Добавлены уведомления

codebase/backend/deployment/RUNBOOK.md

@@ -68,6 +68,7 @@ docker compose --env-file .env config --quiet
 
 - [ ] Token pairs match, PG verifies TLS, public URLs are HTTPS.
 - [ ] Mock OTP risk is accepted and all secrets are unique >=128-bit values.
+- [ ] `NOTIFICATIONS_TOKEN_PRODUCER_TEST` is unique and supplied only through secret/env; the `producer_test` source seed stores only its hash.
 - [ ] `FRONTEND_DEV_PROXY_ENABLED=false` and Safety/nginx timeout budgets match.
 
 ## Gate 7 — images and static frontend
@@ -143,12 +144,15 @@ docker compose up -d redis
 docker compose up -d keycloak otel-collector
 docker compose up -d message-safety
 docker compose up -d api-backend
+docker compose up -d delivery-worker safety-recovery-worker cleanup-worker \
+  notification-expire-worker notification-draft-cleanup-worker
 docker compose up -d bitrix-local-app bitrix-sync
 docker compose up -d nginx
 docker compose ps
 ```
 
 - [ ] No restart loop/OOM; critical readiness is green.
+- [ ] `notification-expire-worker` runs daily closure with an advisory lock; `notification-draft-cleanup-worker` removes expired drafts/S3 objects. Both entrypoints exist in the installed image.
 - [ ] Only documented Bitrix not-installed/sync-stub degradation remains.
 - [ ] External `/internal/*` is 404 and OTEL accepts telemetry.
 
@@ -169,6 +173,8 @@ deployment/scripts/smoke.sh
 - [ ] Safety allow/deny/pending/timeout and one concurrent slow poll pass.
 - [ ] File quarantine/promote/delete, owner-only download and audit pass.
 - [ ] WS reconnect plus REST reconciliation, ownership 404, idempotency and 429 pass.
+- [ ] Closed-network `producer_test` Create/Cancel smoke passes; identical Create returns `200`, changed payload returns `409`, and the external internal route returns `404`.
+- [ ] Expire advisory locking and first download of any linked document are verified; hiding is one-time and an existing `date_expired` is preserved.
 - [ ] Logs contain no PII, message body, token or presigned query.
 
 ## Gate 15 — observability

codebase/backend/deployment/RUNBOOK.ru.md

@@ -71,6 +71,7 @@ docker compose --env-file .env config --quiet
 
 - [ ] Парные токены совпадают, PostgreSQL проверяет TLS, публичные URL используют HTTPS.
 - [ ] Риск mock OTP принят; все секреты уникальны и содержат не менее 128 бит энтропии.
+- [ ] `NOTIFICATIONS_TOKEN_PRODUCER_TEST` сгенерирован отдельно, передан только через secret/env; seed `notification_sources.code='producer_test'` содержит только его hash.
 - [ ] Установлено `FRONTEND_DEV_PROXY_ENABLED=false`; таймауты Safety и nginx согласованы.
 
 ## Этап 7 — образы и статический frontend
@@ -165,12 +166,15 @@ docker compose up -d redis
 docker compose up -d keycloak otel-collector
 docker compose up -d message-safety
 docker compose up -d api-backend
+docker compose up -d delivery-worker safety-recovery-worker cleanup-worker \
+  notification-expire-worker notification-draft-cleanup-worker
 docker compose up -d bitrix-local-app bitrix-sync
 docker compose up -d nginx
 docker compose ps
 ```
 
 - [ ] Нет циклических перезапусков и OOM; критические readiness-проверки успешны.
+- [ ] `notification-expire-worker` выполняет ежедневное закрытие с advisory lock; `notification-draft-cleanup-worker` очищает просроченные drafts/S3. Оба entrypoint присутствуют в установленном образе.
 - [ ] Сохраняется только документированная деградация: Bitrix не установлен и bitrix-sync работает как заглушка.
 - [ ] Внешний запрос `/internal/*` возвращает 404; OTEL принимает телеметрию.
 
@@ -191,6 +195,8 @@ deployment/scripts/smoke.sh
 - [ ] Проверены Safety allow/deny/pending/timeout и один параллельный медленный poll.
 - [ ] Проверены карантин, перенос и удаление файлов, скачивание только владельцем и аудит.
 - [ ] Проверены переподключение WS с REST-сверкой, 404 при обращении к чужому ресурсу, идемпотентность и 429.
+- [ ] От имени `producer_test` выполнены Create и Cancel через закрытый `/internal/notifications/v1/*`; тот же Create вернул `200`, изменённый payload — `409`, внешний запрос — `404`.
+- [ ] Проверены expire job с advisory lock и первое скачивание любого связанного документа: уведомление скрывается один раз, а исходный `date_expired` не перезаписывается.
 - [ ] Логи не содержат PII, текстов сообщений, токенов и query-параметров presigned URL.
 
 ## Этап 15 — наблюдаемость

codebase/backend/deployment/app-settings.production-like.yaml

@@ -32,6 +32,19 @@ settings:
   rate_limit.download_url.per_user: {type: string, value: "60/hour", public: false}
   rate_limit.public_endpoints.per_ip: {type: string, value: "60/minute", public: true}
   rate_limit.login.per_ip: {type: string, value: "10/minute", public: true}
+  rate_limit.notifications_read.per_user: {type: string, value: "120/minute", public: false}
+  rate_limit.notifications_action.per_user: {type: string, value: "60/minute", public: false}
+  rate_limit.notification_upload.per_user: {type: string, value: "20/minute", public: false}
+  rate_limit.notifications_public.per_ip: {type: string, value: "60/minute", public: false}
+  notification.home.max_items: {type: integer, value: 7, public: false}
+  notification.center.max_items: {type: integer, value: 15, public: false}
+  notification.carousel.autoplay_enabled: {type: boolean, value: false, public: true}
+  notification.carousel.autoplay_interval_ms: {type: integer, value: 5000, public: true}
+  notification.hidden.default_ttl_days: {type: integer, value: 3, public: false}
+  notification.documents.max_files: {type: integer, value: 10, public: false}
+  notification.instruction.allowed_hosts: {type: string_list, value: "chat.example.ru", public: false}
+  notification.expire_job.run_at: {type: string, value: "00:01", public: false}
+  notification.upload_draft.ttl_days: {type: integer, value: 7, public: false}
   ux.session.idle_timeout_minutes: {type: integer, value: 30, public: true}
   security.cors.allowed_origins: {type: string_list, value: "https://chat.example.ru", public: false}
   security.public_cache.max_age_seconds: {type: integer, value: 3600, public: false}