Реализованы сервисы ВМ2 - проверка сообщений и синхронизация с Б24 (деплой еще без перевода в боевой режим)

codebase/backend/api-backend/README.md

@@ -39,6 +39,7 @@ han-notification-draft-cleanup-worker
 - `KEYCLOAK_PUBLIC_URL`, `KEYCLOAK_INTERNAL_URL`, `KEYCLOAK_REALM`,
   `KEYCLOAK_AUDIENCE`;
 - `MESSAGE_SAFETY_URL`, `MESSAGE_SAFETY_SERVICE_TOKEN`,
+  `MESSAGE_SAFETY_CA_FILE`, `MESSAGE_SAFETY_API_PREFIX=/internal/safety/v2`,
   `MESSAGE_SAFETY_POST_TIMEOUT_SEC`, `MESSAGE_SAFETY_TASK_POLL_INTERVAL_SEC`,
   `MESSAGE_SAFETY_TASK_POLL_MAX_SEC`,
   `MESSAGE_SAFETY_CIRCUIT_FAILURE_THRESHOLD`, `MESSAGE_SAFETY_CIRCUIT_OPEN_SEC`;
@@ -57,7 +58,9 @@ han-notification-draft-cleanup-worker
 
 Токены генерируются `openssl rand -hex 32`. S3 read-only credentials Message Safety
 не передаются этому контейнеру. В production подключение PostgreSQL должно использовать
-TLS, а internal endpoints — быть доступны только из backend-сети.
+TLS. Target `MESSAGE_SAFETY_URL=https://processing.internal:8443`; certificate
+проверяется по internal CA, plaintext HTTP запрещён. Текущий Docker hostname
+`message-safety` относится только к legacy stub до cutover.
 
 Smoke-сценарий `producer_test`: отправить `POST
 /internal/notifications/v1/notifications` с `Authorization: Bearer
@@ -75,5 +78,7 @@ mypy app
 pytest
 ```
 
-`/health/live` проверяет процесс. `/health/ready` проверяет критические зависимости и
-возвращает `503`, если сервис не может безопасно обслуживать protected API.
+`/health/live` проверяет процесс. `/health/ready` проверяет критические
+зависимости read API. Remote Message Safety не выключает чтение/общую readiness:
+send endpoint отдельно проверяет требуемую capability и fail-closed возвращает
+`503`, если ВМ2 недоступна.