refactor(auth): streamline logout route and update route tree for logout integration

docs/integrate-cfdm.md

@@ -94,7 +94,11 @@ pnpm --filter web dev
 
 ## UI аккаунта
 
-SidebarFooter → **NavUser** ([app-shell-1](https://reui.io/preview/base/app-shell-1)): Настройки, Тема, Выйти → portal.
+SidebarFooter → **NavUser** ([app-shell-1](https://reui.io/preview/base/app-shell-1)): Настройки, Тема, Выйти → `AUTH_PORTAL_URL/logout`.
+
+## Logout (SSO)
+
+Очистить `cfdm_token` → редирект на **`/logout`** портала (не на `/?return_to=…` — иначе portal сразу выдаст новый SSO-токен).
 
 ## Troubleshooting
 
@@ -104,3 +108,4 @@ SidebarFooter → **NavUser** ([app-shell-1](https://reui.io/preview/base/app-sh
 | 403 «Нет доступа к приложению» | у пользователя нет app `cfdm` в portal |
 | 403 «Недостаточно прав» | нет нужного `cfdm:…` permission |
 | return_to rejected | origin CFDM не в `RETURN_TO_ALLOWLIST` |
+| «Выйти» сразу возвращает в CFDM | клиент должен открывать `/logout`, не login с `return_to` |