record the live integration check: GapGPT back, Zarinpal -14 domain mismatch, Bazaar unset, test user 18

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

CLAUDE.md

@@ -281,7 +281,7 @@ alike — `is_account_limit()` in `rag_verify_solutions` is the shared guard:
 `/dashboard/billing/usage` returns cents and is the only reliable balance signal; the
 `hard_limit_usd` in `/dashboard/billing/subscription` is a placeholder, not a balance.
 
-**The key is currently out of credit.** Bulk work since then runs on Claude Code subagents
+**Credit was topped up again by 2026-09-25 afternoon** (live tutor answered, `aiProvider: ok`); it has run dry twice before, so probe before any bulk run. Bulk work since then runs on Claude Code subagents
 instead. Sonnet handles question authoring well (~88% yield); Haiku does not — it cannot
 reliably pull the final answer out of a solution and produced ~40% broken output.
 
@@ -413,6 +413,14 @@ anyone who can read this repo can forge a token for any user.**
 - مسیرِ کاملِ کاربرِ تازه روی سرورِ زنده سبز شد، **بدونِ پیامکِ واقعی**: کد مستقیم در
   دیتابیس ساخته شد. کاربرِ تستیِ آن **کاربرِ ۱۷ با شماره‌ی `09000000001`** (نام «کاربر
   تست»، یک جزیره تمام‌شده) روی پروداکشن مانده و مثلِ داده‌ی دمو پیش از کاربرِ واقعی باید پاک شود.
+- **بررسیِ همه‌ی اتصال‌ها روی سرور (همان عصر، فراخوانیِ زنده، فقط بولین/کدِ پاسخ چاپ شد):**
+  GapGPT دوباره اعتبار دارد (دستیار برای مهمانِ تستیِ **کاربرِ ۱۸**، `deviceId =
+  deploy-check-ai-20260925`، با ۴ chunk جواب داد و `aiProvider` خودش `ok` شد)؛ Qdrant سالم (۱۲
+  collection). **زرین‌پال: مرچنت معتبر ولی `-14` «دامنه‌ی callback با دامنه‌ی ثبت‌شده‌ی ترمینال
+  نمی‌خواند»** — ترمینال برای `api.math.tadrisino2.ir` ثبت نشده، پس هیچ پرداختی شروع نمی‌شود؛
+  رفعش در پنلِ زرین‌پال است. **بازار: هر سه `BAZAAR_*` خالی‌اند** (فقط برای خریدِ درون‌برنامه‌ایِ
+  اپِ اندروید لازم است). `CACHE_URL` و `INTERNAL_SERVICE_KEY` خالی (اولی کارِ ادمین، دومی فقط
+  مسیرهای داخلی)، کلیدِ امضا هنوز `django-insecure` (تصمیمِ صاحبِ پروژه).
 - ⛔ **اولین پیامکِ واقعی (۱۲:۳۵، به شماره‌ی خودِ صاحبِ پروژه) نرسید.** API ۲۰۰ داد و کاوه‌نگار
   پذیرفت، ولی وضعیت شد **۱۳ «لغو شده»**؛ یک متنِ سادهِ بی‌کد هم لغو شد، پس ایراد از حساب/خطِ
   `10009000907070` است نه از کد یا متن. دلیل فقط در پنلِ کاوه‌نگار پیداست (کارِ صاحبِ حساب).

docs/security-before-production.md

@@ -73,7 +73,8 @@
 ## ۳. داده‌ی دمو و مهمانِ عمومی
 
 - **افزوده ۲۰۲۶-۰۹-۲۵:** کاربرِ ۱۷ (`09000000001`، «کاربر تست»، `deviceId =
-  deploy-check-20260925`) از تستِ دیپلویِ پیامک؛ همراهِ بقیه پاک شود.
+  deploy-check-20260925`) از تستِ دیپلویِ پیامک، و کاربرِ ۱۸ (مهمان، `deploy-check-ai-20260925`)
+  از تستِ دستیار؛ همراهِ بقیه پاک شوند.
 - **چیست:** کاربرهای ۶ (`deviceId = frontend-test-device`) و ۱۰ تا ۱۵، با درس، گفتگو،
   تیکت، خانواده و زیرمجموعه، روی دیتابیسِ پروداکشن ساخته شده‌اند. `frontend-test-device`
   در ریپو نوشته شده؛ هر کس `POST /api/auth/session` با همین `deviceId` بزند، توکنِ همان