Enhance documentation with new features: added dark/light/system theme support, instructions page, and application catalog. Updated API and domain model for app management and automatic migrations on startup. Improved frontend structure with new routes and features for user instructions and app management.

docs/architecture.md

@@ -170,8 +170,11 @@ POST /api/configs
   сразу активирована и с ролью `admin`.
 - **Telegram id админов** (`AdminSeed__TelegramUserIds`) — авторизуют админ-действия в боте и
   адресуют уведомления (например, запросы на активацию).
+- **Каталог приложений** (`ClientApp`): если таблица пуста — сидируется из
+  [`seed/client-apps.json`](../seed/client-apps.json) (стартовый набор клиентов по ОС). Дальше — правки через админ-CRUD.
 
-Сидинг не перезаписывает существующие данные; смена пароля админа после первого старта — через приложение.
+Сидинг не перезаписывает существующие данные. Принудительной смены сид-пароля при первом входе
+**нет** — задавайте сильный `AdminSeed__Password` сразу; сменить пароль можно в приложении.
 
 ## RBAC — динамические роли и активация
 
@@ -228,11 +231,18 @@ PostgreSQL:
   2. `dotnet sdk` — `dotnet publish` Api; статика фронта копируется в `wwwroot`.
   3. `dotnet aspnet` runtime — финальный образ запускает Api.
 - **docker-compose**: сервис `app` (этот образ) + сервис `db` (PostgreSQL). Всё приложение — в `app`.
-- Миграции применяются на старте (dev) / отдельным шагом (prod).
+- **TLS — внешний**: HTTPS терминирует внешний прокси/шлюз (nginx/Traefik/cloud LB администратора),
+  вне нашего compose; `app` внутри отдаёт HTTP. Приложение доверяет `X-Forwarded-Proto/For` через
+  `ForwardedHeaders`-middleware — иначе Secure-cookie и определение схемы за прокси работать не будут.
+  Отдельный nginx/Caddy в compose **не** вводим.
+- **Миграции**: применяются **автоматически на старте** приложения (в MVP; при масштабировании на
+  несколько инстансов — вынести в отдельный шаг/джобу).
 - Конфигурация через `appsettings.{Env}.json` + переменные окружения / secrets (строка подключения,
   JWT-ключ, ключ шифрования секретов, `Telegram:BotToken`, `PublicSiteUrl`).
 
 ```
+   [ внешний прокси/шлюз: TLS termination ]  ← HTTPS, вне нашего compose
+                    │ HTTP + X-Forwarded-*
 ┌────────────────── docker-compose ──────────────────┐
 │  app  (единый образ)            db  (postgres)      │
 │  ├─ REST /api                   └─ том с данными     │