chore(history): squash 67 commit(s) from 2026-09-25

- feat(accounts): persist device links with opaque hashed tokens, list and revoke endpoints
- feat(frontend): app shell, routing and landing page with the chat-command hero
- feat(frontend): Cyrillic-first fonts (Unbounded, Onest, JetBrains Mono); add i18next and motion
- docs: free mod, bilingual site, one-click download, theme editor, public profiles, rich landing in plans
- feat(accounts): internal gRPC AuthenticateDevice guarded by internal key
- feat(frontend): ru/en i18n with typed per-feature dictionaries and language switch
- feat(accounts): GET /me profile endpoint
- feat(gateway): scaffold crate with config validation and health check
- feat(gateway): reverse proxy to accounts and configs services
- feat(gateway): resolve identity once from access JWT or device token via gRPC
- feat(gateway): per-route and global rate limits with Retry-After
- feat(gateway): CORS for the site origin; docs for gateway and internal contract
- feat(configs): scaffold service with schema, config validation and health check
- feat(configs): four config slots per account with list, get and save
- feat(configs): permanent share codes with regenerate and public load-by-code
- feat(accounts): GetPublicProfiles gRPC for showcase author info
- style(accounts,common): apply rustfmt to existing sources
- feat(configs): public showcase with publish, browse, detail and copy-to-slot
- feat(backend): public profile endpoint and showcase author filter
- fix(gateway): silence clippy collapsible-if and needless-ref warnings
- docs(backend): configs-service implemented; Подсистема 1 backend complete
- feat(mod): add Optimize module skeleton with OptimizeState holder
- feat(mod): gate glass blur behind Optimize no_glass knob
- feat(mod): cut MotionBlur and DoF sample counts behind lite_post knob
- feat(mod): trim procedural sky noise behind lite_sky knob
- feat(mod): drop fade gradients and digit rolls behind lean_hud knob
- docs(todo): mark Optimize module phase 9.2 complete
- refactor(mod): drop dead Renderer2D compatibility shims
- refactor(mod): prune unreachable Renderer2D overload towers
- refactor(mod): remove unused Renderer2D overloads and imports
- docs(todo): mark Renderer2D giant-splitting done (2179 to 1597)
- refactor(mod): extract shader id constants from LoVisualRenderPipelines
- docs(todo): record registry wave 2026-09-25 (Renderer2D, pipelines)
- refactor(mod): move Renderer2D instance state into base class
- refactor(mod): extract Renderer2DRounded drawing family
- refactor(mod): extract Renderer2DPath connector and chamfer family
- refactor(mod): extract Renderer2DShapes circle line and texture primitives
- refactor(mod): extract Renderer2DGlass and Renderer2DItem families
- refactor(mod): prune Renderer2D imports after facade split
- docs(todo): record Renderer2D facade inheritance split (1597 to 475)
- docs: easter eggs — .env honeypot, konami troll mode, devtools banner, IDDQD config, breakable 404 block, 418 teapot
- feat(mod): introduce surface style system core (SurfaceStyle, StyleSpec, StyleConfig, SurfaceRenderer)
- refactor(mod): delegate HudRenderUtil liquid glass draws to SurfaceRenderer (dedupe glass constants)
- refactor(mod): route bespoke glass call sites through SurfaceRenderer.plateSpec
- feat(mod): add Auto option to HUD bg effects via shared HudBgStyles resolution
- feat(mod): flat fallback for no-glass optimize mode and persist global HUD config
- feat(mod): default HUD bg effects to Auto so the global surface style drives widgets
- feat(mod): add global cycle-style hotkey with surface style notification
- feat(mod): add surface style swatch strip under the global style picker
- feat(gateway): reject ambiguous paths and answer .env probes with a honeypot
- fix(gateway): charge failed credentials against the rate limit, allow stale ones on /auth
- feat(frontend): ClickGui theme pipeline generated from the mod, live site theming
- feat(frontend): landing v2 hero — voxel/particle backdrop, live ClickGui, theme strip
- docs(todo): drop the FPS A/B measurement from phase 9.3, close phase 9
- feat(gateway): answer /coffee with a 418 teapot
- feat(frontend): land the rest of landing v2 — HUD, module wall, showcase, FAQ, footer
- feat(frontend): one-click download from GitHub releases, changelog page, release CI
- feat(frontend): theme editor with live ClickGui preview, mod-compatible export and share links
- fix(frontend): landing HUD playground now shows real mod widgets (fps, coordinates, module list, keybinds, ping)
- style(frontend): apply ClickGui glass effect to landing HUD playground widgets
- fix(frontend): prevent color field row overflow in theme editor grid
- fix(frontend): never attach stale bearer token to /auth/* requests
- fix(configs): unpublish/publish can no longer bypass moderation
- refactor(accounts): shrink auth/handlers.rs under the 250-line cap
- fix(accounts): tolerate concurrent refresh without killing every session
- fix(gateway): minor hardening from the backend review
- feat(configs): IDDQD easter egg config

TODO.md

@@ -95,11 +95,25 @@ boilerplate на класс), а в Rust/TypeScript тот же объём ло
 - [ ] Фаза 8.5: Аудит структуры ≤200/≤4 — 8.5.1 (папки >4) ЗАВЕРШЕНА 2026-09-10
       (0 папок >4, коммиты 8846d53…303b17e); далее 8.5.2 (гиганты >600),
       план в `mod/TODO.md`
-- [ ] Фаза 9: Оптимизация FPS — 9.1 (мёртвые грузы) ЗАВЕРШЕНА 2026-09-11 (137121e…4d60d3d);
-      9.2 Optimize гейтится Фазой 8.5, 9.3 A/B-мерка needs запуск на Windows
+- [x] Фаза 9: Оптимизация FPS — 9.1 (мёртвые грузы) ЗАВЕРШЕНА 2026-09-11 (137121e…4d60d3d);
+      9.2 Optimize ЗАВЕРШЕНА 2026-09-25 (ade82f06…8746074d, 4 тумблера + OptimizeState);
+      9.3 A/B-мерка убрана из плана (решение владельца 2026-09-25: нужен запуск
+      Minecraft на Windows, задачей не является) — фаза закрыта
 - [ ] Фаза 10: Платформа (сайт + бэкенд) — Подсистемы 1/2/3 спроектированы 2026-09-23
       (см. ниже). Реализация: план backend Подсистемы 1 в `backend/PLAN.md`
       (написан 2026-09-23), frontend/Подсистема 2/3 — планы позже.
+      Бэкенд 2026-09-25: Подсистема 1 backend ЗАВЕРШЕНА — `accounts-service`,
+      `common`, `gateway` (identity, рейт-лимиты, CORS, refresh-ротация,
+      device links) и `configs-service` (4 слота, share-коды, витрина
+      publish/browse/detail/copy, публичный `/users/{id}` с бейджем `early`);
+      планы: `backend/PLAN.md`, `backend/gateway/PLAN.md`,
+      `backend/configs-service/PLAN.md`; e2e через gateway проверен вручную.
+      Следующий шаг — фронтенд (`frontend/PLAN.md`) и интеграция мода.
+      Решения 2026-09-25: мод бесплатный (никаких цен/подписок/ключей на сайте);
+      сайт двуязычный ru/en (i18n); кнопка «Скачать» — прямая ссылка на
+      `releases/latest/download/lovisual.jar` в GitHub; в план сайта добавлены
+      редактор тем в браузере, страница «Скачать» + ченджлог, публичные профили;
+      лендинг — насыщенный (живой ClickGui/HUD, частицы), см. `frontend/PLAN.md`.
 
 ---
 
@@ -192,7 +206,9 @@ boilerplate на класс), а в Rust/TypeScript тот же объём ло
 
 > Прим.: лаунчер и старый backend (Rust+axum) были удалены ранее (см. шапку файла) —
 > это НЕ восстановление старого кода, а новый дизайн с нуля под текущие требования.
-> Статус: дизайн готов, реализация backend начинается — план в `backend/PLAN.md`.
+> Статус: дизайн готов, backend Подсистемы 1 реализован 2026-09-25 (планы в
+> `backend/PLAN.md`, `backend/gateway/PLAN.md`, `backend/configs-service/PLAN.md`);
+> дальше — фронтенд (`frontend/PLAN.md`).
 > Код — в выделенных `backend/` и `frontend/` (созданы 2026-09-23), отдельно от `mod/`.
 
 ### Границы (декомпозиция)
@@ -284,6 +300,26 @@ S3-совместимом хранилище (MinIO), не в Postgres.
 - `device_token` хранится хэшированным в БД, как пароль
 - Share-код — криптографически случайный, не инкрементный ID (не перебираем)
 
+## Пасхалки (решение владельца 2026-09-25)
+
+1. **`.env`-ловушка** (gateway): запросы на `.env` (включая через `../`) → 200 + фейковый
+   шуточный `.env` («nice_try_skiddie…»), в апстрим не уходят, IP в лог. Делается вместе
+   с фиксом обхода лимитов через dot-segments.
+2. **Konami code на сайте** (↑↑↓↓←→←→BA): ClickGui на главной включает TrollfaceMask,
+   всё уходит в радужную тему.
+3. **Сообщение в консоли DevTools**: ASCII-логотип LoVisual + «Шаришь? Исходники
+   аддонов — на витрине».
+4. **`IDDQD`**: `%config load IDDQD` в моде и `/configs/shared/IDDQD` на сайте отдают
+   шуточный конфиг «God mode» — всё выключено, кроме ChinaHat. Код не пересекается с
+   настоящими (в алфавите share-кодов нет `I`, длина 5 ≠ 8).
+5. **404 = пустой мир**: падает блок, по клику «ломается» с частицами, как в игре.
+6. **`/coffee` → 418 I'm a teapot** (gateway) со ссылкой на мод.
+
+Планы: `frontend/PLAN.md` Task 11, `backend/configs-service/PLAN.md` Task 7,
+`backend/gateway/PLAN.md` Task 12; мод-часть `%config load IDDQD` — в плане интеграции мода.
+
+---
+
 ## Подсистема 2: RPC-чат + друзья + виджеты-телеметрия (дизайн от 2026-09-23)
 
 > Статус: спроектировано, реализация не начата. Требует realtime-слой