Реализованы сервисы ВМ2 - проверка сообщений и синхронизация с Б24 (деплой еще без перевода в боевой режим)

codebase/backend/deployment/DEPLOYMENT_GUIDE.ru.md

@@ -1,7 +1,7 @@
 # Подробная инструкция по развертыванию и запуску HAN Chat
 
-Эта инструкция описывает первый запуск текущего проекта на одной виртуальной
-машине с Ubuntu 24.04. Все команды на VM предполагают, что проект расположен в
+Эта инструкция описывает первый запуск **текущего legacy/stub проекта ВМ1** на одной виртуальной
+машине с Ubuntu 24.04. Она не разворачивает target ВМ2 Processing и не подтверждает production-готовность Message Safety v2. Все команды предполагают, что проект расположен в
 `/opt/han-chat/backend`, а команды Docker Compose выполняются из этого каталога.
 
 PostgreSQL и Selectel S3 не запускаются в Docker Compose: их необходимо создать
@@ -25,6 +25,8 @@ PostgreSQL и Selectel S3 не запускаются в Docker Compose: их н
 Для первого тестового запуска допустимы mock OTP, заглушка Message Safety и
 заглушка bitrix-sync. Они не являются полноценными production-реализациями.
 
+Целевой cutover выполняется по `modules/module-10-deployment-runbook.md`: самостоятельная ВМ2, root Compose/systemd unit, собственный nginx с public exact CRM webhook `80/443` и private Message Safety listener `8443`, раздельные TLS-контуры, secrets/IAM, egress allow-list и local OTEL Collector. Не переносите команды этого single-VM guide на ВМ2 без VM2-specific manifests.
+
 ## 2. Первичный вход на VM
 
 Подключитесь к созданной VM облачным пользователем:
@@ -667,7 +669,7 @@ curl -fsS \
 Внутренний API не должен быть опубликован:
 
 ```sh
-curl -i https://chat.example.ru/internal/safety/v1/messages/check
+curl -i https://chat.example.ru/internal/safety/v2/messages/check
 ```
 
 Ожидаемый статус — `404`.

codebase/backend/deployment/RUNBOOK.md

@@ -4,6 +4,90 @@ This is the executable checklist for the single-VM contour. PostgreSQL and S3
 are managed external services. Never use `docker compose down -v`, an Alembic
 downgrade, or a mutable image tag during deployment.
 
+## VM2 Processing is a separate host
+
+Do not run this backend/VM1 setup script on VM2. VM2 has its own bootstrap:
+`codebase/services/deployment/scripts/setup-vm.sh`, and its authoritative
+operator checklist is `codebase/services/deployment/RUNBOOK.ru.md`.
+
+The VM2 ownership boundary is intentionally different from the legacy VM1
+script: `deploy` is **not** a member of the `docker` group. Root owns
+`/opt/han-chat/services`, Compose, units, helpers, `.env`, allow-lists and
+secret mappings. Deploy may write only to `/var/lib/han-deploy/incoming` and
+may invoke exact systemd/safety-mode commands installed in sudoers.
+The separate `admin` account is break-glass only: it has its own Ed25519 key
+and a separate local sudo password. Root, deploy and admin keys must differ.
+
+Initial VM2 bootstrap commands:
+
+```sh
+# Local operator workstation: upload only the reviewed setup script.
+scp codebase/services/deployment/scripts/setup-vm.sh \
+  root@<VM2_PUBLIC_IP>:/root/setup-vm2.sh
+
+# VM2 root: install host packages/roles/firewalls; this does not start Compose.
+chmod 0700 /root/setup-vm2.sh
+DEPLOY_AUTHORIZED_KEY_FILE=/root/bootstrap/deploy.pub \
+ADMIN_AUTHORIZED_KEY_FILE=/root/bootstrap/admin.pub \
+OPS_CIDRS='<OPS_PUBLIC_IP>/32' \
+VM1_PRIVATE_CIDRS='<VM1_PRIVATE_IP>/32' \
+/root/setup-vm2.sh
+```
+
+Generate and upload the two public keys before this command; never copy the
+root key into either account. Set the admin sudo password with `passwd admin`.
+Keep the root session open and verify both key-based logins plus `sudo -v` as
+admin in separate sessions. Only then rerun as VM2 root with
+`HARDEN_SSH=true SKIP_APT_UPGRADE=true` to disable direct root SSH.
+
+Release transfer is performed as deploy, while activation and installation
+remain root operations:
+
+```sh
+# deploy: receive and inspect only.
+cd /var/lib/han-deploy/incoming
+sha256sum vm2-services-<RELEASE>.tar.gz
+tar -tzf vm2-services-<RELEASE>.tar.gz
+
+# root: verify the operator-provided digest, activate root-owned files,
+# then rerun setup-vm.sh so it installs fixed helpers and systemd units.
+printf '%s  %s\n' '<EXPECTED_SHA256>' \
+  /var/lib/han-deploy/incoming/vm2-services-<RELEASE>.tar.gz | sha256sum --check -
+ARCHIVE=/var/lib/han-deploy/incoming/vm2-services-<RELEASE>.tar.gz
+if tar -tzf "$ARCHIVE" | grep -Eq '(^/|(^|/)\.\.(/|$)|^services/\.env$)'; then exit 1; fi
+if tar -tzf "$ARCHIVE" | grep -Ev '^services(/|$)' | grep -q .; then exit 1; fi
+if tar -tvzf "$ARCHIVE" | awk '$1 ~ /^[lh]/ {found=1} END {exit !found}'; then exit 1; fi
+STAGING="$(mktemp -d /opt/han-chat/.vm2-release.XXXXXX)"
+tar -xzf "$ARCHIVE" \
+  -C "$STAGING" --no-same-owner --no-same-permissions
+test -f "$STAGING/services/docker-compose.yml"
+rsync -a --delete --exclude=.env --chown=root:root --chmod=D755,F644 \
+  "$STAGING/services/" /opt/han-chat/services/
+rm -rf -- "$STAGING"
+OPS_CIDRS='<OPS_PUBLIC_IP>/32' \
+VM1_PRIVATE_CIDRS='<VM1_PRIVATE_IP>/32' \
+DEPLOY_AUTHORIZED_KEY_FILE=/root/bootstrap/deploy.pub \
+ADMIN_AUTHORIZED_KEY_FILE=/root/bootstrap/admin.pub \
+HARDEN_SSH=true SKIP_APT_UPGRADE=true \
+/root/setup-vm2.sh
+```
+
+After root configures `.env`, Selectel encrypted credentials, loader mapping,
+TLS and CIDR allow-lists, root synchronizes secrets, runs preflight/migrations
+and performs the first start. Subsequent routine operations available to
+deploy are limited to:
+
+```sh
+sudo systemctl restart han-secrets-vm2.service
+sudo systemctl restart han-processing.service
+sudo systemctl --no-pager status han-processing.service
+sudo journalctl --no-pager -u han-processing.service
+```
+
+Exact archive activation, file installation, credential creation, migration
+and first-start commands are documented in the VM2 Russian runbook referenced
+above. They must not be replaced with direct Docker access for deploy.
+
 ## Gate 0 — decisions and ownership
 
 - [ ] Release SHA/digests, maintenance window, on-call and rollback owner recorded.

codebase/backend/deployment/docker-compose.jobs.yml

@@ -32,7 +32,9 @@ x-api-job-environment: &api-job-environment
   KEYCLOAK_INTERNAL_URL: ${KEYCLOAK_INTERNAL_URL:-http://keycloak:8080/auth}
   KEYCLOAK_REALM: ${KEYCLOAK_REALM:-han-chat}
   KEYCLOAK_AUDIENCE: ${KEYCLOAK_AUDIENCE:-han-chat-api}
-  MESSAGE_SAFETY_URL: ${MESSAGE_SAFETY_URL:-http://message-safety:8080}
+  MESSAGE_SAFETY_URL: ${MESSAGE_SAFETY_URL}
+  MESSAGE_SAFETY_API_PREFIX: /internal/safety/v2
+  MESSAGE_SAFETY_CA_FILE: /run/config/message-safety-internal-ca.pem
   MESSAGE_SAFETY_POST_TIMEOUT_SEC: ${MESSAGE_SAFETY_POST_TIMEOUT_SEC:-5}
   MESSAGE_SAFETY_TASK_POLL_INTERVAL_SEC: ${MESSAGE_SAFETY_TASK_POLL_INTERVAL_SEC:-2}
   MESSAGE_SAFETY_TASK_POLL_MAX_SEC: ${MESSAGE_SAFETY_TASK_POLL_MAX_SEC:-300}
@@ -127,6 +129,7 @@ services:
         && python -m app.cli.validate_settings
     volumes:
       - ${PG_CA_HOST_PATH}:/run/secrets/pg-ca.pem:ro
+      - ${MESSAGE_SAFETY_CA_HOST_PATH}:/run/config/message-safety-internal-ca.pem:ro
       - ./app-settings.production-like.yaml:/deployment/app-settings.production-like.yaml:ro
     networks: [backend, egress]
     restart: "no"

codebase/backend/deployment/scripts/seed-personal-notifications-test.sh

@@ -236,6 +236,7 @@ write_payload urgent <<JSON
   "header": "Истекает срок постановки на учёт",
   "text": "По данным сервиса, срок уведомления о месте пребывания истекает 29 июля — просрочка влечёт административную ответственность.",
   "priority_override": 1,
+  "date_expired": "${DEADLINE_URGENT}",
   "details": {
     "deadline": "${DEADLINE_URGENT}",
     "details_header": "Срочно: соблюдение сроков миграционного учёта",
@@ -276,6 +277,7 @@ write_payload docs_required <<JSON
   "notification_datetime": "${DT_DOCS_REQ}",
   "header": "Загрузите документы для миграционного учёта",
   "text": "Для проверки соблюдения миграционного законодательства нужен комплект документов — загрузите до 01 августа.",
+  "date_expired": "${DEADLINE_DOCS}",
   "details": {
     "deadline": "${DEADLINE_DOCS}",
     "details_header": "Документы для постановки на миграционный учёт",
@@ -359,6 +361,7 @@ write_payload reminder <<JSON
   "notification_datetime": "${DT_REMINDER}",
   "header": "Напоминание: продление патента",
   "text": "28 июля истекает срок действия патента — подайте заявление на продление заранее.",
+  "date_expired": "${DEADLINE_REMINDER}",
   "details": {
     "deadline": "${DEADLINE_REMINDER}",
     "details_header": "Сроки продления документа на право работы",