Initial commit: backend scaffold, auth, frontend login

- FastAPI + SQLAlchemy async + Alembic + Postgres backend
- Auth: JWT access + rotating refresh tokens, argon2, roles, audit log
- React 19 + Vite frontend: login page, protected route, auth context
- Docker Compose: postgres, redis, migrate, api, worker (placeholder), frontend/nginx

Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>

backend/app/core/crypto.py

@@ -0,0 +1,59 @@
+"""Симметричное шифрование секретов, хранимых в БД.
+
+Ключи лицензий Checkbox и токены CRM попадают в таблицы. В открытом виде
+они там лежать не должны: дамп базы не обязан давать возможность пробивать
+чеки от лица клиента.
+
+Используется Fernet (AES-128-CBC + HMAC-SHA256) из `cryptography`.
+"""
+
+from __future__ import annotations
+
+from functools import lru_cache
+
+from cryptography.fernet import Fernet, InvalidToken
+
+from app.core.config import settings
+
+
+class DecryptionError(Exception):
+    """Значение не расшифровывается — как правило, сменился ENCRYPTION_KEY."""
+
+
+@lru_cache
+def _fernet() -> Fernet:
+    try:
+        return Fernet(settings.encryption_key.encode())
+    except (ValueError, TypeError) as exc:
+        raise RuntimeError(
+            "ENCRYPTION_KEY некорректен. Сгенерируйте валидный ключ: "
+            "python -c \"from cryptography.fernet import Fernet; "
+            'print(Fernet.generate_key().decode())"'
+        ) from exc
+
+
+def encrypt(value: str) -> str:
+    return _fernet().encrypt(value.encode()).decode()
+
+
+def decrypt(value: str) -> str:
+    try:
+        return _fernet().decrypt(value.encode()).decode()
+    except InvalidToken as exc:
+        raise DecryptionError(
+            "Не удалось расшифровать значение. Вероятная причина — ENCRYPTION_KEY "
+            "изменился с момента сохранения. Секрет нужно ввести заново."
+        ) from exc
+
+
+def mask(value: str, visible: int = 4) -> str:
+    """Маска для показа секрета в интерфейсе: `****ab12`.
+
+    Наружу секреты отдаются только в таком виде — расшифрованное значение
+    не покидает бэкенд.
+    """
+    if not value:
+        return ""
+    if len(value) <= visible:
+        return "*" * len(value)
+    return "*" * (len(value) - visible) + value[-visible:]