diff --git a/ordinis-rest-api/src/main/java/cloud/nstart/terravault/ordinis/restapi/auth/WorkflowRoles.java b/ordinis-rest-api/src/main/java/cloud/nstart/terravault/ordinis/restapi/auth/WorkflowRoles.java
index 9d82e83..c81f27f 100644
--- a/ordinis-rest-api/src/main/java/cloud/nstart/terravault/ordinis/restapi/auth/WorkflowRoles.java
+++ b/ordinis-rest-api/src/main/java/cloud/nstart/terravault/ordinis/restapi/auth/WorkflowRoles.java
@@ -77,6 +77,13 @@ public class WorkflowRoles {
 
   private final OrdinisAuthProperties props;
 
+  /**
+   * Spring autowire constructor. Без @Autowired Spring randomly выбирает
+   * один из multiple ctors — был bug что выбирался no-arg test ctor
+   * → props=null → fallback на default realm_access.roles (несмотря на
+   * env var ORDINIS_AUTH_ROLES_CLAIM=resource_access.ordinis.roles).
+   */
+  @org.springframework.beans.factory.annotation.Autowired
   public WorkflowRoles(OrdinisAuthProperties props) {
     this.props = props;
   }