Гигиена compose: пин образов, resource-limits, log-rotation, healthchecks, chmod 600, .env.example

[friench]

Пачка гигиенических правок compose/secrets из инфра-ревью.

Плавающие теги образов

docker-compose.yml:58 docker-socket-proxy:latest и docker-compose.dokploy.yml:60 traefik-certs-dumper:v2 — не запинены. socket-proxy — самый security-sensitive компонент, :latest там хуже всего. (nginx jonasal/nginx-certbot:6-alpine и DMS :15.1.0 запинены — ок.)
Фикс: пин по digest/точной версии.

Нет resource-limits

Ни mem_limit/cpus/pids_limit ни в одном сервисе. Runaway mail-api или DMS (при включённых ClamAV/Rspamd) может OOM'нуть весь одно-нодовый хост.
Фикс: консервативные лимиты на сервис, особенно память mailserver.

Log-rotation только у mailserver

docker-compose.yml:45-49 — max-size/max-file лишь у mailserver; nginx/mail-api/socket-proxy на дефолтном безлимитном json-file.
Фикс: вынести logging: в YAML-anchor на все сервисы.

Нет healthcheck на nginx/mailserver, depends_on без условия

Healthcheck только у mail-api; depends_on — только порядок старта, без readiness-гейта.
Фикс: healthcheck на nginx (nginx -t / проба /), опереться на встроенный healthcheck DMS, depends_on: {mailserver: {condition: service_healthy}}.

Секреты и .env

• mailserver-api/.env.example устарел относительно env.ts: нет DOCKER_HOST, TRUST_PROXY, METRICS_TOKEN, WEBHOOK_ALLOW_PRIVATE, всех OIDC_*, BACKUP_S3_*, ENGINE_CONTAINERS, MAIL_LOG_PATH, RETENTION_DAYS; ещё числится мёртвый DOCKER_SOCKET_PATH.
• _docs/deployment.md не делает chmod 600 на .env-файлы с SESSION_SECRET/SMTP-паролями/INITIAL_ADMIN_PASSWORD — дефолтный cp оставляет 0644.
  Фикс: регенерировать .env.example из zod-схемы; добавить chmod 600 в шаги деплоя.

[friench]

Основное сделано в #84:

• Пин docker-socket-proxy :latest → :0.3.0
• Общий x-logging anchor (лог-ротация на всех сервисах, было только у mailserver)
• mem_limit на nginx/mail-api/socket-proxy (+ гайд для mailserver — намеренно без кэпа)
• Healthcheck для nginx (новый /healthz в fallback-vhost)
• chmod 600 для секретных .env в доках

Осталось (по желанию, оставляю issue открытым):

• Пин traefik-certs-dumper:v2 — намеренно на latest v2 (недавний коммит), бампить по желанию
• Полная регенерация mailserver-api/.env.example из zod-схемы (переменные [security] Харднинг web/auth: COOKIE_SECURE, /metrics, Origin-check, SSRF DNS-pin #67 уже добавлены)

depends_on намеренно оставлен start-order, а не service_healthy: docker-mailserver unhealthy на первом бутстрапе до создания первого ящика (создаётся через mail-api) — health-гейт устроил бы дедлок.