Безопасность, SMTP, очередь отправки, DKIM, деплой на Jambotron (Jambotron v0.2.3 75.1–75.3)

- SMTP-сервер переписан: разбор по строкам, AUTH PLAIN/LOGIN, нет открытого релея,
  MAIL FROM только свой после входа, 250 только после сохранения (иначе 451), лимит размера
- отправка наружу: очередь outbound_queue (V2) с повторами ~22 ч и уведомлением о недоставке;
  Jakarta Mail, режимы off / mx / smarthost, байты письма не меняются (DKIM)
- DKIM: подпись utils-mail-dkim, проверка Apache jDKIM; ключ PKCS#8, старый PKCS#1 читается
- права: письма, папки, вложения — только владельцу (было: любой по номеру); имена вложений без ../
- секреты без значений по умолчанию (DB_PASSWORD, JWT_SECRET), регистрация закрыта,
  admin123 и /api/simulate/receive — только профиль dev
- веб-клиент внутри jar (относительный /api), Dockerfile в 3 этапа, не root, health;
  docker-compose.jambotron.yml: секреты создаются при первом запуске, наружу только 8080
- gradle-wrapper.jar был в .gitignore — сборка не запускалась
- тесты: 26 (SMTP реальным клиентом и сокетом, GreenMail, DKIM подпись+проверка, очередь)

α
Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

backend/Dockerfile

@@ -1,17 +1,32 @@
-# Stage 1: Build
+# Build context: repository root (docker compose: context ".", dockerfile backend/Dockerfile)
+
+# 1. Web client (Angular) — served by the backend from classpath:/static
+FROM node:22-alpine AS web
+WORKDIR /web
+COPY frontend/package*.json ./
+RUN npm install --no-audit --no-fund
+COPY frontend/ ./
+RUN npx ng build --configuration=production
+
+# 2. Backend
 FROM eclipse-temurin:21-jdk-alpine AS build
 WORKDIR /app
-COPY backend/build.gradle ./
-COPY gradlew ./
+COPY gradlew settings.gradle ./
 COPY gradle gradle
-COPY backend/src src
-RUN chmod +x gradlew
-RUN ./gradlew bootJar --no-daemon
+COPY backend/build.gradle backend/
+COPY backend/src backend/src
+COPY --from=web /web/dist/frontend/browser backend/src/main/resources/static
+RUN chmod +x gradlew && ./gradlew :backend:bootJar --no-daemon -x test
 
-# Stage 2: Run
+# 3. Runtime: not root; data in /app/data (volume)
 FROM eclipse-temurin:21-jre-alpine
+RUN apk add --no-cache curl && addgroup -S mail && adduser -S -G mail mail \
+    && mkdir -p /app/data/attachments /app/data/dkim-keys && chown -R mail:mail /app/data
 WORKDIR /app
-COPY --from=build /app/build/libs/*.jar app.jar
-RUN mkdir -p /app/attachments /app/dkim-keys
+COPY --from=build /app/backend/build/libs/*.jar app.jar
+USER mail
+ENV MAIL_ATTACHMENTS_DIR=/app/data/attachments DKIM_KEYS_DIR=/app/data/dkim-keys
 EXPOSE 8080 3025
-ENTRYPOINT ["java", "-jar", "app.jar"]
+HEALTHCHECK --interval=30s --timeout=5s --start-period=60s --retries=3 \
+    CMD curl -fsS http://localhost:8080/actuator/health || exit 1
+ENTRYPOINT ["java", "-XX:MaxRAMPercentage=75", "-jar", "app.jar"]