Fix: nginx-конфиг для cms.netrunner-vpn.com + задвоенный /cms-api/api/api/ на проде

- cms.netrunner-vpn.com не имел своего vhost на новом проде после переезда
  CMS с французского сервера — падал 502 (уходил в чужой server_name).
  Добавлены cms-http.conf/cms-ssl.conf (Basic Auth + сертификат), deploy-nginx.yml
  теперь синкает и их.
- landing-ssl.conf: /cms-api/ проксировал в /api/ одним location, из-за чего
  запросы PocketBase SDK (уже содержащие /api/ после /cms-api/) задваивались
  в /api/api/... и 404-ились. Добавлен точный /cms-api/api/ location + общий
  fallback с rewrite — как было руками пропатчено на старом сервере, но не
  попало в репозиторий.

nginx/cms-http.conf

@@ -0,0 +1,20 @@
+# Часть 1/2 — до выпуска сертификата отдаёт только ACME-челлендж и редиректит
+# остальное на https. Тот же паттерн, что landing-http.conf/account-http.conf.
+#
+# cms.netrunner-vpn.com — прямой доступ к PocketBase (админка + /api),
+# отдельно от /cms-api/ на основном домене (см. landing-ssl.conf), которым
+# пользуется сам лендинг в рантайме. Этот поддомен — для ручного
+# администрирования через дашборд PocketBase, поэтому под Basic Auth.
+server {
+    listen 80;
+    listen [::]:80;
+    server_name cms.netrunner-vpn.com;
+
+    location /.well-known/acme-challenge/ {
+        root /var/www/certbot;
+    }
+
+    location / {
+        return 301 https://$host$request_uri;
+    }
+}