fix(nginx): отклонять чужие Host на SAC (default_server 444)

Только sac.kalinamall.ru; ext.kalinamall.ru и прочие имена на IP SAC не отдают UI. ssl_reject_handshake на :443.

Co-authored-by: Cursor <cursoragent@cursor.com>

deploy/nginx/sac.conf.tls.example

@@ -2,6 +2,10 @@
 # HTTPS с корпоративным wildcard-сертификатом (например VeriSign / DigiCert).
 # Покрывает sac.kalinamall.ru при CN/SAN *.kalinamall.ru или sac.kalinamall.ru
 #
+# Hostname: только sac.kalinamall.ru. Любой другой Host (например ext.kalinamall.ru
+# при ошибке DNS/маршрутизации на IP SAC) получает 444 / reject handshake —
+# форма входа SAC не отдаётся на «чужом» имени.
+#
 # Перед включением:
 #   1) Положите fullchain и ключ в /etc/ssl/sac/ (см. docs/ssl-certificate.md)
 #   2) Подставьте пути в ssl_certificate / ssl_certificate_key ниже
@@ -12,7 +16,23 @@ upstream sac_api {
     keepalive 8;
 }
 
-# Редирект HTTP → HTTPS
+# --- default: отклонить чужие Host на :80 ---
+server {
+    listen 80 default_server;
+    listen [::]:80 default_server;
+    server_name _;
+    return 444;
+}
+
+# --- default: отклонить чужой SNI/Host на :443 (nginx >= 1.19.5) ---
+server {
+    listen 443 ssl default_server;
+    listen [::]:443 ssl default_server;
+    server_name _;
+    ssl_reject_handshake on;
+}
+
+# Редирект HTTP → HTTPS (только sac.kalinamall.ru)
 server {
     listen 80;
     listen [::]:80;