Синхронизация с gnexus-handbook: healthz, /mcp-protocol/, блокировка, i18n ...

Часть A — точечные несоответствия:
- GET /healthz (alias к /api/healthz) — требование хендбука 10-platform/health.

Часть C — MCP второго маршрута и блокировка:
- /mcp-protocol/ вторым маршрутом (конвенция 10-platform/mcp.md, слэш значим
  для реверс-прокси); FastMCP-саб-аппу скармливается канонический /mcp.
  /mcp остаётся историческим alias'ом (docs/07).
- Вебхуки gnexus-auth user.blocked/deleted/archived и user.unblocked/restored
  ставят/снимают флаг в новой таблице user_prefs (миграция 0009); resolve_
  personal_token гонит заблокированных и отвечает тем же 401, что и при
  неверном токене. Статический MCP_TOKEN не затрагивается. SSO-логаут
  токены не трогает (решение владельца).

Часть B — i18n по конвенции 10-platform/i18n.md (ru база + en + uk):
- frontend/src/i18n/ — модуль по паттерну gnexus-creds (t() c интерполяцией
  и славскими плюрализациями, fallback en) + словари-сообщения (386 slug'ов);
  все 15 вьюх и App.vue переведены на t(), module-консты с текстами — в
  computed (грабли i18n.md); ui.js fmtTime — на Intl.DateTimeFormat;
  push.js/local строки — в словарь.
- Язык: override в user_prefs.locale, эффективный = override → locale аккаунта
  (profile.locale, нормализация до 2-буквенного префикса) → en; GET /me
  возвращает locale/locale_effective, PATCH /me принимает en|uk|ru|auto.
  Выбор языка — в Настройках (всем ролям), опции родными именами.
- Серверная локализация: Accept-Language от SPA; app/i18n_server.py —
  каталог точных строк + regex-паттерны для параметризованных detail
  (exception-handler StarletteHTTPException в main.py); labels/help реестра
  настроек локализуются на лету.
- apiFetch: шлёт Accept-Language; 422 detail (список) собирается в строку.

Хендбук (отдельный репо): notifications.md — конвенция интеграции сервисов
(источник/ключ/конверт v1/client-libs/webhook-цель), mcp.md и auth.md —
референс-варианты Synapse, чеклист нового сервиса ссылается на notifications.md.

Спиннер загрузки (GnLoader circle), выравнивание и мелочи ...

- Лоадер во всех разделах — круговой спиннер кита (GnLoader circle) с
  подписью «Загрузка…»: дефолтный вариант рисовал оранжевые квадраты с
  жёстким hex (#FF3C00), мимо токенов кита.
- Дашборд: честный loading-флаг вместо трюка error === true, и лоадер
  получает свой текст («Опрашиваю сервис…»); карточка «Каркас» заменена
  на «С чего начать» — порядок настройки источников/целей/правил.
- Доставки: кнопка обновления центрируется точно по селекту (высота
  слота 46px + компенсация margin-bottom группы кита), расхождение 2px.
- Аватар в футере дровер: убрана статус-точка «online» — она ничего не
  говорит и не видна самому пользователю.

Co-Authored-By: Claude Code <noreply@anthropic.com>

Правки каркаса по макету: профиль в дровере, подсветка навигации, ширина 1440 ...

- футер дровера: GnUserCard (compact) с аватаром-initials, email и кнопкой
  «Выйти» вместо текстовых footerLeft/footerRight
- активный пункт навигации подсвечивается: обход не-реактивного $route в
  GnNavList (:key="route.path" на шеле + router.isReady() перед монтированием)
- контентный контейнер — максимум 1440px
- из страницы убраны кнопка «Выйти» и метрика «Вы вошли как»: профиль теперь
  в карточке дровера; heartbeat сессии перенесён в App.vue (один на приложение)

Co-Authored-By: Claude Code <noreply@anthropic.com>

SPA на каркасе gnexus-ui-kit: GnNavigationShell + GnPageHeader ...

- App.vue: каркас GnNavigationShell (topbar+drawer+footer), bare-страницы
  входа/отсечения/коллбэка через route.meta.bare
- router.js: meta.bare для /login /denied /oauth/callback
- DashboardView: GnPageHeader + GnMetricCard/GnStatusCard, контент в #content
- frontend/public/assets/imgs/gnexus-mark.svg: логотип по контракту кита (/assets)

По канону vue-адаптера кита: только именованные импорты, иконки ph-*,
варианты primary/secondary/error/info, scoped-стили только на var(--gn-*).

Co-Authored-By: Claude Code <noreply@anthropic.com>

Single sign-out: logout gnexus-auth отзывает токены Synapse через вебхуки ...

- logout в gnexus-auth НЕ отзывает OAuth-токены (проверено в его коде:
  isUsable = только expiry/revoked) — значит SSO-выход доедает вебхук
- store_login: выданные при callback токены лежат в Redis по user_id (TTL 30d)
- webhook auth.logout / auth.global_logout / session.revoked ->
  revoke access+refresh всех логинов пользователя на gnexus-auth + очистка
- POST /auth/logout: выход из Synapse отзывает все входы пользователя
- SPA: heartbeat adminMe каждые 45 c — 401 после logout в auth убивает
  сессию SPA автоматически; 403 ведёт на denied
- порт 8001 -> 8012 (на локальной машине занят другим проектом)

Co-Authored-By: Claude Code <noreply@anthropic.com>

SSO через gnexus-auth-client-py: OAuth-поток на сервере, без ввода токенов в UI ...

- /auth/login: state+PKCE в Redis (переживает рестарты), redirect на authorize
- /auth/callback: обмен кода, проверка system_role до выдачи токена,
  не-админу access-токен сразу revoke; токены в URL-фрагменте
- /auth/refresh и /auth/revoke; SPA: кнопка входа, /oauth/callback,
  тихий refresh по 401, логаут
- креды только из env (GAUTH_*), GAUTH_VERIFY_TLS для self-signed в LAN

Co-Authored-By: Claude Code <noreply@anthropic.com>

Каркас #33: FastAPI + Celery + Postgres в докере, Vue 3 SPA на gnexus-ui-kit ...

- FastAPI: healthz/readyz, Swagger на /api/docs, раздача SPA-статики из того же контейнера
- Гейт админки по ролям gnexus-auth (opaque-токены, userinfo, admin/superadmin, 401/403)
- Celery-воркер (redis broker) с каркасной задачей synapse.ping
- Alembic настроен на DATABASE_URL из .env, миграций пока нет (#34)
- docker-compose: api, worker, postgres, redis — одна команда, миграции при старте
- frontend: Vue 3 + Vite + gnexus-ui-kit (git-зависимость), вход-заглушка dev, дашборд, denied-экран

Co-Authored-By: Claude Code <noreply@anthropic.com>