Реализована интеграция с СМС провайдером

modules/module-02-frontend-test-site.md

@@ -76,7 +76,9 @@ Auth state machine: `guest → authorizing → bootstrapping → authenticated`;
 
 Modal согласий отображает актуальные URL/версии из config. `personal_data` и `user_agreement` обязательны, `marketing` необязателен. После подтверждения intent остаётся в памяти, начинается OIDC PKCE redirect.
 
-OTP вводится на странице/теме Keycloak. В MVP Keycloak сверяет mock-код из env; frontend не хранит и не проверяет код. Для тестовой среды UI может показывать только текст «используется тестовый OTP», но не получать secret из API.
+OTP вводится на странице/теме Keycloak. В mock mode Keycloak сверяет secret-код; в real mode Keycloak генерирует и локально проверяет OTP, а доставку заказывает в `sms-service` по module-11. Frontend не вызывает `sms-service`/Direct, не получает provider status, service URL/token или mock secret.
+
+Resend запускает новое Keycloak action, блокирует double click на время запроса и сообщает, что предыдущий код недействителен (`superseded`). Countdown строится из snapshot challenge (`expires_at`/`otp_ttl_sec`), без hardcoded `6` digits или `0:59`.
 
 ### 5.3. Чат
 
@@ -185,6 +187,7 @@ Presigned URL не сохраняется и редактируется из д
 | 422 blocked | нейтральное сообщение, контент не отправлен |
 | 429 | countdown по `Retry-After` |
 | 503/504 | зависимость недоступна; retry с тем же key |
+| OTP invalid/expired/superseded/limited | показать соответствующий безопасный Keycloak UX; generic order unavailable не раскрывает provider |
 | S3 PUT error | оставить attachment intent, предложить повтор |
 | WS failure | polling badge, чат остаётся usable |
 
@@ -245,7 +248,7 @@ Production: статический export монтируется в корнев
 | Сценарий | Варианты |
 |---|---|
 | guest | просмотр public content; write закрыт |
-| first send | manual/popular → consents → mock OTP → delivered |
+| first send | manual/popular → consents → mock и real OTP → delivered |
 | return | valid refresh без OTP; expired refresh с OTP |
 | text safety | allow, block, pending-to-final, timeout |
 | file | PDF/image allow, deny, wrong MIME/size/checksum, expired URL |
@@ -253,8 +256,9 @@ Production: статический export монтируется в корнев
 | concurrency | два send click, несколько 401, две вкладки |
 | profile | filled/null fields, empty documents, download failure |
 | security | XSS text, token absence in logs/storage diagnostics |
+| OTP resend | double click; старый код `superseded`; новый код; snapshot countdown; order unavailable |
 
-Browsers: Chromium, Firefox, WebKit; viewport desktop/mobile. Реальный Keycloak mock realm и API stub/compose используются в CI.
+Browsers: Chromium, Firefox, WebKit; viewport desktop/mobile. В CI используются Keycloak mock mode и локальный mock/WireMock Direct. Отдельный sandbox Direct не предполагается; provider smoke выполняется только ops на контролируемом номере.
 
 ## 17. Definition of Done
 
@@ -271,6 +275,7 @@ Browsers: Chromium, Firefox, WebKit; viewport desktop/mobile. Реальный K
 - accessibility checks и keyboard сценарии проходят;
 - unit/component/contract/E2E matrix зелёная;
 - production static и dev proxy режимы проверены через единственный nginx.
+- frontend bundle/config/analytics не содержит raw OTP, `sms-service`/Direct credentials или provider status; resend/expiry/limits проверены для real-mode контракта.
 
 ## 18. Решения, допущения и TBD