Кнопка «Помахать» с общим счётчиком, домен, шапка

- Главная: тихая кнопка «Помахать» (web/js/wave.js), общий счётчик для всех посетителей
- server/server.mjs: мини-API (/api/waves, /api/wave), счётчик хранится вне репозитория
  (/var/lib/vizitka-site/waves.json), лимит раз в секунду с IP, проверка Origin
- deploy: systemd-сервис vizitka-api, проксирование /api в nginx, setup-server.sh ставит nodejs
- CI: после git pull перезапускает API
- Домен https://me.ibrash.duckdns.org вместо заглушки, исправлен пробел в шапке
- README и заметки обновлены

Co-Authored-By: Claude Sonnet 5.5 <noreply@anthropic.com>

deploy/nginx-site.conf

@@ -7,6 +7,14 @@ server {
     root /opt/vizitka-site/web;
     index index.html;
 
+    # реальный IP посетителя из X-Forwarded-For, если запрос пришёл от прокси из локальной сети (для лимита в API)
+    set_real_ip_from 10.0.0.0/8;
+    set_real_ip_from 172.16.0.0/12;
+    set_real_ip_from 192.168.0.0/16;
+    set_real_ip_from 127.0.0.0/8;
+    real_ip_header X-Forwarded-For;
+    real_ip_recursive on;
+
     # сжатие
     gzip on;
     gzip_vary on;
@@ -20,6 +28,16 @@ server {
     add_header Referrer-Policy "strict-origin-when-cross-origin" always;
     add_header Permissions-Policy "camera=(), microphone=(), geolocation=(), payment=()" always;
 
+    # API кнопки «Помахать» (Node, systemd-сервис vizitka-api), счётчик хранится вне репозитория
+    location /api/ {
+        proxy_pass http://127.0.0.1:8787;
+        proxy_http_version 1.1;
+        proxy_set_header Host $host;
+        proxy_set_header X-Client-IP $remote_addr;
+        proxy_read_timeout 10s;
+        client_max_body_size 1k;
+    }
+
     location / {
         try_files $uri $uri/ =404;
     }