АРХ - NODEDC PLATFORM: fix Authentik JWKS signing

docs/AUTH_MODEL.md

@@ -6,6 +6,23 @@
 
 Launcher, Plane и будущие приложения не хранят пароли пользователей и не становятся главным источником truth по логину.
 
+## User journey
+
+Целевой production flow:
+
+```text
+nodedc.ru marketing site
+  -> Войти на платформу
+  -> platform login
+  -> NODE.DC Launcher
+  -> application tiles
+  -> Task Manager / future apps
+```
+
+UI платформы не должен показывать пользователю название identity-провайдера. В пользовательских кнопках и текстах используется нейтральное "Войти", "Вход на платформу", "Сессия NODE.DC".
+
+Прямые ссылки на приложения остаются допустимым пользовательским сценарием. Если session нет, приложение или внешний proxy/auth layer должен увести пользователя в login flow и после успешного входа вернуть к исходному приложению.
+
 ## Required claims
 
 Минимальный normalized user object:
@@ -40,16 +57,15 @@ nodedc:superadmin
 Launcher:
 
 ```text
-nodedc:launcher:access
 nodedc:launcher:admin
-nodedc:launcher:user-manager
+nodedc:launcher:user
 ```
 
 Task Manager:
 
 ```text
-nodedc:taskmanager:access
 nodedc:taskmanager:admin
+nodedc:taskmanager:user
 ```
 
 Future apps:
@@ -67,6 +83,8 @@ nodedc:dm:access
 
 Отвечает на вопрос, можно ли открыть приложение.
 
+Launcher показывает каталог приложений как витрину, а не скрывает все недоступные плитки. Для приложения без доступа кнопка перехода отключена и отображается состояние "Нет доступа". Это важно для продаж, onboarding и понимания доступных модулей платформы.
+
 Уровень 2: Launcher admin roles.
 
 Отвечает на вопрос, можно ли управлять пользователями, группами, app registry и audit.