- validateJWT: exp теперь ОБЯЗАТЕЛЕН (без него токен был вечным). - middleware: невалидный/просроченный токен → 401 (было 403) — клиент/Terraform отличают «протух» от «чужой namespace» (там осталось 403). - AUTH_TEST_MODE игнорируется при заданном JWT_HMAC_SECRET (иначе обходил подпись). - Все ошибки middleware — application/json через authErr (были text/plain).