record the domain move and the live frontend: mathapi live, Zarinpal still -14, demo data intact

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

CLAUDE.md

@@ -126,14 +126,13 @@ The app is two repos and two domains: the React frontend `Tadrisino/MathApp_fron
 `AliReza_Zareian` has `write` on the frontend repo (branch protection on its `main`
 unknown — not visible without admin). Local clone: `~/Desktop/MathApp_frontend`.
 
-**State on 2026-09-26:** the frontend was rebuilt from the single 3,071-line `App.tsx`
-into a typed, modular app (branch `rebuild/v2`; its README is the map). Every item of
-the old handoff list (`~/Desktop/کارهای-فرانت-تدریسینو.html`) is implemented, plus
-screens for profile, streak, support, parents and invite. Verified by a headless-Chrome
-walkthrough against a local backend; real SMS login and a real Zarinpal payment were not
-exercised. **The live site still serves the 2026-09-21 build** that calls a relative
-`/api` and gets HTML back — nothing reaches users until someone builds and deploys the
-frontend, and who deploys `math.tadrisino2.ir` is not known to us yet.
+**State on 2026-09-27:** the rebuilt frontend (typed, modular; its README is the map) is
+on `main` and **live**. It is served by nginx from `~/mathapp_frontend_new/dist` on the
+same shared box; release with `cd ~/mathapp_frontend_new && ./deploy.sh` (fetch, `npm ci`,
+type-check, build into `dist.next`, swap; previous build kept in `dist.prev`). The owner
+authorized pushing the frontend straight to `main` and deploying it without asking.
+Verified live with the demo accounts (guest 6, student 10, parent 15): all screens load
+their data. Real SMS delivery and a real Zarinpal payment are still unverified.
 
 **Domains are configuration, not code.** Backend: only `PUBLIC_BASE_URL` and
 `FRONTEND_URL`; hosts, CSRF, CORS, Zarinpal callback/return, Bazaar redirect and the
@@ -389,6 +388,23 @@ preferred setup, because there is then no key to leak. **Never let the server ru
 `django-insecure-…` fallback from `config/settings.py`: that string is committed here, so
 anyone who can read this repo can forge a token for any user.**
 
+## وضعیت ۲۰۲۶-۰۹-۲۷ — دامنه‌ی تازه و فرانتِ تازه، هر دو زنده
+
+- **API روی `mathapi.tadrisino2.ir` است**؛ ادمین از ۲۰۲۶-۰۹-۲۶ ساعتِ ۲۳:۲۲ nginx را
+  عوض کرد و رکوردِ DNSِ `api.math.tadrisino2.ir` دیگر وجود ندارد. `.env` سرور
+  `PUBLIC_BASE_URL=https://mathapi.tadrisino2.ir` شد (بکاپ:
+  `.deploy-backups/env-before-mathapi-20260927-010751` و `db-before-mathapi-…sqlite3`)،
+  `1f38465` دیپلوی و سرویس واقعاً ری‌استارت شد (۰۱:۰۹).
+- ⛔ **زرین‌پال هنوز `-14` می‌دهد** («دامنه‌ی callback با دامنه‌ی ثبت‌شده‌ی ترمینال
+  نمی‌خواند»)، این بار برای `mathapi`؛ فراخوانیِ زنده‌ی PaymentRequest در همان شب.
+  رفعش ثبتِ دامنه در پنلِ زرین‌پال است، نه کد. Redirect URIِ بازار هم با این دامنه
+  عوض شده و اگر بازار استفاده شود باید دوباره لینک شود.
+- **فرانتِ بازسازی‌شده روی `math.tadrisino2.ir` زنده است** (`main` = `2b4db90`). دو ایراد
+  فقط روی سایتِ زنده با حساب‌های دمو پیدا شد و رفع شد: متنِ بخشِ والدین برای فرزند
+  غلط بود، و حسابِ والد (بی‌پایه) به فرمِ «کدوم پایه‌ای؟» می‌افتاد.
+- **داده‌ی دمو دست‌نخورده است** (۱۸ کاربر؛ ۶، ۱۰ تا ۱۵، ۱۷، ۱۸ با امتیاز، گفتگو،
+  تیکت و اعلان‌هایشان). تستِ زنده فقط نشستِ ورود ساخت، هیچ جوابی ثبت نکرد.
+
 ## وضعیت ۲۰۲۶-۰۹-۲۶ — دستیار روی gpt-4.1-mini
 
 **روی سرور:** `11bbe1c` دیپلوی شد و سرویس واقعاً ری‌استارت شد (۰۲:۵۴). `OPENAI_CHAT_MODEL`