АРХ - МЕЖПРОЕКТНАЯ КОММУНИКАЦИЯ: правила витрины сервисов и security handoff

docs/DEVOPS_SECURITY_HANDOFF.md

@@ -49,7 +49,7 @@ docker run --rm --env-file .env.staging.example -v "$PWD/reverse-proxy/Caddyfile
 - control-plane snapshot перенесён из public static в server-only storage;
 - `/storage/launcher-data.json` закрыт;
 - `/api/storage/data` и `/api/storage/upload` требуют session;
-- `/api/apps` отдаёт только приложения с app access;
+- `/api/apps` отдаёт каталог сервисов с флагами доступа; карточки сервисов видны всем authenticated users, но launch разрешён только при app access;
 - hard delete вызывает Tasker cleanup: sessions, identity links, workspace/project memberships, issue assignees;
 - internal API token отделён от OIDC client secret;
 - повторный accept уже принятого invite отклоняется.
@@ -252,8 +252,8 @@ docker compose --env-file plane-app/plane.env.staging -f plane-app/docker-compos
 3. Ответы содержат HSTS.
 4. Cookies выставляются как `Secure` и `HttpOnly`.
 5. Без login Launcher ведёт в Authentik.
-6. Active user видит только разрешённые сервисы.
-7. User без Task Manager app access не видит Task Manager в Launcher и получает deny по прямому `https://task...`.
+6. Active user видит все карточки сервисов, но открыть может только разрешённые сервисы.
+7. User без Task Manager app access видит карточку Task Manager в Launcher, не может открыть сервис и получает deny по прямому `https://task...`.
 8. Blocked/annulled user теряет Launcher и Tasker session после hard refresh.
 9. Self-host workspace invite создаёт pending request в Launcher.
 10. Launcher-managed workspace не принимает self-service invite request из Tasker.