diff --git a/ordinis-auth/src/main/java/cloud/nstart/terravault/ordinis/auth/SecurityConfig.java b/ordinis-auth/src/main/java/cloud/nstart/terravault/ordinis/auth/SecurityConfig.java
index 842ed4d..3e036b3 100644
--- a/ordinis-auth/src/main/java/cloud/nstart/terravault/ordinis/auth/SecurityConfig.java
+++ b/ordinis-auth/src/main/java/cloud/nstart/terravault/ordinis/auth/SecurityConfig.java
@@ -42,6 +42,10 @@ public class SecurityConfig {
         .authorizeHttpRequests(auth -> {
           auth.requestMatchers("/actuator/**").permitAll();
           auth.requestMatchers("/error").permitAll();
+          // Build-info endpoint — открыт без auth: UI polling с update-banner
+          // должен работать ДО login (anonymous landing → "новая версия"
+          // banner появится после Keycloak callback). См. VersionController.
+          auth.requestMatchers("/api/v1/version").permitAll();
           // Swagger UI + OpenAPI spec — открыты для интеграторов (Альтум, ...).
           auth.requestMatchers(
               "/swagger-ui.html",