diff --git a/ordinis-admin-ui/src/lib/keycloak.ts b/ordinis-admin-ui/src/lib/keycloak.ts
index d0e0c36..3b3ffb9 100644
--- a/ordinis-admin-ui/src/lib/keycloak.ts
+++ b/ordinis-admin-ui/src/lib/keycloak.ts
@@ -7,12 +7,17 @@ import Keycloak from 'keycloak-js'
  * бесконечную петлю POST /token когда refresh_token истекал, см.
  * MR !269 revert).
  *
- * <p>Default URL = `auth.nstart.space/realms/nstart/clients/ordinis` —
- * текущий ordinis realm. Phase 2 (отдельный эпик) — миграция на
- * `altum.nstart.cloud/auth/realms/altum` если решим SSO с altum.
+ * <p>Default → altum realm (`altum.nstart.cloud/auth/realms/altum`) —
+ * shared SSO с altum portal. Старый `auth.nstart.space/realms/nstart`
+ * deprecated, использовать нельзя. В Keycloak realm `altum` должен быть
+ * client `ordinis` с redirect URI:
+ *   - `https://ordinis.nstart.cloud/*` (prod)
+ *   - `https://ordinis.k8s.265.nstart.cloud/*` (staging)
+ *   - `http://localhost:5173/*` (dev)
+ * Также web-origins для CORS на silentCheckSsoRedirectUri.
  */
-const KC_URL = import.meta.env.VITE_KEYCLOAK_URL ?? 'https://auth.nstart.space'
-const KC_REALM = import.meta.env.VITE_KEYCLOAK_REALM ?? 'nstart'
+const KC_URL = import.meta.env.VITE_KEYCLOAK_URL ?? 'https://altum.nstart.cloud/auth'
+const KC_REALM = import.meta.env.VITE_KEYCLOAK_REALM ?? 'altum'
 const KC_CLIENT_ID = import.meta.env.VITE_KEYCLOAK_CLIENT_ID ?? 'ordinis'
 
 let _kc: Keycloak | null = null