fix(deps): refresh docs security baseline

architecture/containers.md

@@ -195,9 +195,9 @@ access token и вращаемый refresh token. [Политика query-кэш
 
 Авторизация доступа, недопущение token в публичный ответ и атомарность
 ротации сессии — отдельные свойства; наличие типизированного клиента
-не доказывает их. Известные расхождения регистрации и деталей валидации
-отмечены в [аутентификации](../domains/authentication/overview.md#регистрация-и-вход)
-и [HTTP API](http-api.md#error-contract).
+не доказывает их. Известное расхождение регистрации отмечено в
+[аутентификации](../domains/authentication/overview.md#регистрация-и-вход),
+а действующий формат ошибок описан в [HTTP API](http-api.md#error-contract).
 
 Поддерживается локальный Compose и ограниченная single-server topology с SQLite.
 Origin браузера, адрес API и cookie policy должны быть согласованы.

architecture/http-api.md

@@ -70,16 +70,11 @@ message/stack. Типичный ответ:
 
 Для input validation контракт требует `400`, `VALIDATION_ERROR` и `errors` как
 массив `{ pointer, detail }`, где pointer адресует поле запроса. Это требование
-не считается проверенным одним описанием OpenAPI: нужна проверка реального
-HTTP-ответа после всех стадий обработки запроса.
-
-**Известное расхождение:** согласованная
-[спецификация аутентификации](https://git.personal.ksv741.ru/WealthLedger/specs/src/commit/9e227a563dda67620f0ad78228aa8a4c18bf35a0/openspec/specs/user-authentication/spec.md#requirement-стандартные-ответы-об-ошибках)
-требует `pointer` и `detail` для невалидных полей. В текущей конфигурации
-валидация формирует строковые сообщения, а фильтр ожидает структурированные
-ошибки полей; поэтому корректность деталей `errors` не подтверждена.
-Исправление требует отдельного изменения реализации и проверки полного
-HTTP-потока. OpenAPI сам по себе этого расхождения не устраняет.
+проверяется реальным HTTP-ответом после всех стадий обработки запроса. Глобальная
+валидация передаёт фильтру структурированные ошибки без исходных значений и DTO,
+а фильтр формирует JSON Pointer, включая вложенные поля. HTTP suites подтверждают
+детали ошибок регистрации, банковской карты и синхронизации; OpenAPI отдельно
+фиксирует форму ответа.
 
 Ответ не включает автоматически все поля RFC (`type`, `title`, `instance`).
 Добавление обязательного поля является изменением публичного контракта.