chore(release): 0.2.2

.ai/architecture.md

@@ -62,9 +62,8 @@ public API `shared/theme`. Storybook показывает synthetic presentation
 не использует application API. RTL/MSW проверяют поведение приложения отдельно.
 
 Existing route-aware AppShell расположен в shared/ui; это legacy placement,
-а не образец нового shared primitive. Общий план улучшений читается только
-при migration через [router](../AGENTS.md).
-При изменении foundation прочитай [design system](../../docs/design/overview.md).
+а не образец нового shared primitive. При изменении foundation прочитай
+[UI](conventions/ui.md#визуальная-основа) и [Storybook](conventions/storybook.md).
 
 ## Примеры
 

.ai/conventions/data.md

@@ -28,7 +28,7 @@ client, runtime schema, hash/checksum registry или дополнительны
 без отдельной текущей потребности; existing OpenAPI flow уже владеет генерацией. Frontend-команды не читают соседний
 backend checkout и не проверяют backend runtime OpenAPI; изменение wire
 shape/status/route сохраняет
-[границу HTTP-контракта](../../../docs/architecture/http-api.md#источник-контракта).
+публичный контракт предоставленного snapshot.
 Одна UI-модель не требует менять API. `openapi:generate` работает offline от snapshot;
 `openapi:check` генерирует во временный каталог и сравнивает, не меняя tracked files.
 
@@ -40,18 +40,23 @@ Authorization. Auth endpoints исключены из Bearer/retry middleware. R
 Не добавляй собственный refresh/retry loop в caller.
 
 Protected queries используют existing session-aware boundary; logout очищает
-session-scoped cache. При auth/token change читай [security](../../../backend/.ai/conventions/security-auth.md)
-и [authentication](../../../docs/domains/authentication/overview.md).
+session-scoped cache. Access token хранится только в памяти, refresh передаётся
+httpOnly cookie с `credentials: include`. Не сохраняй tokens в localStorage,
+URL, логах или fixtures. Logout очищает локальную session/cache и при ошибке
+сети; до окончания auth bootstrap показывай neutral state. Перед auth change
+прочитай shared client, session owner и их tests.
 Успешная connection mutation коммитит подтверждённый status и сбрасывает financial
 GET subtree; ошибка mutation не меняет generation/cache. Это отдельная граница
-от обычного фонового refetch: [connection policy](../../../docs/integrations/tbank.md#граница-финансового-кэша).
+от обычного фонового refetch. Даже повторное сохранение того же token начинает
+новую generation; поздний ответ прежней generation не попадает в новый кэш.
 
 Mutations используют существующий generated client и query-key owner;
 после успеха обновляй/invalidируй только связанные данные. Optimistic update
 нужен конкретному UX и обязан иметь rollback/error behavior.
 
-Default focus refetch выключен; freshness и retry определяются существующей
-[query policy](../../../docs/adr/007-react-query-fetch-policy.md) и feature source.
+Default focus refetch выключен; freshness и retry задаются существующими
+query options у entity/feature owner. После `staleTime` повторное открытие
+экрана может запустить background refetch; focus сам по себе его не запускает.
 При обычном refetch сохраняй Client Cached Snapshot, при session/connection
 смене не показывай данные прежнего владельца. UI presentation — в UI convention.
 
@@ -76,5 +81,5 @@ Network/unknown error получает безопасное локальное
 Изменяя header/retry/invalidation, проверяй наблюдаемое поведение через MSW и
 [Testing](testing.md); не обращайся к реальному T-Bank.
 `npm run openapi:check`, `npm run typecheck` и targeted tests проверяют разные
-части решения. Для API semantics нужны exact docs и проверки наблюдаемого
-HTTP-поведения на стороне backend.
+части решения. Для поведения API-клиента используй сценарии MSW на публичной
+HTTP-границе; реализация сервера не является входом frontend-проверок.

.ai/conventions/engineering.md

@@ -0,0 +1,76 @@
+# Работа в репозитории
+
+## Граница и порядок работы
+
+Репозиторий сам содержит инструкции, исходники, конфигурацию и входы своих
+проверок. Сборка, CI и обязательный маршрут чтения работают без соседних
+checkout. Внешний API задаётся предоставленным публичным контрактом;
+исходники или инструкции его реализации не являются зависимостью разработки.
+При нехватке требования сообщи, какое решение не определено, до его реализации.
+
+Начни с результата и affected areas. До edits проследи flow/invariants, найди
+owner и 1–3 примера. Код показывает механизм; случайный аналог не меняет контракт.
+Работай напрямую; OpenSpec/SDD lifecycle — только по явному запросу.
+Перед Node-командами активируй местную `.nvmrc`: `nvm use --silent`.
+Сохраняй чужие staged/unstaged/untracked изменения и read-only архивы.
+
+## Change scope
+
+Сначала расширь существующего владельца. Иначе используй standard library,
+платформу или установленную dependency; небольшая новая реализация допустима
+при собственной ответственности. Не создавай helper/interface/wrapper ради
+возможного reuse. Общее имя не означает общую бизнес-ответственность.
+Сохраняй validation, authorization, atomicity, accessibility и migration safety.
+
+После diff выполни Boy Scout review: проверь новое дублирование, owner, callers,
+небольшие связанные legacy issues и соответствие local conventions. Исправляй
+непосредственно связанные low-risk проблемы; широкий cleanup — отдельная задача.
+
+## Domain values
+
+Finite business vocabulary принадлежит одному domain/module/entity owner.
+Переиспользуй его symbols; для нового словаря без аналога — `as const` + union.
+Сохраняй wire values; generated/external enums не переписывай вручную.
+Numeric policy называй по смыслу и единицам. Индексы, `Math.max(value, 0)` и
+обычные labels не выноси в constants без semantic benefit.
+Локальный TypeScript/lint профиль определяет дополнительные ограничения.
+
+## Dependencies
+
+Проверь аналоги и direct dependencies в местном manifest до добавления пакета.
+Новая dependency оправдана текущей потребностью и меньшей общей сложностью;
+оцени compatibility, runtime/bundle и maintenance/security. Импортируемый пакет
+объявляется напрямую; транзитивная установка не является контрактом.
+Сохраняй exact versions и lockfile; воспроизводимая установка — `npm ci`.
+Peer-конфликт решай совместимыми версиями без `--force`/`--legacy-peer-deps`.
+Используй существующий analyzer; не добавляй второй для той же проверки.
+
+## Test Intent
+
+Перед нетривиальным тестом кратко определи наблюдаемый исход, regression risk,
+значимые edge/error/concurrency cases и самую дешёвую надёжную boundary.
+Отдельный artifact не нужен. Проверяй результат, а не private call order,
+декларации, тривиальные wrappers или поведение framework.
+При bug сначала воспроизведи исход. Mock race не доказывает DB atomicity.
+Уровни и runnable commands выбирай по местной testing convention.
+
+## Проверки и завершение
+
+Code/dependency change: `npm ci`, полный `npm run verify` и дополнительные
+risk checks из местной testing convention. Targeted tests ускоряют итерацию,
+но не заменяют финальный gate. `lint:fix`/format — edits, не proof.
+Markdown-only: проверь новые/изменённые тексты, локальные ссылки/якоря, маршруты
+чтения и `git diff --check`; application build ради текста не нужен.
+Повтори routing по staged/unstaged/new files. Запиши краткие команды, результаты
+и ограничения. Зелёный lint не заменяет semantic/security review.
+
+## Git и релизы
+
+Работа — в `codex/<task>` от актуального `develop`, затем PR в `develop`.
+Сохраняй чужие изменения; перед commit просмотри staged paths и diff.
+Commits и PR titles — Conventional Commits; допустим `spec:`. Каждый commit
+содержит одну связанную задачу. При связанной issue добавь её номер в конец
+заголовка (`fix: … #12`); без issue номер не нужен. Root другого checkout
+не управляет этим repo.
+Прямой push в `main`, force-push и перенос опубликованных тегов не входят в
+обычную работу. Перед release/hotfix прочитай местный README, раздел «Релизы».

.ai/conventions/testing.md

@@ -1,7 +1,7 @@
 # Frontend testing
 
 Перед нетривиальными тестами сформулируй
-[общий Test Intent](../../../.ai/conventions/testing.md); отдельный документ
+[общий Test Intent](engineering.md#test-intent); отдельный документ
 не требуется. Trivial low-risk изменения обходятся без него.
 
 ## Выбор проверки
@@ -35,7 +35,7 @@ MSW запускается только Vitest setup в `src/test/`, без brow
 экземпляр и seeded cache. Providers выбирай явно. Existing teardown выполняет
 RTL cleanup, auth reset и MSW reset: [test client](../../src/test/query.tsx).
 Тестовый клиент отключает retries запросов и мутаций для предсказуемого исхода;
-это не меняет [политику обновления приложения](../../../docs/adr/007-react-query-fetch-policy.md).
+это не меняет [политику обновления приложения](data.md#auth-и-invalidation).
 
 ## Важные случаи
 

.ai/conventions/typescript-react.md

@@ -32,7 +32,7 @@ Container/VM/view и state owners — в [UI](ui.md).
 ## Domain literals and magic values
 
 Общее правило ownership и символических значений —
-[Domain values](../../../.ai/conventions/code-health.md#domain-values).
+[Domain values](engineering.md#domain-values).
 Backend vocabulary бери из generated `paths`, не создавай ручную копию enum.
 Текущий `schema.d.ts` содержит только types: typed wire literals допустимы,
 когда generator не предоставляет runtime values.

.ai/conventions/ui.md

@@ -18,7 +18,7 @@ components живут у feature/entity/page, даже при повторном
 
 Wrapper нужен для проектной ответственности, а не ради нового имени
 для Button. Локальный CSS module принадлежит component; общий token вводи для
-реально общей роли через [design system](../../../docs/design/overview.md).
+реально общей роли в [визуальной основе](#визуальная-основа).
 
 | Состояние | Владелец |
 | --- | --- |
@@ -104,3 +104,13 @@ Type/style: `npm run typecheck`, `npm run lint`. Для risk behavior/измен
 используй [Testing](testing.md). UI: keyboard, narrow viewport,
 loading/error/empty/loaded и recovery по применимости. [Storybook](storybook.md) задаёт выбор stories и изоляцию каталога;
 сверяй UI с задачей отдельно от build.
+
+## Визуальная основа
+
+Общая тема живёт в `src/shared/theme`: `tokens.json` задаёт переносимые значения,
+`theme.ts` адаптирует их к Mantine. Используй public API темы и её semantic roles,
+без отдельной палитры в page/component. Поддерживается светлая схема.
+Цвет дополняет подпись или знак; проверяй контраст конкретной пары text/background.
+Warning не используй для мелкого текста на белом. Деньги сохраняют валюту, знак
+и различие между нулём и неизвестной суммой. Общие состояния демонстрирует
+Storybook; presentation stories используют synthetic data без application API.

.dockerignore

@@ -0,0 +1,15 @@
+**
+!package.json
+!package-lock.json
+!.nvmrc
+!index.html
+!tsconfig*.json
+!vite.config.ts
+!.storybook/
+!.storybook/**
+!src/
+!src/**
+!public/
+!public/**
+!docker/
+!docker/**

.gitea/workflows/image.yml

@@ -0,0 +1,61 @@
+name: Frontend image
+
+on:
+  push:
+    tags: ['v*']
+
+concurrency:
+  group: frontend-image-publication
+  cancel-in-progress: false
+
+jobs:
+  publish:
+    runs-on: ubuntu-latest
+    env:
+      IMAGE: nexus.personal.ksv741.ru/wealthledger/frontend
+      RELEASE_TAG: ${{ gitea.ref_name }}
+      REVISION: ${{ gitea.sha }}
+      DOCKER_CONFIG: ${{ runner.temp }}/wealthledger-frontend-docker
+    steps:
+      - uses: https://github.com/actions/checkout@v4
+      - uses: https://github.com/actions/setup-node@v4
+        with:
+          node-version-file: .nvmrc
+      - name: Validate release version
+        run: |
+          node --input-type=commonjs -e 'const p = require("./package.json"); const l = require("./package-lock.json"); if (!/^v\d+\.\d+\.\d+$/.test(process.env.RELEASE_TAG) || process.env.RELEASE_TAG !== `v${p.version}` || l.version !== p.version || l.packages[""].version !== p.version) process.exit(1)'
+          test "$(git rev-parse HEAD)" = "$REVISION"
+          docker version
+          docker buildx version
+      - run: npm ci
+        env:
+          HUSKY: '0'
+      - run: npm run verify
+        env:
+          KNIP_DISABLE_RAW_TRANSFER: '1'
+      - name: Login with dedicated Nexus writer
+        env:
+          REGISTRY_USERNAME: ${{ secrets.NEXUS_USERNAME }}
+          REGISTRY_TOKEN: ${{ secrets.NEXUS_PASSWORD }}
+        run: |
+          test -n "$REGISTRY_USERNAME" && test -n "$REGISTRY_TOKEN"
+          install -d -m 700 "$DOCKER_CONFIG"
+          printf '%s' "$REGISTRY_TOKEN" | docker login nexus.personal.ksv741.ru --username "$REGISTRY_USERNAME" --password-stdin
+      - name: Publish immutable release tag
+        run: |
+          VERSION="${RELEASE_TAG#v}"
+          if docker manifest inspect "$IMAGE:$VERSION" >/dev/null 2>manifest-error.log; then
+            echo 'Refusing to overwrite an existing release tag'; exit 1
+          fi
+          if ! grep -Eq 'manifest unknown|no such manifest' manifest-error.log; then
+            echo 'Cannot prove tag absence; refusing publication'; exit 1
+          fi
+          docker buildx build --target production --build-arg VERSION="$VERSION" --build-arg REVISION="$REVISION" --tag "$IMAGE:$VERSION" --metadata-file image-metadata.json --push .
+          DIGEST="$(node --input-type=commonjs -p 'require("./image-metadata.json")["containerimage.digest"]')"
+          docker pull "$IMAGE@$DIGEST"
+          test "$(docker image inspect "$IMAGE@$DIGEST" --format '{{index .Config.Labels "org.opencontainers.image.revision"}}')" = "$REVISION"
+          docker run --rm --entrypoint sh "$IMAGE@$DIGEST" -c 'test -s /usr/share/nginx/html/index.html && nginx -t && nginx && wget -q -O /dev/null http://127.0.0.1:8080/'
+          printf 'Frontend image: %s@%s\n' "$IMAGE" "$DIGEST"
+      - name: Remove registry session
+        if: always()
+        run: rm -rf "$DOCKER_CONFIG"

.gitea/workflows/verify.yml

@@ -11,6 +11,8 @@ jobs:
     runs-on: ubuntu-latest
     steps:
       - uses: https://github.com/actions/checkout@v4
+        with:
+          fetch-depth: 0
       - name: Record checked revision
         run: git rev-parse HEAD
       - uses: https://github.com/actions/setup-node@v4
@@ -24,3 +26,11 @@ jobs:
         env:
           # OXC raw transfer allocates a ~6 GiB buffer; use the standard parser in CI.
           KNIP_DISABLE_RAW_TRANSFER: '1'
+      - name: Analyze develop with SonarQube
+        if: gitea.event_name == 'push' && gitea.ref == 'refs/heads/develop'
+        # v2.3.0: Docker-based scanner for the SonarQube 9.9 server.
+        uses: https://github.com/SonarSource/sonarqube-scan-action@aecaf43ae57e412bd97d70ef9ce6076e672fe0a9
+        env:
+          SONAR_TOKEN: ${{ secrets.SONAR_TOKEN }}
+        with:
+          args: -Dsonar.qualitygate.wait=true

.gitignore

@@ -12,6 +12,7 @@ dist
 storybook-static
 dist-ssr
 coverage
+.scannerwork
 *.local
 
 # Local runtime configuration

AGENTS.md

@@ -1,8 +1,9 @@
 # Frontend router
 
-Общие инструкции — [workspace AGENTS](../AGENTS.md). Объединяй triggers задачи,
-путей и обнаруженных boundaries; читай только нужные темы до решения.
-Системные факты/spec/ADR выбирай в разделе [Источники](#источники) по вопросу.
+Репозиторий самостоятельный: обязательные инструкции и проверки используют
+только его файлы и предоставленные публичные контракты. Перед работой прочитай
+[порядок работы](.ai/conventions/engineering.md#граница-и-порядок-работы), затем
+объединяй triggers задачи и путей; читай активированные темы до решения.
 
 | Решение / сигнал | Читать |
 | --- | --- |
@@ -12,28 +13,25 @@
 | Только продуктовая строка / Zod message | [Строки](.ai/conventions/ui.md#строки-и-валидация) |
 | Query/mutation, server cache, shared/api, generated types | [Data](.ai/conventions/data.md) |
 | API/network/application errors, codes и сообщения | [Errors](.ai/conventions/data.md#errors) |
-| Login/refresh/logout, token/cookie, session ownership | Data + [Security](../backend/.ai/conventions/security-auth.md) + [Testing](.ai/conventions/testing.md) |
-| Request/response field, route/status/error shape, OpenAPI | Data + [HTTP contract source](../docs/architecture/http-api.md#источник-контракта) |
+| Login/refresh/logout, token/cookie, session ownership | [Data/auth](.ai/conventions/data.md#auth-и-invalidation) + [Testing](.ai/conventions/testing.md) |
+| Request/response field, route/status/error shape, OpenAPI | [Data/contract](.ai/conventions/data.md#типы-и-contract) |
 | Tests или behavior с regression risk | [Testing](.ai/conventions/testing.md) |
 | Storybook/stories/play, theme/tokens/shared UI | [Storybook](.ai/conventions/storybook.md), UI; design facts — в разделе Источники |
-| Helper/dependency/новый pattern, refactor/scope | [Code health](../.ai/conventions/code-health.md), для пакета — [Dependencies](../.ai/conventions/dependencies.md) |
-| Выбор gate, tooling, завершение | [Guardrails](../.ai/conventions/guardrails.md) |
+| Helper/dependency/новый pattern, refactor/scope | [Change scope](.ai/conventions/engineering.md#change-scope), для пакета — [Dependencies](.ai/conventions/engineering.md#dependencies) |
+| Выбор gate, tooling, завершение | [Проверки](.ai/conventions/engineering.md#проверки-и-завершение) |
 
 Показ query state не означает изменение fetching. Изменение тестов активирует
-Testing и без production diff. Повтори routing по итоговому diff, включая новые
-файлы. Migration backlog читается только при работе над соответствующим finding
-через [plan](../.ai/migrations/conventions-v1/plan.md).
+Testing и без production diff. Перед завершением повтори routing по новым и
+изменённым файлам. Для Git/release прочитай
+[Git и релизы](.ai/conventions/engineering.md#git-и-релизы).
 
 ## Источники
 
-Открывай только источник по возникшему вопросу; примеры кода не переопределяют
-контракт. Specs задают behavior, а editable OpenAPI принадлежит backend.
-
-| Вопрос | Источник |
+| Вопрос | Локальный источник |
 | --- | --- |
-| HTTP contract, validation/error codes | [HTTP API](../docs/architecture/http-api.md) |
-| Auth/session/refresh, подключение брокера | [Authentication](../docs/domains/authentication/overview.md), [T-Bank](../docs/integrations/tbank.md) |
-| Money, account/position/income/cache meanings | [Глоссарий](../docs/glossary.md) |
-| Theme/tokens, UI-каталог | [Дизайн-система](../docs/design/overview.md), [Storybook](README.md#ui-каталог-storybook) |
-| Поведение области / требования | [Области docs](../docs/README.md#предметные-области), [Specs index](../specs/AI_INDEX.md) |
+| HTTP request/response/errors | [OpenAPI snapshot](src/shared/api/spec/openapi.json), generated types и [Data](.ai/conventions/data.md) |
+| Auth/session/refresh/cache | [Data](.ai/conventions/data.md#auth-и-invalidation), source и colocated tests владельца |
+| Money, account/position/income | Entity types, API snapshot, formatters и tests соответствующего slice |
+| Theme/tokens, UI-каталог | [UI](.ai/conventions/ui.md), [Storybook](README.md#ui-каталог-storybook) |
+| Поведение области | Source и tests её page/entity/feature; неясное ожидание уточни до изменения |
 | Versions/scripts/check scope | Manifest/lockfile, Biome/TypeScript/dependency configs |

CHANGELOG.md

@@ -1,5 +1,34 @@
 # Changelog
 
+## [0.2.2](https://git.personal.ksv741.ru/WealthLedger/frontend/compare/v0.2.1...v0.2.2) (2026-09-19)
+
+### Bug Fixes
+
+* update Nexus registry host ([bac95eb](https://git.personal.ksv741.ru/WealthLedger/frontend/commit/bac95ebb392febb667a9fc2f1fa4f06fa110d685))
+
+## [0.2.1](https://git.personal.ksv741.ru/WealthLedger/frontend/compare/v0.2.0...v0.2.1) (2026-09-18)
+
+### Documentation
+
+* use shared Nexus account [#21](https://git.personal.ksv741.ru/WealthLedger/frontend/issues/21) ([1ad578f](https://git.personal.ksv741.ru/WealthLedger/frontend/commit/1ad578fb37b8dd6161dc362541d9c0cd0b008b75))
+
+### CI
+
+* add frontend SonarQube analysis [#19](https://git.personal.ksv741.ru/WealthLedger/frontend/issues/19) ([3f19b36](https://git.personal.ksv741.ru/WealthLedger/frontend/commit/3f19b3643f88e36d10e7c374262351f61947ed47))
+* publish frontend images to Nexus [#21](https://git.personal.ksv741.ru/WealthLedger/frontend/issues/21) ([999b859](https://git.personal.ksv741.ru/WealthLedger/frontend/commit/999b8590ecd0a551da628c349d005ebb9b318883))
+
+## [0.2.0](https://git.personal.ksv741.ru/WealthLedger/frontend/compare/v0.1.0...v0.2.0) (2026-09-16)
+
+### Features
+
+* add frontend container delivery ([e31ab35](https://git.personal.ksv741.ru/WealthLedger/frontend/commit/e31ab35a5ac51b7dbd1509e35c4ce8e9f8fd4e92))
+
+### Documentation
+
+* make frontend instructions self-contained ([d9ada27](https://git.personal.ksv741.ru/WealthLedger/frontend/commit/d9ada2762169b3347a0dc4b7e7ce6c7cd207af76))
+* refine frontend conventions and routing ([718365c](https://git.personal.ksv741.ru/WealthLedger/frontend/commit/718365cd5ab51e7c696c777b71095f7ee41b471d))
+* simplify conventions layout ([9f7e342](https://git.personal.ksv741.ru/WealthLedger/frontend/commit/9f7e342333b80bfacfd5bc394a2dcd0613d33ff3))
+
 ## 0.1.0 (2026-09-14)
 
 ### Features

Dockerfile

@@ -0,0 +1,30 @@
+FROM node:24.21.0-bookworm-slim AS dependencies
+WORKDIR /app
+ENV HUSKY=0
+COPY package.json package-lock.json ./
+RUN npm ci
+
+FROM dependencies AS development
+COPY . .
+ENV VITE_API_BASE_URL="" API_PROXY_TARGET=http://backend:3000
+EXPOSE 8080
+CMD ["npm", "run", "dev", "--", "--host", "0.0.0.0", "--port", "8080", "--strictPort"]
+
+FROM dependencies AS build
+COPY . .
+ENV VITE_API_BASE_URL=""
+RUN npm run build
+
+FROM nginx:1.28.0-alpine AS production
+ARG VERSION
+ARG REVISION
+LABEL org.opencontainers.image.version=$VERSION \
+      org.opencontainers.image.revision=$REVISION
+COPY docker/nginx.conf /etc/nginx/nginx.conf
+COPY --from=build /app/dist /usr/share/nginx/html
+USER nginx
+EXPOSE 8080
+ENTRYPOINT ["nginx"]
+CMD ["-g", "daemon off;"]
+HEALTHCHECK --interval=10s --timeout=3s --start-period=10s --retries=6 \
+  CMD wget -q -O /dev/null http://127.0.0.1:8080/ || exit 1

README.md

@@ -23,6 +23,34 @@ staged diff с полной редакцией секретов, затем за
 Находка или отсутствие Gitleaks блокирует commit.
 Проверка этого поведения: `node --test scripts/test-pre-commit.mjs`.
 
+## Контейнерный image
+
+`Dockerfile` имеет targets `development` (Vite HMR и proxy `/api/` во внутренний backend)
+и `production` (nginx на 8080, SPA fallback и same-origin API proxy). Node соответствует `.nvmrc`.
+Build context ограничен `.dockerignore`; `.env`, local DB и host node_modules
+не попадают в image.
+
+```bash
+docker build --target development -t wealthledger-frontend:development .
+docker build --target production -t wealthledger-frontend:production .
+```
+
+Gitea `image.yml` запускается на защищённом release tag `vX.Y.Z`, проверяет
+package/lock version и canonical gates. Runner `ubuntu-latest` должен иметь
+Docker/buildx. Образы хранятся в Nexus:
+`nexus.personal.ksv741.ru/wealthledger/frontend`. Пользователь `wealthledger-ci`
+задаётся Actions secrets `NEXUS_USERNAME`/`NEXUS_PASSWORD`; эта же учётная
+запись используется сервером для загрузки образов. Docker endpoint и token realm должны использовать
+HTTPS; в `docker-hosted` включается запрет redeploy. Прежние Gitea secrets
+сохраняются на время перехода и не передаются в Nexus.
+Публикуются semver tags, без `latest`; существующие release tags не перезаписываются. Production выбирает опубликованный version tag.
+
+Compose topology принадлежит workspace, эксплуатационная последовательность —
+[документация](https://git.personal.ksv741.ru/WealthLedger/docs),
+страница `architecture/deployment.md`.
+Проверка публикации требует настроенного registry/runner; локальный build
+не доказывает package permissions.
+
 ## Проверка
 
 ```bash
@@ -49,13 +77,49 @@ TypeScript остаётся на 5.9.3: `openapi-typescript@7.13.0` требуе
 обновите `src/shared/api/spec/openapi.json` копированием backend OpenAPI
 document и затем выполните `npm run openapi:generate`.
 
+## SonarQube
+
+Проект `wealthledger-frontend` использует настройки из
+`sonar-project.properties`. Анализируются исходники `src`; тесты учитываются
+отдельно, а Storybook fixtures, test helpers, generated API types и OpenAPI
+snapshot исключены. `npm run test:coverage` (также входит в `npm run verify`)
+создаёт `coverage/lcov.info` для импорта покрытия.
+
+Для первого анализа установите SonarScanner CLI, совместимый с версией сервера,
+и выполните из корня frontend:
+
+```bash
+nvm use --silent
+npm ci
+npm run test:coverage
+# SONAR_TOKEN передайте через окружение; не сохраняйте токен в репозитории.
+sonar-scanner
+```
+
+В Gitea откройте frontend → Settings → Actions → Secrets и добавьте
+`SONAR_TOKEN` с токеном анализа проекта. Переименовывать основную ветку в
+SonarQube не требуется; `sonar.branch.name` не задаётся.
+Используется Community Edition 9.9.8: CI отправляет только
+push в `develop`, после успешного `verify`, и ожидает результат Quality Gate.
+PR и остальные ветки проходят обычные проверки без отправки в SonarQube.
+Отрицательный Quality Gate или ошибка scanner завершает `verify` с ошибкой.
+
+Runner должен поддерживать Docker actions и иметь HTTPS-доступ к
+`https://sonarqube.ksv741.keenetic.pro`, GitHub и Docker Hub. Docker action
+SonarSource закреплён на commit версии 2.3.0; scanner запускается отдельно от
+Node 24, используемого для сборки. `tsconfig.sonar.json` содержит совместимые
+со старым анализатором TS настройки; приложение проверяется штатным TypeScript
+5.9 через `npm run verify`. После обновления сервера пересмотрите scanner и
+возможность использовать основной tsconfig. Успешный локальный `verify` не
+доказывает доступность сервера и успешность анализа в CI.
+
 ## UI-каталог Storybook
 
 После `nvm use --silent` выполните `npm run dev:catalog`; статическая сборка —
 `npm run build:catalog`. Каталог использует общую тему приложения, вымышленные
 данные и локальные действия без application API. Примеры не доказывают
 восстановление реального запроса. Визуальные роли описаны в
-[дизайн-системе](../docs/design/overview.md).
+[UI convention](.ai/conventions/ui.md#визуальная-основа).
 
 ## Документация
 
@@ -65,16 +129,49 @@ document и затем выполните `npm run openapi:generate`.
 - [Data/API/cache](.ai/conventions/data.md)
 - [Testing](.ai/conventions/testing.md)
 - [UI-каталог Storybook](#ui-каталог-storybook)
-- [Обзор поставленной системы](../docs/overview.md)
-- [Карта проектных фактов](../docs/README.md)
 
-Runtime OpenAPI backend сверяется с frontend snapshot отдельной read-only
-backend командой `npm run test:openapi-contract`.
-Разработка идёт напрямую по задаче пользователя. Каждый affected repo проходит
-свой verify; при изменении wire contract дополнительно выполняется contract check.
-Обязательного OpenSpec/SDD lifecycle нет.
-
-Версии и ветки: [процесс релиза](../README.md#релизы-и-ветки).
+Checkout frontend содержит все входы сборки и проверок. Публичная схема API
+поступает как отдельный artifact; команды frontend используют только её
+локальную копию и не обращаются к исходникам или CI сервера. Доставка новой
+схемы — явное обновление snapshot с review и `npm run openapi:generate`.
+Runtime URL API задаётся окружением, а не расположением другого репозитория.
+Разработка идёт напрямую по задаче пользователя; OpenSpec/SDD — по явному запросу.
 
 Knip исключает `conventional-changelog-conventionalcommits`: release-it загружает
 preset по имени из `.release-it.json`. Версия preset закреплена напрямую.
+
+## Релизы
+
+Репозиторий выпускается независимо. `develop` — интеграция, `main` — принятые
+релизы. Работа: `codex/<task>` от актуального `develop`, PR в `develop`.
+Обычные PR допускают squash; release и обратная синхронизация сохраняют историю.
+Commits и PR titles — Conventional Commits, включая `spec:`. Версии вручную не повышай.
+
+1. Получи `main`, `develop` и теги: `git fetch origin --tags`. Убедись, что
+   `develop` содержит последний релиз. Создай `release/<name>` от проверенного
+   `develop`; `nvm use --silent`, `npm ci`. Hotfix начинается от `main` в
+   `release/hotfix-<name>` и проходит тот же процесс.
+2. На чистой ветке выполни `npm run release:preview`, просмотри версию/changelog,
+   затем `npm run release:prepare`. Команда создаёт `chore(release): X.Y.Z`,
+   обновляет manifest/lockfile/CHANGELOG; тег и push не выполняет. Не обходи
+   guards ветки, чистого дерева, отсутствующих тегов или уже подготовленной версии.
+3. Проверь diff и штатные gates этого репозитория. Отправь только release-ветку,
+   открой PR в `main` с заголовком `chore(release): X.Y.Z`. После зелёных
+   `verify`, `security`, `commits` выполни fast-forward-only merge. Если `main`
+   изменился, согласуй историю и повтори проверки кандидата.
+4. Получи удалённый `main`, сравни его HEAD с проверенным release SHA и версией
+   manifest/lockfile. Создай аннотированный `vX.Y.Z` именно на этом SHA:
+   `git tag -a vX.Y.Z <release-sha> -m "Release X.Y.Z"`, затем отправь только
+   `git push origin refs/tags/vX.Y.Z`. Не запускай release-it повторно на `main`.
+5. Верни release-коммит через PR `main → develop` без squash/rebase; проверь,
+   что `develop` содержит тег. Опубликованные теги не перемещай. При сбое после
+   merge создай отсутствующий тег без нового bump; до merge исправь и проверь
+   существующий кандидат без повторного повышения версии.
+
+`feat:` повышает minor, `fix:`/`perf:` и прочие разрешённые типы — patch;
+`!`/`BREAKING CHANGE:` — major, включая версии до 1.0. `chore(release):`
+исключён из рекомендации и changelog. Конфигурация — `.release-it.json`.
+В Gitea для `main`/`develop` должны быть запрещены прямой/force push и обход
+администратором, обязательны `verify`, `security`, `commits`; теги `v*` защищены.
+Workflow сам не включает эти настройки. Отдельное review approval для одного
+владельца не требуется. Npm publishing, deploy и Gitea Releases не включены.

docker/nginx.conf

@@ -0,0 +1,43 @@
+worker_processes auto;
+pid /tmp/nginx.pid;
+error_log /dev/stderr warn;
+events { worker_connections 1024; }
+http {
+    include /etc/nginx/mime.types;
+    default_type application/octet-stream;
+    # Do not log query strings, cookies, authorization or bodies.
+    log_format safe '$request_method $uri $status';
+    access_log /dev/stdout safe;
+    client_body_temp_path /tmp/client_temp;
+    proxy_temp_path /tmp/proxy_temp;
+    fastcgi_temp_path /tmp/fastcgi_temp;
+    uwsgi_temp_path /tmp/uwsgi_temp;
+    scgi_temp_path /tmp/scgi_temp;
+    map $http_x_forwarded_proto $forwarded_proto {
+        default $http_x_forwarded_proto;
+        '' $scheme;
+    }
+    server {
+        listen 8080;
+        server_name _;
+        root /usr/share/nginx/html;
+        resolver 127.0.0.11 valid=5s ipv6=off;
+        location /api/ {
+            set $backend http://backend:3000;
+            proxy_pass $backend$request_uri;
+            proxy_set_header Host $http_host;
+            proxy_set_header X-Forwarded-Host $http_host;
+            proxy_set_header X-Forwarded-Proto $forwarded_proto;
+            proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
+            proxy_set_header X-Request-ID $http_x_request_id;
+        }
+        location /assets/ {
+            try_files $uri =404;
+            add_header Cache-Control "public, max-age=31536000, immutable";
+        }
+        location / {
+            try_files $uri $uri/ /index.html;
+            add_header Cache-Control "no-cache" always;
+        }
+    }
+}

package-lock.json

@@ -1,12 +1,12 @@
 {
 	"name": "wealth-ledger-frontend",
-	"version": "0.1.0",
+	"version": "0.2.2",
 	"lockfileVersion": 3,
 	"requires": true,
 	"packages": {
 		"": {
 			"name": "wealth-ledger-frontend",
-			"version": "0.1.0",
+			"version": "0.2.2",
 			"dependencies": {
 				"@hookform/resolvers": "5.9.1",
 				"@mantine/charts": "9.6.1",

package.json

@@ -1,7 +1,7 @@
 {
 	"name": "wealth-ledger-frontend",
 	"private": true,
-	"version": "0.1.0",
+	"version": "0.2.2",
 	"type": "module",
 	"engines": {
 		"node": "24.21.0"

sonar-project.properties

@@ -0,0 +1,12 @@
+sonar.projectKey=wealthledger-frontend
+sonar.projectName=WealthLedger frontend
+sonar.host.url=https://sonarqube.ksv741.keenetic.pro
+sonar.sourceEncoding=UTF-8
+
+sonar.sources=src
+sonar.tests=src
+sonar.test.inclusions=src/**/*.test.ts,src/**/*.test.tsx
+sonar.exclusions=src/**/*.test.ts,src/**/*.test.tsx,src/**/*.stories.tsx,src/test/**,src/shared/api/generated/**,src/shared/api/spec/**
+sonar.javascript.lcov.reportPaths=coverage/lcov.info
+# SonarQube 9.9 embeds an older TypeScript analyzer than the application compiler.
+sonar.typescript.tsconfigPaths=tsconfig.sonar.json

tsconfig.sonar.json

@@ -0,0 +1,14 @@
+{
+	"compilerOptions": {
+		"target": "ES2022",
+		"module": "ESNext",
+		"moduleResolution": "node",
+		"jsx": "react-jsx",
+		"strict": true,
+		"skipLibCheck": true,
+		"noEmit": true,
+		"baseUrl": ".",
+		"paths": { "@/*": ["src/*"] }
+	},
+	"include": ["src"]
+}

vite.config.ts

@@ -7,4 +7,11 @@ import { defineConfig } from "vite";
 export default defineConfig({
 	plugins: [react(), babel({ presets: [reactCompilerPreset()] })],
 	resolve: { alias: { "@": fileURLToPath(new URL("./src", import.meta.url)) } },
+	server: {
+		proxy: {
+			"/api/": {
+				target: process.env.API_PROXY_TARGET ?? "http://localhost:3000",
+			},
+		},
+	},
 });

vitest.config.ts

@@ -21,7 +21,7 @@ export default defineConfig({
 				"src/**/*.test.{ts,tsx}",
 				"src/**/*.stories.tsx",
 			],
-			reporter: ["text", "html"],
+			reporter: ["text", "html", "lcov"],
 			thresholds: {
 				statements: 82,
 				branches: 75,