feat(app-switcher): централизовать ссылки приложений в portal settings

Публичный GET и admin PUT/UI /admin/apps; каталог и chrome читают URL из store.

Co-authored-by: Cursor <[email protected]>

docs/integrate-vps-tracker.md

@@ -99,6 +99,14 @@ pnpm --filter web dev   # :5173
 
 `AUTH_REQUIRED=false` — auth выключен (удобно для локальной разработки без portal); данные в `space-main`.
 
+## App Switcher
+
+Публичный конфиг: `GET {AUTH_PORTAL_URL}/api/v1/app-switcher`. VPS chrome читает его через `ensureAuthConfig().portalUrl`; offline fallback — defaults с ids `cfdm` | `vps` | `bgp`.
+
+Редактор только на портале: **Админка → Ссылки приложений** (`/admin/apps`). В VPS Settings → Integrations — read-only ссылка.
+
+`CURRENT_APP_ID = vps`. Фильтр меню по JWT `apps[]` при наличии claims.
+
 ## Troubleshooting
 
 | Симптом | Причина |
@@ -109,7 +117,7 @@ pnpm --filter web dev   # :5173
 | Loop на login | `return_to` не в `RETURN_TO_ALLOWLIST` |
 | Infinite SSO / 429 | Просроченный JWT в portal localStorage; или разный `JWT_SECRET`/`ISSUER`. Portal чистит expired token; VPS блокирует повторный handoff 12с |
 | «Выйти» сразу возвращает в приложение | Старый клиент редиректил на `/?return_to=…` при живой portal-сессии. Нужен редирект на **`/logout`** (см. ниже) |
-| CORS | Portal и VPS на разных origin — fragment handoff не требует CORS для token |
+| CORS | Portal и VPS на разных origin — fragment handoff не требует CORS для token; public app-switcher GET тоже CORS-open |
 
 ## Logout (SSO)