Аудит заявленной утечки /api/v1/me: в текущем исходнике не воспроизводится —
next build + standalone-сервер + разбор app-build-manifest показали, что
chunk-split #2545 (GuardedRoute за next/dynamic) чист, ни один чанк
публичного роута не содержит /api/v1/me. Live-проверка meraocenka.ru
подтверждает: во всех 12 чанках лэндинга строки нет. Репорт issue почти
наверняка ловил stale-образ (rapid-merge trap, .claude/rules/tradein.md).
Чтобы инвариант не отрегрессил молча — source-level guard
(scripts/check-mera-public-isolation.mjs, BFS по статическим import'ам от
корневого layout + mera-public; dynamic import не следуем — семантика
webpack-чанков; проверен инъекцией нарушения) + шаг в CI frontend-checks.
favicon.ico (мульти-размер, брендовые токены) + Caddy handle /favicon.ico
в периметре meraocenka.ru (allowlist-404 резал его до Next).
Refs #2631
