fix and update

install.sh

@@ -2312,11 +2312,25 @@ EOF
 
 build_nginx_api_location_block() {
   if [[ "$NGINX_MODE" == "docker" ]]; then
-    local proxy proxy_idp proxy_ws
+    local proxy proxy_idp proxy_ws proxy_frontend
     proxy="$(render_proxy_root api)"
     proxy_idp="$(render_proxy_idp_api)"
     proxy_ws="$(render_proxy_idp_ws)"
+    proxy_frontend="$(render_proxy_root frontend)"
     cat <<EOF
+    # FedCM login_url same-origin: форма входа на API-домене проксируется на frontend.
+    location /auth/ {
+${proxy_frontend}
+        proxy_http_version 1.1;
+${nginx_proxy_headers}
+    }
+
+    location = /favicon.ico {
+${proxy_frontend}
+        proxy_http_version 1.1;
+${nginx_proxy_headers}
+    }
+
     # Алиас /idp-api на API-домене: совместимость с PUBLIC_API_URL из документации и curl.
     location ^~ /idp-api/ws {
 ${proxy_ws}
@@ -3065,6 +3079,11 @@ verify_fedcm_endpoints() {
     | jq -r '.login_url // empty' 2>/dev/null || true)"
   if [[ -n "$config_login_url" ]]; then
     echo -e "  ${GREEN}✔${NC} FedCM config.json login_url=${config_login_url}"
+    if [[ "$config_login_url" != "https://${api_domain}/auth/login" \
+          && "$config_login_url" != "http://${api_domain}/auth/login" ]]; then
+      echo -e "  ${YELLOW}!${NC} login_url должен быть same-origin с config (${scheme}://${api_domain}/auth/login)"
+      echo "      Иначе Chrome: «invalid URL for login_url». Пересоберите api-gateway и ./install.sh --fix-all"
+    fi
   elif [[ -n "$config_login_url_alias" ]]; then
     echo -e "  ${YELLOW}!${NC} FedCM config.json: используйте ${scheme}://${api_domain}/fedcm/config.json (не /idp-api/ на API-домене)"
     echo -e "  ${GREEN}✔${NC} FedCM config.json (alias /idp-api) login_url=${config_login_url_alias}"