diff --git a/README.md b/README.md
index 17dc410..b73bde4 100644
--- a/README.md
+++ b/README.md
@@ -37,6 +37,8 @@ https://git.ext.flamy.studio/flamy_dev/HY2XS_flamy.git
 
 На чистом Debian 13 target нужно распаковать архив и запустить от root:
 
+Важно: packaged baseline использует `HY2XS_SSH_PORT=2323` по умолчанию. На target-хосте это значение обязательно нужно привести к фактическому рабочему SSH-порту оператора в `/etc/hy2xs/hy2xs.env` и применить через `reconfigure --apply`.
+
 Обязательные системные зависимости target-хоста:
 
 ```sh
diff --git a/docs/12-operations-and-troubleshooting.md b/docs/12-operations-and-troubleshooting.md
index d704a13..9b6f670 100644
--- a/docs/12-operations-and-troubleshooting.md
+++ b/docs/12-operations-and-troubleshooting.md
@@ -17,6 +17,8 @@ apt-get install -y sudo ca-certificates curl iproute2 tar openssl nftables syste
 
 `sudo` обязателен для smoke-проверок прав от имени runtime-пользователей (`hysteria`, `hy2xs-admin`), но его не нужно ставить вручную заранее: на clean-host он устанавливается на deps-стадии до smoke.
 
+Важно: packaged baseline использует `HY2XS_SSH_PORT=2323` по умолчанию. На target-хосте это значение обязательно нужно привести к фактическому рабочему SSH-порту оператора в `/etc/hy2xs/hy2xs.env` и применить через `reconfigure --apply`.
+
 ### 1. Builder и target — разные миры
 Если нужно изменить состав install package, это делается в локальном builder layer, а не на target server.
 
diff --git a/docs/13-production-runbook.md b/docs/13-production-runbook.md
index ee36f7a..000ccc1 100644
--- a/docs/13-production-runbook.md
+++ b/docs/13-production-runbook.md
@@ -36,6 +36,10 @@ apt-get install -y sudo ca-certificates curl iproute2 tar openssl nftables syste
 ./install.sh --non-interactive
 ```
 
+Важно: packaged baseline использует `HY2XS_SSH_PORT=2323` по умолчанию.
+На target-хосте оператор обязан выставить свой рабочий SSH-порт в `/etc/hy2xs/hy2xs.env`
+и применить изменения через `reconfigure --apply`.
+
 ## 6. Post-install verification
 
 ```bash
diff --git a/package/config/hy2xs.env b/package/config/hy2xs.env
index 1c846dc..a41e896 100644
--- a/package/config/hy2xs.env
+++ b/package/config/hy2xs.env
@@ -1,10 +1,10 @@
 # HY2XS canonical production runtime config (packaged baseline)
 HY2XS_IPV6_ENABLED=false
-HY2XS_DOMAIN=uk.api.withen.pro
+HY2XS_DOMAIN=fi.api.withen.pro
 HY2XS_DNS_AAAA_POLICY=strict
-HY2XS_PUBLIC_HOST=uk.api.withen.pro
+HY2XS_PUBLIC_HOST=fi.api.withen.pro
 HY2XS_PUBLIC_PORT=443
-HY2XS_SSH_PORT=22
+HY2XS_SSH_PORT=2323
 HY2XS_FIREWALL_MODE=takeover
 HY2XS_FIREWALL_STAGED_APPLY=true
 HY2XS_UI_BIND_HOST=127.0.0.1
diff --git a/tools/build/lib/acceptance.sh b/tools/build/lib/acceptance.sh
index 61b5de7..e33d0cf 100644
--- a/tools/build/lib/acceptance.sh
+++ b/tools/build/lib/acceptance.sh
@@ -15,6 +15,11 @@ run_fix20_acceptance_subset() {
   log_step "Acceptance: firewall mode defaults in config"
   grep -q '^HY2XS_FIREWALL_MODE=' "$package_dir/config/hy2xs.env" || fail "acceptance: HY2XS_FIREWALL_MODE missing in runtime config"
 
+  log_step "Acceptance: baseline domain/public host/ssh defaults"
+  grep -q '^HY2XS_DOMAIN=fi.api.withen.pro$' "$package_dir/config/hy2xs.env" || fail "acceptance: HY2XS_DOMAIN must default to fi.api.withen.pro"
+  grep -q '^HY2XS_PUBLIC_HOST=fi.api.withen.pro$' "$package_dir/config/hy2xs.env" || fail "acceptance: HY2XS_PUBLIC_HOST must default to fi.api.withen.pro"
+  grep -q '^HY2XS_SSH_PORT=2323$' "$package_dir/config/hy2xs.env" || fail "acceptance: HY2XS_SSH_PORT must default to 2323"
+
   log_step "Acceptance: force password change production default"
   grep -q '^HY2XS_FORCE_PASSWORD_CHANGE=false$' "$package_dir/config/hy2xs.env" || fail "acceptance: HY2XS_FORCE_PASSWORD_CHANGE must default to false"