docs: trust supplied OpenAPI snapshot

architecture/containers.md

@@ -53,10 +53,12 @@ T-Bank в форме и отправляет его для сохранения,
 загрузка публичного изображения из CDN не проходит через эту финансовую
 границу.
 
-Типизированный frontend-клиент производится из OpenAPI backend во время
-разработки. В runtime SPA вызывает API, а не генератор или OpenAPI endpoint.
-Форма запросов и ошибок описана в [HTTP API](http-api.md); направление
-генерации принято в [ADR 002](../adr/002-nest-generated-openapi-contract.md).
+Типизированный frontend-клиент производится из предоставленного OpenAPI snapshot
+во время разработки. В runtime SPA вызывает API, а не генератор или OpenAPI
+endpoint. Форма запросов и ошибок описана в [HTTP API](http-api.md); направление
+генерации принято в [ADR 002](../adr/002-nest-generated-openapi-contract.md),
+а доверие frontend к предоставленному snapshot — в
+[ADR 014](../adr/014-trusted-openapi-input.md).
 
 ## Хранимые данные и границы доступа
 

architecture/http-api.md

@@ -3,8 +3,9 @@
 ## Источник контракта
 
 Backend генерирует OpenAPI из собственного публичного API. Frontend использует
-производное описание контракта и типизированный клиент. Изменения проходят
-[contract workflow](../development/runtime-openapi-verification.md).
+предоставленный OpenAPI snapshot как актуальный вход и локально генерирует
+типизированный клиент. Направление описано в
+[OpenAPI contract flow](../development/runtime-openapi-verification.md).
 API имеет prefix `/api/v1`; Swagger публикуется для локальной разработки по
 environment policy, а не используется frontend в runtime.
 
@@ -55,10 +56,10 @@ T-Bank token failure и временная недоступность имеют
 
 ## Граница доказательства
 
-Сравнение OpenAPI подтверждает согласованность схем, а не результат каждого
-запроса. Безопасная обработка неожиданной ошибки проверяется отдельно.
-Валидация, доступ, статусы и cookie требуют проверки полного HTTP-потока;
-атомарность хранения — проверки с изолированной реальной базой.
+OpenAPI snapshot задаёт frontend transport types, но сам по себе не доказывает
+результат каждого запроса. Безопасная обработка неожиданной ошибки проверяется
+отдельно. Валидация, доступ, статусы и cookie требуют проверки полного
+HTTP-потока; атомарность хранения — проверки с изолированной реальной базой.
 Известное ограничение сквозных проверок описано в
 [проверке backend](../development/verification.md).