Рассылки, папки по +метке, ловушка только для чужих адресов, служебное API для Jambotron

- V6 mail_lists + mail_list_members: письмо на alerts-prod@ → каждому участнику своя копия в папку рассылки;
  закрытая рассылка — только от вошедших отправителей (550 снаружи)
- bob+prod@ → ящик bob@, папка prod (создаётся сама; системные папки нельзя)
- TRAP: чужие адреса → одна копия в INBOX отправителя; наши ящики и рассылки доставляются
- /api/service/** (SERVICE_TOKEN из secrets-init): аккаунты (пароль один раз, выключение → вон из рассылок), рассылки
- MailDirectory: одно пространство адресов для ящиков и рассылок, без «+» в именах
- Настройки → LISTS для администраторов
- 86 тестов; живой прогон на Postgres 17: миграции V1–V6, API, SMTP (рассылка/метка/ловушка)

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

backend/src/main/java/com/mailserver/config/MailDomains.java

@@ -44,6 +44,24 @@ public class MailDomains {
         return domains;
     }
 
+    /**
+     * Address without its "+tag": {@code bob+prod@x} → {@code bob@x}. Mailbox and list names never contain "+",
+     * so the part after it is a label chosen by the sender — the folder the message goes to.
+     */
+    public static String baseOf(String address) {
+        String lower = address.toLowerCase(Locale.ROOT);
+        int at = lower.lastIndexOf('@');
+        int plus = lower.indexOf('+');
+        return plus > 0 && plus < at ? lower.substring(0, plus) + lower.substring(at) : lower;
+    }
+
+    /** The "+tag" of an address, or null: {@code bob+prod@x} → {@code prod}. */
+    public static String tagOf(String address) {
+        int at = address.lastIndexOf('@');
+        int plus = address.indexOf('+');
+        return plus > 0 && plus < at - 1 ? address.substring(plus + 1, at) : null;
+    }
+
     public static String domainOf(String address) {
         int at = address == null ? -1 : address.lastIndexOf('@');
         return at < 0 ? "" : address.substring(at + 1).toLowerCase(Locale.ROOT);

backend/src/main/java/com/mailserver/config/SecurityConfig.java

@@ -52,6 +52,8 @@ public class SecurityConfig {
             .cors(cors -> cors.configurationSource(corsConfigurationSource()))
             .authorizeExchange(exchange -> exchange
                 .pathMatchers("/api/login", "/api/register", "/api/config", "/actuator/health").permitAll()
+                // service API for Jambotron: its own token, checked by ServiceController (not a mailbox login)
+                .pathMatchers("/api/service/**").permitAll()
                 .pathMatchers("/api/**", "/actuator/**").authenticated()
                 // the web client (static files, SPA routes)
                 .anyExchange().permitAll()