fix(nginx): отклонять чужие Host на SAC (default_server 444)

Только sac.kalinamall.ru; ext.kalinamall.ru и прочие имена на IP SAC не отдают UI. ssl_reject_handshake на :443.

Co-authored-by: Cursor <cursoragent@cursor.com>

deploy/nginx/sac.conf.example

@@ -2,6 +2,8 @@
 # Production FQDN: sac.kalinamall.ru
 # API: 127.0.0.1:8000 (systemd sac-api)
 #
+# Hostname: только sac.kalinamall.ru; остальные Host → 444 (см. default_server ниже).
+#
 # Порядок: 1) этот конфиг (только :80) → nginx -t → reload
 #          2) certbot --nginx -d sac.kalinamall.ru  (добавит :443 и сертификаты)
 
@@ -10,6 +12,14 @@ upstream sac_api {
     keepalive 8;
 }
 
+# --- default: отклонить чужие Host (не sac.kalinamall.ru) ---
+server {
+    listen 80 default_server;
+    listen [::]:80 default_server;
+    server_name _;
+    return 444;
+}
+
 server {
     listen 80;
     listen [::]:80;