Наружу торчит одна морда: она же проксирует /api, поэтому браузеру не нужен
CORS, а токен не уезжает на сторонний origin. Апгрейд WebSocket требует двух
заголовков — без них живое обновление молча не работает.

API здесь не собирается, его образ приезжает из registry. Версии образов
лежат в versions.env в репозитории, а секреты — в .env на машине: тег этого
репозитория тогда задаёт состояние стенда целиком, и откат это выкатить
предыдущий тег, а не вспоминать, что было прописано на сервере.

Выкладка привязана к тегу и нажимается руками. Тег — заявление «эта сборка
идёт наружу»; коммит в main такого заявления не делает, а стенд смотрит
в интернет.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>