feat(docker): 13단계 운영 기반 — 백업 · 감시 · 관리자 단단히 · 휴지통 30일 · 메일 프로그램 자동 설정

전 직원 전환 전에 서버가 스스로 지키고 되살릴 수 있게 했다.
- 관리자 단단히(setup): 관리자 역할에서 impersonate 를 빼고 관리자 허용 IP 를 앱 네트워크로 — 관리자 비밀번호로 바깥 993 · JMAP 에서 직원 메일함에 대리 로그인되던 길을 막았다.
  운영에서 처음 걸 때는 되돌릴 복구 관리자가 있을 때만 건다(관리자 잠김 방지).
- 휴지통 · 스팸 30일 정리를 KST 03:00 으로 명시. imapsync 로 옮긴 메일도 옮긴 때부터 센다(임시 엔진 실측).
- restic 백업(호스트 systemd 03:30 — 메일 볼륨 warm → 엔진 멈춤 9초 안팎 → final, pg_dump, 업로드, env) · 복원(새 서버 차례를 빈 클론에서 실측) · 15분 점검 · 부팅 되살리기, Healthchecks 하트비트.
- 메일 프로그램 자동 설정: frontend nginx 의 autoconfig · autodiscover 고정 응답(엔진 것은 POP3 를 알리고 입력을 되돌려 쓴다).
- 모든 서비스 docker 로그 보존, DB 이미지 판 · digest 고정.

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

frontend/nginx-env.envsh

@@ -133,5 +133,62 @@ else
   echo "nginx-env.envsh: 공개 내려받기 호스트 ${nginx_env_share_host} — 포털에서는 /s/ · /api/public-links/ 를 닫는다"
 fi
 
+# ------------------------------------------
+# 메일 프로그램 자동 설정 (13단계 — mail/README.md "메일 프로그램 자동 설정")
+#
+# server 이름 autoconfig.<MAIL_DOMAIN> · autodiscover.<MAIL_DOMAIN>, 알리는 호스트는 MAIL_HOSTNAME(엔진 인증서의 이름 — 전환 기간 mx1.). 둘 다 compose 가 루트 env 에서 준다.
+# 둘 중 하나라도 비면 끈다 — server 이름이 어느 요청에도 맞지 않는 autoconfig.invalid 다. 모양이 틀리면 기동을 멈춘다(server_name · 응답 XML 에 그대로 들어간다 —
+# 지시어 · XML 을 끼워 넣지 못하게 영문 소문자 · 숫자 · - · . 의 호스트 이름만). 포털 · 공개 내려받기 호스트와 겹치면(그쪽 요청을 가로챈다) 멈춘다
+# ------------------------------------------
+
+# 호스트 이름 — 소문자로 바꾼 값이 이름 꼴이면 그 값, 아니면 아무것도 내지 않고 1 (칸마다 63자 · 모두 253자 · 점 하나 이상)
+nginx_env_hostname() {
+  nginx_env_name="$(printf '%s' "$1" | tr 'A-Z' 'a-z')"
+  # 빈 값 · 그 밖의 글자 · 점이나 하이픈으로 시작 · 끝 · 연이은 점 · 칸의 앞뒤 하이픈 · 점 없는 이름
+  case "$nginx_env_name" in
+    "" | *[!a-z0-9.-]* | .* | *. | *..* | -* | *- | *.-* | *-.*) return 1 ;;
+    *.*) ;;
+    *) return 1 ;;
+  esac
+  [ "${#nginx_env_name}" -le 253 ] || return 1
+  nginx_env_rest="$nginx_env_name"
+  while [ -n "$nginx_env_rest" ]; do
+    nginx_env_label="${nginx_env_rest%%.*}"
+    [ "${#nginx_env_label}" -le 63 ] || return 1
+    case "$nginx_env_rest" in *.*) nginx_env_rest="${nginx_env_rest#*.}" ;; *) nginx_env_rest="" ;; esac
+  done
+  printf '%s' "$nginx_env_name"
+}
+
+if [ -z "${MAIL_DOMAIN:-}" ] || [ -z "${MAIL_HOSTNAME:-}" ]; then
+  NGINX_AUTOCONFIG_SERVER_NAMES="autoconfig.invalid"
+  NGINX_MAIL_DOMAIN="invalid"
+  NGINX_MAIL_CLIENT_HOST="invalid"
+  echo "nginx-env.envsh: 메일 프로그램 자동 설정을 끈다 (MAIL_DOMAIN · MAIL_HOSTNAME 중 비어 있는 값이 있다)"
+else
+  NGINX_MAIL_DOMAIN="$(nginx_env_hostname "$MAIL_DOMAIN")" \
+    || nginx_env_fail "MAIL_DOMAIN 은 호스트 이름(영문 · 숫자 · - · . — 예: arasystem.it.kr)이어야 합니다 (현재: \"$MAIL_DOMAIN\")."
+  NGINX_MAIL_CLIENT_HOST="$(nginx_env_hostname "$MAIL_HOSTNAME")" \
+    || nginx_env_fail "MAIL_HOSTNAME 은 호스트 이름(예: mx1.arasystem.it.kr)이어야 합니다 (현재: \"$MAIL_HOSTNAME\")."
+  # 견줄 호스트 — 공개 내려받기 호스트와 CORS_ORIGIN 의 호스트들(공유 호스트 판정과 같게 빈칸 · 끝의 / 를 뗀다 — 백엔드도 끝 / 를 받는다)
+  nginx_env_taken_hosts="$nginx_env_share_host"
+  while IFS= read -r nginx_env_origin; do
+    nginx_env_origin="$(printf '%s' "$nginx_env_origin" | tr -d ' ')"
+    nginx_env_origin="${nginx_env_origin%/}"
+    nginx_env_portal_host="$(nginx_env_origin_host "$nginx_env_origin")" || continue
+    nginx_env_taken_hosts="$nginx_env_taken_hosts $nginx_env_portal_host"
+  done <<NGINX_ENV_TAKEN_ORIGINS
+$(printf '%s\n' "${CORS_ORIGIN:-}" | tr ',' '\n')
+NGINX_ENV_TAKEN_ORIGINS
+  for nginx_env_taken in $nginx_env_taken_hosts; do
+    case "$nginx_env_taken" in
+      "autoconfig.$NGINX_MAIL_DOMAIN" | "autodiscover.$NGINX_MAIL_DOMAIN")
+        nginx_env_fail "자동 설정 호스트(autoconfig. · autodiscover.$NGINX_MAIL_DOMAIN)가 포털(CORS_ORIGIN) · 공개 내려받기(SHARE_PUBLIC_URL) 호스트와 겹칩니다 — 그 요청을 가로챈다." ;;
+    esac
+  done
+  NGINX_AUTOCONFIG_SERVER_NAMES="autoconfig.$NGINX_MAIL_DOMAIN autodiscover.$NGINX_MAIL_DOMAIN"
+  echo "nginx-env.envsh: 메일 프로그램 자동 설정 ${NGINX_AUTOCONFIG_SERVER_NAMES} — IMAP · SMTP 호스트 ${NGINX_MAIL_CLIENT_HOST}"
+fi
+
 export NGINX_MAIL_ATTACHMENT_BODY_LIMIT NGINX_UPLOAD_BODY_LIMIT NGINX_BACKEND_UPSTREAM NGINX_LOCAL_RESOLVERS \
-  NGINX_SHARE_SERVER_NAME NGINX_PORTAL_SHARE
+  NGINX_SHARE_SERVER_NAME NGINX_PORTAL_SHARE NGINX_AUTOCONFIG_SERVER_NAMES NGINX_MAIL_DOMAIN NGINX_MAIL_CLIENT_HOST