- кэш importJWK: не импортировать RSA-ключ на каждый /oauth/userinfo - Cache-Control для /.well-known/openid-configuration и jwks.json - индекс refresh_sessions(token_hash) — было full scan на каждом authorize/logout - GET /admin/users: 3 SELECT на пользователя → батч-запросы (N+1) - revokeAllSessionsForUser: цикл UPDATE → один UPDATE - preCompressed статики (файлы готовит Dockerfile)