security: устранить находки аудита, версия 1.1.7

Конфигурация и эксплуатационный слой:
- nginx: client_max_body_size 64m — восстановление из бэкапа не работало
  вовсе, дефолтный лимит в 1 МБ резал дампы (реальный экспорт ~3.4 МБ)
  с 413 ещё до backend;
- nginx: заголовки безопасности (nosniff, Referrer-Policy,
  Permissions-Policy) и полный Content-Security-Policy. Ради него
  inline-скрипт темы вынесен в public/theme-init.js;
- nginx: limit_req на /api/ — перебор пароля Basic Auth шёл со
  скоростью сети, ни блокировки, ни задержки не было;
- nginx: server_tokens off;
- порт web привязан к 127.0.0.1, адрес настраивается через
  AURUM_BIND_ADDRESS (раньше слушался на всех интерфейсах);
- backend работает от непривилегированного пользователя,
  no-new-privileges для backend и web;
- дефолты пароля Postgres сведены к одному значению в обоих сервисах,
  в .env.example описана ловушка с инициализацией тома.

Приложение:
- версия убрана из неавторизованного /api/health и отдаётся как
  app_version в GET /api/settings;
- /api/docs, /api/redoc и /api/openapi.json отключаются через
  AURUM_ENABLE_DOCS;
- текст исключения при неудачном восстановлении уходит в лог, а не
  клиенту;
- max_length для notes в схемах транзакций, активов и регулярных
  платежей (и в соответствующих полях UI);
- срок «запомнить меня» сокращён с 30 дней до 7;
- pytest обновлён до 9.0.3 (PYSEC-2026-1845), pytest-asyncio до 1.4.0;
- CI: permissions contents:read для GITHUB_TOKEN.

frontend/index.html

@@ -6,24 +6,10 @@
     <meta name="viewport" content="width=device-width, initial-scale=1, viewport-fit=cover" />
     <meta name="theme-color" content="#0b0b0b" />
     <title>Aurum — Личные финансы</title>
-    <script>
-      // Applies the saved theme (light/dark/system) to <html> before the
-      // first paint, so an explicit override never flashes the wrong theme
-      // for a frame while React/lib/theme.ts loads. "system" needs no
-      // attribute at all — index.css's prefers-color-scheme media query
-      // already handles that case with zero JS.
-      (function () {
-        var stored = localStorage.getItem("aurum:theme");
-        if (stored === "light" || stored === "dark") {
-          document.documentElement.setAttribute("data-theme", stored);
-        }
-        var isDark =
-          stored === "dark" || (stored !== "light" && window.matchMedia("(prefers-color-scheme: dark)").matches);
-        var meta = document.querySelector('meta[name="theme-color"]');
-        // Kept in sync by hand with index.css's --surface-0 light/dark values.
-        if (meta) meta.setAttribute("content", isDark ? "#0d0d0d" : "#f9f9f7");
-      })();
-    </script>
+    <!-- Runs before the first paint to avoid a wrong-theme flash. Kept in its
+         own file (public/theme-init.js), not inline, so the CSP in
+         frontend/nginx.conf can forbid inline scripts entirely. -->
+    <script src="/theme-init.js"></script>
   </head>
   <body>
     <div id="root"></div>