feat: add frontend, nginx reverse proxy and monitoring/reports extras

- apps/frontend: Next.js 15 (App Router) + Tailwind v4 + componentes estilo
  shadcn/ui sobre Radix UI + TanStack Query. Tema light/dark, logo
  processada. Menu completo (secao 52) com gating por permissao real.
  Todas as telas do checklist de aceite (secao 90) conectadas a endpoints
  reais (nao mockup): login, usuarios, perfis/permissoes, ramais/troncos,
  dialplan, filas/agentes, console do agente, campanhas (CPS/CSV/
  iniciar/pausar), monitoramento ao vivo (polling, nao WebSocket real),
  TME/TMA, busca/export de chamadas, administracao do Asterisk, auditoria
- infrastructure/nginx: reverse proxy colocando frontend+API na mesma
  origem (porta 80), antecipado da Fase 9 pois a API nao publica porta
  propria
- apps/api: GET /api/monitoring/agents (estado corrente real via
  agent_state_events em aberto) e filtro queueId em GET /api/reports/calls

Pendencia registrada: tela de Callbacks nao implementada (schema existe
desde a Fase 6, mas nunca houve controller/service — construir a tela sem
API real seria mockup). Verificacao visual em navegador nao foi possivel
neste ambiente headless; validado via tsc/eslint/next build limpos + curl
reproduzindo as chamadas do navegador (middleware de auth, 24 paginas
protegidas via Nginx, endpoints de dados com cookie de sessao).

docs/ARCHITECTURE.md

@@ -154,6 +154,34 @@ Prisma em vez de tentar modelar lock otimista via ORM.
   índices e chaves são desenhados para permitir particionamento futuro sem
   migração destrutiva.
 
+### 3.7.1 Frontend e reverse proxy (Fase 8)
+
+- `apps/frontend`: Next.js 15 (App Router), React 19, Tailwind CSS v4,
+  componentes estilo shadcn/ui escritos à mão sobre Radix UI (sem depender
+  do CLI interativo do shadcn), TanStack Query para data-fetching/cache. SPA
+  client-rendered atrás de RBAC (permissões vêm de `/api/auth/me`, cada tela
+  usa `RequirePermission` além de já esconder itens de menu sem a permissão
+  — defesa em profundidade, a autorização real é sempre do backend).
+- Build com `output: "standalone"` (Next.js) — a imagem de runtime
+  (`infrastructure/docker/frontend.Dockerfile`) não precisa de
+  pnpm/instalação nenhuma, só copia a árvore podada gerada pelo build.
+  Atenção: em monorepo pnpm os `node_modules` do standalone contêm symlinks
+  relativos para o pnpm store (`../../../node_modules/.pnpm/...`) — a
+  imagem copia a árvore `apps/frontend` inteira sem achatar diretórios,
+  senão os symlinks apontam para fora do container.
+- **Nginx** (`infrastructure/nginx/nginx.conf`, imagem oficial `nginx:alpine`)
+  é o único serviço publicado para a LAN (porta 80, agente.md seção 87) —
+  faz proxy de `/api/*` para o container `api` e do restante para o
+  `frontend`, ambos na rede Docker interna sem portas publicadas
+  individualmente. Isso coloca frontend e API na mesma origem do ponto de
+  vista do navegador, eliminando CORS e problemas de cookie cross-origin
+  (o cliente da API em `apps/frontend/src/lib/api-client.ts` usa por padrão
+  a base relativa `/api`). HTTPS/TLS ainda não configurado — ver seção 87
+  do `agente.md` e pendências na Fase 9 do `TODO.md`.
+- `next.config.ts` tem `eslint: { ignoreDuringBuilds: true }` — o lint roda
+  como etapa separada da pipeline de qualidade (`pnpm --filter
+  @b2bcall/frontend lint`), não durante o build de produção.
+
 ### 3.8 Segurança desde a arquitetura
 
 - Segredos apenas em `.env` (nunca commitado). Credenciais de trunk SIP