deploy: POST /api/wallets + full swagger

apps/api/src/middleware/csrf.ts

@@ -11,16 +11,18 @@ export function csrfMiddleware(req: Request, res: Response, next: NextFunction):
     return;
   }
 
-  // CSRF отключён если VAULT_CSRF_PATH не задан
+  // Если CSRF полностью отключён через ENV (csrfPath пустой) — пропускаем.
+  // Это явная конфигурация, не fail-open.
   if (!env.vault.csrfPath) {
     next();
     return;
   }
 
-  // Секрет не загрузился (Vault недоступен) — пропускаем чтобы не блокировать сервис
+  // CSRF включён, но секрет не загружен (Vault недоступен) → fail-secure: 503.
+  // НИКОГДА не пропускаем mutating запросы при не-валидном состоянии.
   if (!isCsrfConfigured()) {
-    logger.warn('CSRF check skipped: secret not loaded');
-    next();
+    logger.error('CSRF check unavailable: secret not loaded — rejecting mutating request');
+    res.status(503).json({ success: false, error: 'CSRF protection unavailable, retry later' });
     return;
   }