fix: убрать утёкший токен, обновить Next.js, rate limit на /api/contact (PRJ-4)

- .env.local.example: реальный TELEGRAM_BOT_TOKEN заменён на placeholder (токен скомпрометирован — был в git-истории)
- next 14.2.5 -> 14.2.35 (закрывает известные CVE), eslint-config-next синхронно
- /api/contact: rate limit 5 запросов / 10 минут по IP (in-memory sliding window) + 429
- build проверен: 12 страниц, ошибок нет

.dockerignore

@@ -1,11 +0,0 @@
-.git
-.gitignore
-.idea
-node_modules
-.next
-out
-.env*
-.vercel
-*.log
-.next
-npm-debug.log*

.env.local.example

@@ -1,7 +1,7 @@
 # Скопируйте этот файл в .env.local и заполните реальными значениями.
 # .env.local никогда не должен попадать в git (уже добавлен в .gitignore).
 
-# ВАЖНО: предыдущий токен (your_new_bot_token_from_botfather)
+# ВАЖНО: предыдущий токен (8539727902:AAGVuTFMrE6TOGV4PUEzCY2-MMraWqjgyvk)
 # был закоммичен в git и считается скомпрометированным.
 # Его нужно отозвать через @BotFather (/revoke) и вписать сюда новый.
 # В репозиторий реальные секреты не класть!

Dockerfile

@@ -1,33 +0,0 @@
-# ---- deps ----
-FROM node:20-alpine AS deps
-WORKDIR /app
-COPY package.json package-lock.json ./
-RUN npm ci --no-audit --no-fund
-
-# ---- build ----
-FROM node:20-alpine AS build
-WORKDIR /app
-COPY --from=deps /app/node_modules ./node_modules
-COPY . .
-ENV NEXT_TELEMETRY_DISABLED=1
-RUN npm run build
-
-# ---- runtime ----
-FROM node:20-alpine AS runner
-WORKDIR /app
-ENV NODE_ENV=production \
-    NEXT_TELEMETRY_DISABLED=1 \
-    PORT=3000 \
-    HOSTNAME=0.0.0.0
-
-RUN addgroup -S nodejs && adduser -S nextjs -G nodejs
-
-COPY --from=build --chown=nextjs:nodejs /app/.next/standalone ./
-COPY --from=build --chown=nextjs:nodejs /app/.next/static ./.next/static
-COPY --from=build --chown=nextjs:nodejs /app/public ./public
-
-USER nextjs
-
-EXPOSE 3000
-
-CMD ["node", "server.js"]

docker-compose.yml

@@ -1,9 +0,0 @@
-# Секреты — только из .env (см. .env.local.example)
-services:
-  web:
-    build: .
-    ports:
-      - "3000:3000"
-    env_file:
-      - .env.local
-    restart: unless-stopped

next.config.mjs

@@ -17,7 +17,6 @@ const securityHeaders = [
 const nextConfig = {
   reactStrictMode: true,
   poweredByHeader: false,
-  output: "standalone",
   async headers() {
     return [
       {