Правки различные

2026-08-26 11:05:32 +03:00
parent c1e49fb15d
commit 728b9826a3
36 changed files with 722 additions and 1986 deletions
@@ -1085,7 +1085,7 @@ Runtime refresh: poll `MAX(updated_at)` каждые 30 секунд; новый

 `SELECTEL_S3_QUARANTINE_READ_*` принадлежит `message-safety`, не должен передаваться контейнеру API. Новые env сначала документируются в arch-04.

-В production validator принимает только remote `https://<private-vm2-name>:8443`, требует читаемый `MESSAGE_SAFETY_CA_FILE`, отклоняет plaintext и cross-host Docker hostname. Host bind CA задаётся runbook-переменной `MESSAGE_SAFETY_CA_HOST_PATH`; runtime использует только container path `MESSAGE_SAFETY_CA_FILE`.
+В production validator принимает remote `https://<private-vm2-name>:8443`, требует читаемый `MESSAGE_SAFETY_CA_FILE`, отклоняет plaintext и local/stub Docker hostname. Конкретное private DNS-имя ВМ2 определяется внутренним доменом окружения и задаётся в `MESSAGE_SAFETY_URL` и согласованном `MESSAGE_SAFETY_EXTRA_HOST`; каноническое имя не требуется. Host bind CA задаётся runbook-переменной `MESSAGE_SAFETY_CA_HOST_PATH`; runtime использует только container path `MESSAGE_SAFETY_CA_FILE`.

 ## 19. Rate limiting

@@ -19,6 +19,7 @@ Nginx ВМ1 — публичная точка входа приложения: f
 |---|---|---|
 | `/api/` | `api-backend:8000` | REST; `/api/v1/realtime` WS |
 | `/auth/` | `keycloak:8080` | OIDC/OTP, prefix/hostname согласован с issuer |
+| exact `/mobile/oidc/callback` | static nginx | HTTPS-мост Android Custom Tabs → `han-chat://auth/callback` |
 | exact `/callbacks/idgtl/sms` | `sms-service:8080` | public HTTPS POST Direct; IP allowlist + Basic auth в upstream |
 | `/bitrix/handler`, `/bitrix/install`, `/bitrix/placement` | `bitrix-local-app:8080` | public HTTPS |
 | exact `/health/live`, `/health/ready` | `bitrix-local-app:8080` | по умолчанию не публикуются; только при явно выбранной ops/monitoring policy |
@@ -92,6 +92,7 @@ han-chat-frontend

 ```text
 https://tohin.ru/auth/callback
+https://tohin.ru/mobile/oidc/callback
 han-chat://auth/callback
 <Expo native scheme/callback, exact value после сборки>
 ```
@@ -49,7 +49,9 @@ webhooks собственного host. Compose, IAM principal и secret bundle
   performance, egress и rollback gates своего runbook.
 2. ВМ1 использует
   `MESSAGE_SAFETY_URL=https://<VM2_PRIVATE_DNS>:8443` и root-owned
-   `MESSAGE_SAFETY_CA_HOST_PATH`.
+   `MESSAGE_SAFETY_CA_HOST_PATH`. Значение `<VM2_PRIVATE_DNS>` определяется
+   внутренним DNS-доменом окружения и задаётся в `.env`; фиксированное
+   каноническое имя не требуется.
 3. Internal CA читается фактическим UID API и не читается посторонним UID.
 4. Service token paired, private route/SG разрешают `8443` только от ВМ1/ops.
 5. Local `message-safety`, Redis DB2, local Safety rules env и stub fallback