feat: generate OpenAPI without peer repositories

.ai/conventions/security-auth.md

@@ -10,21 +10,20 @@ account access/connection generation — TbankAccessService; token crypto —
 TbankTokenService/TbankCrypto. Расширяй существующую boundary, не добавляй
 второй JWT middleware, decrypt helper или refresh coordinator.
 
-[Authentication](../../../docs/domains/authentication/overview.md) и
-[ADR 006](../../../docs/adr/006-auth-session-policy.md)/[009](../../../docs/adr/009-concurrent-refresh-rotation-policy.md)
-задают session semantics. Access хранится только в памяти frontend; refresh
-передаётся httpOnly cookie. Source code конфигурации cookie —
+Access проверяется JWT strategy; refresh передаётся httpOnly cookie.
+Сроки token/session принадлежат auth source и configured HTTP tests.
+Source code конфигурации cookie —
 [AuthController](../../src/modules/auth/presentation/auth.controller.ts); изменение flags/path требует
 проверки browser/HTTP поведения, не только TypeScript.
 
 Refresh rotation атомарна: один победитель, проигравший/superseded token получает
 401, но сам по себе не отзывает session победителя. Не вводи replay history/grace
-или иной security contract без текущей задачи. Logout идемпотентен; in-memory
-frontend session/cache очищается и при network failure.
+или иной security contract без текущей задачи. Logout идемпотентен, отзывает
+сессию и очищает refresh cookie на HTTP-границе.
 
 ## Trust boundaries
 
-Frontend не является security boundary. DTO runtime validation выполняется
+Клиентский интерфейс не является security boundary. DTO runtime validation выполняется
 server-side; whitelist не заменяет access checks. Environment/secret inputs
 проверяет existing config owner; реальные credentials не попадают в fixtures.
 
@@ -36,8 +35,10 @@ cases для соответствующего изменения.
 T-Bank credentials остаются server-side и хранятся encrypted. Используй
 existing AES-256-GCM boundary с validated 32-byte key; не печатай plaintext,
 шифротекст, cookie, Authorization или connection generation в logs/errors/API.
-[Connection source](../../../docs/integrations/tbank.md) определяет
-cache invalidation при замене/deletion и ограничение key rotation.
+Успешная замена/deletion меняет connection generation и инвалидирует её кэши;
+ошибка сохраняет прежнее подключение. Ключ не ротируется автоматически:
+новый ключ не расшифрует сохранённые credentials. Нужен исходный ключ или
+повторное сохранение token пользователем; сохраняй ключ отдельно от backup БД.
 
 Не передавай Prisma User/Session целиком наружу; выбирай public DTO. Пароль
 обрабатывает существующий bcrypt flow. Не копируй требования о нормализации
@@ -56,5 +57,5 @@ cache invalidation при замене/deletion и ограничение key ro
 message безопасным.
 
 Targeted auth/access/crypto/logging tests + [Testing](testing.md).
-Cookie/guard/HTTP changes требуют configured HTTP proof; frontend Bearer/retry
-проверяется MSW. Schema parity не доказывает отсутствие утечки secret.
+Cookie/guard/HTTP changes требуют configured HTTP proof.
+Schema parity не доказывает отсутствие утечки secret.