fix and update

install.sh

@@ -1626,6 +1626,19 @@ collect_self_signed_sans() {
     sans+=("DNS:${apex}")
   fi
 
+  # Дополнительные SAN для сторонних приложений в LAN (через запятую в .env).
+  local extra_sans="${EXTRA_SSL_SANS:-}"
+  if [[ -n "$extra_sans" ]]; then
+    local entry
+    IFS=',' read -ra _extra_sans <<< "$extra_sans"
+    for entry in "${_extra_sans[@]}"; do
+      entry="${entry#"${entry%%[![:space:]]*}"}"
+      entry="${entry%"${entry##*[![:space:]]}"}"
+      [[ -z "$entry" ]] && continue
+      sans+=("DNS:${entry}")
+    done
+  fi
+
   (IFS=,; echo "${sans[*]}")
 }
 
@@ -2760,9 +2773,15 @@ print_intranet_hint() {
   fi
   echo ""
   if [[ "$(env_get SSL_TYPE none)" == "selfsigned" ]]; then
-    echo "    Сертификат: ${LOCAL_CERTS_DIR}/shared-intranet (общий для всех доменов)"
-    echo "    Браузер покажет предупреждение — примите сертификат для ${DOMAIN_FRONTEND}."
-    echo "    API вызывается через ${DOMAIN_FRONTEND}/idp-api — отдельно открывать ${DOMAIN_API} не нужно."
+    echo "    Сертификат: ${LOCAL_CERTS_DIR}/shared-intranet (общий для всех доменов IdP)"
+    echo "    FedCM/One Tap: браузер открывает ${apex_domain:-корневой домен}/.well-known/web-identity —"
+    echo "    примите сертификат для ${DOMAIN_FRONTEND}, ${DOMAIN_API}${extra_apex} и сайта вашего приложения."
+    echo "    Надёжно: импортируйте fullchain.pem в «Доверенные корневые центры» на каждом ПК (Windows/macOS)."
+    if [[ -n "$(env_get EXTRA_SSL_SANS "")" ]]; then
+      echo "    EXTRA_SSL_SANS: $(env_get EXTRA_SSL_SANS "")"
+    else
+      echo "    Для другого домена приложения добавьте в .env: EXTRA_SSL_SANS=myapp.lan и ./install.sh --fix-all"
+    fi
     echo ""
   fi
   if [[ "$(env_get LDAP_USE_HOST_NETWORK false)" == "true" ]]; then