Добавлены уведомления

architectory/arch-03-docker-compose-blueprint.md

@@ -23,7 +23,7 @@
   - `/bitrix/sync/*` (public: webhook CRM sync для `bitrix-sync`) → `bitrix-sync`;
   - exact `POST /callbacks/idgtl/sms` → `sms-service`; остальные методы и SMS paths не публикуются;
   - web-сборка frontend или прокси на dev-сервер;
-  - `/internal/openlines/*`, `/internal/safety/*`, `/internal/sync/*`, `/internal/sms/*` **не публикуются** наружу — доступны только из внутренней Docker-сети.
+  - `/internal/openlines/*`, `/internal/safety/*`, `/internal/sync/*`, `/internal/sms/*`, `/internal/notifications/*` **не публикуются** наружу — доступны только из внутренней Docker-сети.
 - Никакой другой `nginx` (ни в контейнере сервиса, ни на хосте) не терминирует внешний HTTPS для backend-контура. Site-конфиг `tohin.ru` на хосте, если используется, должен проксировать весь трафик на корневой `nginx` контейнера, а не на порты отдельных сервисов напрямую.
 
 ### Структура compose через `include`
@@ -158,6 +158,8 @@ Python FastAPI backend.
 - принимает forward нормализованных событий оператора от `bitrix-local-app`;
 - поддерживает realtime endpoint для сообщений оператора;
 - работает с Selectel S3 для файлов и документов;
+- обслуживает Notification Center G/P и Internal Create/Cancel; token каждого продюсера передаётся через env/secret, в App DB хранится только hash;
+- имеет отдельные процессы expire job (ежедневно 00:01 UTC, advisory lock) и cleanup upload drafts/S3; они используют тот же immutable image и не публикуют порты;
 - экспортирует traces/logs в `otel-collector`;
 - не хранит состояние внутри контейнера.
 
@@ -300,6 +302,8 @@ Identity provider. **Обязателен** в compose-контуре с пер
 
 Корневой `backend/.env` читается всеми сервисами compose через `${VAR}` в сервисных `docker-compose.yml`. Канонический `.env.example` и `app_settings` — в [`arch-04-settings-and-content.md`](arch-04-settings-and-content.md); контракты service tokens — в [`arch-02-api-contracts.md`](arch-02-api-contracts.md).
 
+Для smoke-продюсера обязателен `NOTIFICATIONS_TOKEN_PRODUCER_TEST`; это secret, а не `app_settings`. Compose передаёт его только `api-backend` и notification workers. Зарегистрированные entrypoints: `han-notification-expire-worker` и `han-notification-draft-cleanup-worker`; выдуманный command без project script в deployment запрещён.
+
 ## HTTPS и TLS
 
 Соответствует [`arch-01-system-architecture.md`](arch-01-system-architecture.md), «Принципы безопасности» (HTTPS, TLS, HSTS). Инфраструктурная реализация:
@@ -330,6 +334,7 @@ Identity provider. **Обязателен** в compose-контуре с пер
 - слабые шифры запрещены на уровне `nginx`;
 - `nginx` скрывает `Server`, `X-Powered-By` и аналогичные технологические заголовки;
 - security headers: `Strict-Transport-Security`, `X-Content-Type-Options`, `Referrer-Policy`, `Content-Security-Policy` для web-приложения;
+- инструкция по установке всегда открывается новой вкладкой, поэтому CSP SPA задаёт `frame-src 'none'`; allow-list iframe для инструкций отсутствует;
 - секретный ключ сертификата не коммитится в репозиторий;
 - использовать сертификаты доверенного CA; автоматизировать выпуск и продление (Let's Encrypt + reload `nginx`);
 - закрыть прямой доступ к внутренним портам контейнеров извне.
@@ -367,7 +372,7 @@ Rate limits должны быть распределены по двум сло
 `nginx`:
 
 - ограничивает частоту запросов до попадания в API;
-- держит отдельные зоны лимитов для `/auth`, `/api`, public endpoints, fallback polling и download endpoints;
+- держит отдельные зоны лимитов для `/auth`, `/api`, public endpoints, fallback polling, download endpoints, чтения/действий/загрузок Notification Center;
 - ограничивает `client_max_body_size`;
 - ограничивает загрузку файлов лимитом 5 МБ; `client_max_body_size` должен быть чуть выше бизнес-лимита для учета overhead запроса;
 - применяет `limit_req` для endpoint авторизации и fallback polling;
@@ -435,7 +440,8 @@ WAF не заменяет обязательные лимиты, валидац
 6. `message-safety`.
 7. `bitrix-local-app`.
 8. `bitrix-sync`.
-9. `nginx`.
+9. Notification expire/cleanup workers после готовности `api-backend` и регистрации их entrypoints.
+10. `nginx`.
 
 Порядок rollout SMS подробнее задаёт module-11/module-10. Зависимости запуска не образуют цикл: Keycloak стартует при недоступном `sms-service`; это блокирует только новые real-mode orders, а verify уже active challenges продолжается по snapshot.