Добавлена Яндекс.Капча

codebase/backend/deployment/RUNBOOK.ru.md

@@ -138,8 +138,26 @@ docker compose ps keycloak
 - [ ] Issuer discovery/JWKS точно совпадает с публичным HTTPS URL `/auth`.
 - [ ] Frontend-клиент является публичным PKCE S256; implicit, password и social flows отключены.
 - [ ] Неверный или повторно использованный OTP и превышение лимитов безопасно отклоняются; settings bridge работает fail-closed.
+- [ ] При `KEYCLOAK_YANDEX_CAPTCHA_ENABLED=true` initial send и resend требуют свежий SmartCaptcha token; техническая недоступность Yandex подтверждена как fail-open в логах.
+- [ ] CSP login-страницы содержит `smartcaptcha.cloud.yandex.ru`/`yastatic.net`, а `/auth/realms/master/protocol/openid-connect/3p-cookies/step2.html` и Admin Console работают без CAPTCHA CSP.
 - [ ] Временный администратор удален либо его пароль изменен; для именного администратора включена MFA.
 
+Если предыдущая попытка сохранила custom CSP в realm, сбросьте только это поле через `kcadm`; `.env` как shell-файл не загружать:
+
+```sh
+docker compose exec -T keycloak sh -lc '
+set -eu
+cfg=/tmp/han-kcadm.config
+/opt/keycloak/bin/kcadm.sh config credentials --config "$cfg" \
+  --server http://127.0.0.1:8080/auth --realm master \
+  --user "$KC_BOOTSTRAP_ADMIN_USERNAME" \
+  --password "$KC_BOOTSTRAP_ADMIN_PASSWORD"
+/opt/keycloak/bin/kcadm.sh update realms/han-chat --config "$cfg" \
+  -s "browserSecurityHeaders.contentSecurityPolicy="
+rm -f "$cfg"
+'
+```
+
 ## Этап 12 — последовательный запуск и готовность
 
 ```sh