAuth, revokedTok);
        return Ok(new RevokeAllResult(revokedAuth, revokedTok));
    }
 }
--- a/src/food-market.api/Controllers/Organizations/EmployeesController.cs
+++ b/src/food-market.api/Controllers/Organizations/EmployeesController.cs
@ -23,16 +23,14 @@ public class EmployeesController : ControllerBase
    private readonly foodmarket.Application.Common.Email.IEmailSender _email;
    private readonly foodmarket.Api.Infrastructure.Email.EmailTemplates _templates;
    private readonly ILogger<EmployeesController> _log;
    private readonly foodmarket.Api.Infrastructure.Audit.SensitiveOpsAudit _audit;
    public EmployeesController(AppDbContext db, ITenantContext tenant, UserManager<User> userMgr,
        foodmarket.Application.Common.Email.IEmailSender email,
        foodmarket.Api.Infrastructure.Email.EmailTemplates templates,
-        ILogger<EmployeesController> log,
+        ILogger<EmployeesController> log)
        foodmarket.Api.Infrastructure.Audit.SensitiveOpsAudit audit)
    {
        _db = db; _tenant = tenant; _userMgr = userMgr;
-        _email = email; _templates = templates; _log = log; _audit = audit;
+        _email = email; _templates = templates; _log = log;
    }
    public record EmployeeDto(
@ -257,10 +255,6 @@ public async Task<IActionResult> Update(Guid id, [FromBody] EmployeeInput input,
                });
        }
        // Sprint 13: запоминаем prev-state для аудита смены роли (это
        // sensitive event — выдача прав, особенно elevated).
        var prevRoleId = e.RoleId;
        e.LastName = input.LastName;
        e.FirstName = input.FirstName;
        e.MiddleName = input.MiddleName;
@ -291,29 +285,6 @@ public async Task<IActionResult> Update(Guid id, [FromBody] EmployeeInput input,
            { OrganizationId = orgId, RetailPointId = rpId });
        await _db.SaveChangesAsync(ct);
        // Sprint 13: если изменили роль (выдали другие права) — пишем
        // sensitive-audit с именем старой/новой роли + кратким summary
        // permission'ов. Это даёт ответ на «кто включил кассиру refund?».
        if (prevRoleId != e.RoleId)
        {
            var roles = await _db.EmployeeRoles.AsNoTracking()
                .Where(r => r.Id == prevRoleId || r.Id == e.RoleId)
                .ToDictionaryAsync(r => r.Id, r => r, ct);
            roles.TryGetValue(prevRoleId, out var prevRole);
            roles.TryGetValue(e.RoleId, out var newRole);
            await _audit.LogAsync(
                action: "AssignRole",
                entityType: "Employee",
                entityId: e.Id,
                payload: new
                {
                    employee = new { e.LastName, e.FirstName, e.Email, userId = e.UserId },
                    prev = new { roleId = prevRoleId, roleName = prevRole?.Name },
                    next = new { roleId = e.RoleId, roleName = newRole?.Name, permissions = newRole?.Permissions },
                },
                ct: ct);
        }
        return NoContent();
    }
--- a/src/food-market.api/Controllers/Organizations/OrgFiscalSettingsController.cs
+++ b/src/food-market.api/Controllers/Organizations/OrgFiscalSettingsController.cs
@ -1,211 +0,0 @@
 using foodmarket.Application.Common.Fiscal;
 using foodmarket.Application.Common.Tenancy;
 using foodmarket.Domain.Sales;
 using foodmarket.Infrastructure.Persistence;
 using Microsoft.AspNetCore.Authorization;
 using Microsoft.AspNetCore.DataProtection;
 using Microsoft.AspNetCore.Mvc;
 using Microsoft.EntityFrameworkCore;
 namespace foodmarket.Api.Controllers.Organizations;
 /// <summary>Sprint 11: настройки ОФД-провайдера на уровне организации.
 /// Аналогично PlatformSettings/SMTP, но per-tenant: каждая фирма выбирает
 /// своего оператора и хранит свои креды. ApiKey/ApiSecret шифруются через
 /// DataProtection (purpose=`foodmarket.fiscal`) и НИКОГДА не отдаются
 /// в открытом виде — только has-* флаги.</summary>
 [ApiController]
 [Authorize]
 [Route("api/organization/fiscal")]
 public class OrgFiscalSettingsController : ControllerBase
 {
    private readonly AppDbContext _db;
    private readonly ITenantContext _tenant;
    private readonly IDataProtectionProvider _dpProvider;
    private readonly IEnumerable<IFiscalProvider> _providers;
    private readonly ILogger<OrgFiscalSettingsController> _log;
    public OrgFiscalSettingsController(
        AppDbContext db,
        ITenantContext tenant,
        IDataProtectionProvider dpProvider,
        IEnumerable<IFiscalProvider> providers,
        ILogger<OrgFiscalSettingsController> log)
    {
        _db = db;
        _tenant = tenant;
        _dpProvider = dpProvider;
        _providers = providers;
        _log = log;
    }
    public record FiscalSettingsDto(
        int Provider,
        string ProviderName,
        bool HasApiKey,
        bool HasApiSecret,
        string? CashboxUniqueNumber,
        string? ApiBaseUrl);
    public record FiscalSettingsInput(
        int Provider,
        // Если null/пусто — поле не меняется. Чтобы СНЯТЬ креды (вернуться к
        // None без удаления записи), используем спец-значение "__clear__".
        string? NewApiKey,
        string? NewApiSecret,
        string? CashboxUniqueNumber,
        string? ApiBaseUrl);
    public record TestSendResponse(bool Ok, string? Message,
        string? FiscalNumber, string? FiscalQrCode, string? FiscalUrl);
    /// <summary>Доступные значения провайдера для select'а в UI. Возвращаем
    /// массив, потому что enum-значения мы НЕ хотим публиковать через
    /// generic schema-export — кодом проще держать локализованные имена.</summary>
    [HttpGet("providers")]
    public IActionResult GetProviders()
    {
        var list = new[]
        {
            new { value = 0, name = "Без фискализации", description = "Чеки проводятся, но фискальный номер не получаем." },
            new { value = 1, name = "Mock (dev)", description = "Демонстрационный провайдер, возвращает фейк через 300мс. Только для тестирования." },
            new { value = 2, name = "Webkassa", description = "https://webkassa.kz — крупнейший ОФД РК." },
            new { value = 3, name = "Касса24", description = "https://kassa24.kz — интеграция с Kaspi Pay (skeleton)." },
            new { value = 4, name = "ОФД-Соло", description = "https://ofd-solo.kz (skeleton)." },
        };
        return Ok(list);
    }
    [HttpGet]
    public async Task<ActionResult<FiscalSettingsDto>> Get(CancellationToken ct)
    {
        var orgId = _tenant.OrganizationId ?? throw new InvalidOperationException("No tenant.");
        var o = await _db.Organizations.FirstOrDefaultAsync(o => o.Id == orgId, ct);
        if (o is null) return NotFound();
        return Project(o);
    }
    [HttpPut, Authorize(Roles = "Admin")]
    public async Task<ActionResult<FiscalSettingsDto>> Update([FromBody] FiscalSettingsInput input, CancellationToken ct)
    {
        var orgId = _tenant.OrganizationId ?? throw new InvalidOperationException("No tenant.");
        var o = await _db.Organizations.FirstOrDefaultAsync(o => o.Id == orgId, ct);
        if (o is null) return NotFound();
        if (!Enum.IsDefined(typeof(FiscalProviderKind), input.Provider))
            return BadRequest(new { error = $"Неизвестный провайдер {input.Provider}." });
        o.FiscalProvider = input.Provider;
        o.CashboxUniqueNumber(input.CashboxUniqueNumber);
        o.FiscalApiBaseUrl = string.IsNullOrWhiteSpace(input.ApiBaseUrl) ? null : input.ApiBaseUrl.Trim();
        var protector = _dpProvider.CreateProtector("foodmarket.fiscal");
        if (input.NewApiKey == "__clear__") o.FiscalApiKeyEncrypted = null;
        else if (!string.IsNullOrEmpty(input.NewApiKey))
            o.FiscalApiKeyEncrypted = protector.Protect(input.NewApiKey);
        if (input.NewApiSecret == "__clear__") o.FiscalApiSecretEncrypted = null;
        else if (!string.IsNullOrEmpty(input.NewApiSecret))
            o.FiscalApiSecretEncrypted = protector.Protect(input.NewApiSecret);
        await _db.SaveChangesAsync(ct);
        _log.LogInformation(
            "Fiscal settings обновлены для org {OrgId}: provider={Provider} cashbox={Cashbox} hasKey={HasKey}",
            orgId, (FiscalProviderKind)o.FiscalProvider, o.FiscalCashboxUniqueNumber,
            !string.IsNullOrEmpty(o.FiscalApiKeyEncrypted));
        return Project(o);
    }
    /// <summary>Тестовая отправка: создаёт «фейк-чек» (in-memory, не в БД)
    /// и отправляет через выбранного провайдера. Не сохраняет результат —
    /// просто показывает админу что креды валидны и оператор отвечает.
    /// Webkassa/Касса24/ОФД-Соло в skeleton'е бросают FiscalNotConfiguredException,
    /// что UI отрендерит как «не реализовано»; Mock возвращает MOCK-fingerprint
    /// и показывает что pipeline жив.</summary>
    [HttpPost("test-send"), Authorize(Roles = "Admin")]
    public async Task<ActionResult<TestSendResponse>> TestSend(CancellationToken ct)
    {
        var orgId = _tenant.OrganizationId ?? throw new InvalidOperationException("No tenant.");
        var o = await _db.Organizations.AsNoTracking().FirstOrDefaultAsync(x => x.Id == orgId, ct);
        if (o is null) return NotFound();
        if (o.FiscalProvider == 0)
            return BadRequest(new TestSendResponse(false,
                "Провайдер не выбран. Выберите оператора и сохраните настройки перед тестом.",
                null, null, null));
        var kind = (FiscalProviderKind)o.FiscalProvider;
        var provider = _providers.FirstOrDefault(p => p.Kind == kind);
        if (provider is null)
            return BadRequest(new TestSendResponse(false,
                $"Провайдер {kind} не зарегистрирован в DI.", null, null, null));
        // Фейк-чек: 1 позиция «Тестовый товар», 100 ₸, наличными. Не
        // сохраняем в БД — Webkassa/моки получают POCO в памяти.
        var fake = new RetailSale
        {
            Id = Guid.NewGuid(),
            OrganizationId = orgId,
            Number = "TEST-" + DateTime.UtcNow.ToString("yyyyMMddHHmmss"),
            Date = DateTime.UtcNow,
            StoreId = Guid.NewGuid(),
            CurrencyId = Guid.NewGuid(),
            Subtotal = 100m, Total = 100m, PaidCash = 100m,
        };
        fake.Lines.Add(new RetailSaleLine
        {
            ProductId = Guid.NewGuid(),
            Product = new foodmarket.Domain.Catalog.Product { Name = "Тестовый товар" },
            Quantity = 1m, UnitPrice = 100m, LineTotal = 100m, VatPercent = 12m,
        });
        try
        {
            var r = await provider.RegisterAsync(fake, ct);
            return Ok(new TestSendResponse(true,
                $"Провайдер {kind} ответил. FiscalNumber={r.FiscalNumber}",
                r.FiscalNumber, r.FiscalQrCode, r.FiscalUrl));
        }
        catch (FiscalNotConfiguredException ex)
        {
            return Ok(new TestSendResponse(false, ex.Message, null, null, null));
        }
        catch (FiscalProviderException ex)
        {
            return Ok(new TestSendResponse(false, ex.Message, null, null, null));
        }
        catch (Exception ex)
        {
            _log.LogWarning(ex, "Fiscal test-send упал неожиданно для org {OrgId}", orgId);
            return Ok(new TestSendResponse(false, "Непредвиденная ошибка: " + ex.Message, null, null, null));
        }
    }
    private FiscalSettingsDto Project(foodmarket.Domain.Organizations.Organization o)
    {
        var kind = (FiscalProviderKind)o.FiscalProvider;
        var name = kind switch
        {
            FiscalProviderKind.None => "Без фискализации",
            FiscalProviderKind.Mock => "Mock (dev)",
            FiscalProviderKind.Webkassa => "Webkassa",
            FiscalProviderKind.Kassa24 => "Касса24",
            FiscalProviderKind.OfdSolo => "ОФД-Соло",
            _ => kind.ToString(),
        };
        return new FiscalSettingsDto(
            o.FiscalProvider, name,
            !string.IsNullOrEmpty(o.FiscalApiKeyEncrypted),
            !string.IsNullOrEmpty(o.FiscalApiSecretEncrypted),
            o.FiscalCashboxUniqueNumber,
            o.FiscalApiBaseUrl);
    }
 }
 /// <summary>Маленький фикс — Organization.CashboxUniqueNumber изначально
 /// называлось <c>FiscalCashboxUniqueNumber</c>. Чтобы код контроллера
 /// не запутался с длинным именем, локальный extension'ом сахарим.</summary>
 internal static class _OrgFiscalExt
 {
    public static void CashboxUniqueNumber(this foodmarket.Domain.Organizations.Organization o, string? v)
        => o.FiscalCashboxUniqueNumber = string.IsNullOrWhiteSpace(v) ? null : v.Trim();
 }
--- a/src/food-market.api/Controllers/Reports/SalesReportController.cs
+++ b/src/food-market.api/Controllers/Reports/SalesReportController.cs
@ -107,19 +107,12 @@ private static DateRange ResolveRange(DateTime? from, DateTime? to)
    }
    /// <summary>Тащит плоский набор строк с переведёнными в SQL фильтрами
-    /// и join'ами на каталог. Возвращает уже materialized list.
+    /// и join'ами на каталог. Возвращает уже materialized list.</summary>
    ///
    /// <para>Sprint 14: до этой ревизии RetailPoint.Name и User.FullName
    /// подтягивались inline через correlated subqueries
    /// (<c>_db.RetailPoints.Where(...).FirstOrDefault()</c> в проекции).
    /// Npgsql переводил это как CASE WHEN + correlated subselect, что
    /// добавляло ~1ms на каждые ~700 строк sale_lines × 2 subselect'а.
    /// Теперь — две отдельные dictionary'ах после первого fetch'a,
    /// заполняем через client-side dictionary lookup. По плану EXPLAIN
    /// одна tipic'ная sales-report-агрегация: -25% time (с 9.5ms до ~7ms).</para></summary>
    private async Task<List<FlatRow>> FetchAsync(
        DateRange range, Guid? storeId, Guid? productGroupId, CancellationToken ct)
    {
        // Сначала список саleId с фильтрами по чеку (period/store/return-знак).
        // Затем JOIN на линии и на каталог. У EF8 эта форма успешно переводится в SQL.
        var q = from l in _db.RetailSaleLines.AsNoTracking()
                join s in _db.RetailSales.AsNoTracking() on l.RetailSaleId equals s.Id
                join p in _db.Products.AsNoTracking() on l.ProductId equals p.Id
@ -130,59 +123,27 @@ private static DateRange ResolveRange(DateTime? from, DateTime? to)
        if (storeId is not null) q = q.Where(x => x.s.StoreId == storeId);
        if (productGroupId is not null) q = q.Where(x => x.p.ProductGroupId == productGroupId);
-        // Первая выгрузка БЕЗ имён retail-point/user — один чистый join без subqueries.
+        // Левые join'ы на RetailPoints и Users — для имён. Подтаскиваем имена
-        var raw = await q
+        // прямо в проекции через .Where + .FirstOrDefault — Npgsql переведёт.
-            .Select(x => new
+        var flat = await q
-            {
+            .Select(x => new FlatRow(
                x.s.Id, x.s.Date,
-                x.s.StoreId, x.s.RetailPointId,
+                x.s.StoreId,
                x.s.RetailPointId,
                x.s.RetailPointId == null ? null
                    : _db.RetailPoints.Where(r => r.Id == x.s.RetailPointId).Select(r => r.Name).FirstOrDefault(),
                x.s.CashierUserId,
                x.s.CashierUserId == null ? null
                    : _db.Users.Where(u => u.Id == x.s.CashierUserId).Select(u => u.FullName).FirstOrDefault(),
                x.s.Payment,
-                x.l.ProductId,
+                x.l.ProductId, x.p.Name, x.p.Article,
                ProductName = x.p.Name,
                ProductArticle = x.p.Article,
                x.p.ProductGroupId,
-                Sign = x.s.IsReturn ? -1m : 1m,
+                x.s.IsReturn ? -x.l.LineTotal : x.l.LineTotal,
-                x.l.LineTotal,
+                x.s.IsReturn ? -x.l.Discount  : x.l.Discount,
-                x.l.Discount,
+                x.s.IsReturn ? -x.l.Quantity  : x.l.Quantity))
                x.l.Quantity,
            })
            .ToListAsync(ct);
-        if (raw.Count == 0) return new List<FlatRow>();
+        return flat;
        // Сразу собираем distinct retail-point-id и user-id (cashier), потом
        // одним SELECT'ом каждый — 2 round-trip'а вместо N×2 correlated subselect'ов.
        var rpIds = raw.Where(r => r.RetailPointId != null)
            .Select(r => r.RetailPointId!.Value).Distinct().ToList();
        var userIds = raw.Where(r => r.CashierUserId != null)
            .Select(r => r.CashierUserId!.Value).Distinct().ToList();
        var rpNames = rpIds.Count == 0 ? new Dictionary<Guid, string>()
            : await _db.RetailPoints.AsNoTracking()
                .Where(r => rpIds.Contains(r.Id))
                .Select(r => new { r.Id, r.Name })
                .ToDictionaryAsync(r => r.Id, r => r.Name, ct);
        var userNames = userIds.Count == 0 ? new Dictionary<Guid, string?>()
            : (await _db.Users.IgnoreQueryFilters().AsNoTracking()
                .Where(u => userIds.Contains(u.Id))
                .Select(u => new { u.Id, u.FullName })
                .ToListAsync(ct))
                .ToDictionary(u => u.Id, u => u.FullName);
        return raw.Select(x => new FlatRow(
            x.Id, x.Date,
            x.StoreId, x.RetailPointId,
            x.RetailPointId is { } rp && rpNames.TryGetValue(rp, out var n) ? n : null,
            x.CashierUserId,
            x.CashierUserId is { } u && userNames.TryGetValue(u, out var fn) ? fn : null,
            x.Payment,
            x.ProductId, x.ProductName, x.ProductArticle,
            x.ProductGroupId,
            x.Sign * x.LineTotal,
            x.Sign * x.Discount,
            x.Sign * x.Quantity)).ToList();
    }
    /// <summary>Группировка/агрегация в C#. Возврат уже отсортирован по убыванию
--- a/src/food-market.api/Controllers/Sales/RetailSalesController.cs
+++ b/src/food-market.api/Controllers/Sales/RetailSalesController.cs
@ -20,17 +20,14 @@ public class RetailSalesController : ControllerBase
    private readonly IStockService _stock;
    private readonly ILogger<RetailSalesController> _log;
    private readonly foodmarket.Api.Realtime.INotificationsPublisher _notify;
    private readonly foodmarket.Application.Common.Fiscal.IFiscalProviderFactory _fiscal;
    public RetailSalesController(AppDbContext db, IStockService stock, ILogger<RetailSalesController> log,
-        foodmarket.Api.Realtime.INotificationsPublisher notify,
+        foodmarket.Api.Realtime.INotificationsPublisher notify)
        foodmarket.Application.Common.Fiscal.IFiscalProviderFactory fiscal)
    {
        _db = db;
        _stock = stock;
        _log = log;
        _notify = notify;
        _fiscal = fiscal;
    }
    public record RetailSaleListRow(
@ -66,12 +63,7 @@ public record RetailSaleDto(
        decimal LoyaltyPointsAccrued = 0m,
        Guid? PromotionId = null,
        string? PromotionCode = null,
-        decimal PromotionDiscount = 0m,
+        decimal PromotionDiscount = 0m);
        // Sprint 11: ОФД-снапшоты. Null до фискализации / при провайдере None.
        string? FiscalNumber = null,
        string? FiscalQrCode = null,
        string? FiscalUrl = null,
        int? FiscalProviderKind = null);
    public record RetailSaleLineInput(
        Guid ProductId,
@ -288,21 +280,7 @@ public async Task<ActionResult<RetailSaleDto>> Create([FromBody] RetailSaleInput
        if (await ApplyLoyaltyAndPromotionAsync(sale, input, allowFractional, ct) is { } loyErr)
            return loyErr;
        _db.RetailSales.Add(sale);
-        // Sprint 18 P0: советский lock per (orgId hash, "retail-sale" hash) —
+        if (await SaveOrFkErrorAsync(ct) is { } err) return err;
        // сериализует Number-генерацию только внутри одной org+doctype,
        // другие org'и не блокируются. Освобождается на commit транзакции.
        var orgHash = sale.OrganizationId.GetHashCode();
        const int retailSaleDocHash = -1937428133; // stable hash of "retail-sale"
        ActionResult? err = null;
        await foodmarket.Api.Infrastructure.DocumentNumberRetry.WithOrgAdvisoryLockAsync(
            _db, orgHash, retailSaleDocHash,
            async () =>
            {
                // Перегенерируем Number ВНУТРИ lock'а — гарантирует свежий lastNumber.
                sale.Number = await GenerateNumberAsync(sale.Date, ct);
                err = await SaveOrFkErrorAsync(ct);
            }, ct);
        if (err is not null) return err;
        var dto = await GetInternal(sale.Id, ct);
        return CreatedAtAction(nameof(Get), new { id = sale.Id }, dto);
    }
@ -429,27 +407,12 @@ public async Task<ActionResult<RetailSaleDto>> Create([FromBody] RetailSaleInput
    /// <summary>SaveChanges + перехват PostgresException 23503 (FK violation).
    /// Возвращает 400 с указанием поля если FK не сошёлся (например, StoreId
    /// или RetailPointId указывают на несуществующую запись) — это лучше
-    /// чем 500.
+    /// чем 500.</summary>
-    ///
+    private async Task<ActionResult?> SaveOrFkErrorAsync(CancellationToken ct)
    /// Sprint 18 P0: добавили retry на 23505 unique-violation на
    /// `IX_retail_sales_OrganizationId_Number`. Если сущность создаётся
    /// с уже-занятым Number'ом (race с параллельным POSTом), вызываем
    /// regenerateNumber и повторяем (до 5 раз с jitter).</summary>
    private async Task<ActionResult?> SaveOrFkErrorAsync(
        CancellationToken ct,
        Func<Task>? regenerateNumber = null)
    {
        try
        {
-            if (regenerateNumber is not null)
+            await _db.SaveChangesAsync(ct);
            {
                await foodmarket.Api.Infrastructure.DocumentNumberRetry.SaveWithRetryAsync(
                    _db, regenerateNumber, ct);
            }
            else
            {
                await _db.SaveChangesAsync(ct);
            }
            return null;
        }
        catch (DbUpdateException ex) when (ex.InnerException is Npgsql.PostgresException pg && pg.SqlState == "23503")
@ -631,14 +594,6 @@ public async Task<IActionResult> Post(Guid id, CancellationToken ct)
            "RetailSale posted: {SaleNumber} store={StoreId} payment={Payment} lines={LinesCount} total={Total}",
            sale.Number, sale.StoreId, sale.Payment, sale.Lines.Count, sale.Total);
        // ── Sprint 11: фискализация чека у ОФД-оператора ─────────────────
        // Делаем ПОСЛЕ commit'а stock-транзакции — фискальный RPC может
        // занимать секунды (Webkassa в час пик), удерживать всю серию
        // блокировок ради этого нельзя. Если оператор недоступен, чек
        // остаётся проведённым (Posted=true), а фискальный номер просто
        // пуст — это допустимо (можно перепровести post вручную).
        await TryFiscalizeAsync(sale, ct);
        // SignalR-уведомление в группу org. Кассирa берём из CashierId если
        // есть Employee.Name по UserId, иначе из User.Email (короткая часть до @).
        try
@ -697,63 +652,6 @@ private async Task NotifyLowStockAfterSaleAsync(RetailSale sale, CancellationTok
        }
    }
    /// <summary>Sprint 11: вызвать ОФД-провайдера (если выбран) и сохранить
    /// фискальный номер/QR на чек. Best-effort: любая ошибка проглатывается
    /// и логируется — чек остаётся проведённым даже без фискализации
    /// (оператор может быть временно недоступен, retry — отдельная история).
    ///
    /// Идемпотентность: если на чеке уже есть FiscalNumber, повторно не
    /// зовём. Это покрывает случай ручного re-post'а через unpost→post.</summary>
    private async Task TryFiscalizeAsync(RetailSale sale, CancellationToken ct)
    {
        if (!string.IsNullOrEmpty(sale.FiscalNumber)) return;
        foodmarket.Application.Common.Fiscal.IFiscalProvider? provider;
        try
        {
            provider = await _fiscal.ResolveAsync(ct);
        }
        catch (Exception ex)
        {
            _log.LogWarning(ex, "Fiscal: фабрика провайдеров упала для чека {SaleNumber}", sale.Number);
            return;
        }
        if (provider is null) return; // None — фискализация отключена
        try
        {
            // Подгружаем продукт для PositionName (Webkassa требует имя в
            // payload'е). Include на этом этапе чтобы EF не дёргал N+1.
            await _db.Entry(sale).Collection(s => s.Lines).Query()
                .Include(l => l.Product).LoadAsync(ct);
            var result = await provider.RegisterAsync(sale, ct);
            sale.FiscalNumber = result.FiscalNumber;
            sale.FiscalQrCode = result.FiscalQrCode;
            sale.FiscalUrl = result.FiscalUrl;
            sale.FiscalProviderTxId = result.ProviderTxId;
            sale.FiscalProviderKind = (int)provider.Kind;
            await _db.SaveChangesAsync(ct);
            _log.LogInformation(
                "Fiscal: чек {SaleNumber} зарегистрирован у {Provider} → {FiscalNumber}",
                sale.Number, provider.Kind, result.FiscalNumber);
        }
        catch (foodmarket.Application.Common.Fiscal.FiscalNotConfiguredException ex)
        {
            // Конфиг неполный — это валидная диагностика, не алерт.
            _log.LogWarning(
                "Fiscal: провайдер {Provider} не настроен для чека {SaleNumber}: {Message}",
                provider.Kind, sale.Number, ex.Message);
        }
        catch (Exception ex)
        {
            // Сетевые/HTTP-ошибки — записываем warning. Алерт можно навесить
            // на счётчик AppMetrics в Sprint 12+, когда будут реальные данные.
            _log.LogWarning(ex,
                "Fiscal: провайдер {Provider} вернул ошибку для чека {SaleNumber}",
                provider.Kind, sale.Number);
        }
    }
    [HttpPost("{id:guid}/unpost"), RequiresPermission("RetailSalesRefund")]
    public async Task<IActionResult> Unpost(Guid id, CancellationToken ct)
    {
@ -1101,8 +999,6 @@ orderby l.SortOrder
            lines,
            // Sprint 9
            row.s.LoyaltyCardId, row.s.LoyaltyBonusApplied, row.s.LoyaltyPointsAccrued,
-            row.s.PromotionId, row.s.PromotionCode, row.s.PromotionDiscount,
+            row.s.PromotionId, row.s.PromotionCode, row.s.PromotionDiscount);
            // Sprint 11
            row.s.FiscalNumber, row.s.FiscalQrCode, row.s.FiscalUrl, row.s.FiscalProviderKind);
    }
 }
--- a/src/food-market.api/Controllers/TwoFactorController.cs
+++ b/src/food-market.api/Controllers/TwoFactorController.cs
@ -29,16 +29,12 @@ public class TwoFactorController : ControllerBase
    private readonly UserManager<User> _users;
    private readonly AppDbContext _db;
    private readonly IConfiguration _cfg;
    private readonly foodmarket.Api.Infrastructure.Audit.SensitiveOpsAudit _audit;
-    public TwoFactorController(
+    public TwoFactorController(UserManager<User> users, AppDbContext db, IConfiguration cfg)
        UserManager<User> users, AppDbContext db, IConfiguration cfg,
        foodmarket.Api.Infrastructure.Audit.SensitiveOpsAudit audit)
    {
        _users = users;
        _db = db;
        _cfg = cfg;
        _audit = audit;
    }
    public record EnrollResult(string SharedKey, string AuthenticatorUri, bool AlreadyEnabled);
@ -93,13 +89,6 @@ public async Task<IActionResult> Verify([FromBody] CodeInput input)
            return BadRequest(new { error = "Неверный код. Попробуйте ещё раз.", field = "code" });
        await _users.SetTwoFactorEnabledAsync(user, true);
        // Sprint 13: audit-log запись о включении 2FA.
        await _audit.LogAsync(
            action: "TwoFactorEnroll",
            entityType: "AppUser",
            entityId: user.Id,
            payload: new { email = user.Email, fullName = user.FullName },
            ct: HttpContext.RequestAborted);
        return Ok(new { enabled = true });
    }
@ -123,14 +112,6 @@ public async Task<IActionResult> Disable([FromBody] CodeInput input)
        await _users.SetTwoFactorEnabledAsync(user, false);
        // Заодно сбрасываем authenticator-key, чтобы при повторном enroll выдался новый.
        await _users.ResetAuthenticatorKeyAsync(user);
        // Sprint 13: audit-log запись об отключении 2FA — это важный security
        // event (юзер ослабил защиту своей учётки).
        await _audit.LogAsync(
            action: "TwoFactorDisable",
            entityType: "AppUser",
            entityId: user.Id,
            payload: new { email = user.Email, fullName = user.FullName },
            ct: HttpContext.RequestAborted);
        return Ok(new { enabled = false });
    }
 }
--- a/src/food-market.api/Controllers/Uploads/UploadsController.cs
+++ b/src/food-market.api/Controllers/Uploads/UploadsController.cs
@ -21,33 +21,9 @@ public class UploadsController : ControllerBase
    public UploadsController(IObjectStorage storage) => _storage = storage;
    [HttpGet("{*path}")]
-    public async Task<IActionResult> Get(string path, [FromQuery] string? size, CancellationToken ct)
+    public async Task<IActionResult> Get(string path, CancellationToken ct)
    {
        if (string.IsNullOrEmpty(path)) return NotFound();
        // Sprint 14: ?size=thumb|medium|original. Запрос с size=thumb
        // отдаёт <path>.thumb.webp (если существует), иначе fallback
        // на оригинал. Это позволяет фронту использовать <picture> с
        // srcset для разных ширин экрана.
        var variantSuffix = size?.ToLowerInvariant() switch
        {
            "thumb" => foodmarket.Api.Storage.ImageVariantService.ThumbSuffix,
            "medium" => foodmarket.Api.Storage.ImageVariantService.MediumSuffix,
            _ => "",
        };
        if (variantSuffix.Length > 0)
        {
            var variantPath = path + variantSuffix;
            var variant = await _storage.OpenAsync(variantPath, ct);
            if (variant is not null)
            {
                Response.Headers["Cache-Control"] = "public, max-age=2592000"; // 30 дней (агрессивнее для variant'ов)
                return File(variant.Value.Stream, variant.Value.ContentType);
            }
            // Fallback на оригинал — старые загрузки до Sprint 14 не имеют variant'ов.
        }
        var obj = await _storage.OpenAsync(path, ct);
        if (obj is null) return NotFound();
        Response.Headers["Cache-Control"] = "public, max-age=604800"; // 7 дней
--- a/src/food-market.api/Controllers/WhatsNewController.cs
+++ b/src/food-market.api/Controllers/WhatsNewController.cs
@ -1,115 +0,0 @@
 using Microsoft.AspNetCore.Authorization;
 using Microsoft.AspNetCore.Mvc;
 namespace foodmarket.Api.Controllers;
 /// <summary>Sprint 17: /api/whats-new — отдаёт содержимое CHANGELOG.md
 /// (генерируется отдельным скриптом из commit-сообщений feat:/fix:).
 ///
 /// Файл лежит в content-root приложения (копируется при build из
 /// корня репо через Dockerfile.api). Если файла нет — отдаём пустой
 /// список (фронт скрывает /whats-new пункт).
 ///
 /// Дополнительно возвращаем timestamp build'а (через файл версии
 /// или fallback на assembly InformationalVersion) — фронт сравнивает
 /// с localStorage.lastSeenBuildVersion чтобы показывать toast
 /// «есть новые фичи» только когда есть.</summary>
 [ApiController]
 [Authorize]
 [Route("api/whats-new")]
 public class WhatsNewController : ControllerBase
 {
    private readonly IWebHostEnvironment _env;
    private readonly ILogger<WhatsNewController> _log;
    public WhatsNewController(IWebHostEnvironment env, ILogger<WhatsNewController> log)
    {
        _env = env; _log = log;
    }
    public record WhatsNewItem(string Date, string Title, string Body, string Type);
    public record WhatsNewResponse(string BuildVersion, IReadOnlyList<WhatsNewItem> Items);
    [HttpGet]
    public ActionResult<WhatsNewResponse> Get()
    {
        // BuildVersion — short SHA / тэг билд-времени. Берём из
        // VERSION файла (создаётся Docker-build'ом) или ассембли.
        var versionFile = Path.Combine(_env.ContentRootPath, "VERSION");
        string buildVersion;
        if (System.IO.File.Exists(versionFile))
            buildVersion = System.IO.File.ReadAllText(versionFile).Trim();
        else
            buildVersion = typeof(WhatsNewController).Assembly
                .GetCustomAttributes(typeof(System.Reflection.AssemblyInformationalVersionAttribute), false)
                .OfType<System.Reflection.AssemblyInformationalVersionAttribute>()
                .FirstOrDefault()?.InformationalVersion ?? "dev";
        var changelogPath = Path.Combine(_env.ContentRootPath, "CHANGELOG.md");
        if (!System.IO.File.Exists(changelogPath))
        {
            _log.LogDebug("CHANGELOG.md not found at {Path}", changelogPath);
            return new WhatsNewResponse(buildVersion, Array.Empty<WhatsNewItem>());
        }
        var content = System.IO.File.ReadAllText(changelogPath);
        var items = ParseChangelog(content).ToList();
        return new WhatsNewResponse(buildVersion, items);
    }
    /// <summary>Парсер CHANGELOG.md в формате:
    /// <code>
    /// ## 2026-06-07
    ///
    /// - **feat**: новая фича (s17)
    /// - **fix**: устранён баг (s17)
    /// </code>
    /// Возвращает items до 30 дней назад от latest-даты.</summary>
    internal static IEnumerable<WhatsNewItem> ParseChangelog(string content)
    {
        var lines = content.Replace("\r\n", "\n").Split('\n');
        string? currentDate = null;
        var cutoff = DateTime.UtcNow.AddDays(-30).Date;
        DateTime? latestSeen = null;
        var items = new List<WhatsNewItem>();
        foreach (var raw in lines)
        {
            var line = raw.TrimEnd();
            if (line.StartsWith("## "))
            {
                currentDate = line.Substring(3).Trim();
                if (DateTime.TryParse(currentDate, out var d))
                {
                    latestSeen ??= d;
                    // Корректируем cutoff: 30 дней от ПОСЛЕДНЕЙ записи,
                    // не от UtcNow — даже если CHANGELOG старый, всё
                    // равно покажем последние 30 дней оттуда.
                    cutoff = latestSeen.Value.AddDays(-30).Date;
                }
                continue;
            }
            if (currentDate is null) continue;
            if (!line.StartsWith("- ")) continue;
            if (DateTime.TryParse(currentDate, out var dd) && dd.Date < cutoff) break;
            // «- **feat**: текст» или «- **fix**: текст»
            var item = line.Substring(2);
            var type = "other";
            string title = item, body = "";
            if (item.StartsWith("**feat**", StringComparison.OrdinalIgnoreCase))
            {
                type = "feat";
                title = item.Substring("**feat**:".Length).Trim();
            }
            else if (item.StartsWith("**fix**", StringComparison.OrdinalIgnoreCase))
            {
                type = "fix";
                title = item.Substring("**fix**:".Length).Trim();
            }
            // Простая эвристика «заголовок vs тело»: первые 80 chars — title.
            if (title.Length > 80) { body = title.Substring(80); title = title.Substring(0, 80); }
            items.Add(new WhatsNewItem(currentDate, title, body, type));
        }
        return items;
    }
 }
--- a/src/food-market.api/Infrastructure/Audit/SensitiveOpsAudit.cs
+++ b/src/food-market.api/Infrastructure/Audit/SensitiveOpsAudit.cs
@ -1,118 +0,0 @@
 using System.Text.Json;
 using foodmarket.Application.Common.Tenancy;
 using foodmarket.Domain.Organizations;
 using foodmarket.Infrastructure.Persistence;
 using Microsoft.AspNetCore.Http;
 using Microsoft.Extensions.Logging;
 namespace foodmarket.Api.Infrastructure.Audit;
 /// <summary>Sprint 13 — централизованный логгер чувствительных
 /// операций. Пишет в две точки:
 /// <list type="bullet">
 /// <item>В <c>org_audit_log</c> — постоянная запись, читается из
 /// UI /audit-log, ретейн 180 дней.</item>
 /// <item>В Serilog — потоковый лог с тем же payload'ом,
 /// сериализуется в JSON для агрегации (ELK / Loki).</item>
 /// </list>
 ///
 /// <para>«Чувствительные» операции — те, которые меняют security-границу:
 /// смена пароля, 2FA enroll/disable, назначение нового владельца,
 /// выдача роли с правами выше базовых, revoke-all сессий. В отличие
 /// от обычного OrgAuditInterceptor, который ловит CRUD на EF-сущностях
 /// автоматически, эти операции либо не идут через EF (Identity-API),
 /// либо требуют дополнительного контекста (что именно изменилось,
 /// какие права теперь у юзера).</para>
 ///
 /// <para><b>Stamping:</b> создаёт запись с <c>EntityType=string</c>
 /// (например, "AppUser") и <c>Action=string</c>
 /// (например, "ChangePassword"). UserId — текущий subject из JWT (кто
 /// выполнил). Если null — операция была инициирована background-job'ом.</para></summary>
 public sealed class SensitiveOpsAudit
 {
    private readonly AppDbContext _db;
    private readonly ITenantContext _tenant;
    private readonly IHttpContextAccessor _http;
    private readonly ILogger<SensitiveOpsAudit> _log;
    public SensitiveOpsAudit(
        AppDbContext db,
        ITenantContext tenant,
        IHttpContextAccessor http,
        ILogger<SensitiveOpsAudit> log)
    {
        _db = db;
        _tenant = tenant;
        _http = http;
        _log = log;
    }
    /// <summary>Записать аудит-событие. Передаваемые поля сериализуются в
    /// JSONB; не клади сюда секреты (пароли, токены) — этот объект попадает
    /// в /api/admin/audit-log, видный любому Admin'у org'и.</summary>
    /// <param name="action">"ChangePassword" | "TwoFactorEnroll" | "TwoFactorDisable"
    /// | "AssignRole" | "ChangeAccountOwner" | "RevokeAllSessions" | etc.</param>
    /// <param name="entityType">"AppUser" | "Employee" | "Organization" — тип
    /// сущности, к которой относится действие.</param>
    /// <param name="entityId">Id затронутой сущности (например, userId смены пароля).
    /// null если действие не привязано к конкретной сущности.</param>
    /// <param name="payload">Дополнительные поля для расследования: кто, что
    /// именно, IP, какие permission'ы выданы. НЕ хранит секреты.</param>
    public async Task LogAsync(
        string action,
        string entityType,
        Guid? entityId,
        object? payload,
        CancellationToken ct = default)
    {
        var orgId = _tenant.OrganizationId;
        var userId = _tenant.UserId;
        var ip = _http.HttpContext?.Connection?.RemoteIpAddress?.ToString();
        var ua = _http.HttpContext?.Request?.Headers?["User-Agent"].ToString();
        // Сериализуем payload + контекст в один JSON-блоб. Используем
        // WriteIndented=false (компактно) и AllowTrailingCommas=true (мягко).
        var blob = new
        {
            action,
            entityType,
            entityId,
            userId,
            ip,
            userAgent = ua,
            timestamp = DateTime.UtcNow,
            details = payload,
        };
        var json = JsonSerializer.Serialize(blob, JsonOpts);
        if (orgId is { } o)
        {
            // Tenant-scoped: записываем в OrgAuditLog. Этот же фильтр виден
            // Admin'у организации в UI «История изменений».
            _db.OrgAuditLogs.Add(new OrgAuditLog
            {
                OrganizationId = o,
                UserId = userId,
                Action = action,
                EntityType = entityType,
                EntityId = entityId,
                ChangesJson = json,
            });
            await _db.SaveChangesAsync(ct);
        }
        // else: SuperAdmin без X-Org-Override — лога в OrgAuditLog нет,
        // но Serilog получит запись.
        // Serilog: структурированно, с тем же payload'ом. Поля
        // CorrelationId/OrgId/UserId уже добавлены LogEnrichmentMiddleware'ом.
        _log.LogInformation(
            "SENSITIVE_OP action={Action} entity={EntityType}:{EntityId} ip={Ip} ua={UserAgent} details={DetailsJson}",
            action, entityType, entityId, ip, ua, json);
    }
    private static readonly JsonSerializerOptions JsonOpts = new(JsonSerializerDefaults.Web)
    {
        WriteIndented = false,
        DefaultIgnoreCondition = System.Text.Json.Serialization.JsonIgnoreCondition.WhenWritingNull,
    };
 }
--- a/src/food-market.api/Infrastructure/DocumentNumberRetry.cs
+++ b/src/food-market.api/Infrastructure/DocumentNumberRetry.cs
@ -1,104 +0,0 @@
 using foodmarket.Infrastructure.Persistence;
 using Microsoft.EntityFrameworkCore;
 using Npgsql;
 namespace foodmarket.Api.Infrastructure;
 /// <summary>Sprint 18: устранение P0-race в <c>GenerateNumberAsync</c>.
 ///
 /// <para><b>Проблема (Sprint 14 baseline)</b>: при параллельных POSTах
 /// двух разных кассиров одна и та же org получала read-modify-write race —
 /// оба читали `lastNumber = ПР-2026-000010`, оба ставили seq=11, оба
 /// INSERT'или → unique-violation 23505 на индексе
 /// <c>IX_retail_sales_OrganizationId_Number</c>. k6 показал 53% failure rate
 /// при 5 параллельных VU на одной orgе.</para>
 ///
 /// <para><b>Решение</b>: retry-loop вокруг SaveChanges. Если ловим
 /// PostgresException 23505 (unique_violation) на индексе с Number в
 /// имени — берём query-фабрику Number'а и пересчитываем заново
 /// (последний инкрементнулся другим конкурентом → следующий
 /// свободен). До 5 попыток с микро-jitter'ом (0-50ms) чтобы
 /// эффективно расходиться.</para>
 ///
 /// <para>Использование в Post-методах:
 /// <code>
 /// var saved = await DocumentNumberRetry.SaveWithRetryAsync(
 ///     _db,
 ///     ct,
 ///     async () => sale.Number = await GenerateNumberAsync(sale.Date, ct));
 /// </code></para></summary>
 public static class DocumentNumberRetry
 {
    /// <summary>Сохраняет ChangeTracker'овские изменения с retry на
    /// 23505 unique-violation. <paramref name="regenerateNumber"/>
    /// вызывается перед каждой попыткой — он должен пересчитать
    /// Number-поле затронутой сущности (например,
    /// `sale.Number = await GenerateNumberAsync(...)`). На каждой
    /// retry'ой попытке регенерация подхватит свежий `lastNumber`
    /// (под предположением что предыдущий конкурент уже закоммитил).</summary>
    public static async Task SaveWithRetryAsync(
        AppDbContext db,
        Func<Task> regenerateNumber,
        CancellationToken ct = default,
        int maxAttempts = 10)
    {
        for (var attempt = 0; attempt < maxAttempts; attempt++)
        {
            if (attempt > 0)
            {
                // Exponential-ish backoff с jitter: 10-60ms, 20-90ms, 40-130ms, …
                // С jitter параллельные VU расходятся по времени и не конфликтуют
                // снова на следующей попытке.
                var baseDelay = attempt * 10;
                await Task.Delay(baseDelay + Random.Shared.Next(0, 30 + attempt * 10), ct);
                await regenerateNumber();
            }
            try
            {
                await db.SaveChangesAsync(ct);
                return;
            }
            catch (DbUpdateException ex) when (IsUniqueViolationOnNumber(ex))
            {
                if (attempt + 1 >= maxAttempts) throw;
                continue;
            }
        }
    }
    /// <summary>Альтернативный паттерн: PostgreSQL advisory-lock для
    /// сериализации Number-генерации в рамках org+document-type. В отличие
    /// от retry, advisory-lock даёт O(1) попытки, но добавляет lock-wait
    /// (несколько мс) при contention. Использовать когда retry слишком
    /// часто упирается в maxAttempts.
    ///
    /// <paramref name="lockKeyA"/>/<paramref name="lockKeyB"/> — int32-хеши,
    /// например (orgId.GetHashCode(), docType.GetHashCode()). Lock
    /// автоматически снимается на конце текущей транзакции.</summary>
    public static async Task WithOrgAdvisoryLockAsync(
        AppDbContext db, int lockKeyA, int lockKeyB,
        Func<Task> action, CancellationToken ct = default)
    {
        // pg_advisory_xact_lock(int, int) — освобождается на COMMIT/ROLLBACK
        // текущей транзакции автоматически. Без явной транзакции —
        // EF держит implicit (за SaveChanges), но lock тогда снимается сразу.
        await using var tx = await db.Database.BeginTransactionAsync(ct);
        await db.Database.ExecuteSqlRawAsync(
            "SELECT pg_advisory_xact_lock({0}, {1})",
            new object[] { lockKeyA, lockKeyB }, ct);
        await action();
        await tx.CommitAsync(ct);
    }
    /// <summary>Проверяет: это unique-violation на индексе с «Number»
    /// в имени (наш паттерн — IX_*_OrganizationId_Number).</summary>
    private static bool IsUniqueViolationOnNumber(DbUpdateException ex)
    {
        if (ex.InnerException is not PostgresException pg) return false;
        if (pg.SqlState != "23505") return false;
        // ConstraintName выглядит как "IX_retail_sales_OrganizationId_Number"
        // или null в некоторых случаях (для PG ≥ 9 обычно есть).
        var name = pg.ConstraintName ?? "";
        return name.Contains("Number", StringComparison.OrdinalIgnoreCase);
    }
 }
--- a/src/food-market.api/Infrastructure/RateLimiting/AuthRateLimiterExtensions.cs
+++ b/src/food-market.api/Infrastructure/RateLimiting/AuthRateLimiterExtensions.cs
@ -30,12 +30,6 @@ public static class AuthRateLimiterExtensions
    public const int DefaultPerIpPerMinute = 60;
    public const int DefaultPerIpPerHour = 600;
    // Sprint 13: signup-специфичный тугой лимит — даже если IP проходит общий
    // /connect/token-бакет, спам-регистрация ограничена 3 за час и 10 за сутки.
    // Защита от «зарегистрировал 1000 фейковых tenant'ов, чтобы заспамить email-bounce'ами».
    public const int DefaultSignupPerIpPerHour = 3;
    public const int DefaultSignupPerIpPerDay = 10;
    private const string NoLimitPartition = "__not-an-auth-endpoint";
    public static IServiceCollection AddAuthRateLimiting(this IServiceCollection services, IConfiguration config)
@ -50,9 +44,6 @@ public static IServiceCollection AddAuthRateLimiting(this IServiceCollection ser
        var perUserHour = section.GetValue("PerUserPerHour", DefaultPerUserPerHour);
        var perIpMinute = legacyPerMinute ?? section.GetValue("PerIpPerMinute", DefaultPerIpPerMinute);
        var perIpHour = legacyPerHour ?? section.GetValue("PerIpPerHour", DefaultPerIpPerHour);
        // Sprint 13: signup-specific tighter limits.
        var signupPerHour = section.GetValue("SignupPerIpPerHour", DefaultSignupPerIpPerHour);
        var signupPerDay = section.GetValue("SignupPerIpPerDay", DefaultSignupPerIpPerDay);
        services.AddRateLimiter(options =>
        {
@ -63,9 +54,7 @@ public static IServiceCollection AddAuthRateLimiting(this IServiceCollection ser
                    BuildUserWindow(perUserMinute, TimeSpan.FromMinutes(1)),
                    BuildUserWindow(perUserHour, TimeSpan.FromHours(1)),
                    BuildIpWindow(perIpMinute, TimeSpan.FromMinutes(1)),
-                    BuildIpWindow(perIpHour, TimeSpan.FromHours(1)),
+                    BuildIpWindow(perIpHour, TimeSpan.FromHours(1)))
                    BuildSignupIpWindow(signupPerHour, TimeSpan.FromHours(1)),
                    BuildSignupIpWindow(signupPerDay, TimeSpan.FromDays(1)))
                : PartitionedRateLimiter.Create<HttpContext, string>(
                    _ => RateLimitPartition.GetNoLimiter(NoLimitPartition));
@ -131,26 +120,6 @@ public static IServiceCollection AddAuthRateLimiting(this IServiceCollection ser
                });
        });
    /// <summary>Signup-специфичный per-IP бакет (Sprint 13). Срабатывает
    /// только на POST /api/auth/signup. Защищает от спам-регистрации,
    /// /connect/token при этом не затрагивается — там работают per-user
    /// (туже всего) и общий per-IP.</summary>
    private static PartitionedRateLimiter<HttpContext> BuildSignupIpWindow(int permitLimit, TimeSpan window) =>
        PartitionedRateLimiter.Create<HttpContext, string>(ctx =>
        {
            if (ResolveAuthBucket(ctx) != "signup") return RateLimitPartition.GetNoLimiter(NoLimitPartition);
            return RateLimitPartition.GetSlidingWindowLimiter(
                $"signup-ip:{ResolveClientKey(ctx)}",
                _ => new SlidingWindowRateLimiterOptions
                {
                    PermitLimit = permitLimit,
                    Window = window,
                    SegmentsPerWindow = 6,
                    QueueLimit = 0,
                    AutoReplenishment = true,
                });
        });
    /// <summary>Возвращает имя бакета для лимитируемого auth-эндпоинта либо
    /// null, если запрос не подлежит лимиту.</summary>
    private static string? ResolveAuthBucket(HttpContext ctx)
--- a/src/food-market.api/Infrastructure/Security/SecurityHeadersMiddleware.cs
+++ b/src/food-market.api/Infrastructure/Security/SecurityHeadersMiddleware.cs
@ -1,115 +0,0 @@
 namespace foodmarket.Api.Infrastructure.Security;
 /// <summary>Sprint 13 — навешивает security-заголовки на все ответы:
 /// <list type="bullet">
 /// <item>Content-Security-Policy — default-src/script-src/connect-src/img-src.</item>
 /// <item>X-Frame-Options: DENY — фрейминг запрещён (защита от clickjacking).</item>
 /// <item>X-Content-Type-Options: nosniff — браузер не «угадывает» MIME.</item>
 /// <item>Referrer-Policy: strict-origin-when-cross-origin — не светим путь
 /// внутреннего URL'а на внешние ресурсы.</item>
 /// <item>Permissions-Policy — отключаем доступ к камерам/микрофонам/GPS.</item>
 /// </list>
 ///
 /// <para>Заголовки выставляются как «при первом write'е» (через
 /// <c>OnStarting</c>), чтобы middleware'ы выше по pipeline (например,
 /// LogEnrichment, ReadonlyOverride) могли при необходимости их
 /// переопределить раньше отправки.</para>
 ///
 /// <para>Исключения по path:
 /// - <c>/metrics</c> — Prometheus scrape, заголовки не нужны.
 /// - <c>/health/*</c> — health checks, не нужны.
 /// - <c>/swagger/*</c> — Swagger UI требует более широкий CSP
 ///   (inline-eval), для него заголовки не ставим в Development. На
 ///   prod Swagger отключён, так что условие безопасно.</para></summary>
 public class SecurityHeadersMiddleware
 {
    private readonly RequestDelegate _next;
    private readonly SecurityHeadersOptions _opts;
    public SecurityHeadersMiddleware(RequestDelegate next, SecurityHeadersOptions opts)
    {
        _next = next;
        _opts = opts;
    }
    public Task InvokeAsync(HttpContext ctx)
    {
        var path = ctx.Request.Path.Value ?? "";
        if (ShouldSkip(path))
            return _next(ctx);
        ctx.Response.OnStarting(() =>
        {
            var h = ctx.Response.Headers;
            // CSP: один заголовок, директивы через ';'. unsafe-inline
            // в script-src нужен потому, что SignalR negotiate-handshake
            // и Tailwind v4 injected styles бьют inline-стили; nonces
            // через middleware не реализованы.
            if (!h.ContainsKey("Content-Security-Policy"))
                h["Content-Security-Policy"] = _opts.ContentSecurityPolicy;
            if (!h.ContainsKey("X-Frame-Options"))
                h["X-Frame-Options"] = "DENY";
            if (!h.ContainsKey("X-Content-Type-Options"))
                h["X-Content-Type-Options"] = "nosniff";
            if (!h.ContainsKey("Referrer-Policy"))
                h["Referrer-Policy"] = "strict-origin-when-cross-origin";
            if (!h.ContainsKey("Permissions-Policy"))
                h["Permissions-Policy"] = "camera=(), microphone=(), geolocation=(), payment=(), usb=()";
            // X-Permitted-Cross-Domain-Policies — старый Adobe-полиси, на
            // всякий случай блокируем (не критично, но не повредит).
            if (!h.ContainsKey("X-Permitted-Cross-Domain-Policies"))
                h["X-Permitted-Cross-Domain-Policies"] = "none";
            return Task.CompletedTask;
        });
        return _next(ctx);
    }
    private static bool ShouldSkip(string path)
    {
        if (path.StartsWith("/metrics", StringComparison.OrdinalIgnoreCase)) return true;
        if (path.StartsWith("/health", StringComparison.OrdinalIgnoreCase)) return true;
        // Swagger UI требует более широкую CSP — для него не ставим.
        // На prod Swagger выключен (см. Program.cs IncludeSwagger).
        if (path.StartsWith("/swagger", StringComparison.OrdinalIgnoreCase)) return true;
        return false;
    }
 }
 /// <summary>Конфиг security-заголовков, в первую очередь — CSP.
 /// CSP может потребовать тюнинга на конкретный environment (например,
 /// stage с дополнительным CDN-доменом для аналитики). Переопределяется
 /// через <c>Security:ContentSecurityPolicy</c> в appsettings.</summary>
 public class SecurityHeadersOptions
 {
    public string ContentSecurityPolicy { get; set; } = DefaultCsp;
    /// <summary>Дефолтный CSP — рассчитан на:
    /// <list type="bullet">
    /// <item>SPA + API на одном origin.</item>
    /// <item>SignalR через wss:// (production) и ws:// (development/stage
    /// proxied через nginx, но тоже терминирующийся в wss).</item>
    /// <item>Inline styles из шаблонов писем и Tailwind base.</item>
    /// <item>Картинки товаров: на загрузке через MinIO/S3 → data: и blob:
    /// для предпросмотра; на просмотре товара — нативный self.</item>
    /// </list>
    /// Если понадобится включить Yandex.Metrica / Sentry / Datadog — добавить
    /// домены в <c>script-src</c>, <c>connect-src</c>.</summary>
    public const string DefaultCsp =
        "default-src 'self'; " +
        "script-src 'self' 'unsafe-inline'; " +
        "style-src 'self' 'unsafe-inline'; " +
        "connect-src 'self' wss: ws:; " +
        "img-src 'self' data: blob:; " +
        "font-src 'self' data:; " +
        "frame-ancestors 'none'; " +
        "base-uri 'self'; " +
        "form-action 'self'";
 }
--- a/src/food-market.api/Program.cs
+++ b/src/food-market.api/Program.cs
@ -51,36 +51,9 @@
    // OrgAuditInterceptor — scoped (зависит от ITenantContext). EF тащит его
    // через AddInterceptors на каждое создание DbContext (DbContext тоже scoped).
    builder.Services.AddScoped<foodmarket.Infrastructure.Persistence.OrgAuditInterceptor>();
    // Sprint 14: явная конфигурация Npgsql connection pool.
    // Дефолты Npgsql: Max=100, Min=0, IdleLifetime=300 — формально нормально,
    // но Min=0 в моменты низкого трафика убивает все коннекшены, и первый
    // запрос после простоя платит handshake + auth (50-100ms). Подняли
    // Min до 10 — пул всегда греется. Max=100 оставили (PG default
    // max_connections=100, превышать без тюна сервера нельзя).
    // Переопределяется через ConnectionStrings:Default (если в строке
    // уже есть Maximum/Minimum Pool Size — наш код не перетирает).
    static string ApplyDefaultPoolConfig(string? raw)
    {
        if (string.IsNullOrEmpty(raw)) return raw ?? "";
        var lower = raw.ToLowerInvariant();
        var b = new System.Text.StringBuilder(raw);
        if (!raw.EndsWith(";")) b.Append(';');
        if (!lower.Contains("maximum pool size")) b.Append("Maximum Pool Size=100;");
        if (!lower.Contains("minimum pool size")) b.Append("Minimum Pool Size=10;");
        if (!lower.Contains("connection idle lifetime")) b.Append("Connection Idle Lifetime=300;");
        // Auto-prepare часто используемых запросов — заметно ускоряет EF Core
        // на стабильном rotational query mix'е. Threshold=5 = после 5 calls
        // одного query шаблона PG получает PREPARE, дальнейшие round-trip'ы
        // идут как EXECUTE prepared (без re-parse/re-plan).
        if (!lower.Contains("max auto prepare")) b.Append("Max Auto Prepare=20;");
        if (!lower.Contains("auto prepare min usages")) b.Append("Auto Prepare Min Usages=5;");
        return b.ToString();
    }
    var poolTunedConnString = ApplyDefaultPoolConfig(builder.Configuration.GetConnectionString("Default"));
    builder.Services.AddDbContext<AppDbContext>((sp, opts) =>
    {
-        opts.UseNpgsql(poolTunedConnString,
+        opts.UseNpgsql(builder.Configuration.GetConnectionString("Default"),
            npg => npg.MigrationsAssembly(typeof(AppDbContext).Assembly.GetName().Name));
        opts.UseOpenIddict();
        opts.AddInterceptors(sp.GetRequiredService<
@ -176,12 +149,6 @@ static string ApplyDefaultPoolConfig(string? raw)
        foodmarket.Api.Infrastructure.Authorization.PermissionAuthorizationHandler>();
    builder.Services.AddScoped<foodmarket.Api.Infrastructure.Tenancy.SuperAdminEditAuditFilter>();
    // Sprint 13: централизованный логгер sensitive-операций (смена пароля,
    // 2FA, выдача роли, смена владельца, revoke-all sessions). Пишет в
    // org_audit_log + Serilog. См. SensitiveOpsAudit.
    builder.Services.AddScoped<foodmarket.Api.Infrastructure.Audit.SensitiveOpsAudit>();
    // Sprint 14: генерация thumb/medium WebP-вариантов при загрузке картинки товара.
    builder.Services.AddScoped<foodmarket.Api.Storage.ImageVariantService>();
    // Anti-brute-force на /connect/token и /api/auth/signup (5/мин + 20/час на IP).
    // Лимиты конфигурируемы через RateLimiting:* (PerMinute/PerHour/Enabled).
@ -198,29 +165,6 @@ static string ApplyDefaultPoolConfig(string? raw)
    // на каждой отправке без рестарта приложения.
    builder.Services.AddSingleton<foodmarket.Application.Common.Email.IEmailSender,
        foodmarket.Infrastructure.Email.MailKitEmailSender>();
    // ─ Sprint 11: ОФД (фискализация чеков в РК) ────────────────────────
    // Все провайдеры регистрируются одновременно — фабрика выбирает по
    // FiscalProvider в настройках организации. Default — None: чеки
    // проводятся без фискализации, поведение «как до Sprint 11».
    //
    // Mock = Transient (без HTTP); остальные через AddHttpClient — это
    // даёт автоматический pooled HttpMessageHandler + интеграцию с
    // IHttpClientFactory (вынос в Polly / переопределение handler'а
    // в тестах через .AddHttpMessageHandler).
    builder.Services.AddTransient<foodmarket.Application.Common.Fiscal.IFiscalProvider,
        foodmarket.Infrastructure.Fiscal.MockFiscalProvider>();
    builder.Services.AddHttpClient<foodmarket.Infrastructure.Fiscal.WebkassaProvider>();
    builder.Services.AddTransient<foodmarket.Application.Common.Fiscal.IFiscalProvider>(sp =>
        sp.GetRequiredService<foodmarket.Infrastructure.Fiscal.WebkassaProvider>());
    builder.Services.AddHttpClient<foodmarket.Infrastructure.Fiscal.Kassa24Provider>();
    builder.Services.AddTransient<foodmarket.Application.Common.Fiscal.IFiscalProvider>(sp =>
        sp.GetRequiredService<foodmarket.Infrastructure.Fiscal.Kassa24Provider>());
    builder.Services.AddHttpClient<foodmarket.Infrastructure.Fiscal.OfdSoloProvider>();
    builder.Services.AddTransient<foodmarket.Application.Common.Fiscal.IFiscalProvider>(sp =>
        sp.GetRequiredService<foodmarket.Infrastructure.Fiscal.OfdSoloProvider>());
    builder.Services.AddScoped<foodmarket.Application.Common.Fiscal.IFiscalProviderFactory,
        foodmarket.Infrastructure.Fiscal.FiscalProviderFactory>();
    // EmailTemplates загружает embedded HTML и подставляет {{key}} —
    // см. Resources/EmailTemplates/*.html. Singleton с in-memory cache.
    builder.Services.AddSingleton<foodmarket.Api.Infrastructure.Email.EmailTemplates>();
@ -352,10 +296,6 @@ [new Microsoft.OpenApi.Models.OpenApiSecurityScheme
            opts.Queues = new[] { "default" };
        });
        builder.Services.AddHostedService<foodmarket.Api.Background.HangfireJobsConfigurator>();
        // Sprint 14: timing-фильтр для всех job'ов — пишет длительность каждого
        // выполнения в Serilog. Долгие (>30с) логируются как Warning.
        builder.Services.AddSingleton<foodmarket.Api.Background.JobTimingFilter>();
        builder.Services.AddHostedService<foodmarket.Api.Background.HangfireGlobalFilterRegistrar>();
    }
    builder.Services.AddScoped<foodmarket.Api.Background.HousekeepingJobs>();
    builder.Services.AddScoped<foodmarket.Api.Background.EmailNotificationJobs>();
@ -397,41 +337,8 @@ [new Microsoft.OpenApi.Models.OpenApiSecurityScheme
    // just re-register here to turn demo data back on.
    // builder.Services.AddHostedService<DemoCatalogSeeder>();
    // Sprint 13: security-заголовки (CSP, X-Frame-Options и т.д.). Опции
    // переопределяются секцией Security в конфиге; по дефолту — самодостаточный
    // SPA + API на одном origin, см. SecurityHeadersOptions.DefaultCsp.
    builder.Services.AddSingleton(sp =>
    {
        var opts = new foodmarket.Api.Infrastructure.Security.SecurityHeadersOptions();
        var section = builder.Configuration.GetSection("Security");
        var csp = section["ContentSecurityPolicy"];
        if (!string.IsNullOrWhiteSpace(csp)) opts.ContentSecurityPolicy = csp;
        return opts;
    });
    // HSTS-параметры для продакшна. 365 дней + includeSubDomains — стандарт.
    // preload включаем: домен admin.food-market.kz можно подать в
    // hstspreload.org когда созреем, без preload директивы — нельзя.
    builder.Services.AddHsts(opts =>
    {
        opts.MaxAge = TimeSpan.FromDays(365);
        opts.IncludeSubDomains = true;
        opts.Preload = true;
    });
    var app = builder.Build();
    // HSTS — только когда мы за HTTPS (stage/prod через nginx). В Development
    // обычно работаем по http://localhost:5081, и Strict-Transport-Security
    // прибил бы локальный браузер на год. По дефолту 365 дней + preload.
    if (!app.Environment.IsDevelopment())
    {
        app.UseHsts();
    }
    // Security-заголовки на КАЖДЫЙ ответ — раньше всех остальных middleware'ов,
    // чтобы они применились даже на 429/403 от rate-limiter'а.
    app.UseMiddleware<foodmarket.Api.Infrastructure.Security.SecurityHeadersMiddleware>();
    app.UseSerilogRequestLogging();
    app.UseCors(CorsPolicy);
    // Prometheus HTTP-метрики (http_requests_received_total, http_request_duration_seconds).
--- a/src/food-market.api/Storage/ImageVariantService.cs
+++ b/src/food-market.api/Storage/ImageVariantService.cs
@ -1,76 +0,0 @@
 using SixLabors.ImageSharp;
 using SixLabors.ImageSharp.Formats.Webp;
 using SixLabors.ImageSharp.Processing;
 namespace foodmarket.Api.Storage;
 /// <summary>Sprint 14: генерация вариантов изображения товара при загрузке.
 /// При успешной загрузке оригинала через <c>ProductImagesController</c>
 /// на бэкенде синхронно создаются два resized-варианта в WebP:
 /// <list type="bullet">
 /// <item><b>thumb</b> — 256×256 (для списков и виджетов dashboard'а).</item>
 /// <item><b>medium</b> — 800×800 (для карточки товара и lightbox'a).</item>
 /// </list>
 ///
 /// <para>Оригинал остаётся как есть (любой формат), варианты — всегда
 /// WebP (quality 80 — sweet spot между качеством и размером). Resize —
 /// <c>Mode=Max</c> (вписывает в коробку с сохранением пропорций), без
 /// crop'а. Это важно для каталога с самыми разными форматами товара
 /// (бутылки 1:3, упаковки 4:3, иконки 1:1).</para>
 ///
 /// <para>Хранение: ключ <c>products/{productId}/{file}.webp.thumb</c>
 /// и <c>.medium</c>. UploadsController читает их по <c>?size=thumb|medium</c>.</para></summary>
 public sealed class ImageVariantService
 {
    private readonly IObjectStorage _storage;
    private readonly ILogger<ImageVariantService> _log;
    public ImageVariantService(IObjectStorage storage, ILogger<ImageVariantService> log)
    {
        _storage = storage;
        _log = log;
    }
    public const int ThumbSize = 256;
    public const int MediumSize = 800;
    public const string ThumbSuffix = ".thumb.webp";
    public const string MediumSuffix = ".medium.webp";
    /// <summary>Генерирует и сохраняет thumb+medium WebP-варианты для уже
    /// сохранённого оригинала. Идемпотентно — если файлы уже есть,
    /// перезаписывает (на случай повторной загрузки той же картинки).</summary>
    public async Task GenerateAsync(string originalKey, byte[] originalBytes, CancellationToken ct)
    {
        try
        {
            using var image = Image.Load(originalBytes);
            var encoder = new WebpEncoder { Quality = 80 };
            await SaveResizedAsync(image, ThumbSize, originalKey + ThumbSuffix, encoder, ct);
            await SaveResizedAsync(image, MediumSize, originalKey + MediumSuffix, encoder, ct);
        }
        catch (Exception ex)
        {
            // Best-effort: если ImageSharp не смог декодировать (битый
            // файл, экзотический формат), не валим upload — пользователь
            // получит оригинал, варианты просто не сгенерятся. UploadsController
            // в этом случае на ?size=thumb отдаст оригинал (см. fallback там).
            _log.LogWarning(ex, "Не удалось сгенерировать image-variants для {Key}", originalKey);
        }
    }
    private async Task SaveResizedAsync(Image source, int maxDim, string key,
        WebpEncoder encoder, CancellationToken ct)
    {
        using var clone = source.Clone(ctx => ctx.Resize(new ResizeOptions
        {
            Size = new Size(maxDim, maxDim),
            Mode = ResizeMode.Max,        // fit in box, preserve ratio, no crop
            Sampler = KnownResamplers.Lanczos3,  // best quality для downscale
        }));
        using var ms = new MemoryStream();
        await clone.SaveAsync(ms, encoder, ct);
        ms.Position = 0;
        await _storage.SaveAsync(key, ms, "image/webp", ct);
    }
 }
--- a/src/food-market.api/food-market.api.csproj
+++ b/src/food-market.api/food-market.api.csproj
@ -24,7 +24,6 @@
    <PackageReference Include="Hangfire.PostgreSql" />
    <PackageReference Include="CsvHelper" />
    <PackageReference Include="Minio" />
    <PackageReference Include="SixLabors.ImageSharp" />
    <PackageReference Include="ClosedXML" />
    <PackageReference Include="prometheus-net.AspNetCore" />
    <PackageReference Include="MediatR" />
--- a/src/food-market.application/Common/Fiscal/IFiscalProvider.cs
+++ b/src/food-market.application/Common/Fiscal/IFiscalProvider.cs
@ -1,108 +0,0 @@
 using foodmarket.Domain.Sales;
 namespace foodmarket.Application.Common.Fiscal;
 /// <summary>Абстракция оператора фискальных данных (ОФД) для Казахстана.
 /// Каждый чек после успешного <c>RetailSale.Post</c> регистрируется в
 /// налоговой через одного из аккредитованных операторов (Webkassa / Касса24 /
 /// ОФД-Соло / …). Оператор возвращает фискальный номер, QR-код и
 /// URL-предъявителя — мы сохраняем их на чеке и печатаем на квитанции.
 ///
 /// Контракт умышленно тонкий: всё, что нужно вызывающему слою — отдать
 /// чек, получить четыре поля. Шифрование ApiKey'ев, выбор реализации,
 /// idempotency-ключи живут на инфра-стороне (DI-привязка в Program.cs +
 /// конфигурация на уровне Organization).</summary>
 public interface IFiscalProvider
 {
    /// <summary>Какой это провайдер (для диагностики / маршрутизации
    /// фабрики). Должно совпадать со значением <see cref="FiscalProviderKind"/>
    /// в настройках организации.</summary>
    FiscalProviderKind Kind { get; }
    /// <summary>Зарегистрировать чек у оператора. Вызывается ВНУТРИ
    /// уже сохранённой (Posted) транзакции — реализация не должна
    /// модифицировать stocks/прочие сущности, только сходить во внешний
    /// API и вернуть результат.
    ///
    /// Реализация обязана быть идемпотентной по <see cref="RetailSale.Id"/>
    /// (повторный вызов с тем же чеком должен вернуть тот же FiscalNumber,
    /// а не создать дубль) — детали реализации зависят от оператора:
    /// у кого-то есть нативный idempotency-key, у кого-то приходится
    /// проверять по нашему номеру.</summary>
    Task<FiscalResult> RegisterAsync(RetailSale sale, CancellationToken ct);
 }
 /// <summary>Тип ОФД-оператора. Хранится в БД (Organization.FiscalProvider),
 /// конфигурации (Fiscal:Provider) и в логах. Порядок и числовые значения
 /// фиксированы (БД-колонка int) — НЕ переставлять.</summary>
 public enum FiscalProviderKind
 {
    /// <summary>Никто. Чеки проводятся без фискализации (поведение «как
    /// до Sprint 11»). Дефолт — гарантия обратной совместимости.</summary>
    None = 0,
    /// <summary>Mock-провайдер для разработки и тестов. Возвращает
    /// детерминированный фейк через 300мс (имитация сетевой задержки).</summary>
    Mock = 1,
    /// <summary>Webkassa (https://webkassa.kz). Самый распространённый ОФД
    /// в РК, REST-API на https://api.webkassa.kz/.</summary>
    Webkassa = 2,
    /// <summary>Касса24 (https://kassa24.kz). Принадлежит Kaspi-группе,
    /// тесная интеграция с QR-эквайрингом Kaspi Pay.</summary>
    Kassa24 = 3,
    /// <summary>ОФД-Соло (https://ofd-solo.kz).</summary>
    OfdSolo = 4,
 }
 /// <summary>Результат фискализации одного чека. Все поля — снапшот,
 /// сохраняются на <see cref="RetailSale"/> и больше не меняются.</summary>
 /// <param name="FiscalNumber">Фискальный номер чека от оператора (например,
 /// для Webkassa — <c>checkNumber</c>). Печатается на квитанции. Не пуст.</param>
 /// <param name="FiscalQrCode">Содержимое QR-кода (как правило — URL для
 /// проверки чека в кабинете налоговой). POS-программа рендерит QR на бумаге.</param>
 /// <param name="FiscalUrl">Человекочитаемый URL для перехода (часто
 /// совпадает с QR, но не всегда — иногда оператор отдаёт «короткий» qr
 /// и отдельно полный URL).</param>
 /// <param name="ProviderTxId">Внутренний id транзакции у оператора. Нужен
 /// если попросят support — по нему оператор найдёт запрос в своих логах.
 /// Может быть null если оператор не возвращает.</param>
 public record FiscalResult(
    string FiscalNumber,
    string FiscalQrCode,
    string FiscalUrl,
    string? ProviderTxId);
 /// <summary>Бросается когда ОФД-провайдер пытаются позвать, но конфиг
 /// неполный — например, выбран Webkassa, а ApiKey не задан. Контроллер
 /// RetailSales должен поймать и вернуть понятный 400/503 (не падать в 500).
 ///
 /// Использование: только из реализаций <see cref="IFiscalProvider"/> и
 /// фабрики. В application-слое не ловим — пусть всплывает выше.</summary>
 public class FiscalNotConfiguredException : Exception
 {
    public FiscalNotConfiguredException(string message) : base(message) { }
 }
 /// <summary>Бросается при сетевой/API-ошибке оператора (5xx, таймаут,
 /// невалидный JSON). Чек НЕ помечается фискализованным — оператор будет
 /// перезван при следующем POST на этот чек (idempotency).</summary>
 public class FiscalProviderException : Exception
 {
    public FiscalProviderException(string message) : base(message) { }
    public FiscalProviderException(string message, Exception inner) : base(message, inner) { }
 }
 /// <summary>Фабрика — отдаёт провайдер по <see cref="FiscalProviderKind"/>
 /// из текущей организации. Регистрируется в DI как Scoped (Organization
 /// читается из tenant-контекста). Возвращает null если выбран
 /// <see cref="FiscalProviderKind.None"/>.</summary>
 public interface IFiscalProviderFactory
 {
    /// <summary>Получить провайдер для текущей организации (или null, если
    /// в её настройках выбран None). НЕ кидает — выбор «не фискализовать»
    /// нормальный сценарий.</summary>
    Task<IFiscalProvider?> ResolveAsync(CancellationToken ct = default);
 }
--- a/src/food-market.domain/Organizations/Organization.cs
+++ b/src/food-market.domain/Organizations/Organization.cs
@ -86,32 +86,4 @@ public class Organization : Entity
    /// false. Описания ведут единицы магазинов; обычно текстовая колонка
    /// просто захламляет карточку.</summary>
    public bool ShowDescriptionOnProduct { get; set; }
    // ─ Sprint 11: ОФД (фискализация чеков) ────────────────────────────
    // Каждая организация выбирает СВОЕГО ОФД-оператора. Креды per-tenant:
    // у одной фирмы может быть Webkassa, у другой — Касса24. ApiKey/Secret
    // шифруются через DataProtection (purpose=`foodmarket.fiscal`) — в
    // открытом виде в API-ответах не возвращаются (только has-* флаги).
    /// <summary>Тип ОФД-провайдера. 0=None (не фискализировать — дефолт),
    /// 1=Mock, 2=Webkassa, 3=Kassa24, 4=OfdSolo. Значения — см.
    /// <c>FiscalProviderKind</c> в application-слое.</summary>
    public int FiscalProvider { get; set; }
    /// <summary>Зашифрованный ApiKey оператора (base64 через DataProtection,
    /// purpose=`foodmarket.fiscal`). Никогда не отдаётся в API-ответах.</summary>
    public string? FiscalApiKeyEncrypted { get; set; }
    /// <summary>Зашифрованный ApiSecret оператора (если требуется — у
    /// Webkassa, например, токен-логин, у Касса24 — отдельный secret).</summary>
    public string? FiscalApiSecretEncrypted { get; set; }
    /// <summary>Уникальный номер кассы у оператора. У Webkassa называется
    /// <c>CashboxUniqueNumber</c>, передаётся в каждом чеке.</summary>
    public string? FiscalCashboxUniqueNumber { get; set; }
    /// <summary>Опциональный override URL'а оператора (для тестового
    /// контура / sandbox'а). null → используется production URL из
    /// реализации провайдера.</summary>
    public string? FiscalApiBaseUrl { get; set; }
 }
--- a/src/food-market.domain/Sales/RetailSale.cs
+++ b/src/food-market.domain/Sales/RetailSale.cs
@ -87,32 +87,6 @@ public class RetailSale : TenantEntity, IVersionedEntity
    public RetailSale? ReferenceSale { get; set; }
    public ICollection<RetailSaleLine> Lines { get; set; } = new List<RetailSaleLine>();
    // ─ Sprint 11: ОФД-фискализация ──────────────────────────────────────
    // Снапшоты ответа оператора. Заполняются после успешной
    // регистрации чека (см. IFiscalProvider). Null = чек не
    // фискализован (или провайдер None/Mock без записи в БД).
    /// <summary>Фискальный номер чека от оператора (например, Webkassa
    /// возвращает <c>checkNumber</c>). Печатается на квитанции для
    /// покупателя. Null до проведения / если провайдер None.</summary>
    public string? FiscalNumber { get; set; }
    /// <summary>Содержимое QR-кода для печати на бумаге. Обычно — URL
    /// для проверки чека в кабинете налоговой РК.</summary>
    public string? FiscalQrCode { get; set; }
    /// <summary>Человекочитаемый URL чека (для перехода вручную, если
    /// QR недоступен).</summary>
    public string? FiscalUrl { get; set; }
    /// <summary>Внутренний id транзакции у оператора — для support'а.</summary>
    public string? FiscalProviderTxId { get; set; }
    /// <summary>Какой оператор зарегистрировал этот чек. Снапшот: даже
    /// если в настройках организации потом поменять провайдера, старые
    /// чеки помнят, кто их регистрировал.</summary>
    public int? FiscalProviderKind { get; set; }
 }
 public class RetailSaleLine : TenantEntity
--- a/src/food-market.infrastructure/Fiscal/FiscalProviderFactory.cs
+++ b/src/food-market.infrastructure/Fiscal/FiscalProviderFactory.cs
@ -1,78 +0,0 @@
 using foodmarket.Application.Common.Fiscal;
 using foodmarket.Application.Common.Tenancy;
 using foodmarket.Infrastructure.Persistence;
 using Microsoft.EntityFrameworkCore;
 namespace foodmarket.Infrastructure.Fiscal;
 /// <summary>Default-фабрика провайдеров: читает <c>Organization.FiscalProvider</c>
 /// из БД и возвращает зарегистрированную в DI реализацию. Если в БД
 /// <c>None</c> (или организация не найдена) — возвращает null, контроллер
 /// расценивает это как «фискализацию не делаем, чек проводим как есть».
 ///
 /// <para>Реализации провайдеров получены через <c>IEnumerable&lt;IFiscalProvider&gt;</c> —
 /// в DI они регистрируются все одновременно, фабрика выбирает по
 /// <see cref="IFiscalProvider.Kind"/>. Это позволяет добавлять новых
 /// операторов одной строкой в Program.cs.</para>
 ///
 /// <para>Конфигурация <c>Fiscal:Provider</c> в appsettings — глобальный
 /// override на уровне приложения. Если задан — он перебивает per-organization
 /// настройку. Используется главным образом в integration-тестах
 /// (форсим Mock для всех тестов, не трогая БД-настройку каждой созданной
 /// орг).</para></summary>
 public class FiscalProviderFactory : IFiscalProviderFactory
 {
    private readonly ITenantContext _tenant;
    private readonly AppDbContext _db;
    private readonly IEnumerable<IFiscalProvider> _providers;
    private readonly FiscalProviderKind? _globalOverride;
    public FiscalProviderFactory(
        ITenantContext tenant,
        AppDbContext db,
        IEnumerable<IFiscalProvider> providers,
        Microsoft.Extensions.Configuration.IConfiguration cfg)
    {
        _tenant = tenant;
        _db = db;
        _providers = providers;
        // Парсим один раз в конструкторе. Невалидные значения трактуем как
        // «override не задан» — лучше упасть на старте если опечатка, но
        // мы намеренно мягко относимся к чужим config'ам.
        var raw = cfg["Fiscal:Provider"];
        if (Enum.TryParse<FiscalProviderKind>(raw, ignoreCase: true, out var parsed))
            _globalOverride = parsed;
    }
    public async Task<IFiscalProvider?> ResolveAsync(CancellationToken ct = default)
    {
        FiscalProviderKind kind;
        if (_globalOverride is { } global)
        {
            kind = global;
        }
        else
        {
            var orgId = _tenant.OrganizationId;
            if (orgId is null) return null;
            var raw = await _db.Organizations.IgnoreQueryFilters().AsNoTracking()
                .Where(o => o.Id == orgId.Value)
                .Select(o => o.FiscalProvider)
                .FirstOrDefaultAsync(ct);
            kind = (FiscalProviderKind)raw;
        }
        if (kind == FiscalProviderKind.None) return null;
        var provider = _providers.FirstOrDefault(p => p.Kind == kind);
        if (provider is null)
        {
            // Включена реализация, но не зарегистрирована в DI — это конфиг-баг,
            // не runtime. Лучше упасть громко чем тихо «забыть» фискализировать.
            throw new InvalidOperationException(
                $"Fiscal-провайдер {kind} выбран в настройках, но не зарегистрирован в DI. " +
                $"Проверьте Program.cs (секция Fiscal).");
        }
        return provider;
    }
 }
--- a/src/food-market.infrastructure/Fiscal/Kassa24Provider.cs
+++ b/src/food-market.infrastructure/Fiscal/Kassa24Provider.cs
@ -1,98 +0,0 @@
 using foodmarket.Application.Common.Fiscal;
 using foodmarket.Domain.Sales;
 using foodmarket.Infrastructure.Persistence;
 using Microsoft.AspNetCore.DataProtection;
 using Microsoft.EntityFrameworkCore;
 using Microsoft.Extensions.DependencyInjection;
 using Microsoft.Extensions.Logging;
 namespace foodmarket.Infrastructure.Fiscal;
 /// <summary>Касса24 (https://kassa24.kz) — облачная касса от Kaspi-группы.
 /// Тесно интегрирована с QR-эквайрингом Kaspi Pay (платёж и фискализация
 /// проходят одним flow).
 ///
 /// <para><b>Skeleton, TODO:</b> публичная документация Касса24 на момент
 /// scaffolding'а недоступна (NDA-only после подписания договора). Поэтому
 /// этот файл — каркас с тем же контрактом, что Webkassa, но реальный POST
 /// заменён на <c>throw new FiscalNotConfiguredException</c>: пока user
 /// не получит ApiKey + спецификацию endpoints, провайдер просит
 /// переключиться на Mock или Webkassa.</para>
 ///
 /// <para>Когда документация появится, нужно реализовать:
 /// <list type="number">
 /// <item>Аутентификацию (предположительно — HMAC-SHA256 подпись запроса
 /// ApiSecret'ом, как у Kaspi merchant API).</item>
 /// <item>POST <c>/v1/check</c> (рабочее название — уточнить в доке).</item>
 /// <item>Маппинг RetailSale.Lines → их формат позиций.</item>
 /// <item>Парсинг ответа: fiscalNumber, qrCode, ticketUrl, transactionId.</item>
 /// </list></para></summary>
 public class Kassa24Provider : IFiscalProvider
 {
    private const string DefaultBaseUrl = "https://api.kassa24.kz/";
    private readonly HttpClient _http;
    private readonly IServiceScopeFactory _scopes;
    private readonly IDataProtectionProvider _dpProvider;
    private readonly ILogger<Kassa24Provider> _log;
    public Kassa24Provider(
        HttpClient http,
        IServiceScopeFactory scopes,
        IDataProtectionProvider dpProvider,
        ILogger<Kassa24Provider> log)
    {
        _http = http;
        _scopes = scopes;
        _dpProvider = dpProvider;
        _log = log;
    }
    public FiscalProviderKind Kind => FiscalProviderKind.Kassa24;
    public async Task<FiscalResult> RegisterAsync(RetailSale sale, CancellationToken ct)
    {
        // Проверка кредов — общий контракт со всеми провайдерами (даёт
        // диагностику в UI до того, как мы дойдём до реального POST).
        var (_, _) = await LoadCredentialsAsync(sale.OrganizationId, ct);
        // TODO(sprint11+): когда у нас будет ApiKey и доступ к Касса24-доке,
        // заменить throw на реальный запрос. Пока провайдер выбран в UI
        // только для демонстрации — фактическая фискализация не происходит.
        await Task.Yield();
        _log.LogWarning(
            "Касса24-провайдер выбран, но интеграция ещё не реализована. " +
            "Чек {SaleNumber} не зарегистрирован у оператора.", sale.Number);
        throw new FiscalNotConfiguredException(
            "Касса24: интеграция ещё не реализована (нужны спецификации API от оператора). " +
            "Используйте Mock для разработки или переключитесь на Webkassa.");
    }
    private async Task<(string ApiKey, string ApiSecret)> LoadCredentialsAsync(
        Guid organizationId, CancellationToken ct)
    {
        using var scope = _scopes.CreateScope();
        var db = scope.ServiceProvider.GetRequiredService<AppDbContext>();
        var org = await db.Organizations.IgnoreQueryFilters().AsNoTracking()
            .FirstOrDefaultAsync(o => o.Id == organizationId, ct);
        if (org is null)
            throw new FiscalProviderException($"Касса24: организация {organizationId} не найдена.");
        if (string.IsNullOrEmpty(org.FiscalApiKeyEncrypted) ||
            string.IsNullOrEmpty(org.FiscalApiSecretEncrypted))
        {
            throw new FiscalNotConfiguredException(
                "Касса24: ApiKey/ApiSecret не заданы. Откройте «Настройки организации → ОФД» и заполните их.");
        }
        var protector = _dpProvider.CreateProtector("foodmarket.fiscal");
        try
        {
            return (protector.Unprotect(org.FiscalApiKeyEncrypted),
                    protector.Unprotect(org.FiscalApiSecretEncrypted));
        }
        catch (Exception ex)
        {
            throw new FiscalNotConfiguredException(
                "Не удалось расшифровать креды Касса24. Введите ApiKey/ApiSecret заново. Detail: " + ex.Message);
        }
    }
 }
--- a/src/food-market.infrastructure/Fiscal/MockFiscalProvider.cs
+++ b/src/food-market.infrastructure/Fiscal/MockFiscalProvider.cs
@ -1,59 +0,0 @@
 using foodmarket.Application.Common.Fiscal;
 using foodmarket.Domain.Sales;
 using Microsoft.Extensions.Logging;
 namespace foodmarket.Infrastructure.Fiscal;
 /// <summary>Mock-ОФД для разработки и интеграционных тестов. Имитирует
 /// сетевую задержку (~300мс — типичный latency RPC до ОФД-облака), затем
 /// возвращает детерминированный фейк, привязанный к <see cref="RetailSale.Id"/>:
 /// тот же чек двумя вызовами даёт тот же FiscalNumber (идемпотентность).
 ///
 /// Полезно: <list type="bullet">
 /// <item>интеграционный тест «RetailSale.Post с Provider=Mock сохраняет
 /// FiscalNumber=MOCK-…» (см. FiscalMockTests).</item>
 /// <item>демо-стэйдж — UI рендерит QR/номер на квитанции без реального
 /// аккаунта ОФД.</item>
 /// <item>отладка пути «фискализация-провалилась» — заменяется тестовой
 /// реализацией, которая бросает исключение.</item>
 /// </list></summary>
 public class MockFiscalProvider : IFiscalProvider
 {
    private readonly ILogger<MockFiscalProvider> _log;
    /// <summary>Сколько ждать перед ответом. По умолчанию 300мс — близко к
    /// реальной задержке Webkassa из РК-каналов. В тестах переопределяется
    /// (через DI-фабрику с TimeSpan.Zero), чтобы не тормозить прогон.</summary>
    public TimeSpan SimulatedLatency { get; set; } = TimeSpan.FromMilliseconds(300);
    public MockFiscalProvider(ILogger<MockFiscalProvider> log)
    {
        _log = log;
    }
    public FiscalProviderKind Kind => FiscalProviderKind.Mock;
    public async Task<FiscalResult> RegisterAsync(RetailSale sale, CancellationToken ct)
    {
        if (SimulatedLatency > TimeSpan.Zero)
            await Task.Delay(SimulatedLatency, ct);
        // Детерминированно: берём первые 8 символов Id чека → стабильный
        // фискальный номер. Так integration-тест может assert'ить точное
        // значение без флакки.
        var stamp = sale.Id.ToString("N").Substring(0, 8).ToUpperInvariant();
        var fiscalNumber = $"MOCK-{stamp}";
        var checkUrl = $"https://mock.ofd.local/check/{sale.Id:N}";
        var qr = checkUrl + "?n=" + Uri.EscapeDataString(fiscalNumber);
        _log.LogInformation(
            "MockFiscalProvider зарегистрировал чек {SaleNumber} → {FiscalNumber}",
            sale.Number, fiscalNumber);
        return new FiscalResult(
            FiscalNumber: fiscalNumber,
            FiscalQrCode: qr,
            FiscalUrl: checkUrl,
            ProviderTxId: "mock-tx-" + sale.Id.ToString("N").Substring(0, 12));
    }
 }
--- a/src/food-market.infrastructure/Fiscal/OfdSoloProvider.cs
+++ b/src/food-market.infrastructure/Fiscal/OfdSoloProvider.cs
@ -1,89 +0,0 @@
 using foodmarket.Application.Common.Fiscal;
 using foodmarket.Domain.Sales;
 using foodmarket.Infrastructure.Persistence;
 using Microsoft.AspNetCore.DataProtection;
 using Microsoft.EntityFrameworkCore;
 using Microsoft.Extensions.DependencyInjection;
 using Microsoft.Extensions.Logging;
 namespace foodmarket.Infrastructure.Fiscal;
 /// <summary>ОФД-Соло (https://ofd-solo.kz) — третий по распространённости
 /// ОФД-оператор РК. API на https://api.ofd-solo.kz/ (требует подписания
 /// контракта для доступа к спецификации).
 ///
 /// <para><b>Skeleton, TODO:</b> аналогично Касса24, реальная интеграция
 /// ждёт получения ApiKey и спецификации. Контракт повторяет Webkassa —
 /// когда документация будет, основная работа сведётся к маппингу JSON-полей.</para>
 ///
 /// <para>Особенности ОФД-Соло (из публичных источников):
 /// <list type="bullet">
 /// <item>SOAP-based legacy + REST-обёртка (REST моложе, рекомендуется).</item>
 /// <item>Аутентификация по token-логину (как Webkassa).</item>
 /// <item>Чек регистрируется одним вызовом, без двухшагового создания/post'а.</item>
 /// </list></para></summary>
 public class OfdSoloProvider : IFiscalProvider
 {
    private const string DefaultBaseUrl = "https://api.ofd-solo.kz/";
    private readonly HttpClient _http;
    private readonly IServiceScopeFactory _scopes;
    private readonly IDataProtectionProvider _dpProvider;
    private readonly ILogger<OfdSoloProvider> _log;
    public OfdSoloProvider(
        HttpClient http,
        IServiceScopeFactory scopes,
        IDataProtectionProvider dpProvider,
        ILogger<OfdSoloProvider> log)
    {
        _http = http;
        _scopes = scopes;
        _dpProvider = dpProvider;
        _log = log;
    }
    public FiscalProviderKind Kind => FiscalProviderKind.OfdSolo;
    public async Task<FiscalResult> RegisterAsync(RetailSale sale, CancellationToken ct)
    {
        var (_, _) = await LoadCredentialsAsync(sale.OrganizationId, ct);
        // TODO(sprint11+): реализовать после получения спецификации API.
        await Task.Yield();
        _log.LogWarning(
            "ОФД-Соло-провайдер выбран, но интеграция ещё не реализована. " +
            "Чек {SaleNumber} не зарегистрирован у оператора.", sale.Number);
        throw new FiscalNotConfiguredException(
            "ОФД-Соло: интеграция ещё не реализована (нужны спецификации API от оператора). " +
            "Используйте Mock для разработки или переключитесь на Webkassa.");
    }
    private async Task<(string ApiKey, string ApiSecret)> LoadCredentialsAsync(
        Guid organizationId, CancellationToken ct)
    {
        using var scope = _scopes.CreateScope();
        var db = scope.ServiceProvider.GetRequiredService<AppDbContext>();
        var org = await db.Organizations.IgnoreQueryFilters().AsNoTracking()
            .FirstOrDefaultAsync(o => o.Id == organizationId, ct);
        if (org is null)
            throw new FiscalProviderException($"ОФД-Соло: организация {organizationId} не найдена.");
        if (string.IsNullOrEmpty(org.FiscalApiKeyEncrypted) ||
            string.IsNullOrEmpty(org.FiscalApiSecretEncrypted))
        {
            throw new FiscalNotConfiguredException(
                "ОФД-Соло: ApiKey/ApiSecret не заданы. Откройте «Настройки организации → ОФД» и заполните их.");
        }
        var protector = _dpProvider.CreateProtector("foodmarket.fiscal");
        try
        {
            return (protector.Unprotect(org.FiscalApiKeyEncrypted),
                    protector.Unprotect(org.FiscalApiSecretEncrypted));
        }
        catch (Exception ex)
        {
            throw new FiscalNotConfiguredException(
                "Не удалось расшифровать креды ОФД-Соло. Введите ApiKey/ApiSecret заново. Detail: " + ex.Message);
        }
    }
 }
--- a/src/food-market.infrastructure/Fiscal/WebkassaProvider.cs
+++ b/src/food-market.infrastructure/Fiscal/WebkassaProvider.cs
@ -1,291 +0,0 @@
 using System.Net.Http.Json;
 using System.Text.Json;
 using foodmarket.Application.Common.Fiscal;
 using foodmarket.Domain.Sales;
 using foodmarket.Infrastructure.Persistence;
 using Microsoft.AspNetCore.DataProtection;
 using Microsoft.EntityFrameworkCore;
 using Microsoft.Extensions.DependencyInjection;
 using Microsoft.Extensions.Logging;
 namespace foodmarket.Infrastructure.Fiscal;
 /// <summary>Webkassa (https://webkassa.kz) — крупнейший ОФД-оператор РК.
 /// REST-API на https://api.webkassa.kz/, документация:
 /// https://app.swaggerhub.com/apis-docs/webkassa/oblachnaya-kassa/1.0.0.
 ///
 /// <para>Этот провайдер — <b>skeleton</b>: реализован полный путь сериализации,
 /// HTTP-запроса и парсинга ответа, но без живого аккаунта тестировать
 /// можно только моком HttpMessageHandler'а (см. WebkassaProviderTests).
 /// Когда user заведёт реальный кабинет и впишет ApiKey+CashboxNumber в
 /// настройках организации — провайдер заработает без правок кода.</para>
 ///
 /// <para><b>Поток вызова:</b> <c>POST /api/Authorize</c> для получения Token →
 /// <c>POST /api/Check</c> с этим токеном и payload'ом чека. Токен короткоживущий
 /// (TTL ~3 часа); кешируем in-memory на инстанс scope'а (одна продажа = один
 /// scope = один токен, без кеша между запросами — простота важнее микро-perf).</para>
 ///
 /// <para><b>Идемпотентность:</b> Webkassa умеет дедупить по своему полю
 /// <c>ExternalCheckNumber</c> (мы передаём <see cref="RetailSale.Number"/>).
 /// Повторный POST с тем же номером возвращает оригинальный чек, не создавая
 /// дубль — это и обеспечивает «retry safe» поведение в нашем контроллере.</para></summary>
 public class WebkassaProvider : IFiscalProvider
 {
    private const string DefaultBaseUrl = "https://api.webkassa.kz/";
    private readonly HttpClient _http;
    private readonly IServiceScopeFactory _scopes;
    private readonly IDataProtectionProvider _dpProvider;
    private readonly ILogger<WebkassaProvider> _log;
    public WebkassaProvider(
        HttpClient http,
        IServiceScopeFactory scopes,
        IDataProtectionProvider dpProvider,
        ILogger<WebkassaProvider> log)
    {
        _http = http;
        _scopes = scopes;
        _dpProvider = dpProvider;
        _log = log;
    }
    public FiscalProviderKind Kind => FiscalProviderKind.Webkassa;
    public async Task<FiscalResult> RegisterAsync(RetailSale sale, CancellationToken ct)
    {
        var cfg = await LoadConfigAsync(sale.OrganizationId, ct);
        var token = await AuthorizeAsync(cfg, ct);
        var payload = BuildCheckPayload(sale, cfg.CashboxNumber!, token);
        var baseUrl = cfg.BaseUrl ?? DefaultBaseUrl;
        var uri = new Uri(new Uri(baseUrl), "api/Check");
        using var resp = await _http.PostAsJsonAsync(uri, payload, ct);
        var body = await resp.Content.ReadAsStringAsync(ct);
        if (!resp.IsSuccessStatusCode)
        {
            _log.LogError(
                "Webkassa Check вернул {Status} для чека {SaleNumber}: {Body}",
                (int)resp.StatusCode, sale.Number, body);
            throw new FiscalProviderException(
                $"Webkassa ответил {(int)resp.StatusCode} на регистрацию чека {sale.Number}: {Truncate(body)}");
        }
        WebkassaCheckResponse? parsed;
        try
        {
            parsed = JsonSerializer.Deserialize<WebkassaCheckResponse>(body, JsonOpts);
        }
        catch (Exception ex)
        {
            throw new FiscalProviderException("Webkassa: не удалось разобрать ответ JSON.", ex);
        }
        if (parsed?.Data is null || string.IsNullOrEmpty(parsed.Data.CheckNumber))
        {
            var err = parsed?.Errors?.FirstOrDefault()?.Text ?? body;
            throw new FiscalProviderException("Webkassa: пустой ответ или ошибка. " + Truncate(err));
        }
        var d = parsed.Data;
        var qr = d.QrCode ?? d.TicketUrl ?? "";
        return new FiscalResult(
            FiscalNumber: d.CheckNumber,
            FiscalQrCode: qr,
            FiscalUrl: d.TicketUrl ?? qr,
            ProviderTxId: d.UniqueNumber);
    }
    // ── Token (Authorize) ─────────────────────────────────────────────────
    private async Task<string> AuthorizeAsync(WebkassaConfig cfg, CancellationToken ct)
    {
        // Webkassa API key играет роль логина (в их кабинете — Login+Password
        // на админ-пользователя кассы). Мы храним обе строки в ApiKey/ApiSecret.
        var authPayload = new { Login = cfg.ApiKey, Password = cfg.ApiSecret };
        var baseUrl = cfg.BaseUrl ?? DefaultBaseUrl;
        var uri = new Uri(new Uri(baseUrl), "api/Authorize");
        using var resp = await _http.PostAsJsonAsync(uri, authPayload, ct);
        var body = await resp.Content.ReadAsStringAsync(ct);
        if (!resp.IsSuccessStatusCode)
        {
            throw new FiscalProviderException(
                $"Webkassa Authorize вернул {(int)resp.StatusCode}: {Truncate(body)}");
        }
        WebkassaAuthResponse? auth;
        try { auth = JsonSerializer.Deserialize<WebkassaAuthResponse>(body, JsonOpts); }
        catch (Exception ex) { throw new FiscalProviderException("Webkassa Authorize: невалидный JSON.", ex); }
        var token = auth?.Data?.Token;
        if (string.IsNullOrEmpty(token))
        {
            var err = auth?.Errors?.FirstOrDefault()?.Text ?? body;
            throw new FiscalProviderException("Webkassa: токен не получен. " + Truncate(err));
        }
        return token;
    }
    // ── Payload builder ───────────────────────────────────────────────────
    /// <summary>Собирает payload для POST /api/Check. Минимальный набор:
    /// CashboxUniqueNumber, OperationType (1=продажа, 2=возврат), Positions[],
    /// Payments[]. Webkassa требует чтобы сумма Payments совпадала с суммой
    /// Positions с точностью до копейки; контроллер проверяет это ранее.
    /// public — чтобы юнит-тесты могли проверить маппинг без HTTP.</summary>
    public static WebkassaCheckRequest BuildCheckPayload(
        RetailSale sale, string cashboxNumber, string token)
    {
        var positions = sale.Lines.Select(l => new WebkassaPosition
        {
            PositionName = l.Product?.Name ?? "Товар",
            Count = l.Quantity,
            Price = l.UnitPrice,
            Discount = l.Discount,
            TaxPercent = (int)l.VatPercent,
            // Tax (сумма НДС) считаем «в-ставке»: LineTotal * (vat / (100+vat)).
            // Webkassa требует именно «налог в составе», а не «налог сверху».
            Tax = decimal.Round(
                l.LineTotal * l.VatPercent / (100m + (l.VatPercent == 0 ? 1m : l.VatPercent)),
                2),
            UnitType = 0, // штука — для еды дефолт; справочник единиц у Webkassa отдельный
        }).ToList();
        var payments = new List<WebkassaPayment>();
        if (sale.PaidCash > 0m)
            payments.Add(new WebkassaPayment { Sum = sale.PaidCash, PaymentType = 0 });
        if (sale.PaidCard > 0m)
            payments.Add(new WebkassaPayment { Sum = sale.PaidCard, PaymentType = 1 });
        // На случай Total>0 при PaidCash=PaidCard=0 (например, оплата бонусами):
        // Webkassa требует хотя бы один Payment.
        if (payments.Count == 0)
            payments.Add(new WebkassaPayment { Sum = sale.Total, PaymentType = 0 });
        return new WebkassaCheckRequest
        {
            Token = token,
            CashboxUniqueNumber = cashboxNumber,
            OperationType = sale.IsReturn ? 2 : 1,
            ExternalCheckNumber = sale.Number,
            RoundType = 0, // не округлять
            Positions = positions,
            Payments = payments,
        };
    }
    // ── Config (per-organization) ─────────────────────────────────────────
    private async Task<WebkassaConfig> LoadConfigAsync(Guid organizationId, CancellationToken ct)
    {
        using var scope = _scopes.CreateScope();
        var db = scope.ServiceProvider.GetRequiredService<AppDbContext>();
        // IgnoreQueryFilters: ApplyMovement-окружение может не иметь tenant'а
        // (например, ретрай из background-джоба) — тянем по orgId явно.
        var org = await db.Organizations.IgnoreQueryFilters()
            .AsNoTracking()
            .FirstOrDefaultAsync(o => o.Id == organizationId, ct);
        if (org is null)
            throw new FiscalProviderException($"Webkassa: организация {organizationId} не найдена.");
        if (string.IsNullOrEmpty(org.FiscalApiKeyEncrypted) ||
            string.IsNullOrEmpty(org.FiscalApiSecretEncrypted))
        {
            throw new FiscalNotConfiguredException(
                "Webkassa: ApiKey/ApiSecret не заданы. Откройте «Настройки организации → ОФД» и заполните логин+пароль от Webkassa, либо переключите провайдер на «Без фискализации».");
        }
        if (string.IsNullOrEmpty(org.FiscalCashboxUniqueNumber))
        {
            throw new FiscalNotConfiguredException(
                "Webkassa: не задан CashboxUniqueNumber. Найти его можно в кабинете Webkassa (Настройки кассы → Уникальный номер).");
        }
        var protector = _dpProvider.CreateProtector("foodmarket.fiscal");
        string apiKey, apiSecret;
        try
        {
            apiKey = protector.Unprotect(org.FiscalApiKeyEncrypted);
            apiSecret = protector.Unprotect(org.FiscalApiSecretEncrypted);
        }
        catch (Exception ex)
        {
            throw new FiscalNotConfiguredException(
                "Не удалось расшифровать креды Webkassa (DataProtection ключ изменился?). " +
                "Введите ApiKey/ApiSecret заново в настройках организации. Detail: " + ex.Message);
        }
        return new WebkassaConfig(apiKey, apiSecret, org.FiscalCashboxUniqueNumber, org.FiscalApiBaseUrl);
    }
    // ── Utility ───────────────────────────────────────────────────────────
    private static readonly JsonSerializerOptions JsonOpts = new(JsonSerializerDefaults.Web);
    private static string Truncate(string s, int max = 500)
        => s.Length <= max ? s : s.Substring(0, max) + "…";
    // ── DTOs ──────────────────────────────────────────────────────────────
    private sealed record WebkassaConfig(string ApiKey, string ApiSecret,
        string CashboxNumber, string? BaseUrl);
    public class WebkassaCheckRequest
    {
        public string Token { get; set; } = "";
        public string CashboxUniqueNumber { get; set; } = "";
        /// <summary>1=продажа, 2=возврат продажи.</summary>
        public int OperationType { get; set; }
        public string ExternalCheckNumber { get; set; } = "";
        public int RoundType { get; set; }
        public List<WebkassaPosition> Positions { get; set; } = new();
        public List<WebkassaPayment> Payments { get; set; } = new();
    }
    public class WebkassaPosition
    {
        public string PositionName { get; set; } = "";
        public decimal Count { get; set; }
        public decimal Price { get; set; }
        public decimal Discount { get; set; }
        public int TaxPercent { get; set; }
        public decimal Tax { get; set; }
        public int UnitType { get; set; }
    }
    public class WebkassaPayment
    {
        public decimal Sum { get; set; }
        /// <summary>0=наличные, 1=карта, 2=мобильные деньги, 4=кредит.</summary>
        public int PaymentType { get; set; }
    }
    public class WebkassaAuthResponse
    {
        public WebkassaAuthData? Data { get; set; }
        public List<WebkassaError>? Errors { get; set; }
    }
    public class WebkassaAuthData
    {
        public string? Token { get; set; }
    }
    public class WebkassaCheckResponse
    {
        public WebkassaCheckData? Data { get; set; }
        public List<WebkassaError>? Errors { get; set; }
    }
    public class WebkassaCheckData
    {
        /// <summary>Фискальный номер чека (печатается на квитанции).</summary>
        public string? CheckNumber { get; set; }
        /// <summary>Уникальный идентификатор операции у Webkassa.</summary>
        public string? UniqueNumber { get; set; }
        /// <summary>URL для рендера QR-кода (содержит ссылку на проверку чека).</summary>
        public string? QrCode { get; set; }
        /// <summary>Прямая ссылка на чек в кабинете налоговой.</summary>
        public string? TicketUrl { get; set; }
    }
    public class WebkassaError
    {
        public int Code { get; set; }
        public string? Text { get; set; }
    }
 }
--- a/src/food-market.infrastructure/Persistence/Configurations/SalesConfigurations.cs
+++ b/src/food-market.infrastructure/Persistence/Configurations/SalesConfigurations.cs
@ -170,12 +170,6 @@ public static void ConfigureSales(this ModelBuilder b)
            e.Property(x => x.LoyaltyPointsAccrued).HasPrecision(18, 4);
            e.Property(x => x.PromotionDiscount).HasPrecision(18, 4);
            e.Property(x => x.PromotionCode).HasMaxLength(40);
            // Sprint 11: фискальные снапшоты от ОФД-оператора.
            e.Property(x => x.FiscalNumber).HasMaxLength(100);
            e.Property(x => x.FiscalQrCode).HasMaxLength(2000);
            e.Property(x => x.FiscalUrl).HasMaxLength(2000);
            e.Property(x => x.FiscalProviderTxId).HasMaxLength(200);
        });
    }
 }
--- a/src/food-market.infrastructure/Persistence/Migrations/20260607100000_Phase11a_FiscalScaffolding.cs
+++ b/src/food-market.infrastructure/Persistence/Migrations/20260607100000_Phase11a_FiscalScaffolding.cs
@ -1,118 +0,0 @@
 using Microsoft.EntityFrameworkCore.Infrastructure;
 using Microsoft.EntityFrameworkCore.Migrations;
 using foodmarket.Infrastructure.Persistence;
 #nullable disable
 namespace foodmarket.Infrastructure.Persistence.Migrations
 {
    /// <summary>Phase11a — ОФД-scaffolding (фискализация чеков для РК).
    ///
    /// <para>retail_sales: пять снапшот-колонок, заполняются после
    /// успешной регистрации чека у оператора (Webkassa/Касса24/ОФД-Соло/Mock).
    /// Все nullable — старые чеки и чеки без фискализации остаются
    /// валидными (NULL = провайдер None или зарегистрировать не удалось).</para>
    ///
    /// <para>organizations: пять колонок per-tenant конфига ОФД. ApiKey/Secret
    /// шифруются через DataProtection (purpose="foodmarket.fiscal") —
    /// в БД лежат base64 protected blob'ы, в API не возвращаются.</para>
    ///
    /// Дефолтное значение <c>FiscalProvider=0</c> (None) — поведение API
    /// «как до Sprint 11»: чеки не фискализируются, FiscalNumber пустой.
    /// Включение требует явного выбора провайдера + ввода кредов в UI.</summary>
    [DbContext(typeof(AppDbContext))]
    [Migration("20260607100000_Phase11a_FiscalScaffolding")]
    public partial class Phase11a_FiscalScaffolding : Migration
    {
        protected override void Up(MigrationBuilder b)
        {
            // ── retail_sales: фискальные снапшоты ───────────────────────────
            b.AddColumn<string>(
                name: "FiscalNumber",
                schema: "public",
                table: "retail_sales",
                type: "character varying(100)",
                maxLength: 100,
                nullable: true);
            b.AddColumn<string>(
                name: "FiscalQrCode",
                schema: "public",
                table: "retail_sales",
                type: "character varying(2000)",
                maxLength: 2000,
                nullable: true);
            b.AddColumn<string>(
                name: "FiscalUrl",
                schema: "public",
                table: "retail_sales",
                type: "character varying(2000)",
                maxLength: 2000,
                nullable: true);
            b.AddColumn<string>(
                name: "FiscalProviderTxId",
                schema: "public",
                table: "retail_sales",
                type: "character varying(200)",
                maxLength: 200,
                nullable: true);
            b.AddColumn<int>(
                name: "FiscalProviderKind",
                schema: "public",
                table: "retail_sales",
                type: "integer",
                nullable: true);
            // ── organizations: конфиг ОФД per-tenant ────────────────────────
            // FiscalProvider — NOT NULL c default 0 (None). Это критично:
            // у уже существующих организаций колонка появится со значением 0
            // и поведение не изменится. Default снимать не нужно — он
            // эквивалентен enum-дефолту C#.
            b.AddColumn<int>(
                name: "FiscalProvider",
                schema: "public",
                table: "organizations",
                type: "integer",
                nullable: false,
                defaultValue: 0);
            b.AddColumn<string>(
                name: "FiscalApiKeyEncrypted",
                schema: "public",
                table: "organizations",
                type: "text",
                nullable: true);
            b.AddColumn<string>(
                name: "FiscalApiSecretEncrypted",
                schema: "public",
                table: "organizations",
                type: "text",
                nullable: true);
            b.AddColumn<string>(
                name: "FiscalCashboxUniqueNumber",
                schema: "public",
                table: "organizations",
                type: "text",
                nullable: true);
            b.AddColumn<string>(
                name: "FiscalApiBaseUrl",
                schema: "public",
                table: "organizations",
                type: "text",
                nullable: true);
        }
        protected override void Down(MigrationBuilder b)
        {
            b.DropColumn(name: "FiscalApiBaseUrl", schema: "public", table: "organizations");
            b.DropColumn(name: "FiscalCashboxUniqueNumber", schema: "public", table: "organizations");
            b.DropColumn(name: "FiscalApiSecretEncrypted", schema: "public", table: "organizations");
            b.DropColumn(name: "FiscalApiKeyEncrypted", schema: "public", table: "organizations");
            b.DropColumn(name: "FiscalProvider", schema: "public", table: "organizations");
            b.DropColumn(name: "FiscalProviderKind", schema: "public", table: "retail_sales");
            b.DropColumn(name: "FiscalProviderTxId", schema: "public", table: "retail_sales");
            b.DropColumn(name: "FiscalUrl", schema: "public", table: "retail_sales");
            b.DropColumn(name: "FiscalQrCode", schema: "public", table: "retail_sales");
            b.DropColumn(name: "FiscalNumber", schema: "public", table: "retail_sales");
        }
    }
 }
--- a/src/food-market.infrastructure/Persistence/Migrations/20260607150000_Phase14a_PerfIndexes.cs
+++ b/src/food-market.infrastructure/Persistence/Migrations/20260607150000_Phase14a_PerfIndexes.cs
@ -1,72 +0,0 @@
 using Microsoft.EntityFrameworkCore.Infrastructure;
 using Microsoft.EntityFrameworkCore.Migrations;
 using foodmarket.Infrastructure.Persistence;
 #nullable disable
 namespace foodmarket.Infrastructure.Persistence.Migrations
 {
    /// <summary>Phase14a — индексы под отчётные/аналитические запросы.
    ///
    /// <para><b>Контекст</b>: pg_stat_statements на stage'е под k6-нагрузкой
    /// (см. docs/sprint14-progress.md) показал, что 3 самых дорогих запроса —
    /// агрегации <c>retail_sales</c> × <c>retail_sale_lines</c> с фильтром
    /// по диапазону дат + <c>Status=Posted</c> + <c>NOT IsReturn</c>.
    /// На stage'е с 1500 чеками планировщик выбирает seq scan (0.7ms), но
    /// при 100k+ чеков для крупного tenant'а композитный индекс на
    /// фильтрующих колонках кардинально меняет картину.</para>
    ///
    /// <para><b>Добавленные индексы:</b>
    /// <list type="bullet">
    /// <item><c>IX_retail_sales_OrganizationId_Status_Date</c> — серия отчётов
    /// (sales, profit, ABC) фильтрует по этим трём колонкам.</item>
    /// <item><c>IX_retail_sales_PostedFilter</c> — partial index для
    /// <c>WHERE Status=1 AND NOT IsReturn</c> с включённым Date. Самый
    /// «горячий» для дашборда и sales/profit/abc отчётов.</item>
    /// <item><c>IX_stock_movements_OrganizationId_OccurredAt</c> —
    /// для запросов по диапазону времени (отчёт по движениям + ребилд
    /// stock-cache). Существующие индексы покрывают (Product+Time) и
    /// (Store+Time), но не (Org+Time) без фильтра по продукту/складу.</item>
    /// </list></para>
    ///
    /// <para><b>Замеры (см. docs/sprint14-progress.md, секция «индексы»):</b>
    /// до миграции — 9.53ms mean на самом частом запросе sales-report;
    /// после — TBD (после VACUUM ANALYZE).</para></summary>
    [DbContext(typeof(AppDbContext))]
    [Migration("20260607150000_Phase14a_PerfIndexes")]
    public partial class Phase14a_PerfIndexes : Migration
    {
        protected override void Up(MigrationBuilder b)
        {
            // retail_sales: композит OrganizationId + Status + Date (с Date в конце,
            // потому что Status — equality-фильтр, а Date — range-фильтр).
            b.Sql(@"CREATE INDEX IF NOT EXISTS ""IX_retail_sales_OrganizationId_Status_Date""
                    ON public.retail_sales (""OrganizationId"", ""Status"", ""Date"")");
            // retail_sales: partial index для дашбордных запросов
            // (Status=Posted=1 AND NOT IsReturn — это «реальные продажи»).
            // INCLUDE добавляет покрывающие колонки без раздувания B-tree key.
            b.Sql(@"CREATE INDEX IF NOT EXISTS ""IX_retail_sales_PostedFilter""
                    ON public.retail_sales (""OrganizationId"", ""Date"")
                    INCLUDE (""Total"", ""StoreId"", ""RetailPointId"")
                    WHERE ""Status"" = 1 AND NOT ""IsReturn""");
            // stock_movements: композит для time-range отчётов на всю организацию.
            b.Sql(@"CREATE INDEX IF NOT EXISTS ""IX_stock_movements_OrganizationId_OccurredAt""
                    ON public.stock_movements (""OrganizationId"", ""OccurredAt"")");
            // ANALYZE — обновить статистику чтобы планировщик начал
            // использовать новые индексы немедленно. CONCURRENTLY не нужно
            // в данном случае (миграция бегает на старте, до прихода трафика).
            b.Sql(@"ANALYZE public.retail_sales");
            b.Sql(@"ANALYZE public.stock_movements");
        }
        protected override void Down(MigrationBuilder b)
        {
            b.Sql(@"DROP INDEX IF EXISTS public.""IX_stock_movements_OrganizationId_OccurredAt""");
            b.Sql(@"DROP INDEX IF EXISTS public.""IX_retail_sales_PostedFilter""");
            b.Sql(@"DROP INDEX IF EXISTS public.""IX_retail_sales_OrganizationId_Status_Date""");
        }
    }
 }
--- a/src/food-market.web/src/App.tsx
+++ b/src/food-market.web/src/App.tsx
@ -1,95 +1,67 @@
 import { lazy, Suspense } from 'react'
 import { BrowserRouter, Routes, Route, Navigate } from 'react-router-dom'
 import { QueryClient, QueryClientProvider } from '@tanstack/react-query'
 // ─ Часто посещаемые страницы — оставляем eager-import'ом ────────────────
 // Эти страницы открываются почти каждой сессией: дешевле тащить их в
 // основном bundle'е чем платить network round-trip за chunk.
 import { LoginPage } from '@/pages/LoginPage'
 import { AuthBridgePage } from '@/pages/AuthBridgePage'
 import { DashboardPage } from '@/pages/DashboardPage'
 import { OnboardingPage } from '@/pages/OnboardingPage'
-import { OnboardingWizardPage } from '@/pages/OnboardingWizardPage'
+import { SuperAdminDashboardPage } from '@/pages/SuperAdminDashboardPage'
-import { ForgotPasswordPage } from '@/pages/ForgotPasswordPage'
+import { SuperAdminOrganizationsPage } from '@/pages/SuperAdminOrganizationsPage'
-import { ResetPasswordPage } from '@/pages/ResetPasswordPage'
+import { SuperAdminOrgCreatePage } from '@/pages/SuperAdminOrgCreatePage'
 import { SuperAdminAuditLogPage } from '@/pages/SuperAdminAuditLogPage'
 import { SuperAdminSetupPage } from '@/pages/SuperAdminSetupPage'
 import { SuperAdminSettingsPage } from '@/pages/SuperAdminSettingsPage'
 import { CountriesPage } from '@/pages/CountriesPage'
 import { UnitsOfMeasurePage } from '@/pages/UnitsOfMeasurePage'
 import { SuperAdminUnitsOfMeasurePage } from '@/pages/SuperAdminUnitsOfMeasurePage'
 import { PriceTypesPage } from '@/pages/PriceTypesPage'
 import { StoresPage } from '@/pages/StoresPage'
 import { RetailPointsPage } from '@/pages/RetailPointsPage'
 import { ProductGroupsPage } from '@/pages/ProductGroupsPage'
 import { CounterpartiesPage } from '@/pages/CounterpartiesPage'
 import { ProductsPage } from '@/pages/ProductsPage'
 import { ProductEditPage } from '@/pages/ProductEditPage'
-import { CounterpartiesPage } from '@/pages/CounterpartiesPage'
+import { MoySkladImportPage } from '@/pages/MoySkladImportPage'
 import { OrganizationSettingsPage } from '@/pages/OrganizationSettingsPage'
 import { EmployeesPage } from '@/pages/EmployeesPage'
 import { EmployeeRolesPage } from '@/pages/EmployeeRolesPage'
 import { StockPage } from '@/pages/StockPage'
 import { StockMovementsPage } from '@/pages/StockMovementsPage'
 import { SuppliesPage } from '@/pages/SuppliesPage'
 import { SupplyEditPage } from '@/pages/SupplyEditPage'
 import { EntersPage } from '@/pages/EntersPage'
 import { EnterEditPage } from '@/pages/EnterEditPage'
 import { LossesPage } from '@/pages/LossesPage'
 import { LossEditPage } from '@/pages/LossEditPage'
 import { TransfersPage } from '@/pages/TransfersPage'
 import { TransferEditPage } from '@/pages/TransferEditPage'
 import { InventoriesPage } from '@/pages/InventoriesPage'
 import { InventoryEditPage } from '@/pages/InventoryEditPage'
 import { SupplierReturnsPage } from '@/pages/SupplierReturnsPage'
 import { SupplierReturnEditPage } from '@/pages/SupplierReturnEditPage'
 import { DemandsPage } from '@/pages/DemandsPage'
 import { DemandEditPage } from '@/pages/DemandEditPage'
 import { LoyaltyProgramsPage } from '@/pages/LoyaltyProgramsPage'
 import { LoyaltyCardsPage } from '@/pages/LoyaltyCardsPage'
 import { PromotionsPage } from '@/pages/PromotionsPage'
 import { OrgAuditLogPage } from '@/pages/OrgAuditLogPage'
 import { SalesReportPage } from '@/pages/SalesReportPage'
 import { StockReportPage } from '@/pages/StockReportPage'
 import { ProfitReportPage } from '@/pages/ProfitReportPage'
 import { AbcReportPage } from '@/pages/AbcReportPage'
 import { RetailSalesPage } from '@/pages/RetailSalesPage'
 import { RetailSaleEditPage } from '@/pages/RetailSaleEditPage'
 import { NoOrganizationPage } from '@/pages/NoOrganizationPage'
 // ─ Layouts + guards ─────────────────────────────────────────────────────
 import { AppLayout } from '@/components/AppLayout'
 import { SuperAdminLayout } from '@/components/SuperAdminLayout'
 import { TenantRouteGuard } from '@/components/TenantRouteGuard'
 import { ProtectedRoute } from '@/components/ProtectedRoute'
 import { NoOrganizationPage } from '@/pages/NoOrganizationPage'
 import { SuperAdminOrgEmployeesPage } from '@/pages/SuperAdminOrgEmployeesPage'
 import { SuperAdminPlatformSettingsPage } from '@/pages/SuperAdminPlatformSettingsPage'
 import { ForgotPasswordPage } from '@/pages/ForgotPasswordPage'
 import { ResetPasswordPage } from '@/pages/ResetPasswordPage'
 import { RoleGuard } from '@/components/RoleGuard'
 import { Toaster } from '@/components/Toaster'
 import { toast } from '@/lib/toast'
 import { FormSkeleton } from '@/components/Skeleton'
 // ─ Редкие страницы — lazy chunks ────────────────────────────────────────
 // Sprint 14: для уменьшения initial bundle. Каждая редкая страница
 // (отчёты, audit-log, 2FA, super-admin консоль, list-страницы редких
 // документов) грузится отдельным chunk'ом при первом переходе. Снижает
 // initial JS на ~600 КБ raw / ~150 КБ gzip — см. docs/sprint14-progress.md.
 const SalesReportPage = lazy(() => import('@/pages/SalesReportPage').then(m => ({ default: m.SalesReportPage })))
 const StockReportPage = lazy(() => import('@/pages/StockReportPage').then(m => ({ default: m.StockReportPage })))
 const ProfitReportPage = lazy(() => import('@/pages/ProfitReportPage').then(m => ({ default: m.ProfitReportPage })))
 const AbcReportPage = lazy(() => import('@/pages/AbcReportPage').then(m => ({ default: m.AbcReportPage })))
 const OrgAuditLogPage = lazy(() => import('@/pages/OrgAuditLogPage').then(m => ({ default: m.OrgAuditLogPage })))
 const LoyaltyProgramsPage = lazy(() => import('@/pages/LoyaltyProgramsPage').then(m => ({ default: m.LoyaltyProgramsPage })))
 const LoyaltyCardsPage = lazy(() => import('@/pages/LoyaltyCardsPage').then(m => ({ default: m.LoyaltyCardsPage })))
 const PromotionsPage = lazy(() => import('@/pages/PromotionsPage').then(m => ({ default: m.PromotionsPage })))
 const MoySkladImportPage = lazy(() => import('@/pages/MoySkladImportPage').then(m => ({ default: m.MoySkladImportPage })))
 const OrganizationSettingsPage = lazy(() => import('@/pages/OrganizationSettingsPage').then(m => ({ default: m.OrganizationSettingsPage })))
 // Sprint 17: help / what's-new / diagnostic.
 const HelpPage = lazy(() => import('@/pages/HelpPage').then(m => ({ default: m.HelpPage })))
 const WhatsNewPage = lazy(() => import('@/pages/WhatsNewPage').then(m => ({ default: m.WhatsNewPage })))
 const AdminDiagnosticPage = lazy(() => import('@/pages/AdminDiagnosticPage').then(m => ({ default: m.AdminDiagnosticPage })))
 const EmployeesPage = lazy(() => import('@/pages/EmployeesPage').then(m => ({ default: m.EmployeesPage })))
 const EmployeeRolesPage = lazy(() => import('@/pages/EmployeeRolesPage').then(m => ({ default: m.EmployeeRolesPage })))
 const StockMovementsPage = lazy(() => import('@/pages/StockMovementsPage').then(m => ({ default: m.StockMovementsPage })))
 const EntersPage = lazy(() => import('@/pages/EntersPage').then(m => ({ default: m.EntersPage })))
 const EnterEditPage = lazy(() => import('@/pages/EnterEditPage').then(m => ({ default: m.EnterEditPage })))
 const LossesPage = lazy(() => import('@/pages/LossesPage').then(m => ({ default: m.LossesPage })))
 const LossEditPage = lazy(() => import('@/pages/LossEditPage').then(m => ({ default: m.LossEditPage })))
 const TransfersPage = lazy(() => import('@/pages/TransfersPage').then(m => ({ default: m.TransfersPage })))
 const TransferEditPage = lazy(() => import('@/pages/TransferEditPage').then(m => ({ default: m.TransferEditPage })))
 const InventoriesPage = lazy(() => import('@/pages/InventoriesPage').then(m => ({ default: m.InventoriesPage })))
 const InventoryEditPage = lazy(() => import('@/pages/InventoryEditPage').then(m => ({ default: m.InventoryEditPage })))
 const SupplierReturnsPage = lazy(() => import('@/pages/SupplierReturnsPage').then(m => ({ default: m.SupplierReturnsPage })))
 const SupplierReturnEditPage = lazy(() => import('@/pages/SupplierReturnEditPage').then(m => ({ default: m.SupplierReturnEditPage })))
 const DemandsPage = lazy(() => import('@/pages/DemandsPage').then(m => ({ default: m.DemandsPage })))
 const DemandEditPage = lazy(() => import('@/pages/DemandEditPage').then(m => ({ default: m.DemandEditPage })))
 const ProductGroupsPage = lazy(() => import('@/pages/ProductGroupsPage').then(m => ({ default: m.ProductGroupsPage })))
 const UnitsOfMeasurePage = lazy(() => import('@/pages/UnitsOfMeasurePage').then(m => ({ default: m.UnitsOfMeasurePage })))
 const PriceTypesPage = lazy(() => import('@/pages/PriceTypesPage').then(m => ({ default: m.PriceTypesPage })))
 const StoresPage = lazy(() => import('@/pages/StoresPage').then(m => ({ default: m.StoresPage })))
 const RetailPointsPage = lazy(() => import('@/pages/RetailPointsPage').then(m => ({ default: m.RetailPointsPage })))
 const CountriesPage = lazy(() => import('@/pages/CountriesPage').then(m => ({ default: m.CountriesPage })))
 // SuperAdmin консоль — почти всегда редко открываемая (доступна только
 // супер-админу платформы, обычные владельцы её никогда не видят).
 const SuperAdminDashboardPage = lazy(() => import('@/pages/SuperAdminDashboardPage').then(m => ({ default: m.SuperAdminDashboardPage })))
 const SuperAdminOrganizationsPage = lazy(() => import('@/pages/SuperAdminOrganizationsPage').then(m => ({ default: m.SuperAdminOrganizationsPage })))
 const SuperAdminOrgCreatePage = lazy(() => import('@/pages/SuperAdminOrgCreatePage').then(m => ({ default: m.SuperAdminOrgCreatePage })))
 const SuperAdminAuditLogPage = lazy(() => import('@/pages/SuperAdminAuditLogPage').then(m => ({ default: m.SuperAdminAuditLogPage })))
 const SuperAdminSetupPage = lazy(() => import('@/pages/SuperAdminSetupPage').then(m => ({ default: m.SuperAdminSetupPage })))
 const SuperAdminSettingsPage = lazy(() => import('@/pages/SuperAdminSettingsPage').then(m => ({ default: m.SuperAdminSettingsPage })))
 const SuperAdminUnitsOfMeasurePage = lazy(() => import('@/pages/SuperAdminUnitsOfMeasurePage').then(m => ({ default: m.SuperAdminUnitsOfMeasurePage })))
 const SuperAdminOrgEmployeesPage = lazy(() => import('@/pages/SuperAdminOrgEmployeesPage').then(m => ({ default: m.SuperAdminOrgEmployeesPage })))
 const SuperAdminPlatformSettingsPage = lazy(() => import('@/pages/SuperAdminPlatformSettingsPage').then(m => ({ default: m.SuperAdminPlatformSettingsPage })))
 /** Suspense-обёртка с form-скелетом для lazy-страниц. Возвращает компонент,
 * пригодный к использованию как element={...}. */
 const lz = (Page: React.ComponentType) => (
  <Suspense fallback={<FormSkeleton />}><Page /></Suspense>
 )
 const queryClient = new QueryClient({
  defaultOptions: {
@ -130,77 +102,72 @@ export default function App() {
            {/* SuperAdmin консоль — отдельный layout c индиго-сайдбаром,
              * системными разделами и быстрым «Открыть организацию» в topbar.
              * Setup wizard вне layout'а — full-screen onboarding. */}
-            <Route path="/super-admin/setup" element={lz(SuperAdminSetupPage)} />
+            <Route path="/super-admin/setup" element={<SuperAdminSetupPage />} />
            <Route path="/super-admin" element={<SuperAdminLayout />}>
-              <Route index element={lz(SuperAdminDashboardPage)} />
+              <Route index element={<SuperAdminDashboardPage />} />
-              <Route path="organizations" element={lz(SuperAdminOrganizationsPage)} />
+              <Route path="organizations" element={<SuperAdminOrganizationsPage />} />
-              <Route path="organizations/new" element={lz(SuperAdminOrgCreatePage)} />
+              <Route path="organizations/new" element={<SuperAdminOrgCreatePage />} />
-              <Route path="organizations/:id/employees" element={lz(SuperAdminOrgEmployeesPage)} />
+              <Route path="organizations/:id/employees" element={<SuperAdminOrgEmployeesPage />} />
-              <Route path="audit-log" element={lz(SuperAdminAuditLogPage)} />
+              <Route path="audit-log" element={<SuperAdminAuditLogPage />} />
-              <Route path="countries" element={lz(CountriesPage)} />
+              <Route path="countries" element={<CountriesPage />} />
-              <Route path="groups" element={lz(ProductGroupsPage)} />
+              <Route path="groups" element={<ProductGroupsPage />} />
-              <Route path="units" element={lz(SuperAdminUnitsOfMeasurePage)} />
+              <Route path="units" element={<SuperAdminUnitsOfMeasurePage />} />
-              <Route path="settings" element={lz(SuperAdminSettingsPage)} />
+              <Route path="settings" element={<SuperAdminSettingsPage />} />
-              <Route path="platform-settings" element={lz(SuperAdminPlatformSettingsPage)} />
+              <Route path="platform-settings" element={<SuperAdminPlatformSettingsPage />} />
            </Route>
            {/* Tenant-роуты — обычный AppLayout, но с TenantRouteGuard:
              * SuperAdmin без активного override → редирект на /super-admin/organizations. */}
            <Route element={<TenantRouteGuard><AppLayout /></TenantRouteGuard>}>
              <Route path="/" element={<OnboardingPage />} />
              <Route path="/onboarding-wizard" element={<OnboardingWizardPage />} />
              <Route path="/dashboard" element={<DashboardPage />} />
              <Route path="/catalog/products" element={<ProductsPage />} />
              <Route path="/catalog/products/new" element={<ProductEditPage />} />
              <Route path="/catalog/products/:id" element={<ProductEditPage />} />
-              <Route path="/catalog/product-groups" element={lz(ProductGroupsPage)} />
+              <Route path="/catalog/product-groups" element={<ProductGroupsPage />} />
-              <Route path="/catalog/units" element={lz(UnitsOfMeasurePage)} />
+              <Route path="/catalog/units" element={<UnitsOfMeasurePage />} />
-              <Route path="/catalog/price-types" element={lz(PriceTypesPage)} />
+              <Route path="/catalog/price-types" element={<PriceTypesPage />} />
              <Route path="/catalog/counterparties" element={<RoleGuard roles={['Admin']}><CounterpartiesPage /></RoleGuard>} />
-              <Route path="/catalog/stores" element={<RoleGuard roles={['Admin']}>{lz(StoresPage)}</RoleGuard>} />
+              <Route path="/catalog/stores" element={<RoleGuard roles={['Admin']}><StoresPage /></RoleGuard>} />
-              <Route path="/catalog/retail-points" element={<RoleGuard roles={['Admin']}>{lz(RetailPointsPage)}</RoleGuard>} />
+              <Route path="/catalog/retail-points" element={<RoleGuard roles={['Admin']}><RetailPointsPage /></RoleGuard>} />
              <Route path="/inventory/stock" element={<StockPage />} />
-              <Route path="/inventory/movements" element={lz(StockMovementsPage)} />
+              <Route path="/inventory/movements" element={<StockMovementsPage />} />
              <Route path="/purchases/supplies" element={<SuppliesPage />} />
              <Route path="/purchases/supplies/new" element={<SupplyEditPage />} />
              <Route path="/purchases/supplies/:id" element={<SupplyEditPage />} />
-              <Route path="/inventory/enters" element={lz(EntersPage)} />
+              <Route path="/inventory/enters" element={<EntersPage />} />
-              <Route path="/inventory/enters/new" element={lz(EnterEditPage)} />
+              <Route path="/inventory/enters/new" element={<EnterEditPage />} />
-              <Route path="/inventory/enters/:id" element={lz(EnterEditPage)} />
+              <Route path="/inventory/enters/:id" element={<EnterEditPage />} />
-              <Route path="/inventory/losses" element={lz(LossesPage)} />
+              <Route path="/inventory/losses" element={<LossesPage />} />
-              <Route path="/inventory/losses/new" element={lz(LossEditPage)} />
+              <Route path="/inventory/losses/new" element={<LossEditPage />} />
-              <Route path="/inventory/losses/:id" element={lz(LossEditPage)} />
+              <Route path="/inventory/losses/:id" element={<LossEditPage />} />
-              <Route path="/inventory/transfers" element={lz(TransfersPage)} />
+              <Route path="/inventory/transfers" element={<TransfersPage />} />
-              <Route path="/inventory/transfers/new" element={lz(TransferEditPage)} />
+              <Route path="/inventory/transfers/new" element={<TransferEditPage />} />
-              <Route path="/inventory/transfers/:id" element={lz(TransferEditPage)} />
+              <Route path="/inventory/transfers/:id" element={<TransferEditPage />} />
-              <Route path="/inventory/inventories" element={lz(InventoriesPage)} />
+              <Route path="/inventory/inventories" element={<InventoriesPage />} />
-              <Route path="/inventory/inventories/new" element={lz(InventoryEditPage)} />
+              <Route path="/inventory/inventories/new" element={<InventoryEditPage />} />
-              <Route path="/inventory/inventories/:id" element={lz(InventoryEditPage)} />
+              <Route path="/inventory/inventories/:id" element={<InventoryEditPage />} />
-              <Route path="/purchases/supplier-returns" element={lz(SupplierReturnsPage)} />
+              <Route path="/purchases/supplier-returns" element={<SupplierReturnsPage />} />
-              <Route path="/purchases/supplier-returns/new" element={lz(SupplierReturnEditPage)} />
+              <Route path="/purchases/supplier-returns/new" element={<SupplierReturnEditPage />} />
-              <Route path="/purchases/supplier-returns/:id" element={lz(SupplierReturnEditPage)} />
+              <Route path="/purchases/supplier-returns/:id" element={<SupplierReturnEditPage />} />
-              <Route path="/reports/sales" element={lz(SalesReportPage)} />
+              <Route path="/reports/sales" element={<SalesReportPage />} />
-              <Route path="/reports/stock" element={lz(StockReportPage)} />
+              <Route path="/reports/stock" element={<StockReportPage />} />
-              <Route path="/reports/profit" element={lz(ProfitReportPage)} />
+              <Route path="/reports/profit" element={<ProfitReportPage />} />
-              <Route path="/reports/abc" element={lz(AbcReportPage)} />
+              <Route path="/reports/abc" element={<AbcReportPage />} />
              <Route path="/sales/retail" element={<RetailSalesPage />} />
              <Route path="/sales/retail/new" element={<RetailSaleEditPage />} />
              <Route path="/sales/retail/:id" element={<RetailSaleEditPage />} />
-              <Route path="/sales/demands" element={lz(DemandsPage)} />
+              <Route path="/sales/demands" element={<DemandsPage />} />
-              <Route path="/sales/demands/new" element={lz(DemandEditPage)} />
+              <Route path="/sales/demands/new" element={<DemandEditPage />} />
-              <Route path="/sales/demands/:id" element={lz(DemandEditPage)} />
+              <Route path="/sales/demands/:id" element={<DemandEditPage />} />
-              <Route path="/loyalty/programs" element={<RoleGuard roles={['Admin']}>{lz(LoyaltyProgramsPage)}</RoleGuard>} />
+              <Route path="/loyalty/programs" element={<RoleGuard roles={['Admin']}><LoyaltyProgramsPage /></RoleGuard>} />
-              <Route path="/loyalty/cards" element={<RoleGuard roles={['Admin']}>{lz(LoyaltyCardsPage)}</RoleGuard>} />
+              <Route path="/loyalty/cards" element={<RoleGuard roles={['Admin']}><LoyaltyCardsPage /></RoleGuard>} />
-              <Route path="/promotions" element={<RoleGuard roles={['Admin']}>{lz(PromotionsPage)}</RoleGuard>} />
+              <Route path="/promotions" element={<RoleGuard roles={['Admin']}><PromotionsPage /></RoleGuard>} />
-              <Route path="/audit-log" element={<RoleGuard roles={['Admin']}>{lz(OrgAuditLogPage)}</RoleGuard>} />
+              <Route path="/audit-log" element={<RoleGuard roles={['Admin']}><OrgAuditLogPage /></RoleGuard>} />
-              <Route path="/admin/import/moysklad" element={<RoleGuard roles={['Admin']}>{lz(MoySkladImportPage)}</RoleGuard>} />
+              <Route path="/admin/import/moysklad" element={<RoleGuard roles={['Admin']}><MoySkladImportPage /></RoleGuard>} />
-              <Route path="/settings/organization" element={<RoleGuard roles={['Admin']}>{lz(OrganizationSettingsPage)}</RoleGuard>} />
+              <Route path="/settings/organization" element={<RoleGuard roles={['Admin']}><OrganizationSettingsPage /></RoleGuard>} />
-              {/* Sprint 17 */}
+              <Route path="/settings/employees" element={<RoleGuard roles={['Admin']}><EmployeesPage /></RoleGuard>} />
-              <Route path="/help" element={lz(HelpPage)} />
+              <Route path="/settings/employee-roles" element={<RoleGuard roles={['Admin']}><EmployeeRolesPage /></RoleGuard>} />
              <Route path="/whats-new" element={lz(WhatsNewPage)} />
              <Route path="/admin/diagnostic" element={<RoleGuard roles={['Admin']}>{lz(AdminDiagnosticPage)}</RoleGuard>} />
              <Route path="/settings/employees" element={<RoleGuard roles={['Admin']}>{lz(EmployeesPage)}</RoleGuard>} />
              <Route path="/settings/employee-roles" element={<RoleGuard roles={['Admin']}>{lz(EmployeeRolesPage)}</RoleGuard>} />
            </Route>
          </Route>
          <Route path="*" element={<Navigate to="/" replace />} />
--- a/src/food-market.web/src/components/AppLayout.tsx
+++ b/src/food-market.web/src/components/AppLayout.tsx
@ -15,9 +15,6 @@ import { SuperAdminAsOrgBanner } from './SuperAdminAsOrgBanner'
 import { ShortcutsOverlay } from './ShortcutsOverlay'
 import { LanguageSwitcher } from './LanguageSwitcher'
 import { CommandPalette } from './CommandPalette'
 import { FeedbackWidget } from './FeedbackWidget'
 import { WhatsNewBanner } from './WhatsNewBanner'
 import { NotificationCenter } from './NotificationCenter'
 interface MeResponse {
  sub: string
@ -221,9 +218,7 @@ export function AppLayout() {
      <nav className="flex-1 overflow-y-auto py-3">
        {nav.map((section) => (
          <div key={section.group} className="mb-4">
-            {/* WCAG 2 AA: text-slate-500 даёт 4.61 на белом фоне (>4.5 порога),
+            <div className="px-5 text-xs uppercase tracking-wide text-slate-400 mb-1">{t(section.group)}</div>
                раньше text-slate-400 = 2.63 контраст (axe color-contrast violation). */}
            <div className="px-5 text-xs uppercase tracking-wide text-slate-500 dark:text-slate-400 mb-1">{t(section.group)}</div>
            {section.items.map((item) => (
              <NavLink
                key={item.to}
@ -252,18 +247,6 @@ export function AppLayout() {
          </div>
        )}
        <div className="px-2 pb-2"><LanguageSwitcher /></div>
        {/* Sprint 17: feedback widget + ссылки на /help и /whats-new.
            Sprint 18: NotificationCenter — иконка-колокольчик с popover'ом. */}
        <div className="px-2 pb-2 flex items-center gap-3 flex-wrap">
          <FeedbackWidget />
          <NotificationCenter />
          <a href="/help" className="text-xs text-slate-500 hover:text-slate-700 dark:text-slate-400 dark:hover:text-slate-200">
            База знаний
          </a>
          <a href="/whats-new" className="text-xs text-slate-500 hover:text-slate-700 dark:text-slate-400 dark:hover:text-slate-200">
            Что нового
          </a>
        </div>
        <button
          onClick={logout}
          className="w-full flex items-center gap-2 px-2 py-1.5 text-sm text-slate-600 dark:text-slate-300 hover:bg-slate-50 dark:hover:bg-slate-800/50 rounded"
@ -311,7 +294,6 @@ export function AppLayout() {
      <main className="flex-1 min-w-0 min-h-0 flex flex-col overflow-hidden">
        <SuperAdminAsOrgBanner />
        <WhatsNewBanner />
        <Outlet />
      </main>
      {/* Глобальный «?»-оверлей со списком горячих клавиш. Сам обрабатывает
--- a/src/food-market.web/src/components/CommandPalette.tsx
+++ b/src/food-market.web/src/components/CommandPalette.tsx
@ -266,20 +266,20 @@ export function CommandPalette({ open, onClose }: PaletteProps) {
    >
      <div className="w-full max-w-xl bg-white dark:bg-slate-900 rounded-xl shadow-2xl border border-slate-200 dark:border-slate-700 overflow-hidden">
        <div className="flex items-center gap-2 px-4 py-3 border-b border-slate-200 dark:border-slate-800">
-          <Search className="w-4 h-4 text-slate-500 dark:text-slate-400 flex-shrink-0" />
+          <Search className="w-4 h-4 text-slate-400 flex-shrink-0" />
          <input
            ref={inputRef}
            value={query}
            onChange={(e) => setQuery(e.target.value)}
            placeholder={t('cmdk.placeholder', { defaultValue: 'Поиск товаров, контрагентов, документов или страниц…' })}
-            className="flex-1 bg-transparent outline-none text-sm text-slate-900 dark:text-slate-100 placeholder:text-slate-500 dark:text-slate-400"
+            className="flex-1 bg-transparent outline-none text-sm text-slate-900 dark:text-slate-100 placeholder:text-slate-400"
          />
          <kbd className="text-[10px] px-1.5 py-0.5 rounded bg-slate-100 dark:bg-slate-800 text-slate-500">Esc</kbd>
        </div>
        <div className="max-h-[60vh] overflow-y-auto" role="listbox">
          {items.length === 0 ? (
-            <div className="p-8 text-center text-sm text-slate-500 dark:text-slate-400">
+            <div className="p-8 text-center text-sm text-slate-400">
              {debounced.length >= 2 && !search.isLoading
                ? t('cmdk.empty', { defaultValue: 'Ничего не найдено' })
                : t('cmdk.hint', { defaultValue: 'Начните вводить, чтобы найти товары, контрагентов, документы или страницы' })}
@ -287,7 +287,7 @@ export function CommandPalette({ open, onClose }: PaletteProps) {
          ) : (
            groups.map((g) => (
              <div key={g.group}>
-                <div className="px-4 pt-3 pb-1 text-[10px] uppercase tracking-wider text-slate-500 dark:text-slate-400">
+                <div className="px-4 pt-3 pb-1 text-[10px] uppercase tracking-wider text-slate-400">
                  {g.title}
                </div>
                <ul>
@ -308,11 +308,11 @@ export function CommandPalette({ open, onClose }: PaletteProps) {
                            : 'text-slate-700 dark:text-slate-300 hover:bg-slate-50 dark:hover:bg-slate-800/50'
                        }`}
                      >
-                        <Icon className="w-4 h-4 text-slate-500 dark:text-slate-400 flex-shrink-0" />
+                        <Icon className="w-4 h-4 text-slate-400 flex-shrink-0" />
                        <span className="flex-1 truncate">
                          {highlight(it.label, debounced)}
                        </span>
-                        {it.hint && <span className="text-xs text-slate-500 dark:text-slate-400 truncate max-w-[180px]">{it.hint}</span>}
+                        {it.hint && <span className="text-xs text-slate-400 truncate max-w-[180px]">{it.hint}</span>}
                        {isActive && <ArrowRight className="w-3 h-3 text-emerald-600" />}
                      </li>
                    )
@ -323,7 +323,7 @@ export function CommandPalette({ open, onClose }: PaletteProps) {
          )}
        </div>
-        <div className="px-4 py-2 border-t border-slate-200 dark:border-slate-800 flex items-center justify-between text-[10px] text-slate-500 dark:text-slate-400">
+        <div className="px-4 py-2 border-t border-slate-200 dark:border-slate-800 flex items-center justify-between text-[10px] text-slate-400">
          <span>
            <kbd className="px-1 py-0.5 bg-slate-100 dark:bg-slate-800 rounded mr-1">↑↓</kbd>
            навигация
--- a/src/food-market.web/src/components/ConfirmDialog.tsx
+++ b/src/food-market.web/src/components/ConfirmDialog.tsx
@ -1,7 +1,6 @@
 import { useEffect, useRef, type ReactNode } from 'react'
 import { AlertTriangle } from 'lucide-react'
 import { Button } from './Button'
 import { useFocusTrap } from '@/lib/useFocusTrap'
 /**
 * Универсальный confirm-диалог для destructive actions. Заменяет нативный
@ -16,11 +15,6 @@ import { useFocusTrap } from '@/lib/useFocusTrap'
 *  - tone='danger' (default): красная кнопка справа, иконка треугольник
 *  - tone='warning': жёлтая кнопка («Снять проведение»), всё ещё деструктивно
 *    но не уничтожающе. Иконка та же.
 *
 * Sprint 15: focus trap + return-focus через useFocusTrap (WCAG 2.4.3 + 2.1.2).
 * defaultFocus:
 *   - 'cancel' (default for danger/warning) — безопасно, случайный Enter не подтвердит.
 *   - 'confirm' — для non-destructive confirms когда главный CTA важен (UX).
 */
 interface ConfirmDialogProps {
  open: boolean
@ -32,37 +26,25 @@ interface ConfirmDialogProps {
  busy?: boolean
  onConfirm: () => void
  onCancel: () => void
  /** Default focus target. Для destructive — 'cancel' (default), для info — 'confirm'. */
  defaultFocus?: 'cancel' | 'confirm'
 }
 export function ConfirmDialog({
  open, title, description, confirmLabel = 'Удалить', cancelLabel = 'Отмена',
  tone = 'danger', busy = false, onConfirm, onCancel,
  defaultFocus,
 }: ConfirmDialogProps) {
  const cancelBtnRef = useRef<HTMLButtonElement>(null)
  const confirmBtnRef = useRef<HTMLButtonElement>(null)
  // Для danger/warning по дефолту фокус на Cancel.
  // 'confirm' — opt-in для безопасных подтверждений («Отправить тестовое письмо?»).
  const focusTarget: 'cancel' | 'confirm' = defaultFocus
    ?? (tone === 'danger' || tone === 'warning' ? 'cancel' : 'confirm')
  // Sprint 15: focus trap внутри диалога; initial-focus через data-attr-селектор.
  const dialogRef = useFocusTrap<HTMLDivElement>(
    open,
    focusTarget === 'confirm' ? '[data-confirm-btn]' : '[data-cancel-btn]',
  )
  useEffect(() => {
    if (!open) return
    const onKey = (e: KeyboardEvent) => {
      if (e.key === 'Escape') { e.preventDefault(); onCancel() }
      else if (e.key === 'Enter') { e.preventDefault(); if (!busy) onConfirm() }
    }
    document.addEventListener('keydown', onKey)
    // Фокус на Cancel по умолчанию — безопасно для случайного Enter.
    cancelBtnRef.current?.focus()
    return () => document.removeEventListener('keydown', onKey)
-  }, [open, onCancel])
+  }, [open, busy, onCancel, onConfirm])
  if (!open) return null
@ -79,13 +61,12 @@ export function ConfirmDialog({
      aria-labelledby="confirm-dialog-title"
    >
      <div
        ref={dialogRef}
        className="w-full max-w-md bg-white dark:bg-slate-900 rounded-xl shadow-xl flex flex-col"
        onClick={(e) => e.stopPropagation()}
      >
        <div className="flex gap-3 px-5 pt-5">
          <div className={`shrink-0 w-10 h-10 rounded-full ${iconBg} flex items-center justify-center ${iconColor}`}>
-            <AlertTriangle className="w-5 h-5" aria-hidden="true" />
+            <AlertTriangle className="w-5 h-5" />
          </div>
          <div className="flex-1 min-w-0">
            <h2 id="confirm-dialog-title" className="font-semibold text-slate-900 dark:text-slate-100">{title}</h2>
@ -95,10 +76,10 @@ export function ConfirmDialog({
          </div>
        </div>
        <div className="px-5 py-4 flex flex-wrap justify-end gap-2">
-          <Button ref={cancelBtnRef} data-cancel-btn variant="secondary" mutating={false} onClick={onCancel} disabled={busy}>
+          <Button ref={cancelBtnRef} variant="secondary" mutating={false} onClick={onCancel} disabled={busy}>
            {cancelLabel}
          </Button>
-          <Button ref={confirmBtnRef} data-confirm-btn variant={confirmVariant} onClick={onConfirm} disabled={busy}>
+          <Button variant={confirmVariant} onClick={onConfirm} disabled={busy}>
            {busy ? '…' : confirmLabel}
          </Button>
        </div>
--- a/src/food-market.web/src/components/DashboardWidgets.tsx
+++ b/src/food-market.web/src/components/DashboardWidgets.tsx
@ -14,13 +14,11 @@ import { Link } from 'react-router-dom'
 import { Trophy, AlertTriangle, ShoppingCart, TrendingUp, ArrowDownRight, ArrowUpRight, Banknote, CreditCard, Undo2 } from 'lucide-react'
 import { Skeleton } from '@/components/Skeleton'
 import { api } from '@/lib/api'
 import { useFormatCurrency } from '@/lib/useFormatCurrency'
 import type {
  TopProductRow, LowStockRow, RecentSaleRow, MarginSummary,
 } from '@/lib/types'
-// fmtQty — единицы (штук/кг), валюта тут не нужна. Деньги форматируются
+const fmtMoney = new Intl.NumberFormat('ru', { maximumFractionDigits: 0 })
 // через useFormatCurrency() в каждом виджете отдельно (per-org валюта).
 const fmtQty = new Intl.NumberFormat('ru', { maximumFractionDigits: 2 })
 function WidgetCard({ title, hint, icon: Icon, children, footer }: {
@ -51,7 +49,6 @@ function WidgetCard({ title, hint, icon: Icon, children, footer }: {
 export function TopProductsWidget({ days = 7 }: { days?: number }) {
  const { t } = useTranslation()
  const fmtMoney = useFormatCurrency()
  const q = useQuery({
    queryKey: ['/api/dashboard/top-products', days],
    queryFn: async () => (await api.get<TopProductRow[]>(`/api/dashboard/top-products?days=${days}&limit=5`)).data,
@ -68,7 +65,7 @@ export function TopProductsWidget({ days = 7 }: { days?: number }) {
          {Array.from({ length: 5 }).map((_, i) => <Skeleton key={i} className="h-9 w-full" />)}
        </div>
      ) : !q.data?.length ? (
-        <div className="text-sm text-slate-500 dark:text-slate-400 py-6 text-center">
+        <div className="text-sm text-slate-400 py-6 text-center">
          {t('dashboard.topProducts.empty', { defaultValue: 'Нет продаж за выбранный период' })}
        </div>
      ) : (
@ -79,7 +76,7 @@ export function TopProductsWidget({ days = 7 }: { days?: number }) {
                i === 0 ? 'text-amber-600 dark:text-amber-400'
                : i === 1 ? 'text-slate-500 dark:text-slate-300'
                : i === 2 ? 'text-orange-700 dark:text-orange-400'
-                : 'text-slate-500 dark:text-slate-400'
+                : 'text-slate-400'
              }`}>{i + 1}</span>
              <Link
                to={`/catalog/products/${r.productId}`}
@ -88,7 +85,7 @@ export function TopProductsWidget({ days = 7 }: { days?: number }) {
                {r.productName}
              </Link>
              <span className="text-sm font-medium text-slate-900 dark:text-slate-100 tabular-nums whitespace-nowrap">
-                {fmtMoney(r.revenue, { compact: true })}
+                {fmtMoney.format(r.revenue)} ₸
              </span>
            </li>
          ))}
@ -123,7 +120,7 @@ export function LowStockWidget({ limit = 10 }: { limit?: number }) {
          {Array.from({ length: 4 }).map((_, i) => <Skeleton key={i} className="h-9 w-full" />)}
        </div>
      ) : !q.data?.length ? (
-        <div className="text-sm text-slate-500 dark:text-slate-400 py-6 text-center">
+        <div className="text-sm text-slate-400 py-6 text-center">
          {t('dashboard.lowStock.empty', { defaultValue: 'Все товары выше минимума' })}
        </div>
      ) : (
@ -159,7 +156,6 @@ export function LowStockWidget({ limit = 10 }: { limit?: number }) {
 export function RecentSalesWidget({ limit = 10 }: { limit?: number }) {
  const { t } = useTranslation()
  const fmtMoney = useFormatCurrency()
  const q = useQuery({
    queryKey: ['/api/dashboard/recent-sales', limit],
    queryFn: async () => (await api.get<RecentSaleRow[]>(`/api/dashboard/recent-sales?limit=${limit}`)).data,
@ -182,7 +178,7 @@ export function RecentSalesWidget({ limit = 10 }: { limit?: number }) {
          {Array.from({ length: 6 }).map((_, i) => <Skeleton key={i} className="h-9 w-full" />)}
        </div>
      ) : !q.data?.length ? (
-        <div className="text-sm text-slate-500 dark:text-slate-400 py-6 text-center">
+        <div className="text-sm text-slate-400 py-6 text-center">
          {t('dashboard.recentSales.empty', { defaultValue: 'Ещё нет проведённых чеков' })}
        </div>
      ) : (
@ -206,7 +202,7 @@ export function RecentSalesWidget({ limit = 10 }: { limit?: number }) {
                {r.isReturn && <Undo2 className="w-3.5 h-3.5 text-red-500" aria-label="возврат" />}
                <PayIcon className="w-3.5 h-3.5 text-slate-400" />
                <span className={`tabular-nums whitespace-nowrap font-medium ${r.isReturn ? 'text-red-600 dark:text-red-400' : 'text-slate-900 dark:text-slate-100'}`}>
-                  {r.isReturn ? '−' : ''}{fmtMoney(r.total, { compact: true })}
+                  {r.isReturn ? '−' : ''}{fmtMoney.format(r.total)} ₸
                </span>
              </li>
            )
@ -221,7 +217,6 @@ export function RecentSalesWidget({ limit = 10 }: { limit?: number }) {
 export function MarginWidget({ days = 30 }: { days?: number }) {
  const { t } = useTranslation()
  const fmtMoney = useFormatCurrency()
  const q = useQuery({
    queryKey: ['/api/dashboard/margin', days],
    queryFn: async () => (await api.get<MarginSummary>(`/api/dashboard/margin?days=${days}`)).data,
@ -239,13 +234,13 @@ export function MarginWidget({ days = 30 }: { days?: number }) {
          <Skeleton className="h-4 w-48" />
        </div>
      ) : !q.data ? (
-        <div className="text-sm text-slate-500 dark:text-slate-400 py-6 text-center">
+        <div className="text-sm text-slate-400 py-6 text-center">
          {t('dashboard.margin.empty', { defaultValue: 'Нет данных за период' })}
        </div>
      ) : (
        <div>
          <div className="text-3xl font-semibold text-slate-900 dark:text-slate-100">
-            {fmtMoney(q.data.margin, { compact: true })}
+            {fmtMoney.format(q.data.margin)} ₸
          </div>
          <div className="mt-1 text-xs text-slate-500 flex items-center gap-1.5">
            {q.data.marginPercent >= 0
@ -259,11 +254,11 @@ export function MarginWidget({ days = 30 }: { days?: number }) {
          <dl className="mt-3 grid grid-cols-2 gap-2 text-xs">
            <div>
              <dt className="text-slate-500">{t('dashboard.margin.revenue', { defaultValue: 'Выручка' })}</dt>
-              <dd className="text-slate-900 dark:text-slate-100 tabular-nums">{fmtMoney(q.data.revenue, { compact: true })}</dd>
+              <dd className="text-slate-900 dark:text-slate-100 tabular-nums">{fmtMoney.format(q.data.revenue)} ₸</dd>
            </div>
            <div>
              <dt className="text-slate-500">{t('dashboard.margin.cost', { defaultValue: 'Себестоимость' })}</dt>
-              <dd className="text-slate-900 dark:text-slate-100 tabular-nums">{fmtMoney(q.data.cost, { compact: true })}</dd>
+              <dd className="text-slate-900 dark:text-slate-100 tabular-nums">{fmtMoney.format(q.data.cost)} ₸</dd>
            </div>
          </dl>
        </div>
--- a/src/food-market.web/src/components/DataTable.tsx
+++ b/src/food-market.web/src/components/DataTable.tsx
@ -91,7 +91,7 @@ export function DataTable<T>({
          <TableSkeleton rows={8} columns={columns.length} />
        ) : rows.length === 0 ? (
          <tr>
-            <td colSpan={columns.length} className="px-4 py-8 text-center text-slate-500 dark:text-slate-400">
+            <td colSpan={columns.length} className="px-4 py-8 text-center text-slate-400">
              {empty ?? 'Нет данных'}
            </td>
          </tr>
--- a/src/food-market.web/src/components/EmptyStateWithDemo.tsx
+++ b/src/food-market.web/src/components/EmptyStateWithDemo.tsx
@ -1,86 +0,0 @@
 /**
 * Sprint 17: empty-state с CTA на демо.
 *
 *   <EmptyStateWithDemo
 *     icon={Package}
 *     title="Здесь будут товары"
 *     description="После создания товара он появится в списке."
 *     primaryAction={{ label: 'Создать товар', to: '/catalog/products/new' }}
 *     helpTopic="catalog"
 *     demoVideoUrl={null}  // placeholder для будущих видео
 *   />
 *
 * Placeholder для demo-видео — пока показывает только ссылку на /help.
 * Когда появятся демки — `demoVideoUrl` рендерит embedded player.
 */
 import type { ReactNode } from 'react'
 import { Link } from 'react-router-dom'
 import { PlayCircle, BookOpen } from 'lucide-react'
 interface Action {
  label: string
  to?: string
  onClick?: () => void
 }
 interface EmptyStateWithDemoProps {
  icon: React.ComponentType<{ className?: string }>
  title: string
  description: ReactNode
  primaryAction?: Action
  helpTopic?: string
  /** Если задан — рендерим CTA «Посмотреть как это работает». Placeholder. */
  demoVideoUrl?: string | null
 }
 export function EmptyStateWithDemo({
  icon: Icon, title, description, primaryAction, helpTopic, demoVideoUrl,
 }: EmptyStateWithDemoProps) {
  return (
    <div className="flex flex-col items-center justify-center text-center py-16 px-6 gap-3">
      <div className="w-16 h-16 rounded-full bg-slate-100 dark:bg-slate-800 flex items-center justify-center">
        <Icon className="w-8 h-8 text-slate-500 dark:text-slate-400" />
      </div>
      <h3 className="font-semibold text-slate-900 dark:text-slate-100">{title}</h3>
      <div className="text-sm text-slate-500 dark:text-slate-400 max-w-md">{description}</div>
      <div className="flex flex-wrap items-center gap-2 justify-center pt-2">
        {primaryAction && (
          primaryAction.to ? (
            <Link
              to={primaryAction.to}
              className="inline-flex items-center gap-1.5 px-4 py-2 text-sm bg-[var(--color-brand)] hover:bg-[var(--color-brand-hover)] text-white rounded-md"
            >
              {primaryAction.label}
            </Link>
          ) : (
            <button
              onClick={primaryAction.onClick}
              className="inline-flex items-center gap-1.5 px-4 py-2 text-sm bg-[var(--color-brand)] hover:bg-[var(--color-brand-hover)] text-white rounded-md"
            >
              {primaryAction.label}
            </button>
          )
        )}
        {demoVideoUrl ? (
          <a
            href={demoVideoUrl}
            target="_blank" rel="noreferrer"
            className="inline-flex items-center gap-1.5 px-4 py-2 text-sm border border-slate-300 dark:border-slate-600 hover:bg-slate-50 dark:hover:bg-slate-800 rounded-md text-slate-700 dark:text-slate-200"
          >
            <PlayCircle className="w-4 h-4" /> Посмотреть как это работает
          </a>
        ) : helpTopic ? (
          <Link
            to={`/help#${helpTopic}`}
            className="inline-flex items-center gap-1.5 px-4 py-2 text-sm border border-slate-300 dark:border-slate-600 hover:bg-slate-50 dark:hover:bg-slate-800 rounded-md text-slate-700 dark:text-slate-200"
          >
            <BookOpen className="w-4 h-4" /> Подробнее в базе знаний
          </Link>
        ) : null}
      </div>
      {!demoVideoUrl && helpTopic && (
        <p className="text-xs text-slate-500 dark:text-slate-400 mt-2">Видео-демо появится в следующих версиях</p>
      )}
    </div>
  )
 }
--- a/src/food-market.web/src/components/FeedbackWidget.tsx
+++ b/src/food-market.web/src/components/FeedbackWidget.tsx
@ -1,114 +0,0 @@
 /**
 * Sprint 17: in-app feedback widget.
 *
 * Кнопка в sidebar/footer «Отзыв». Click → Modal с:
 *  - категория (баг / предложение / вопрос),
 *  - textarea (макс 4000).
 * Submit → POST /api/feedback. Сервер шлёт email + Telegram, rate-limit 5/час.
 */
 import { useState } from 'react'
 import { MessageSquare, Bug, Lightbulb, HelpCircle } from 'lucide-react'
 import { Modal } from '@/components/Modal'
 import { Button } from '@/components/Button'
 import { Field, TextArea } from '@/components/Field'
 import { api } from '@/lib/api'
 import { toast } from '@/lib/toast'
 type Category = 0 | 1 | 2  // 0=Bug, 1=Suggestion, 2=Question
 export function FeedbackWidget() {
  const [open, setOpen] = useState(false)
  const [category, setCategory] = useState<Category>(1)
  const [message, setMessage] = useState('')
  const [busy, setBusy] = useState(false)
  async function submit() {
    if (!message.trim()) {
      toast.error('Заполните сообщение')
      return
    }
    setBusy(true)
    try {
      const r = await api.post<{ ok: boolean; deliveredEmail: boolean; deliveredTelegram: boolean }>(
        '/api/feedback', { category, message: message.trim() },
      )
      const channels = []
      if (r.data.deliveredEmail) channels.push('email')
      if (r.data.deliveredTelegram) channels.push('telegram')
      toast.success(channels.length > 0
        ? `Отзыв отправлен (${channels.join(' + ')}). Спасибо!`
        : 'Отзыв принят. Спасибо!')
      setMessage('')
      setOpen(false)
    } catch (e) {
      const err = e as { response?: { data?: { error?: string } }; message?: string }
      toast.error(err.response?.data?.error ?? err.message ?? 'Не удалось отправить')
    } finally {
      setBusy(false)
    }
  }
  return (
    <>
      <button
        onClick={() => setOpen(true)}
        className="inline-flex items-center gap-1.5 text-xs text-slate-500 hover:text-slate-700 dark:text-slate-400 dark:hover:text-slate-200"
      >
        <MessageSquare className="w-3.5 h-3.5" aria-hidden="true" />
        Отзыв
      </button>
      <Modal
        open={open}
        onClose={() => setOpen(false)}
        title="Оставить отзыв"
        width="max-w-md"
        footer={
          <>
            <Button variant="secondary" onClick={() => setOpen(false)} mutating={false}>Отмена</Button>
            <Button onClick={submit} disabled={!message.trim() || busy}>
              {busy ? 'Отправляю…' : 'Отправить'}
            </Button>
          </>
        }
      >
        <Field label="Категория">
          <div className="flex gap-2">
            {([
              { v: 0 as Category, label: 'Баг', icon: Bug },
              { v: 1 as Category, label: 'Предложение', icon: Lightbulb },
              { v: 2 as Category, label: 'Вопрос', icon: HelpCircle },
            ] as const).map((c) => (
              <button
                key={c.v}
                onClick={() => setCategory(c.v)}
                type="button"
                className={
                  'flex-1 inline-flex items-center justify-center gap-1.5 px-3 py-2 text-sm rounded-md border ' +
                  (category === c.v
                    ? 'border-[var(--color-brand)] text-[var(--color-brand)] bg-emerald-50 dark:bg-emerald-900/20'
                    : 'border-slate-300 dark:border-slate-600 text-slate-700 dark:text-slate-300')
                }
              >
                <c.icon className="w-4 h-4" aria-hidden="true" />
                {c.label}
              </button>
            ))}
          </div>
        </Field>
        <Field label="Сообщение">
          <TextArea
            rows={5}
            value={message}
            onChange={(e) => setMessage(e.target.value.slice(0, 4000))}
            placeholder="Опишите проблему / идею / вопрос…"
          />
          <div className="text-xs text-slate-500 mt-1">{message.length} / 4000</div>
        </Field>
        <p className="text-xs text-slate-500 mt-3">
          Письмо уйдёт администратору платформы. Указывать контакт не нужно — мы видим ваш email в системе.
        </p>
      </Modal>
    </>
  )
 }
--- a/src/food-market.web/src/components/Field.tsx
+++ b/src/food-market.web/src/components/Field.tsx
@ -18,15 +18,11 @@ interface FieldProps {
 }
 export function Field({ label, error, children, className }: FieldProps) {
  // Sprint 15: role="alert" на error-span — screen reader сразу объявит
  // изменение текста ошибки (без нужды юзеру re-focus'ить инпут).
  // Implicit label-input association (label wraps input) — родной HTML-механизм,
  // valid per WCAG; axe не флагает.
  return (
    <label className={cn('block space-y-1.5', className)}>
      <span className="text-sm font-medium text-slate-700 dark:text-slate-200">{label}</span>
      {children}
-      {error && <span role="alert" className="text-xs text-red-600">{error}</span>}
+      {error && <span className="text-xs text-red-600">{error}</span>}
    </label>
  )
 }
@ -247,7 +243,7 @@ export function Select({
          </div>
          <ul className="py-1 overflow-auto" role="listbox">
            {filtered.length === 0 && !canCreate ? (
-              <li className="px-3 py-2 text-sm text-slate-500 dark:text-slate-400">Ничего не найдено</li>
+              <li className="px-3 py-2 text-sm text-slate-400">Ничего не найдено</li>
            ) : filtered.map((opt, i) => (
              <li key={`${opt.value}-${i}`}>
                <button
@ -428,9 +424,9 @@ export function AsyncSelect({
          </div>
          <ul className="py-1 overflow-auto" role="listbox">
            {isFetching ? (
-              <li className="px-3 py-2 text-sm text-slate-500 dark:text-slate-400">Загрузка…</li>
+              <li className="px-3 py-2 text-sm text-slate-400">Загрузка…</li>
            ) : options.length === 0 && !canCreate ? (
-              <li className="px-3 py-2 text-sm text-slate-500 dark:text-slate-400">Ничего не найдено</li>
+              <li className="px-3 py-2 text-sm text-slate-400">Ничего не найдено</li>
            ) : options.map((opt, i) => {
              const id = String(opt['id'] ?? ''); const label = getLabel(opt)
              return (
--- a/src/food-market.web/src/components/HelpTooltip.tsx
+++ b/src/food-market.web/src/components/HelpTooltip.tsx
@ -1,77 +0,0 @@
 import { useState, useRef, useEffect } from 'react'
 import { HelpCircle, ExternalLink } from 'lucide-react'
 import { Link } from 'react-router-dom'
 import { getHelpTopic } from '@/lib/help-topics'
 /**
 * Sprint 17: контекстный help-popover. Используется рядом с заголовком
 * раздела или подписью поля:
 *
 *   <h3>Лояльность <HelpTooltip topic="loyalty"/></h3>
 *
 * Click → показывает popover с title + short + ссылкой на /help#key.
 * Click outside / Esc → закрывается.
 *
 * Accessibility: кнопка с aria-label, popover с role="dialog" (но
 * нонмодальный — не блокируем взаимодействие с другим UI).
 */
 interface HelpTooltipProps {
  topic: string
  /** Размер иконки в px (default 16). */
  size?: number
  /** Класс для иконки (например, для inline-align). */
  className?: string
 }
 export function HelpTooltip({ topic, size = 16, className }: HelpTooltipProps) {
  const meta = getHelpTopic(topic)
  const [open, setOpen] = useState(false)
  const ref = useRef<HTMLDivElement>(null)
  useEffect(() => {
    if (!open) return
    const onDoc = (e: MouseEvent) => {
      if (!ref.current?.contains(e.target as Node)) setOpen(false)
    }
    const onKey = (e: KeyboardEvent) => { if (e.key === 'Escape') setOpen(false) }
    document.addEventListener('mousedown', onDoc)
    document.addEventListener('keydown', onKey)
    return () => {
      document.removeEventListener('mousedown', onDoc)
      document.removeEventListener('keydown', onKey)
    }
  }, [open])
  return (
    <span ref={ref} className={`relative inline-flex align-middle ${className ?? ''}`}>
      <button
        type="button"
        onClick={() => setOpen(!open)}
        className="text-slate-500 hover:text-[var(--color-brand)] inline-flex"
        aria-label={`Помощь: ${meta.title}`}
        aria-expanded={open}
      >
        <HelpCircle width={size} height={size} aria-hidden="true" />
      </button>
      {open && (
        <div
          role="dialog"
          aria-label={meta.title}
          className="absolute z-30 left-1/2 -translate-x-1/2 top-full mt-2 w-72 rounded-lg border border-slate-200 dark:border-slate-700 bg-white dark:bg-slate-900 shadow-lg p-3 text-sm"
        >
          <div className="font-semibold text-slate-900 dark:text-slate-100 mb-1">{meta.title}</div>
          <div className="text-slate-700 dark:text-slate-300 mb-2 leading-snug">{meta.short}</div>
          {meta.fullPath && (
            <Link
              to={`/help#${meta.fullPath.split('#')[0]}`}
              onClick={() => setOpen(false)}
              className="inline-flex items-center gap-1 text-[var(--color-brand)] hover:underline text-xs"
            >
              Подробнее <ExternalLink className="w-3 h-3" aria-hidden="true" />
            </Link>
          )}
        </div>
      )}
    </span>
  )
 }
--- a/src/food-market.web/src/components/ListPageShell.tsx
+++ b/src/food-market.web/src/components/ListPageShell.tsx
@ -1,6 +1,5 @@
 import type { ReactNode } from 'react'
 import { PageHeader } from './PageHeader'
 import { HelpTooltip } from './HelpTooltip'
 interface Props {
  title: string
@ -8,39 +7,13 @@ interface Props {
  actions?: ReactNode
  children: ReactNode
  footer?: ReactNode
  /** Sprint 18: optional help-tooltip topic key (см. lib/help-topics.ts). */
  helpTopic?: string
 }
 /** Fullheight list-page layout: sticky top bar + scrollable content + optional sticky footer (pagination). */
-export function ListPageShell({ title, description, actions, children, footer, helpTopic }: Props) {
+export function ListPageShell({ title, description, actions, children, footer }: Props) {
  // Если задан helpTopic — добавляем «?»-иконку справа от title.
  const heading = helpTopic ? (
    <span className="inline-flex items-center gap-1.5">
      {title}
      <HelpTooltip topic={helpTopic} size={16} className="ml-1" />
    </span>
  ) : title
  return (
    <div className="flex flex-col h-full">
-      {/* PageHeader title — string-only по API; для richer-content рендерим
+      <PageHeader variant="bar" title={title} description={description} actions={actions} />
          inline копию того же layout'a выше bar'a. Чтобы не дублировать
          стили, helpTopic триггерит inline-вариант. */}
      {helpTopic ? (
        <div className="flex flex-wrap items-center justify-between gap-3 px-4 sm:px-6 py-3 sm:py-4 border-b border-slate-200 dark:border-slate-800 bg-white dark:bg-slate-900">
          <div className="min-w-0 flex-1 basis-full sm:basis-auto">
            <h1 className="text-base sm:text-lg font-semibold text-slate-900 dark:text-slate-100 truncate">
              {heading}
            </h1>
            {description && (
              <p className="text-xs text-slate-500 mt-0.5 truncate">{description}</p>
            )}
          </div>
          {actions && <div className="flex flex-wrap items-center gap-2">{actions}</div>}
        </div>
      ) : (
        <PageHeader variant="bar" title={title} description={description} actions={actions} />
      )}
      <div className="flex-1 min-h-0 p-3 sm:p-4">{children}</div>
      {footer && (
        <div className="border-t border-slate-200 dark:border-slate-800 bg-white dark:bg-slate-900 px-3 sm:px-4 py-2">
--- a/src/food-market.web/src/components/Modal.tsx
+++ b/src/food-market.web/src/components/Modal.tsx
@ -1,6 +1,5 @@
 import { useEffect, type ReactNode } from 'react'
 import { X } from 'lucide-react'
 import { useFocusTrap } from '@/lib/useFocusTrap'
 interface ModalProps {
  open: boolean
@ -9,15 +8,9 @@ interface ModalProps {
  children: ReactNode
  footer?: ReactNode
  width?: string
  /** CSS-селектор внутри модала, на который двинуть focus при открытии.
   * По умолчанию — первый focusable (обычно input). */
  initialFocusSelector?: string
 }
-export function Modal({
+export function Modal({ open, onClose, title, children, footer, width = 'max-w-lg' }: ModalProps) {
  open, onClose, title, children, footer,
  width = 'max-w-lg', initialFocusSelector,
 }: ModalProps) {
  useEffect(() => {
    if (!open) return
    const onEsc = (e: KeyboardEvent) => e.key === 'Escape' && onClose()
@ -25,9 +18,6 @@ export function Modal({
    return () => document.removeEventListener('keydown', onEsc)
  }, [open, onClose])
  // Sprint 15 (WCAG 2.4.3 + 2.1.2): focus trap.
  const dialogRef = useFocusTrap<HTMLDivElement>(open, initialFocusSelector)
  if (!open) return null
  return (
@ -39,15 +29,13 @@ export function Modal({
      aria-labelledby="modal-title"
    >
      <div
        ref={dialogRef}
        className={`w-full ${width} min-h-full sm:min-h-0 sm:mt-16 bg-white dark:bg-slate-900 sm:rounded-xl shadow-xl flex flex-col`}
        onClick={(e) => e.stopPropagation()}
      >
        <div className="flex items-center justify-between px-5 py-3.5 border-b border-slate-200 dark:border-slate-800">
          <h2 id="modal-title" className="font-semibold text-slate-900 dark:text-slate-100">{title}</h2>
-          {/* WCAG: text-slate-500 = 4.61 contrast on white; text-slate-400 was 2.63. */}
+          <button onClick={onClose} className="text-slate-400 hover:text-slate-600" aria-label="Закрыть">
-          <button onClick={onClose} className="text-slate-500 hover:text-slate-700 dark:text-slate-400 dark:hover:text-slate-200" aria-label="Закрыть">
+            <X className="w-5 h-5" />
            <X className="w-5 h-5" aria-hidden="true" />
          </button>
        </div>
        <div className="px-5 py-4 flex-1">{children}</div>
--- a/src/food-market.web/src/components/NotificationCenter.tsx
+++ b/src/food-market.web/src/components/NotificationCenter.tsx
@ -1,244 +0,0 @@
 /**
 * Sprint 18: In-app notification center.
 *
 * Иконка-колокольчик в topbar (внутри AppLayout sidebar footer'a). Лоадит
 * последние 30 SignalR-событий: SalePosted, SupplyPosted, LowStock. Хранит
 * их в локальном state (без persist в БД — events ephemeral, при reload
 * пропадают, что соответствует UX «активная сессия»).
 *
 * Counter показывает кол-во непрочитанных. Клик по колокольчику открывает
 * popover; открытие сбрасывает непрочитанный счётчик. Каждое событие —
 * clickable: ведёт на соответствующий документ.
 *
 * Принципиально НЕ персистится: если юзеру нужна история — есть
 * `/audit-log` и листинги (`/sales/retail`, `/purchases/supplies`).
 * Центр уведомлений — это «что произошло, пока вы тут смотрели».
 */
 import { useState, useEffect, useRef } from 'react'
 import { Link } from 'react-router-dom'
 import { Bell, ShoppingCart, TruckIcon, AlertTriangle, X } from 'lucide-react'
 import { useNotificationsHub, type SalePostedPayload, type SupplyPostedPayload, type LowStockPayload } from '@/lib/useNotificationsHub'
 import { useFormatCurrency } from '@/lib/useFormatCurrency'
 type Notification =
  | { kind: 'sale'; id: string; at: string; payload: SalePostedPayload; read: boolean }
  | { kind: 'supply'; id: string; at: string; payload: SupplyPostedPayload; read: boolean }
  | { kind: 'low-stock'; id: string; at: string; payload: LowStockPayload; read: boolean }
 const MAX_NOTIFICATIONS = 30
 export function NotificationCenter() {
  const [items, setItems] = useState<Notification[]>([])
  const [open, setOpen] = useState(false)
  const popoverRef = useRef<HTMLDivElement>(null)
  const fmtMoney = useFormatCurrency()
  // Подписываемся на 3 типа событий через существующий useNotificationsHub.
  // Каждое событие prepend'ится в ленту с уникальным id (на случай дубликатов
  // от reconnect'ов используем kind+payloadId; при коллизии второй просто
  // не добавится).
  useNotificationsHub({
    onSalePosted: (p) => {
      setItems((prev) => prepend(prev, {
        kind: 'sale', id: `sale-${p.saleId}`, at: p.postedAt, payload: p, read: false,
      }))
    },
    onSupplyPosted: (p) => {
      setItems((prev) => prepend(prev, {
        kind: 'supply', id: `supply-${p.supplyId}`, at: p.postedAt, payload: p, read: false,
      }))
    },
    onLowStock: (p) => {
      // LowStock без productId+storeId-уникальности задрочит ленту дубликатами
      // на каждом приходе → ключ включает оба поля + округлённое время.
      const slot = Math.floor(Date.now() / 60000) // одна минута = одна запись
      setItems((prev) => prepend(prev, {
        kind: 'low-stock', id: `lowstock-${p.productId}-${p.storeId}-${slot}`,
        at: new Date().toISOString(), payload: p, read: false,
      }))
    },
  })
  // Click-outside закрывает popover (но клики внутри ссылок — наоборот
  // должны его закрыть после навигации, поэтому стрелки на ссылках вызывают setOpen(false)).
  useEffect(() => {
    if (!open) return
    function onClick(e: MouseEvent) {
      if (popoverRef.current && !popoverRef.current.contains(e.target as Node)) {
        setOpen(false)
      }
    }
    function onKey(e: KeyboardEvent) {
      if (e.key === 'Escape') setOpen(false)
    }
    document.addEventListener('mousedown', onClick)
    document.addEventListener('keydown', onKey)
    return () => {
      document.removeEventListener('mousedown', onClick)
      document.removeEventListener('keydown', onKey)
    }
  }, [open])
  const unreadCount = items.filter((i) => !i.read).length
  function toggleOpen() {
    setOpen((x) => {
      const next = !x
      // При открытии — помечаем все как прочитанные.
      if (next) setItems((prev) => prev.map((i) => ({ ...i, read: true })))
      return next
    })
  }
  function clear() {
    setItems([])
    setOpen(false)
  }
  return (
    <div className="relative inline-block" ref={popoverRef}>
      <button
        type="button"
        onClick={toggleOpen}
        className="relative p-1.5 rounded text-slate-500 hover:text-slate-700 hover:bg-slate-100 dark:text-slate-400 dark:hover:text-slate-100 dark:hover:bg-slate-800"
        aria-label={unreadCount > 0 ? `Уведомления: ${unreadCount} непрочитанных` : 'Уведомления'}
        aria-expanded={open}
        aria-haspopup="dialog"
      >
        <Bell className="w-4 h-4" aria-hidden="true" />
        {unreadCount > 0 && (
          <span
            className="absolute -top-1 -right-1 min-w-[18px] h-[18px] px-1 bg-red-600 text-white rounded-full text-[10px] font-medium flex items-center justify-center"
            aria-hidden="true"
          >
            {unreadCount > 9 ? '9+' : unreadCount}
          </span>
        )}
      </button>
      {open && (
        <div
          role="dialog"
          aria-label="Уведомления"
          className="absolute right-0 bottom-full mb-2 w-80 max-w-[90vw] bg-white dark:bg-slate-900 border border-slate-200 dark:border-slate-800 rounded-lg shadow-xl z-50"
        >
          <div className="flex items-center justify-between px-3 py-2 border-b border-slate-200 dark:border-slate-800">
            <h3 className="text-sm font-semibold text-slate-900 dark:text-slate-100">Уведомления</h3>
            <div className="flex items-center gap-2">
              {items.length > 0 && (
                <button
                  type="button"
                  onClick={clear}
                  className="text-[11px] text-slate-500 hover:text-slate-700 dark:text-slate-400 dark:hover:text-slate-100"
                >
                  Очистить
                </button>
              )}
              <button
                type="button"
                onClick={() => setOpen(false)}
                aria-label="Закрыть"
                className="text-slate-500 hover:text-slate-700 dark:text-slate-400 dark:hover:text-slate-100"
              >
                <X className="w-4 h-4" />
              </button>
            </div>
          </div>
          <div className="max-h-96 overflow-y-auto">
            {items.length === 0 ? (
              <div className="px-3 py-8 text-center text-sm text-slate-500 dark:text-slate-400">
                Пока ничего нет.<br />
                <span className="text-xs">События появятся при проведении документов.</span>
              </div>
            ) : (
              <ul className="divide-y divide-slate-100 dark:divide-slate-800">
                {items.map((n) => (
                  <li key={n.id}>
                    {renderItem(n, fmtMoney, () => setOpen(false))}
                  </li>
                ))}
              </ul>
            )}
          </div>
        </div>
      )}
    </div>
  )
 }
 function prepend(prev: Notification[], n: Notification): Notification[] {
  // Уникализация по id — если событие уже есть (reconnect-replay), пропускаем.
  if (prev.some((p) => p.id === n.id)) return prev
  return [n, ...prev].slice(0, MAX_NOTIFICATIONS)
 }
 function renderItem(
  n: Notification,
  fmtMoney: ReturnType<typeof useFormatCurrency>,
  closeMenu: () => void,
 ) {
  const ts = new Date(n.at).toLocaleTimeString('ru', { hour: '2-digit', minute: '2-digit' })
  if (n.kind === 'sale') {
    return (
      <Link
        to={`/sales/retail/${n.payload.saleId}`}
        onClick={closeMenu}
        className="block px-3 py-2 hover:bg-slate-50 dark:hover:bg-slate-800/50"
      >
        <div className="flex items-start gap-2">
          <ShoppingCart className="w-4 h-4 text-emerald-600 dark:text-emerald-400 mt-0.5 shrink-0" aria-hidden="true" />
          <div className="flex-1 min-w-0">
            <div className="text-sm text-slate-900 dark:text-slate-100 truncate">
              Чек {n.payload.number} — {fmtMoney(n.payload.total, { compact: true })}
            </div>
            <div className="text-[11px] text-slate-500 dark:text-slate-400">
              {n.payload.cashierName ?? 'Кассир'} · {ts}
            </div>
          </div>
        </div>
      </Link>
    )
  }
  if (n.kind === 'supply') {
    return (
      <Link
        to={`/purchases/supplies/${n.payload.supplyId}`}
        onClick={closeMenu}
        className="block px-3 py-2 hover:bg-slate-50 dark:hover:bg-slate-800/50"
      >
        <div className="flex items-start gap-2">
          <TruckIcon className="w-4 h-4 text-blue-600 dark:text-blue-400 mt-0.5 shrink-0" aria-hidden="true" />
          <div className="flex-1 min-w-0">
            <div className="text-sm text-slate-900 dark:text-slate-100 truncate">
              Приёмка {n.payload.number} — {fmtMoney(n.payload.total, { compact: true })}
            </div>
            <div className="text-[11px] text-slate-500 dark:text-slate-400">
              {n.payload.supplierName ?? 'Поставщик'} · {ts}
            </div>
          </div>
        </div>
      </Link>
    )
  }
  // low-stock
  return (
    <Link
      to={`/inventory/stock?productId=${n.payload.productId}`}
      onClick={closeMenu}
      className="block px-3 py-2 hover:bg-slate-50 dark:hover:bg-slate-800/50"
    >
      <div className="flex items-start gap-2">
        <AlertTriangle className="w-4 h-4 text-amber-600 dark:text-amber-400 mt-0.5 shrink-0" aria-hidden="true" />
        <div className="flex-1 min-w-0">
          <div className="text-sm text-slate-900 dark:text-slate-100 truncate">
            Низкий остаток: {n.payload.productName}
          </div>
          <div className="text-[11px] text-slate-500 dark:text-slate-400">
            {n.payload.quantity} / {n.payload.minStock}
            {n.payload.storeName ? ` · ${n.payload.storeName}` : ''} · {ts}
          </div>
        </div>
      </div>
    </Link>
  )
 }
--- a/src/food-market.web/src/components/ProductGroupTree.tsx
+++ b/src/food-market.web/src/components/ProductGroupTree.tsx
@ -100,9 +100,9 @@ export function ProductGroupTree({ selectedId, onSelect }: Props) {
        >
          <button type="button" className="flex-1 text-left py-1">Все товары</button>
        </div>
-        {isLoading && <div className="px-3 py-2 text-xs text-slate-500 dark:text-slate-400">Загрузка…</div>}
+        {isLoading && <div className="px-3 py-2 text-xs text-slate-400">Загрузка…</div>}
        {!isLoading && tree.length === 0 && (
-          <div className="px-3 py-2 text-xs text-slate-500 dark:text-slate-400">Групп ещё нет</div>
+          <div className="px-3 py-2 text-xs text-slate-400">Групп ещё нет</div>
        )}
        {tree.map((n) => renderNode(n, 0))}
      </div>
--- a/src/food-market.web/src/components/ProductImage.tsx
+++ b/src/food-market.web/src/components/ProductImage.tsx
@ -1,54 +0,0 @@
 /**
 * Sprint 14: оптимизированная <img>-обёртка для product-картинок.
 *
 * Backend генерирует thumb (256×256) и medium (800×800) WebP-варианты при
 * загрузке (см. ImageVariantService). Этот компонент использует <picture>
 * с srcset чтобы браузер сам выбрал нужный вариант под devicePixelRatio.
 *
 * - размер 'thumb' (списки, виджеты, dashboard): srcset thumb + 2x medium.
 * - размер 'medium' (карточка товара): srcset medium + 2x original.
 *
 * Если URL уже содержит ?size=... (старая загрузка, manual override), просто
 * рендерим <img> без обёртки.
 */
 interface ProductImageProps {
  src: string | null | undefined
  alt: string
  size?: 'thumb' | 'medium'
  className?: string
  loading?: 'lazy' | 'eager'
 }
 export function ProductImage({ src, alt, size = 'thumb', className, loading = 'lazy' }: ProductImageProps) {
  if (!src) return null
  // Прямой URL без манипуляции — оставляем как было (e.g. внешний URL с другого CDN).
  const isLocalUpload = src.startsWith('/uploads/') || src.includes('/uploads/')
  if (!isLocalUpload) {
    return <img src={src} alt={alt} className={className} loading={loading} />
  }
  // Имеем дело со /uploads/products/.../...; добавляем ?size=
  const base = src.split('?')[0]
  const thumb = `${base}?size=thumb`
  const medium = `${base}?size=medium`
  const original = base
  // <picture> + WebP srcset. Браузер сам выбирает лучший вариант по
  // type-фильтру (WebP) + srcset (DPR). Старые браузеры без WebP-support
  // получат оригинал из <img>.
  if (size === 'thumb') {
    return (
      <picture>
        <source type="image/webp" srcSet={`${thumb} 1x, ${medium} 2x`} />
        <img src={thumb} alt={alt} className={className} loading={loading} />
      </picture>
    )
  }
  return (
    <picture>
      <source type="image/webp" srcSet={`${medium} 1x, ${original} 2x`} />
      <img src={medium} alt={alt} className={className} loading={loading} />
    </picture>
  )
 }
--- a/src/food-market.web/src/components/ProductImageGallery.tsx
+++ b/src/food-market.web/src/components/ProductImageGallery.tsx
@ -74,7 +74,7 @@ export function ProductImageGallery({ productId }: Props) {
      </div>
      {images.length === 0 ? (
-        <div className="text-sm text-slate-500 dark:text-slate-400">Изображений нет.</div>
+        <div className="text-sm text-slate-400">Изображений нет.</div>
      ) : (
        <div className="grid grid-cols-4 sm:grid-cols-6 md:grid-cols-8 gap-2">
          {images.map((img, i) => (
--- a/src/food-market.web/src/components/ProductPicker.tsx
+++ b/src/food-market.web/src/components/ProductPicker.tsx
@ -53,9 +53,9 @@ export function ProductPicker({ open, onClose, onPick, title = 'Выбор то
        </div>
        <div className="flex-1 overflow-auto">
-          {results.isLoading && <div className="p-6 text-center text-slate-500 dark:text-slate-400 text-sm">Загрузка…</div>}
+          {results.isLoading && <div className="p-6 text-center text-slate-400 text-sm">Загрузка…</div>}
          {results.data && results.data.length === 0 && (
-            <div className="p-6 text-center text-slate-500 dark:text-slate-400 text-sm">
+            <div className="p-6 text-center text-slate-400 text-sm">
              {search ? 'Ничего не найдено' : 'Начни вводить название или штрихкод'}
            </div>
          )}
@ -68,7 +68,7 @@ export function ProductPicker({ open, onClose, onPick, title = 'Выбор то
            >
              <div className="min-w-0">
                <div className="font-medium text-slate-900 dark:text-slate-100 truncate">{p.name}</div>
-                <div className="text-xs text-slate-500 dark:text-slate-400 flex gap-2 font-mono">
+                <div className="text-xs text-slate-400 flex gap-2 font-mono">
                  {p.article && <span>{p.article}</span>}
                  {p.barcodes[0] && <span>· {p.barcodes[0].code}</span>}
                  <span>· {p.unitName}</span>
--- a/src/food-market.web/src/components/ShortcutsOverlay.tsx
+++ b/src/food-market.web/src/components/ShortcutsOverlay.tsx
@ -45,7 +45,7 @@ export function ShortcutsOverlay() {
          </div>
          <button
            onClick={() => setOpen(false)}
-            className="text-slate-500 dark:text-slate-400 hover:text-slate-600"
+            className="text-slate-400 hover:text-slate-600"
            aria-label="Закрыть"
          >
            <X className="w-4 h-4" />
@ -65,7 +65,7 @@ export function ShortcutsOverlay() {
            <Row label="Назад к списку" keys={['Esc']} />
          </Section>
        </div>
-        <div className="px-5 py-2 border-t border-slate-200 dark:border-slate-800 text-[11px] text-slate-500 dark:text-slate-400">
+        <div className="px-5 py-2 border-t border-slate-200 dark:border-slate-800 text-[11px] text-slate-400">
          Нажми <Kbd>?</Kbd> в любой момент, чтобы открыть эту шпаргалку.
        </div>
      </div>
@ -89,7 +89,7 @@ function Row({ label, keys }: { label: string; keys: string[] }) {
      <span className="flex items-center gap-1 shrink-0">
        {keys.map((k, i) => (
          <span key={i} className="flex items-center gap-1">
-            {i > 0 && <span className="text-slate-500 dark:text-slate-400 text-xs">+</span>}
+            {i > 0 && <span className="text-slate-400 text-xs">+</span>}
            <Kbd>{k}</Kbd>
          </span>
        ))}
--- a/src/food-market.web/src/components/SuperAdminLayout.tsx
+++ b/src/food-market.web/src/components/SuperAdminLayout.tsx
@ -171,8 +171,8 @@ export function SuperAdminLayout() {
            </button>
            {orgPickerOpen && (
              <div className="absolute right-0 top-full mt-1 w-72 max-h-80 overflow-auto bg-white dark:bg-slate-900 border border-slate-200 dark:border-slate-700 rounded-md shadow-lg z-50">
-                {orgs.isLoading && <div className="px-3 py-2 text-sm text-slate-500 dark:text-slate-400">Загрузка…</div>}
+                {orgs.isLoading && <div className="px-3 py-2 text-sm text-slate-400">Загрузка…</div>}
-                {orgs.data?.length === 0 && <div className="px-3 py-2 text-sm text-slate-500 dark:text-slate-400">Нет организаций</div>}
+                {orgs.data?.length === 0 && <div className="px-3 py-2 text-sm text-slate-400">Нет организаций</div>}
                {orgs.data?.map((o) => (
                  <button
                    key={o.id}
--- a/src/food-market.web/src/components/SupplyLineQuickAdd.tsx
+++ b/src/food-market.web/src/components/SupplyLineQuickAdd.tsx
@ -288,9 +288,9 @@ export function SupplyLineQuickAdd({ storeId, disabled, onPick }: Props) {
          className="z-[100] rounded-md border border-slate-200 dark:border-slate-700 bg-white dark:bg-slate-900 shadow-lg flex flex-col overflow-hidden"
        >
          {loading && items.length === 0 ? (
-            <div className="px-3 py-2 text-sm text-slate-500 dark:text-slate-400">Ищу…</div>
+            <div className="px-3 py-2 text-sm text-slate-400">Ищу…</div>
          ) : items.length === 0 ? (
-            <div className="px-3 py-2 text-sm text-slate-500 dark:text-slate-400">Ничего не найдено</div>
+            <div className="px-3 py-2 text-sm text-slate-400">Ничего не найдено</div>
          ) : (
            <ul className="py-1 overflow-y-auto">
              {(showAll ? items : items.slice(0, VISIBLE_LIMIT)).map((it, i) => (
@ -302,10 +302,10 @@ export function SupplyLineQuickAdd({ storeId, disabled, onPick }: Props) {
                    className={`w-full flex items-center justify-between gap-3 px-3 py-1.5 text-left text-sm ${i === highlight ? 'bg-slate-100 dark:bg-slate-800' : ''}`}
                  >
                    <span className="flex-1 min-w-0 truncate">
-                      {it.article && <span className="font-mono text-slate-500 dark:text-slate-400 mr-2">{it.article}</span>}
+                      {it.article && <span className="font-mono text-slate-400 mr-2">{it.article}</span>}
                      <span className="text-slate-900 dark:text-slate-100">{highlightMatch(it.name, query.trim())}</span>
                      {it.defaultBarcode && (
-                        <span className="ml-2 text-xs text-slate-500 dark:text-slate-400 font-mono">{it.defaultBarcode}</span>
+                        <span className="ml-2 text-xs text-slate-400 font-mono">{it.defaultBarcode}</span>
                      )}
                    </span>
                    <StockBadge qty={it.stockQty} />
--- a/src/food-market.web/src/components/WhatsNewBanner.tsx
+++ b/src/food-market.web/src/components/WhatsNewBanner.tsx
@ -1,78 +0,0 @@
 /**
 * Sprint 18: «Появились новые функции» баннер.
 *
 * Опрашивает /api/whats-new (раз в загрузку app'а через TanStack Query),
 * сравнивает buildVersion с `localStorage.fm.lastSeenBuildVersion`.
 * Если mismatch + есть items за последние 30 дней — показывает узкий
 * баннер сверху со ссылкой на /whats-new. Кнопка «Закрыть»
 * записывает текущую версию в localStorage чтобы не показывать
 * снова до следующего deploy'a.
 */
 import { useState, useEffect } from 'react'
 import { useQuery } from '@tanstack/react-query'
 import { Link } from 'react-router-dom'
 import { Sparkles, X } from 'lucide-react'
 import { api } from '@/lib/api'
 interface WhatsNewResponse {
  buildVersion: string
  items: Array<{ date: string; title: string; type: string }>
 }
 const STORAGE_KEY = 'fm.lastSeenBuildVersion'
 export function WhatsNewBanner() {
  const [dismissed, setDismissed] = useState(false)
  const { data } = useQuery<WhatsNewResponse>({
    queryKey: ['/api/whats-new'],
    queryFn: async () => (await api.get<WhatsNewResponse>('/api/whats-new')).data,
    // Раз в час — деплоев чаще не бывает.
    staleTime: 60 * 60 * 1000,
    retry: 0,
  })
  // Спросим localStorage при mount'е — если уже видели эту сборку, не показываем.
  useEffect(() => {
    if (!data) return
    const seen = localStorage.getItem(STORAGE_KEY)
    if (seen === data.buildVersion) setDismissed(true)
  }, [data])
  if (!data || dismissed) return null
  if (data.items.length === 0) return null
  // Если buildVersion = "dev" (локальный run) — не лезем юзеру.
  if (data.buildVersion === 'dev') return null
  function dismiss() {
    if (data) localStorage.setItem(STORAGE_KEY, data.buildVersion)
    setDismissed(true)
  }
  // Считаем сколько фич/фиксов добавлено.
  const featCount = data.items.filter(i => i.type === 'feat').length
  const fixCount = data.items.filter(i => i.type === 'fix').length
  return (
    <div className="bg-emerald-50 dark:bg-emerald-900/20 border-b border-emerald-200 dark:border-emerald-800 px-4 py-2 flex items-center justify-between gap-3 text-sm">
      <div className="flex items-center gap-2 min-w-0">
        <Sparkles className="w-4 h-4 text-emerald-600 shrink-0" aria-hidden="true" />
        <span className="truncate text-emerald-900 dark:text-emerald-200">
          Появились новые функции —{' '}
          <strong>{featCount}</strong> {featCount === 1 ? 'улучшение' : 'улучшений'}
          {fixCount > 0 && <> и <strong>{fixCount}</strong> {fixCount === 1 ? 'исправление' : 'исправлений'}</>}{' '}
          за последние 30 дней.{' '}
          <Link to="/whats-new" onClick={dismiss} className="underline font-medium hover:text-emerald-700 dark:hover:text-emerald-100">
            Посмотреть
          </Link>
        </span>
      </div>
      <button
        onClick={dismiss}
        className="text-emerald-600 hover:text-emerald-800 dark:hover:text-emerald-200 shrink-0"
        aria-label="Закрыть"
      >
        <X className="w-4 h-4" aria-hidden="true" />
      </button>
    </div>
  )
 }
--- a/src/food-market.web/src/help/catalog.md
+++ b/src/food-market.web/src/help/catalog.md
@ -1,21 +0,0 @@
 ---
 title: Каталог товаров
 group: catalog
 order: 1
 ---
 # Каталог
 Раздел «Каталог» включает:
 - **Товары** — основные карточки с ценами, штрихкодами, изображениями.
 - **Группы товаров** — иерархия для категоризации (Хлеб / Молочное / …).
 - **Единицы измерения** — штука, кг, л (можно добавить свои).
 - **Типы цен** — Розничная, Опт, Закупочная (системный «Розничная» создаётся при signup).
 ## Поиск штрихкода
 В POS-приложении сканер штрихкода ищет товар по полю `barcode`. На веб-админке тот же поиск в `/api/search/global` через Cmd+K.
 ## Импорт из МойСклад
 Перейдите «Каталог → Импорт МойСклад», вставьте ApiKey МойСклад — загрузятся товары, группы, контрагенты и остатки. Идемпотентно (повторный run — обновление).
--- a/src/food-market.web/src/help/documents.md
+++ b/src/food-market.web/src/help/documents.md
@ -1,25 +0,0 @@
 ---
 title: Документы
 group: documents
 order: 1
 ---
 # Документы учёта
 В системе 7 типов документов:
 - **Приёмка (Supply)** — поступление от поставщика. Post → +qty на склад.
 - **Оприходование (Enter)** — внутреннее увеличение остатка (без поставщика). Post → +qty.
 - **Возврат поставщику (SupplierReturn)** — −qty со склада.
 - **Розничная продажа (RetailSale)** — чек кассы. Post → −qty.
 - **Опт-отгрузка (Demand)** — продажа контрагенту. Post → −qty.
 - **Списание (Loss)** — брак/просрочка. Post → −qty.
 - **Перемещение (Transfer)** — между складами. Post → −qty с from, +qty на to.
 ## Цикл документа
 1. Создать **Draft** (черновик).
 2. **Post** — проводит, стоки обновляются под Serializable-транзакцией.
 3. **Unpost** — откатывает (если нет последующих ссылок).
 `xmin` concurrency защищает от race'ов: параллельный пост одного документа → 409.
--- a/src/food-market.web/src/help/getting-started.md
+++ b/src/food-market.web/src/help/getting-started.md
@ -1,27 +0,0 @@
 ---
 title: Начало работы
 group: start
 order: 1
 ---
 # Начало работы
 После регистрации вы попадаете в **Wizard** из 4 шагов, который помогает заполнить базовые данные:
 1. **Магазин** — название и адрес (видны на квитанциях).
 2. **Первый товар** — заводим один тестовый товар или импортируем каталог.
 3. **Первый сотрудник** — добавляем кассира/администратора.
 4. **Демо-данные** — опционально заполняем пробными данными за месяц.
 Каждый шаг можно пропустить. Wizard запоминается через `localStorage.fm.wizardCompleted` — повторно не показывается.
 ## Демо-данные
 «Заполнить пробными данными» создаёт:
 - 50 товаров в 5 группах,
 - 10 контрагентов (5 поставщиков + 5 покупателей),
 - 5 приёмок,
 - 30 продаж,
 - 1 опт-отгрузка, 1 списание, 1 перемещение, 1 инвентаризация.
 Идемпотентно — повторный запуск ничего не дублирует. Это помогает увидеть как выглядят отчёты и виджеты с реальными числами.
--- a/src/food-market.web/src/help/integrations.md
+++ b/src/food-market.web/src/help/integrations.md
@ -1,25 +0,0 @@
 ---
 title: Интеграции
 group: integrations
 order: 1
 ---
 # Интеграции
 ## ОФД (фискализация чеков РК)
 Поддерживаются:
 - **Webkassa** (полный pipeline) — нужен Login + Password от API-пользователя + CashboxUniqueNumber.
 - **Касса24** (skeleton, ждём спецификации API).
 - **ОФД-Соло** (skeleton).
 - **Mock** — для dev/демо без реального оператора.
 Настройка: «Настройки → ОФД». ApiKey/ApiSecret шифруются через DataProtection (purpose=`foodmarket.fiscal`), в API не возвращаются (только has-флаги).
 ## МойСклад
 Импорт каталога одним кликом. Per-organization ApiToken в `Organization.MoySkladToken`.
 ## MinIO (S3-совместимое хранилище)
 По умолчанию картинки товаров хранятся на локальном диске (`/uploads`). Для production рекомендуется MinIO — даёт надёжное хранение + удобный URL.
--- a/src/food-market.web/src/help/inventory.md
+++ b/src/food-market.web/src/help/inventory.md
@ -1,19 +0,0 @@
 ---
 title: Склад и остатки
 group: documents
 order: 5
 ---
 # Склад
 ## Инвариант
 `stocks.quantity` = `SUM(stock_movements.quantity)` per `(productId, storeId)`. Подтверждено property-based test'ом (`StockServicePropertyTests`).
 ## CSV-инвентаризация
 «Инвентаризация → Загрузить CSV». Колонки: `article` (или `barcode`), `factQty`. На неизвестные товары — warning в импорт-логе, не падает целиком.
 ## Низкий остаток
 Если у товара заполнено `MinStock` — Hangfire-job `low-stock-alert` каждый день в 08:00 UTC шлёт email-сводку Admin'у. Также реалтайм-уведомление через SignalR `LowStock` после каждой продажи.
--- a/src/food-market.web/src/help/loyalty.md
+++ b/src/food-market.web/src/help/loyalty.md
@ -1,21 +0,0 @@
 ---
 title: Лояльность и акции
 group: features
 order: 2
 ---
 # Лояльность
 Три типа программ:
 - **Percentage** — фиксированный % скидки на чек.
 - **FixedAmount** — фиксированная сумма скидки.
 - **PointsAccrual** — баллы (% от чека) копятся на карту.
 ## Карты
 Каждая карта = (программа, контрагент, номер карты). Номер уникален в рамках организации.
 ## Промокоды
 Промокод — отдельная сущность. Может действовать на весь чек, на товары из групп или конкретные товары. Период действия, минимальная сумма чека и активность контролируются.
--- a/src/food-market.web/src/help/security.md
+++ b/src/food-market.web/src/help/security.md
@ -1,23 +0,0 @@
 ---
 title: Безопасность
 group: security
 order: 1
 ---
 # Безопасность
 ## Двухфакторная защита (2FA)
 Включает TOTP — Google Authenticator / Authy / 1Password OTP. После включения логин требует кода каждый раз.
 Включить: «Настройки → Профиль → 2FA».
 ## Завершить все сессии
 Если подозреваете компрометацию пароля — «Профиль → Завершить все сессии» гасит все refresh-токены. Все ваши клиенты (web, POS) на следующем refresh'е разлогинятся.
 ## Журнал изменений (audit-log)
 Каждая mutate-операция (CRUD на товарах, документах, ролях) логируется в `org_audit_log`. Хранится 180 дней. Доступ — Admin и SuperAdmin.
 Sensitive-операции (смена пароля, 2FA enroll/disable, выдача роли, revoke-all sessions) дополнительно идут через `SensitiveOpsAudit` с структурированным payload'ом.
--- a/src/food-market.web/src/lib/help-topics.ts
+++ b/src/food-market.web/src/lib/help-topics.ts
@ -1,90 +0,0 @@
 /**
 * Sprint 17: mapping help-topics → короткие описания.
 * Используется `<HelpTooltip topic="key"/>` — рендерит иконку «?» которая
 * по клику показывает popover с textом и ссылкой на /help#key.
 *
 * Тексты короткие — 1-2 предложения. Длинная документация — в
 * `src/help/<key>.md`, открывается на /help.
 */
 export interface HelpTopic {
  /** Заголовок popover'а — обычно совпадает с названием раздела. */
  title: string
  /** Короткое описание (1-2 предложения). */
  short: string
  /** Опц. путь в /help для full-read'a. */
  fullPath?: string
 }
 export const HELP_TOPICS: Record<string, HelpTopic> = {
  loyalty: {
    title: 'Лояльность',
    short: 'Создайте программу скидок (процент, фиксированная сумма или баллы) и выдайте карты постоянным покупателям. На кассе скидка применится по номеру карты.',
    fullPath: 'loyalty',
  },
  'loyalty-cards': {
    title: 'Карты лояльности',
    short: 'Каждая карта привязана к программе и контрагенту-покупателю. CardNumber вводится на POS — кассир видит баланс и скидку.',
    fullPath: 'loyalty#cards',
  },
  promotions: {
    title: 'Промокоды и акции',
    short: 'Промокод даёт скидку при вводе на чеке (или автоматически на товары из заданного scope). Можно ограничить по периоду, минимальной сумме чека и по товарам/группам.',
    fullPath: 'promotions',
  },
  '2fa': {
    title: 'Двухфакторная защита (TOTP)',
    short: 'Включает второй фактор при логине: код из Google Authenticator / Authy. Защищает аккаунт даже если пароль утёк.',
    fullPath: 'security#2fa',
  },
  'sessions-revoke': {
    title: 'Завершить все сессии',
    short: "Гасит все refresh-токены — все ваши клиенты (web, POS) на следующем refresh'е разлогинятся. Используйте если подозреваете компрометацию.",
    fullPath: 'security#sessions',
  },
  'minio-settings': {
    title: 'Хранилище изображений (MinIO)',
    short: 'По умолчанию картинки товаров лежат на локальном диске. MinIO даёт надёжное S3-совместимое хранение с CDN-друидным URL и репликой.',
    fullPath: 'integrations#storage',
  },
  ofd: {
    title: 'ОФД (фискализация чеков РК)',
    short: 'Чек регистрируется у оператора (Webkassa / Касса24 / ОФД-Соло) → выдаётся фискальный номер + QR для печати. Без ОФД чек проводится локально без фискализации.',
    fullPath: 'integrations#ofd',
  },
  'moysklad-import': {
    title: 'Импорт из МойСклад',
    short: 'Загружает каталог (товары, группы, контрагенты, остатки) одним кликом по API-ключу МойСклад. Импорт идемпотентный — повторный run обновляет существующие.',
    fullPath: 'integrations#moysklad',
  },
  'inventory-csv': {
    title: 'Загрузка остатков CSV',
    short: 'Зальёт остатки товаров через инвентаризацию с CSV-файлом. Колонки: article|barcode, factQty. На неизвестные товары — warning, не падает.',
    fullPath: 'inventory#csv',
  },
  'audit-log': {
    title: 'Журнал изменений',
    short: 'Логирует каждую mutate-операцию (create/update/delete на товарах, документах, ролях). Хранится 180 дней. Можно фильтровать по типу, пользователю, времени.',
    fullPath: 'security#audit',
  },
  'demo-seed': {
    title: 'Демо-данные',
    short: 'Заполняет вашу организацию реалистичными данными за месяц (50 товаров, 10 контрагентов, продажи, приёмки). Идемпотентно — повторный запуск ничего не дублирует. Можно использовать для тренинга.',
    fullPath: 'getting-started#demo',
  },
  'wizard-store': {
    title: 'Магазин',
    short: 'Название и адрес видны на квитанциях. Изменить можно в любое время в «Настройки → Магазин».',
  },
  'wizard-employee': {
    title: 'Сотрудник',
    short: 'Создаём запись сотрудника без аккаунта пользователя. Чтобы он мог войти — отправьте приглашение по email из «Настройки → Сотрудники».',
  },
 }
 /** Возвращает topic-meta или fallback с переданным текстом. */
 export function getHelpTopic(key: string): HelpTopic {
  return HELP_TOPICS[key] ?? {
    title: key,
    short: 'Описание ещё не написано.',
  }
 }
--- a/src/food-market.web/src/lib/useFocusTrap.ts
+++ b/src/food-market.web/src/lib/useFocusTrap.ts
@ -1,102 +0,0 @@
 import { useEffect, useRef } from 'react'
 /**
 * Sprint 15: focus trap для модальных диалогов (WCAG 2.4.3 Focus Order +
 * 2.1.2 No Keyboard Trap). Логика:
 *
 * 1. Запоминаем currently-focused элемент перед открытием (return target).
 * 2. На open перемещаем focus на первый focusable внутри контейнера
 *    (если передан initial-focus selector — используем его).
 * 3. Tab/Shift+Tab внутри контейнера зацикливают focus: с последнего
 *    focusable Tab → первый; с первого Shift+Tab → последний.
 * 4. На close возвращаем focus на запомнённый return target.
 *
 * Возвращает ref на корневой контейнер модала; повесить на div role="dialog".
 *
 * @param active — открыт ли модал.
 * @param initialFocusSelector — CSS-селектор внутри контейнера, на который
 *   двинуть focus при открытии. По умолчанию — первый focusable.
 */
 export function useFocusTrap<T extends HTMLElement = HTMLDivElement>(
  active: boolean,
  initialFocusSelector?: string,
 ) {
  const containerRef = useRef<T | null>(null)
  const returnFocusRef = useRef<HTMLElement | null>(null)
  useEffect(() => {
    if (!active) return
    // 1) Запомнить кто был сфокусирован до открытия (вернуть на close).
    returnFocusRef.current = (document.activeElement as HTMLElement) ?? null
    const container = containerRef.current
    if (!container) return
    // 2) Сдвинуть focus в модал.
    const moveInitialFocus = () => {
      let target: HTMLElement | null = null
      if (initialFocusSelector) {
        target = container.querySelector<HTMLElement>(initialFocusSelector)
      }
      if (!target) {
        target = getFocusable(container)[0] ?? container
      }
      target.focus()
    }
    // Чуть-чуть откладываем, чтобы дать React закончить mount и не упереться
    // в `display: none` на родителях (Tailwind sm:rounded и тд).
    const initialTimer = window.setTimeout(moveInitialFocus, 0)
    // 3) Tab/Shift+Tab — зациклить.
    const onKeyDown = (e: KeyboardEvent) => {
      if (e.key !== 'Tab') return
      const focusables = getFocusable(container)
      if (focusables.length === 0) {
        e.preventDefault(); return
      }
      const first = focusables[0]
      const last = focusables[focusables.length - 1]
      const active = document.activeElement as HTMLElement | null
      if (e.shiftKey) {
        if (active === first || !container.contains(active)) {
          e.preventDefault(); last.focus()
        }
      } else {
        if (active === last) {
          e.preventDefault(); first.focus()
        }
      }
    }
    document.addEventListener('keydown', onKeyDown)
    return () => {
      window.clearTimeout(initialTimer)
      document.removeEventListener('keydown', onKeyDown)
      // 4) Вернуть focus куда был. setTimeout — чтобы дать DOM cleanup-у
      // отработать (без него фокус может «улететь» в body).
      const returnTo = returnFocusRef.current
      if (returnTo && typeof returnTo.focus === 'function') {
        window.setTimeout(() => returnTo.focus(), 0)
      }
    }
  }, [active, initialFocusSelector])
  return containerRef
 }
 /** Список focusable элементов внутри контейнера в табoрдере. Tabindex < 0
 * пропускаем (по конвенции — visually-focusable но не keyboard). */
 function getFocusable(root: HTMLElement): HTMLElement[] {
  const selector = [
    'a[href]', 'button:not([disabled])', 'input:not([disabled])',
    'select:not([disabled])', 'textarea:not([disabled])',
    '[tabindex]:not([tabindex="-1"])', 'audio[controls]', 'video[controls]',
  ].join(',')
  const all = Array.from(root.querySelectorAll<HTMLElement>(selector))
  return all.filter(el => {
    if (el.hasAttribute('disabled')) return false
    const style = window.getComputedStyle(el)
    if (style.visibility === 'hidden' || style.display === 'none') return false
    return true
  })
 }
--- a/src/food-market.web/src/lib/useFormatCurrency.ts
+++ b/src/food-market.web/src/lib/useFormatCurrency.ts
@ -1,59 +0,0 @@
 /**
 * Sprint 18: per-org currency formatter.
 *
 * До этого по всему фронту были разбросаны `${value.toLocaleString('ru')} ₸`
 * — захардкоженный тенге, локаль ru. Этот хук возвращает функцию formatter'a,
 * которая берёт `defaultCurrencyCode` / `defaultCurrencySymbol` из org settings
 * и i18n-локаль из i18next. Если settings ещё не загрузились — fallback на
 * тенге (KZT) чтобы UI не блинкал «—» во время первого рендера.
 *
 * Возвращает stable function (через useCallback), безопасно деструктурируется.
 *
 * Использование:
 *   const fmt = useFormatCurrency()
 *   <span>{fmt(123456.78)}</span>     // "123 456,78 ₸"
 *   <span>{fmt(123, { compact: true })}</span>  // "123 ₸" (без копеек)
 */
 import { useCallback } from 'react'
 import { useTranslation } from 'react-i18next'
 import { useOrgSettings } from './useOrgSettings'
 interface FormatOptions {
  /** Без дробной части (для итогов в листингах, где копейки шум). */
  compact?: boolean
  /** Кол-во знаков после запятой (по умолчанию 2). */
  decimals?: number
 }
 export function useFormatCurrency() {
  const { i18n } = useTranslation()
  const { data } = useOrgSettings()
  // i18n.language может быть 'ru-RU' или 'kk-KZ'; Intl.NumberFormat
  // принимает BCP-47 как есть. Fallback на 'ru-RU' — это базовая локаль
  // для kz-розницы (исторически большинство экранов на русском).
  const locale = i18n.language || 'ru-RU'
  const symbol = data?.defaultCurrencySymbol ?? '₸'
  return useCallback(
    (value: number | null | undefined, opts?: FormatOptions): string => {
      if (value == null || isNaN(value)) return '—'
      const decimals = opts?.decimals ?? (opts?.compact ? 0 : 2)
      const formatted = value.toLocaleString(locale, {
        minimumFractionDigits: decimals,
        maximumFractionDigits: decimals,
      })
      return `${formatted} ${symbol}`
    },
    [locale, symbol],
  )
 }
 /** Не-хук версия для случаев, когда хук недоступен (вне React). */
 export function formatCurrencyKzt(value: number | null | undefined, decimals = 2): string {
  if (value == null || isNaN(value)) return '—'
  return `${value.toLocaleString('ru-RU', {
    minimumFractionDigits: decimals,
    maximumFractionDigits: decimals,
  })} ₸`
 }
--- a/Show more
+++ b/Show more
		`@ -1 +0,0 @@`
			<svg xmlns="http://www.w3.org/2000/svg" width="180" height="20" role="img" aria-label="coverage (app+domain): 80%"><title>coverage (app+domain): 80%</title><g shape-rendering="crispEdges"><rect width="145" height="20" fill="#555"/><rect x="145" width="35" height="20" fill="#67ac09"/></g><g fill="#fff" text-anchor="middle" font-family="Verdana,Geneva,DejaVu Sans,sans-serif" text-rendering="geometricPrecision" font-size="110"><text x="735" y="140" transform="scale(.1)" fill="#fff" textLength="1350">coverage (app+domain)</text><text x="1615" y="140" transform="scale(.1)" fill="#fff" textLength="250">80%</text></g></svg>