diff --git a/src/api/routes/entries.js b/src/api/routes/entries.js
index 43d3d8e..625f0e4 100644
--- a/src/api/routes/entries.js
+++ b/src/api/routes/entries.js
@@ -54,8 +54,8 @@ function createEntriesRouter({ q }) {
     const allowedIds = req.user.profiles && req.user.profiles.length
       ? req.user.profiles.map(p => p.client_id)
       : (req.user.allClientIds || []);
-    // Если список компаний пуст (IAM не ответил, token без claims) — доверяем requestedId
-    const effectiveClientId = (requestedId && (!allowedIds.length || allowedIds.includes(requestedId)))
+    // Без верифицированного списка — client_id не принимаем
+    const effectiveClientId = (requestedId && allowedIds.length && allowedIds.includes(requestedId))
       ? requestedId
       : req.user.clientId;
     // companyName: для переключённой компании — находим в profiles или используем clientId