diff --git a/ui/scripts/generate-api.sh b/ui/scripts/generate-api.sh
new file mode 100644
index 0000000..7ffd2b6
--- /dev/null
+++ b/ui/scripts/generate-api.sh
@@ -0,0 +1,20 @@
+#!/usr/bin/env bash
+# Генерация TypeScript-типов клиента из контракта (docs/openapi.yaml, issue #19).
+#
+# Требуется Node.js >= 20 (генератор запускается через npx, версия запинена).
+# Результат коммитится в ui/src/api/generated/schema.d.ts и проверяется в CI.
+set -euo pipefail
+
+root_dir="$(cd "$(dirname "${BASH_SOURCE[0]}")/../.." && pwd)"
+spec="${root_dir}/docs/openapi.yaml"
+out_dir="${root_dir}/ui/src/api/generated"
+generator="openapi-typescript@7"
+
+if [[ ! -f "${spec}" ]]; then
+  echo "contract not found: ${spec}" >&2
+  exit 1
+fi
+
+mkdir -p "${out_dir}"
+npx --yes "${generator}" "${spec}" -o "${out_dir}/schema.d.ts"
+echo "OK: ${out_dir}/schema.d.ts <- ${spec}"
diff --git a/ui/src/api/generated/README.md b/ui/src/api/generated/README.md
new file mode 100644
index 0000000..f16f70b
--- /dev/null
+++ b/ui/src/api/generated/README.md
@@ -0,0 +1,27 @@
+# ui/src/api/generated — сгенерированный API-клиент
+
+**Файлы в этой папке не редактируются руками.**
+
+| Файл | Источник |
+|---|---|
+| `schema.d.ts` | `docs/openapi.yaml` (контракт API v1, issue #19) через `openapi-typescript@7` |
+
+## Перегенерация
+
+```bash
+bash ui/scripts/generate-api.sh
+```
+
+Требуется Node.js >= 20. CI-джоба `ts-client-is-current` повторяет генерацию и падает,
+если закоммиченный файл расходится со спецификацией.
+
+## Секреты
+
+Поля `private_key` (TunnelConfig), `preshared_key` (PeerConfig) и `password`
+(AuthLoginRequest) помечены в контракте `writeOnly`:
+
+* их **можно** передавать в запросах (`PUT /api/v1/config`, `POST /api/v1/auth/login`);
+* их **нельзя** ожидать в ответах — сервер обязан их вырезать (см. контрактный тест
+  `backend/tests/test_contract_responses.py::test_responses_contain_no_secret_material`).
+
+Поэтому UI читает секреты только из полей ввода и никогда не рендерит их из ответов API.