Реализована проверка версионности и требование soft\force обновлений приложения

VM1_app/codebase/backend/deployment/RUNBOOK.production.ru.md

@@ -376,6 +376,9 @@ stack unit. Обновление active/exited oneshot всегда требуе
 ```sh
 curl -sS -o /dev/null -w '%{http_code}\n' http://<PUBLIC_HOST>/
 curl -fsS https://<PUBLIC_HOST>/api/v1/public/app-config
+ETAG="$(curl -fsSI https://<PUBLIC_HOST>/api/v1/public/app-config | awk -F': ' 'tolower($1)=="etag" {gsub("\r","",$2); print $2}')"
+curl -sS -o /dev/null -w '%{http_code}\n' \
+  -H "If-None-Match: $ETAG" https://<PUBLIC_HOST>/api/v1/public/app-config
 curl -fsS https://<PUBLIC_HOST>/auth/realms/han-chat/.well-known/openid-configuration
 curl -sS -o /dev/null -w '%{http_code}\n' \
   https://<PUBLIC_HOST>/internal/safety/v2/messages/check
@@ -383,7 +386,12 @@ openssl s_client -connect <PUBLIC_HOST>:443 -servername <PUBLIC_HOST> \
   -verify_hostname <PUBLIC_HOST> -verify_return_error </dev/null
 ```
 
-Ожидается `308`, public endpoints `200`, internal route `404`, valid chain.
+Ожидается `308`, public endpoints `200`, повторный app-config `304`, internal
+route `404`, valid chain. В app-config проверьте `mobile_update`: Google Play и
+RuStore включены (`latest_build=2`, `minimum_build=1`, `latest_version=1.0.1`,
+RuStore URL `https://www.rustore.ru/catalog/app/ru.han.chat`), App Store
+отключён, его release-поля равны `null`; пустой `release_notes` у всех политик
+также возвращается как `null`.
 Проверьте guest/auth PKCE/OTP, SMS mode, Open Lines, idempotency, ownership,
 rate limits, WS reconciliation, S3 quarantine/promote/deny и Safety v2
 allow/deny/pending/timeout. Safety status `stub` не принимается.
@@ -427,6 +435,12 @@ staging, выполнять config test и HUP.
 5xx/auth/Safety/PG/Redis/OOM/disk/OTEL queue/TLS. Отправьте только fake canary
 token/PII markers и докажите их отсутствие в logs/traces.
 
+KESL 12.4 устанавливается и принимается только по отдельному операторскому
+runbook `deployment/kesl/RUNBOOK.KESL.ru.md`. Не совмещайте установку,
+полную/контейнерную антивирусную проверку или изменение File Threat Protection
+с deploy, миграциями, PG backup, TLS renewal и перезапуском Docker/стека.
+Изменение политики KESL не является частью обычного application release.
+
 Перед reboot проверьте admin SSH и provider console:
 
 ```sh