fix: обновить baseline домен и SSH-порт пакета

- default: HY2XS_DOMAIN/HY2XS_PUBLIC_HOST -> fi.api.withen.pro

- default: HY2XS_SSH_PORT -> 2323

- docs: добавлено обязательное указание сменить SSH-порт на target

- acceptance: проверки baseline domain/public_host/ssh

README.md

@@ -37,6 +37,8 @@ https://git.ext.flamy.studio/flamy_dev/HY2XS_flamy.git
 
 На чистом Debian 13 target нужно распаковать архив и запустить от root:
 
+Важно: packaged baseline использует `HY2XS_SSH_PORT=2323` по умолчанию. На target-хосте это значение обязательно нужно привести к фактическому рабочему SSH-порту оператора в `/etc/hy2xs/hy2xs.env` и применить через `reconfigure --apply`.
+
 Обязательные системные зависимости target-хоста:
 
 ```sh

docs/12-operations-and-troubleshooting.md

@@ -17,6 +17,8 @@ apt-get install -y sudo ca-certificates curl iproute2 tar openssl nftables syste
 
 `sudo` обязателен для smoke-проверок прав от имени runtime-пользователей (`hysteria`, `hy2xs-admin`), но его не нужно ставить вручную заранее: на clean-host он устанавливается на deps-стадии до smoke.
 
+Важно: packaged baseline использует `HY2XS_SSH_PORT=2323` по умолчанию. На target-хосте это значение обязательно нужно привести к фактическому рабочему SSH-порту оператора в `/etc/hy2xs/hy2xs.env` и применить через `reconfigure --apply`.
+
 ### 1. Builder и target — разные миры
 Если нужно изменить состав install package, это делается в локальном builder layer, а не на target server.
 

docs/13-production-runbook.md

@@ -36,6 +36,10 @@ apt-get install -y sudo ca-certificates curl iproute2 tar openssl nftables syste
 ./install.sh --non-interactive
 ```
 
+Важно: packaged baseline использует `HY2XS_SSH_PORT=2323` по умолчанию.
+На target-хосте оператор обязан выставить свой рабочий SSH-порт в `/etc/hy2xs/hy2xs.env`
+и применить изменения через `reconfigure --apply`.
+
 ## 6. Post-install verification
 
 ```bash

package/config/hy2xs.env

@@ -1,10 +1,10 @@
 # HY2XS canonical production runtime config (packaged baseline)
 HY2XS_IPV6_ENABLED=false
-HY2XS_DOMAIN=uk.api.withen.pro
+HY2XS_DOMAIN=fi.api.withen.pro
 HY2XS_DNS_AAAA_POLICY=strict
-HY2XS_PUBLIC_HOST=uk.api.withen.pro
+HY2XS_PUBLIC_HOST=fi.api.withen.pro
 HY2XS_PUBLIC_PORT=443
-HY2XS_SSH_PORT=22
+HY2XS_SSH_PORT=2323
 HY2XS_FIREWALL_MODE=takeover
 HY2XS_FIREWALL_STAGED_APPLY=true
 HY2XS_UI_BIND_HOST=127.0.0.1

tools/build/lib/acceptance.sh

@@ -15,6 +15,11 @@ run_fix20_acceptance_subset() {
   log_step "Acceptance: firewall mode defaults in config"
   grep -q '^HY2XS_FIREWALL_MODE=' "$package_dir/config/hy2xs.env" || fail "acceptance: HY2XS_FIREWALL_MODE missing in runtime config"
 
+  log_step "Acceptance: baseline domain/public host/ssh defaults"
+  grep -q '^HY2XS_DOMAIN=fi.api.withen.pro$' "$package_dir/config/hy2xs.env" || fail "acceptance: HY2XS_DOMAIN must default to fi.api.withen.pro"
+  grep -q '^HY2XS_PUBLIC_HOST=fi.api.withen.pro$' "$package_dir/config/hy2xs.env" || fail "acceptance: HY2XS_PUBLIC_HOST must default to fi.api.withen.pro"
+  grep -q '^HY2XS_SSH_PORT=2323$' "$package_dir/config/hy2xs.env" || fail "acceptance: HY2XS_SSH_PORT must default to 2323"
+
   log_step "Acceptance: force password change production default"
   grep -q '^HY2XS_FORCE_PASSWORD_CHANGE=false$' "$package_dir/config/hy2xs.env" || fail "acceptance: HY2XS_FORCE_PASSWORD_CHANGE must default to false"