Проект разделен на два репозитория

VM1_app/codebase/backend/deployment/scripts/backup.sh

@@ -0,0 +1,38 @@
+#!/bin/sh
+set -eu
+cd "$(dirname "$0")/../.."
+CONFIG_FILE=${CONFIG_FILE:-.env}
+SECRETS_LAUNCHER=${SECRETS_LAUNCHER:-deployment/secrets/han-secrets}
+
+if [ "${HAN_SECRETS_ACTIVE:-0}" != "1" ]; then
+  [ -x "$SECRETS_LAUNCHER" ] || {
+    echo "Secret launcher is required: $SECRETS_LAUNCHER" >&2
+    exit 66
+  }
+  exec "$SECRETS_LAUNCHER" run --config "$CONFIG_FILE" -- "$0" "$@"
+fi
+
+if [ -z "${PG_BACKUP_DSN_FILE:-}" ] || [ ! -r "$PG_BACKUP_DSN_FILE" ]; then
+  echo "PG_BACKUP_DSN_FILE is required from the secret launcher." >&2
+  exit 64
+fi
+PG_BACKUP_DSN=$(cat "$PG_BACKUP_DSN_FILE")
+case "$PG_BACKUP_DSN" in
+  *sslmode=verify-full*sslrootcert=*) ;;
+  *) echo "PG_BACKUP_DSN must enforce sslmode=verify-full and sslrootcert." >&2; exit 64 ;;
+esac
+
+output_dir=${1:-/opt/han-chat/backups}
+umask 077
+mkdir -p "$output_dir"
+stamp=$(date -u +%Y%m%dT%H%M%SZ)
+archive="$output_dir/han-chat-$stamp.dump"
+
+PGDATABASE="$PG_BACKUP_DSN" pg_dump \
+  --format=custom --no-owner --no-privileges --file="$archive"
+unset PG_BACKUP_DSN
+pg_restore --list "$archive" >/dev/null
+sha256sum "$archive" > "$archive.sha256"
+chmod 600 "$archive" "$archive.sha256"
+echo "Logical backup verified: $archive"
+echo "This supplements, but does not replace, provider backup/PITR and restore rehearsal."

VM1_app/codebase/backend/deployment/scripts/migrate.sh

@@ -0,0 +1,34 @@
+#!/bin/sh
+set -eu
+cd "$(dirname "$0")/../.."
+CONFIG_FILE=${CONFIG_FILE:-.env}
+SECRETS_LAUNCHER=${SECRETS_LAUNCHER:-deployment/secrets/han-secrets}
+
+if [ "${HAN_SECRETS_ACTIVE:-0}" != "1" ]; then
+  [ -x "$SECRETS_LAUNCHER" ] || {
+    echo "Secret launcher is required: $SECRETS_LAUNCHER" >&2
+    exit 66
+  }
+  exec "$SECRETS_LAUNCHER" run --config "$CONFIG_FILE" -- "$0" "$@"
+fi
+
+if [ "${PITR_MARKER_CONFIRMED:-false}" != "true" ]; then
+  echo "Refusing migration: create provider PITR marker, then set PITR_MARKER_CONFIRMED=true" >&2
+  exit 64
+fi
+
+if [ -n "${HAN_RUNTIME_SECRET_MANIFEST:-}" ]; then
+  ./scripts/validate-env "$CONFIG_FILE" --runtime-manifest "$HAN_RUNTIME_SECRET_MANIFEST"
+else
+  ./scripts/validate-env "$CONFIG_FILE" --runtime-env
+fi
+docker compose --env-file "$CONFIG_FILE" config --quiet
+docker compose --env-file "$CONFIG_FILE" --profile ops run --rm migrate-api alembic current
+docker compose --env-file "$CONFIG_FILE" --profile ops run --rm migrate-bitrix-local alembic current
+docker compose --env-file "$CONFIG_FILE" --profile ops run --rm migrate-bitrix-sync alembic current
+docker compose --env-file "$CONFIG_FILE" --profile ops run --rm migrate-sms alembic current
+docker compose --env-file "$CONFIG_FILE" --profile ops run --rm migrate-api
+docker compose --env-file "$CONFIG_FILE" --profile ops run --rm migrate-bitrix-local
+docker compose --env-file "$CONFIG_FILE" --profile ops run --rm migrate-bitrix-sync
+docker compose --env-file "$CONFIG_FILE" --profile ops run --rm migrate-sms
+echo "Migrations completed; record revisions in release evidence."

VM1_app/codebase/backend/deployment/scripts/rollback.sh

@@ -0,0 +1,34 @@
+#!/bin/sh
+set -eu
+cd "$(dirname "$0")/../.."
+CONFIG_FILE=${CONFIG_FILE:-.env}
+SECRETS_LAUNCHER=${SECRETS_LAUNCHER:-deployment/secrets/han-secrets}
+
+previous_release=${1:-}
+if [ -z "$previous_release" ]; then
+  echo "Usage: $0 <previous-immutable-release>" >&2
+  exit 64
+fi
+if [ "${HAN_SECRETS_ACTIVE:-0}" != "1" ]; then
+  [ -x "$SECRETS_LAUNCHER" ] || {
+    echo "Secret launcher is required: $SECRETS_LAUNCHER" >&2
+    exit 66
+  }
+  exec "$SECRETS_LAUNCHER" run --config "$CONFIG_FILE" -- "$0" "$@"
+fi
+if [ "${SCHEMA_BACKWARD_COMPATIBLE_CONFIRMED:-false}" != "true" ]; then
+  echo "Refusing rollback: set SCHEMA_BACKWARD_COMPATIBLE_CONFIRMED=true after migration review." >&2
+  exit 64
+fi
+
+if [ -n "${HAN_RUNTIME_SECRET_MANIFEST:-}" ]; then
+  ./scripts/validate-env "$CONFIG_FILE" --runtime-manifest "$HAN_RUNTIME_SECRET_MANIFEST"
+else
+  ./scripts/validate-env "$CONFIG_FILE" --runtime-env
+fi
+RELEASE_VERSION="$previous_release" docker compose --env-file "$CONFIG_FILE" config --quiet
+RELEASE_VERSION="$previous_release" docker compose --env-file "$CONFIG_FILE" up -d --remove-orphans
+docker compose --env-file "$CONFIG_FILE" ps
+
+echo "Application images rolled back without Alembic downgrade."
+echo "Run deployment/scripts/smoke.sh and verify outbox/inbox idempotency."

VM1_app/codebase/backend/deployment/scripts/seed-personal-notifications-test.sh

@@ -0,0 +1,448 @@
+#!/usr/bin/env bash
+# Создаёт 9 персональных уведомлений всех видов контура P для одного user_id.
+# Запускать на ВМ из каталога backend: /opt/han-chat/backend
+#
+#   cd /opt/han-chat/backend
+#   sed -i 's/\r$//' deployment/scripts/seed-personal-notifications-test.sh
+#   chmod +x deployment/scripts/seed-personal-notifications-test.sh
+#   ./deployment/scripts/seed-personal-notifications-test.sh
+#
+# Токен берётся из .env (NOTIFICATIONS_TOKEN_PRODUCER_TEST) — тот же, что у api-backend.
+# При старте api-backend синхронизирует hash токена в notification_sources.
+
+set -euo pipefail
+
+cd "$(dirname "$0")/../.."
+
+ENV_FILE="${ENV_FILE:-.env}"
+
+if [[ ! -f "$ENV_FILE" ]]; then
+  echo "Не найден $ENV_FILE. Запускайте из каталога backend." >&2
+  exit 1
+fi
+
+env_value() {
+  python3 - "$ENV_FILE" "$1" <<'PY'
+import sys
+from pathlib import Path
+
+path, wanted = sys.argv[1:]
+for raw in Path(path).read_text(encoding="utf-8").splitlines():
+    line = raw.strip()
+    if not line or line.startswith("#") or "=" not in line:
+        continue
+    key, value = line.split("=", 1)
+    if key.strip() == wanted:
+        value = value.strip()
+        if len(value) >= 2 and value[0] == value[-1] and value[0] in "\"'":
+            value = value[1:-1]
+        print(value)
+        break
+else:
+    raise SystemExit(f"missing environment variable: {wanted}")
+PY
+}
+
+trim_token() {
+  printf '%s' "$1" | tr -d '\r\n\t '
+}
+
+TOKEN="$(trim_token "${NOTIFICATIONS_TOKEN_PRODUCER_TEST:-}")"
+if [[ -z "$TOKEN" ]]; then
+  TOKEN="$(trim_token "$(env_value NOTIFICATIONS_TOKEN_PRODUCER_TEST 2>/dev/null || true)")"
+fi
+if [[ -z "$TOKEN" ]]; then
+  read -rsp "NOTIFICATIONS_TOKEN_PRODUCER_TEST (из .env не найден): " TOKEN
+  echo
+  TOKEN="$(trim_token "$TOKEN")"
+fi
+
+read -rp "USER_ID клиента: " USER_ID
+USER_ID="$(trim_token "$USER_ID")"
+
+if [[ -z "${TOKEN}" || -z "${USER_ID}" ]]; then
+  echo "TOKEN и USER_ID обязательны." >&2
+  exit 1
+fi
+
+echo "Токен: ${#TOKEN} символов (первые 8: ${TOKEN:0:8}…)"
+
+PAYLOAD_DIR="$(mktemp -d)"
+trap 'rm -rf "$PAYLOAD_DIR"' EXIT
+
+BASE_TS="$(date +%s)"
+RUN_ID="manual-test-${BASE_TS}"
+
+NOW="$(date -u +"%Y-%m-%dT%H:%M:%SZ")"
+DT_URGENT="$(date -u -d "${NOW} +0 seconds" +"%Y-%m-%dT%H:%M:%SZ" 2>/dev/null || date -u -v+0S +"%Y-%m-%dT%H:%M:%SZ")"
+DT_PAYMENT="$(date -u -d "${NOW} - 60 seconds" +"%Y-%m-%dT%H:%M:%SZ" 2>/dev/null || date -u -v-60S +"%Y-%m-%dT%H:%M:%SZ")"
+DT_DOCS_REQ="$(date -u -d "${NOW} - 120 seconds" +"%Y-%m-%dT%H:%M:%SZ" 2>/dev/null || date -u -v-120S +"%Y-%m-%dT%H:%M:%SZ")"
+DT_DOCS_READY="$(date -u -d "${NOW} - 180 seconds" +"%Y-%m-%dT%H:%M:%SZ" 2>/dev/null || date -u -v-180S +"%Y-%m-%dT%H:%M:%SZ")"
+DT_STATUS="$(date -u -d "${NOW} - 240 seconds" +"%Y-%m-%dT%H:%M:%SZ" 2>/dev/null || date -u -v-240S +"%Y-%m-%dT%H:%M:%SZ")"
+DT_REMINDER="$(date -u -d "${NOW} - 300 seconds" +"%Y-%m-%dT%H:%M:%SZ" 2>/dev/null || date -u -v-300S +"%Y-%m-%dT%H:%M:%SZ")"
+DT_NEWS="$(date -u -d "${NOW} - 360 seconds" +"%Y-%m-%dT%H:%M:%SZ" 2>/dev/null || date -u -v-360S +"%Y-%m-%dT%H:%M:%SZ")"
+DT_PROMO="$(date -u -d "${NOW} - 420 seconds" +"%Y-%m-%dT%H:%M:%SZ" 2>/dev/null || date -u -v-420S +"%Y-%m-%dT%H:%M:%SZ")"
+DT_ADS="$(date -u -d "${NOW} - 480 seconds" +"%Y-%m-%dT%H:%M:%SZ" 2>/dev/null || date -u -v-480S +"%Y-%m-%dT%H:%M:%SZ")"
+
+DEADLINE_URGENT="$(date -u -d "${NOW} + 2 days" +"%Y-%m-%dT%H:%M:%SZ" 2>/dev/null || date -u -v+2d +"%Y-%m-%dT%H:%M:%SZ")"
+DEADLINE_DOCS="$(date -u -d "${NOW} + 5 days" +"%Y-%m-%dT%H:%M:%SZ" 2>/dev/null || date -u -v+5d +"%Y-%m-%dT%H:%M:%SZ")"
+DEADLINE_REMINDER="$(date -u -d "${NOW} + 1 day" +"%Y-%m-%dT%H:%M:%SZ" 2>/dev/null || date -u -v+1d +"%Y-%m-%dT%H:%M:%SZ")"
+EXPIRE_PAYMENT="$(date -u -d "${NOW} + 3 days" +"%Y-%m-%dT%H:%M:%SZ" 2>/dev/null || date -u -v+3d +"%Y-%m-%dT%H:%M:%SZ")"
+
+write_payload() {
+  local name="$1"
+  cat > "${PAYLOAD_DIR}/${name}.json"
+}
+
+create_notification() {
+  local label="$1"
+  local payload_file="${PAYLOAD_DIR}/${label}.json"
+  if [[ ! -f "$payload_file" ]]; then
+    echo "Нет payload: ${payload_file}" >&2
+    return 1
+  fi
+  echo
+  echo "========== ${label} =========="
+  docker run --rm \
+    --network han-chat-backend \
+    -v "${payload_file}:/payload.json:ro" \
+    curlimages/curl:latest \
+    -sS -i \
+    -X POST \
+    'http://api-backend:8000/internal/notifications/v1/notifications' \
+    -H "Authorization: Bearer ${TOKEN}" \
+    -H 'Content-Type: application/json; charset=utf-8' \
+    --data-binary @/payload.json
+}
+
+prepare_docs_in_s3() {
+  echo >&2
+  echo "========== PREP: загрузка тестовых документов в S3 для docs_ready ==========" >&2
+  docker compose --env-file "$ENV_FILE" exec -T \
+    -e "USER_ID=${USER_ID}" \
+    -e "RUN_ID=${RUN_ID}" \
+    api-backend python3 - <<'PY'
+import hashlib
+import os
+import uuid
+
+import boto3
+from botocore.client import Config
+
+from app.settings import Settings
+
+USER_ID = os.environ["USER_ID"]
+settings = Settings()
+
+client = boto3.client(
+    "s3",
+    endpoint_url=str(settings.selectel_s3_endpoint_url),
+    aws_access_key_id=settings.selectel_s3_access_key.get_secret_value(),
+    aws_secret_access_key=settings.selectel_s3_secret_key.get_secret_value(),
+    config=Config(signature_version="s3v4", s3={"addressing_style": "virtual"}),
+)
+bucket = settings.selectel_s3_bucket_documents
+
+fixtures = [
+    {
+        "prefix": "CONTRACT",
+        "title": "Уведомление о постановке на миграционный учёт.pdf",
+        "body": b"""%PDF-1.4
+1 0 obj<</Type/Catalog/Pages 2 0 R>>endobj
+2 0 obj<</Type/Pages/Kids[3 0 R]/Count 1>>endobj
+3 0 obj<</Type/Page/MediaBox[0 0 612 792]/Parent 2 0 R>>endobj
+xref
+0 4
+trailer<</Size 4/Root 1 0 R>>
+startxref
+100
+%%EOF
+""",
+    },
+    {
+        "prefix": "RESULTS",
+        "title": "Справка о соблюдении миграционного законодательства.pdf",
+        "body": b"""%PDF-1.4
+1 0 obj<</Type/Catalog/Pages 2 0 R>>endobj
+2 0 obj<</Type/Pages/Kids[3 0 R]/Count 1>>endobj
+3 0 obj<</Type/Page/MediaBox[0 0 612 792]/Parent 2 0 R>>endobj
+xref
+0 4
+trailer<</Size 4/Root 1 0 R>>
+startxref
+100
+%%EOF
+""",
+    },
+]
+
+lines: list[str] = []
+for item in fixtures:
+    doc_id = str(uuid.uuid4())
+    key = f"documents/users/{USER_ID}/{doc_id}"
+    body = item["body"]
+    checksum = hashlib.sha256(body).hexdigest()
+    client.put_object(
+        Bucket=bucket,
+        Key=key,
+        Body=body,
+        ContentType="application/pdf",
+    )
+    p = item["prefix"]
+    lines.append(
+        f"{p}_KEY={key}\n"
+        f"{p}_TITLE={item['title']}\n"
+        f"{p}_SIZE={len(body)}\n"
+        f"{p}_SHA256={checksum}"
+    )
+
+print("\n".join(lines))
+PY
+}
+
+echo "Run ID: ${RUN_ID}"
+echo "User ID: ${USER_ID}"
+
+read -rp "Подготовить документы в S3 для docs_ready? [Y/n]: " PREP_DOCS
+PREP_DOCS="${PREP_DOCS:-Y}"
+
+CONTRACT_KEY=""
+CONTRACT_TITLE=""
+CONTRACT_SIZE=""
+CONTRACT_SHA256=""
+RESULTS_KEY=""
+RESULTS_TITLE=""
+RESULTS_SIZE=""
+RESULTS_SHA256=""
+
+if [[ "${PREP_DOCS^^}" != "N" ]]; then
+  PREP_OUT="$(prepare_docs_in_s3)"
+  echo "${PREP_OUT}"
+  while IFS= read -r line; do
+    [[ "$line" =~ ^([A-Z][A-Z0-9_]*)=(.*)$ ]] || continue
+    declare "${BASH_REMATCH[1]}=${BASH_REMATCH[2]}"
+  done <<< "${PREP_OUT}"
+fi
+
+# --- payloads ---
+
+write_payload urgent <<JSON
+{
+  "user_id": "${USER_ID}",
+  "notification_type": "urgent",
+  "source": "producer_test",
+  "external_id": "${RUN_ID}-urgent",
+  "notification_datetime": "${DT_URGENT}",
+  "header": "Истекает срок постановки на учёт",
+  "text": "По данным сервиса, срок уведомления о месте пребывания истекает 29 июля — просрочка влечёт административную ответственность.",
+  "priority_override": 1,
+  "date_expired": "${DEADLINE_URGENT}",
+  "details": {
+    "deadline": "${DEADLINE_URGENT}",
+    "details_header": "Срочно: соблюдение сроков миграционного учёта",
+    "details_text": "Федеральный закон № 109-ФЗ обязывает иностранного гражданина в течение 7 рабочих дней с даты въезда подать уведомление о прибытии в место пребывания (если иное не предусмотрено для вашего правового статуса).\n\nПо имеющимся данным крайний срок для вашего случая — 29.07.2026. Нарушение сроков может повлечь штраф от 2 000 до 5 000 ₽ и, при повторном нарушении, более серьёзные последствия, включая административное выдворение.\n\nЕсли уведомление уже подано — отметьте «Готово»; если нужна помощь — напишите оператору в чат.",
+    "todo_header": "Что проверить сейчас",
+    "todo_plan": [
+      {"number": 1, "text": "Сверьте дату въезда и адрес фактического проживания в анкете личного кабинета."},
+      {"number": 2, "text": "Подготовьте копии паспорта, миграционной карты и документа о праве пребывания (виза, РВП, ВНЖ, патент)."},
+      {"number": 3, "text": "Нажмите «Готово», если уведомление уже подано через МВД или принимающую сторону."},
+      {"number": 4, "text": "При сомнениях выберите «Сделаю позже» и задайте вопрос оператору — укажите город и тип документа."}
+    ]
+  }
+}
+JSON
+
+write_payload payment_pending <<JSON
+{
+  "user_id": "${USER_ID}",
+  "notification_type": "payment_pending",
+  "source": "producer_test",
+  "external_id": "${RUN_ID}-payment_pending",
+  "notification_datetime": "${DT_PAYMENT}",
+  "header": "Оплата сопровождения по миграционному учёту",
+  "text": "Счёт №МИГ-2026-0718 на 18 500 ₽ за подготовку пакета и подачу уведомления — оплатите до 30 июля.",
+  "price": "18500.00",
+  "old_price": "22000.00",
+  "date_expired": "${EXPIRE_PAYMENT}",
+  "payment_url": "https://pay.han0107.ru/checkout/test-${RUN_ID}"
+}
+JSON
+
+write_payload docs_required <<JSON
+{
+  "user_id": "${USER_ID}",
+  "notification_type": "docs_required",
+  "source": "producer_test",
+  "external_id": "${RUN_ID}-docs_required",
+  "notification_datetime": "${DT_DOCS_REQ}",
+  "header": "Загрузите документы для миграционного учёта",
+  "text": "Для проверки соблюдения миграционного законодательства нужен комплект документов — загрузите до 01 августа.",
+  "date_expired": "${DEADLINE_DOCS}",
+  "details": {
+    "deadline": "${DEADLINE_DOCS}",
+    "details_header": "Документы для постановки на миграционный учёт",
+    "details_text": "Специалист проверит комплект в течение 1 рабочего дня после отправки. Принимаются чёткие фото или сканы в JPG, PNG, PDF. Каждый файл — до 10 МБ, не более 10 файлов за одну отправку.\n\nВсе документы должны быть действительными на дату проверки. Если какого-то документа пока нет (например, договор найма ещё не подписан), загрузите доступные — оператор подскажет порядок действий и допустимые альтернативы.",
+    "todo_header": "Необходимый пакет",
+    "todo_plan": [
+      {"number": 1, "text": "Паспорт: страница с фото, действующая виза или иной документ на право пребывания."},
+      {"number": 2, "text": "Миграционная карта с отметкой о въезде (обе стороны)."},
+      {"number": 3, "text": "Документ о месте пребывания: договор найма, свидетельство собственности или письмо принимающей стороны."},
+      {"number": 4, "text": "При трудовой деятельности — копия патента или разрешения на работу (если применимо)."},
+      {"number": 5, "text": "Нажмите «Отправить документы», когда все файлы приложены."}
+    ],
+    "send_documents": true
+  }
+}
+JSON
+
+if [[ -n "${CONTRACT_KEY}" && -n "${RESULTS_KEY}" ]]; then
+  write_payload docs_ready <<JSON
+{
+  "user_id": "${USER_ID}",
+  "notification_type": "docs_ready",
+  "source": "producer_test",
+  "external_id": "${RUN_ID}-docs_ready",
+  "notification_datetime": "${DT_DOCS_READY}",
+  "header": "Миграционные документы готовы",
+  "text": "Уведомление о постановке на учёт и справка о соблюдении требований закона сформированы — скачайте в деталях.",
+  "details": {
+    "details_header": "Документы по миграционному учёту",
+    "details_text": "Документы подготовлены на основании переданных вами данных и проверены специалистом. Сохраните копии на устройство — они могут понадобиться при проверке или продлении статуса пребывания.\n\nСсылки на скачивание действуют ограниченное время. После первого скачивания карточка скроется с главной, но останется в Центре уведомлений до нажатия «Понятно».",
+    "documents": [
+      {
+        "object_key": "${CONTRACT_KEY}",
+        "title": "${CONTRACT_TITLE}",
+        "mime_type": "application/pdf",
+        "size_bytes": ${CONTRACT_SIZE},
+        "checksum_sha256": "${CONTRACT_SHA256}"
+      },
+      {
+        "object_key": "${RESULTS_KEY}",
+        "title": "${RESULTS_TITLE}",
+        "mime_type": "application/pdf",
+        "size_bytes": ${RESULTS_SIZE},
+        "checksum_sha256": "${RESULTS_SHA256}"
+      }
+    ]
+  }
+}
+JSON
+fi
+
+write_payload status_changed <<JSON
+{
+  "user_id": "${USER_ID}",
+  "notification_type": "status_changed",
+  "source": "producer_test",
+  "external_id": "${RUN_ID}-status_changed",
+  "notification_datetime": "${DT_STATUS}",
+  "header": "Статус миграционной заявки обновлён",
+  "text": "Заявка №МГ-8841 переведена на этап «Проверка комплектности документов».",
+  "details": {
+    "details_header": "Ход рассмотрения заявки №МГ-8841",
+    "details_text": "27.07.2026 в 11:42 специалист принял ваш пакет документов в работу. Сейчас выполняется проверка на соответствие требованиям миграционного законодательства РФ: сроки пребывания, адрес учёта, основания для трудовой деятельности.\n\nОжидаемое время на этом этапе: 1–2 рабочих дня. При выявлении недостающих документов вы получите отдельное уведомление с перечнем. При успешной проверке будет сформировано уведомление о постановке на учёт.",
+    "todo_header": "Этапы обработки",
+    "todo_plan": [
+      {"number": 1, "text": "Документы получены — выполнено 25.07.2026"},
+      {"number": 2, "text": "Первичная верификация — выполнено 27.07.2026"},
+      {"number": 3, "text": "Проверка комплектности и сроков — в работе"},
+      {"number": 4, "text": "Формирование уведомления / рекомендаций — ожидает"}
+    ]
+  }
+}
+JSON
+
+write_payload reminder <<JSON
+{
+  "user_id": "${USER_ID}",
+  "notification_type": "reminder",
+  "source": "producer_test",
+  "external_id": "${RUN_ID}-reminder",
+  "notification_datetime": "${DT_REMINDER}",
+  "header": "Напоминание: продление патента",
+  "text": "28 июля истекает срок действия патента — подайте заявление на продление заранее.",
+  "date_expired": "${DEADLINE_REMINDER}",
+  "details": {
+    "deadline": "${DEADLINE_REMINDER}",
+    "details_header": "Сроки продления документа на право работы",
+    "details_text": "Патент на работу необходимо продлевать заблаговременно — подача заявления рекомендуется не позднее чем за 10–15 рабочих дней до даты окончания действия. Просрочка означает прекращение права на трудовую деятельность и риск штрафа по ст. 18.15 КоАП РФ.\n\nДля продления потребуются: действующий патент, чеки об оплате авансовых платежей по НДФЛ, полис ДМС, сертификат о знании русского языка (если срок действия истекает), договор найма или иной документ о месте пребывания.",
+    "todo_header": "Чек-лист перед подачей",
+    "todo_plan": [
+      {"number": 1, "text": "Проверьте дату окончания патента в личном кабинете или на бланке документа."},
+      {"number": 2, "text": "Убедитесь, что авансовые платежи по НДФЛ оплачены без просрочки."},
+      {"number": 3, "text": "Подготовьте сканы документов — при необходимости загрузите через уведомление «Требуются документы»."},
+      {"number": 4, "text": "При вопросах напишите оператору — укажите регион и номер патента."}
+    ]
+  }
+}
+JSON
+
+write_payload news <<JSON
+{
+  "user_id": "${USER_ID}",
+  "notification_type": "news",
+  "source": "producer_test",
+  "external_id": "${RUN_ID}-news",
+  "notification_datetime": "${DT_NEWS}",
+  "header": "Изменения в правилах миграционного учёта",
+  "text": "С 1 августа 2026 уточнены сроки подачи уведомлений при смене адреса пребывания.",
+  "details": {
+    "details_header": "Что изменилось для иностранных граждан",
+    "details_text": "С 01.08.2026 при смене адреса фактического проживания в том же субъекте РФ уведомление необходимо подать в течение 3 рабочих дней (ранее — 7). При переезде в другой регион срок остаётся 7 рабочих дней с даты регистрации по новому адресу.\n\nСервис HAN напомнит о приближающихся сроках через Центр уведомлений. Рекомендуем заранее подготовить копии договора найма и отметку о регистрации — это ускорит проверку оператором.\n\nПодробности процедуры — в чате с оператором или на официальном портале МВД России."
+  }
+}
+JSON
+
+write_payload promo_personal <<JSON
+{
+  "user_id": "${USER_ID}",
+  "notification_type": "promo_personal",
+  "source": "producer_test",
+  "external_id": "${RUN_ID}-promo_personal",
+  "notification_datetime": "${DT_PROMO}",
+  "header": "Скидка 15% на годовое сопровождение",
+  "text": "Персональное предложение: контроль сроков патента, учёта и уведомлений — до конца месяца.",
+  "price": "15725.00",
+  "old_price": "18500.00",
+  "date_expired": "${EXPIRE_PAYMENT}",
+  "chat_message_text": "Здравствуйте! Хочу подключить годовое сопровождение по соблюдению миграционного законодательства со скидкой 15%. Подскажите, что входит в пакет и как оформить."
+}
+JSON
+
+write_payload ads_personal <<JSON
+{
+  "user_id": "${USER_ID}",
+  "notification_type": "ads_personal",
+  "source": "producer_test",
+  "external_id": "${RUN_ID}-ads_personal",
+  "notification_datetime": "${DT_ADS}",
+  "header": "Бесплатная проверка миграционного статуса",
+  "text": "15 минут с экспертом: оценим риски и составим чек-лист обязательных действий.",
+  "chat_message_text": "Здравствуйте! Хочу воспользоваться бесплатной проверкой миграционного статуса. Подскажите, как записаться и какие документы подготовить к консультации."
+}
+JSON
+
+# --- отправка ---
+
+create_notification urgent
+create_notification payment_pending
+create_notification docs_required
+if [[ -f "${PAYLOAD_DIR}/docs_ready.json" ]]; then
+  create_notification docs_ready
+else
+  echo
+  echo "========== docs_ready — ПРОПУЩЕН =========="
+fi
+create_notification status_changed
+create_notification reminder
+create_notification news
+create_notification promo_personal
+create_notification ads_personal
+
+echo
+echo "========== Готово =========="
+echo "External ID prefix: ${RUN_ID}-*"
+echo
+echo "Если видите 401: проверьте NOTIFICATIONS_TOKEN_PRODUCER_TEST в .env и перезапустите api-backend."
+echo "  grep NOTIFICATIONS_TOKEN_PRODUCER_TEST .env"
+echo "  docker compose --env-file .env up -d --force-recreate api-backend"

VM1_app/codebase/backend/deployment/scripts/seed.sh

@@ -0,0 +1,18 @@
+#!/bin/sh
+set -eu
+cd "$(dirname "$0")/../.."
+CONFIG_FILE=${ENV_FILE:-.env}
+SECRETS_LAUNCHER=${SECRETS_LAUNCHER:-deployment/secrets/han-secrets}
+
+if [ "${HAN_SECRETS_ACTIVE:-0}" != "1" ]; then
+  [ -x "$SECRETS_LAUNCHER" ] || {
+    echo "Secret launcher is required: $SECRETS_LAUNCHER" >&2
+    exit 66
+  }
+  exec "$SECRETS_LAUNCHER" run --config "$CONFIG_FILE" -- "$0" "$@"
+fi
+
+./scripts/validate-env "$CONFIG_FILE" \
+  --runtime-manifest "$HAN_RUNTIME_SECRET_MANIFEST"
+docker compose --env-file "$CONFIG_FILE" --profile ops run --rm seed-settings
+echo "Seed and mandatory-settings validation completed."

VM1_app/codebase/backend/deployment/scripts/setup-vm.sh

@@ -0,0 +1,591 @@
+#!/usr/bin/env bash
+# Первичная подготовка Ubuntu 24.04 для HAN Chat.
+#
+# Скрипт настраивает только VM: пользователя развертывания, базовые пакеты,
+# Docker/Compose, UFW, fail2ban, DOCKER-USER, swap и каталоги проекта.
+# PostgreSQL и S3 остаются внешними управляемыми сервисами. Скрипт не создает
+# .env, секреты, DNS, S3-бакеты, схемы БД и TLS-сертификаты.
+#
+# Запуск на свежей VM:
+#   chmod +x deployment/scripts/setup-vm.sh
+#   sudo deployment/scripts/setup-vm.sh
+#
+# Основные параметры:
+#   DEPLOY_USER=deploy
+#   DEPLOY_DIR=/opt/han-chat/backend
+#   SSH_PORT=22
+#   TIMEZONE=Europe/Moscow
+#   SWAP_SIZE_GB=4
+#   EXTERNAL_IF=ens3
+#   PUBLIC_DOCKER_PORTS=80,443
+#   COPY_SSH_KEYS=true
+#   HARDEN_SSH=false
+#   LOCK_ACCOUNT_PASSWORDS=true
+#   HSTS_MAX_AGE_SECONDS=31536000
+#   RESET_UFW=false
+#   SKIP_APT_UPGRADE=false
+#
+# Парольный SSH-вход, X11 forwarding и локальные пароли root/deploy отключаются
+# по умолчанию после проверки authorized_keys. HARDEN_SSH=true дополнительно
+# запрещает прямой root-вход и SSH TCP forwarding.
+
+set -Eeuo pipefail
+IFS=$'\n\t'
+
+DEPLOY_USER="${DEPLOY_USER:-deploy}"
+DEPLOY_DIR="${DEPLOY_DIR:-/opt/han-chat/backend}"
+SSH_PORT="${SSH_PORT:-22}"
+TIMEZONE="${TIMEZONE:-Europe/Moscow}"
+SWAP_SIZE_GB="${SWAP_SIZE_GB:-4}"
+EXTERNAL_IF="${EXTERNAL_IF:-}"
+PUBLIC_DOCKER_PORTS="${PUBLIC_DOCKER_PORTS:-80,443}"
+COPY_SSH_KEYS="${COPY_SSH_KEYS:-true}"
+HARDEN_SSH="${HARDEN_SSH:-false}"
+LOCK_ACCOUNT_PASSWORDS="${LOCK_ACCOUNT_PASSWORDS:-true}"
+HSTS_MAX_AGE_SECONDS="${HSTS_MAX_AGE_SECONDS:-31536000}"
+RESET_UFW="${RESET_UFW:-false}"
+SKIP_APT_UPGRADE="${SKIP_APT_UPGRADE:-false}"
+LOG_FILE="${LOG_FILE:-/var/log/han-chat-vm-setup.log}"
+
+log() {
+  printf '[%s] %s\n' "$(date '+%Y-%m-%d %H:%M:%S')" "$*" | tee -a "$LOG_FILE"
+}
+
+step() {
+  log ""
+  log "==> $*"
+}
+
+die() {
+  log "ОШИБКА: $*"
+  exit 1
+}
+
+on_error() {
+  local exit_code=$?
+  log "ОШИБКА: команда завершилась с кодом ${exit_code}, строка ${BASH_LINENO[0]}"
+  exit "$exit_code"
+}
+trap on_error ERR
+
+require_root() {
+  [[ "${EUID:-$(id -u)}" -eq 0 ]] || die "Запустите скрипт через sudo"
+}
+
+validate_parameters() {
+  [[ "$DEPLOY_USER" =~ ^[a-z_][a-z0-9_-]*$ ]] || die "Некорректный DEPLOY_USER"
+  [[ "$DEPLOY_DIR" == /* ]] || die "DEPLOY_DIR должен быть абсолютным путем"
+  [[ "$SSH_PORT" =~ ^[0-9]+$ ]] || die "SSH_PORT должен быть числом"
+  ((SSH_PORT >= 1 && SSH_PORT <= 65535)) || die "SSH_PORT вне диапазона"
+  [[ "$SWAP_SIZE_GB" =~ ^[0-9]+$ ]] || die "SWAP_SIZE_GB должен быть целым числом"
+  [[ "$HSTS_MAX_AGE_SECONDS" =~ ^[0-9]+$ ]] \
+    || die "HSTS_MAX_AGE_SECONDS должен быть целым числом"
+  ((HSTS_MAX_AGE_SECONDS >= 31536000)) \
+    || die "HSTS_MAX_AGE_SECONDS должен быть не меньше 31536000"
+  [[ "$PUBLIC_DOCKER_PORTS" =~ ^[0-9]+(,[0-9]+)*$ ]] \
+    || die "PUBLIC_DOCKER_PORTS должен иметь вид 80,443"
+}
+
+check_os() {
+  step "Проверка операционной системы"
+  [[ -r /etc/os-release ]] || die "Не найден /etc/os-release"
+  # shellcheck disable=SC1091
+  source /etc/os-release
+  [[ "${ID:-}" == "ubuntu" ]] || die "Поддерживается только Ubuntu"
+  local major="${VERSION_ID%%.*}"
+  ((major >= 24)) || die "Требуется Ubuntu 24.04 или новее"
+  log "Обнаружена ${PRETTY_NAME}"
+}
+
+update_system() {
+  step "Обновление системы и установка пакетов"
+  export DEBIAN_FRONTEND=noninteractive
+  apt-get update
+  if [[ "$SKIP_APT_UPGRADE" != "true" ]]; then
+    apt-get dist-upgrade -y
+  fi
+  apt-get install -y \
+    ca-certificates \
+    curl \
+    dos2unix \
+    fail2ban \
+    git \
+    gnupg \
+    iptables \
+    jq \
+    logrotate \
+    netcat-openbsd \
+    openssl \
+    python3 \
+    python3-venv \
+    rsync \
+    unattended-upgrades \
+    ufw
+  apt-get autoremove -y
+}
+
+configure_time() {
+  step "Настройка времени"
+  timedatectl set-timezone "$TIMEZONE"
+  timedatectl set-ntp true
+}
+
+create_deploy_user() {
+  step "Пользователь развертывания"
+  if ! id "$DEPLOY_USER" >/dev/null 2>&1; then
+    useradd --create-home --shell /bin/bash "$DEPLOY_USER"
+    log "Создан пользователь ${DEPLOY_USER}"
+  else
+    log "Пользователь ${DEPLOY_USER} уже существует"
+  fi
+
+  install -d -m 700 -o "$DEPLOY_USER" -g "$DEPLOY_USER" \
+    "/home/${DEPLOY_USER}/.ssh"
+
+  local source_user="${SUDO_USER:-}"
+  local source_keys=""
+  local target_keys="/home/${DEPLOY_USER}/.ssh/authorized_keys"
+  if [[ -n "$source_user" && "$source_user" != "root" ]]; then
+    source_keys="/home/${source_user}/.ssh/authorized_keys"
+  elif [[ -s /root/.ssh/authorized_keys ]]; then
+    source_user="root"
+    source_keys="/root/.ssh/authorized_keys"
+  fi
+
+  if [[ "$COPY_SSH_KEYS" == "true" && ! -s "$target_keys" && -s "$source_keys" ]]; then
+    install -m 600 -o "$DEPLOY_USER" -g "$DEPLOY_USER" "$source_keys" "$target_keys"
+    log "SSH-ключи скопированы от ${source_user}"
+  fi
+
+  if [[ ! -s "$target_keys" ]]; then
+    log "ПРЕДУПРЕЖДЕНИЕ: у ${DEPLOY_USER} отсутствует authorized_keys"
+  fi
+}
+
+configure_account_passwords() {
+  step "Блокировка локальных паролей привилегированных учетных записей"
+  if [[ "$LOCK_ACCOUNT_PASSWORDS" != "true" ]]; then
+    log "LOCK_ACCOUNT_PASSWORDS=false: локальные пароли root и ${DEPLOY_USER} не изменены"
+    return
+  fi
+
+  [[ -s "/home/${DEPLOY_USER}/.ssh/authorized_keys" ]] \
+    || die "Нельзя заблокировать пароль ${DEPLOY_USER}: authorized_keys пользователя пуст"
+
+  passwd --lock root
+  passwd --lock "$DEPLOY_USER"
+  log "Локальные пароли root и ${DEPLOY_USER} заблокированы; вход по SSH-ключам сохранен"
+}
+
+configure_layout() {
+  step "Каталоги HAN Chat"
+  install -d -m 755 -o "$DEPLOY_USER" -g "$DEPLOY_USER" "$DEPLOY_DIR"
+  install -d -m 700 -o "$DEPLOY_USER" -g "$DEPLOY_USER" \
+    "${DEPLOY_DIR}/secrets" \
+    "${DEPLOY_DIR}/secrets/pg" \
+    "${DEPLOY_DIR}/backups"
+
+  local env_file="${DEPLOY_DIR}/.env"
+  if [[ -f "$env_file" ]]; then
+    chown "$DEPLOY_USER:$DEPLOY_USER" "$env_file"
+    chmod 600 "$env_file"
+  fi
+}
+
+configure_swap() {
+  step "Настройка swap"
+  if ((SWAP_SIZE_GB == 0)); then
+    log "Создание swap отключено"
+    return
+  fi
+  if swapon --show=NAME --noheadings | grep -qx '/swapfile'; then
+    log "Swap уже подключен"
+    return
+  fi
+  if [[ ! -f /swapfile ]]; then
+    fallocate -l "${SWAP_SIZE_GB}G" /swapfile
+    chmod 600 /swapfile
+    mkswap /swapfile
+  fi
+  swapon /swapfile
+  grep -q '^/swapfile ' /etc/fstab \
+    || printf '/swapfile none swap sw 0 0\n' >>/etc/fstab
+  printf 'vm.swappiness = 10\n' >/etc/sysctl.d/99-han-chat-swappiness.conf
+  sysctl --system >/dev/null
+}
+
+configure_sysctl() {
+  step "Настройка сетевого стека"
+  cat >/etc/sysctl.d/99-han-chat-hardening.conf <<'EOF'
+net.ipv4.ip_forward = 1
+net.ipv4.tcp_syncookies = 1
+net.ipv4.conf.all.accept_redirects = 0
+net.ipv4.conf.default.accept_redirects = 0
+net.ipv4.conf.all.send_redirects = 0
+net.ipv4.conf.default.send_redirects = 0
+net.ipv4.conf.all.rp_filter = 1
+net.ipv4.conf.default.rp_filter = 1
+net.ipv4.icmp_echo_ignore_broadcasts = 1
+net.ipv4.tcp_fin_timeout = 30
+EOF
+  sysctl --system >/dev/null
+}
+
+install_docker() {
+  step "Установка Docker Engine и Compose"
+  if ! command -v docker >/dev/null 2>&1; then
+    install -m 0755 -d /etc/apt/keyrings
+    curl -fsSL https://download.docker.com/linux/ubuntu/gpg \
+      | gpg --dearmor --yes -o /etc/apt/keyrings/docker.gpg
+    chmod a+r /etc/apt/keyrings/docker.gpg
+    # shellcheck disable=SC1091
+    source /etc/os-release
+    printf '%s\n' \
+      "deb [arch=$(dpkg --print-architecture) signed-by=/etc/apt/keyrings/docker.gpg] https://download.docker.com/linux/ubuntu ${VERSION_CODENAME} stable" \
+      >/etc/apt/sources.list.d/docker.list
+    apt-get update
+    apt-get install -y docker-ce docker-ce-cli containerd.io docker-buildx-plugin docker-compose-plugin
+  fi
+
+  install -d -m 755 /etc/docker
+  cat >/etc/docker/daemon.json <<'EOF'
+{
+  "live-restore": true,
+  "log-driver": "json-file",
+  "log-opts": {
+    "max-size": "50m",
+    "max-file": "5"
+  },
+  "userland-proxy": false
+}
+EOF
+  systemctl enable --now docker
+  systemctl restart docker
+  usermod -aG docker "$DEPLOY_USER"
+
+  docker compose version >/dev/null \
+    || die "Docker Compose plugin не установлен"
+  log "$(docker --version)"
+  log "$(docker compose version)"
+}
+
+configure_ufw() {
+  step "Настройка UFW"
+  if [[ "$RESET_UFW" == "true" ]]; then
+    ufw --force reset
+  fi
+  ufw default deny incoming
+  ufw default allow outgoing
+  ufw allow "${SSH_PORT}/tcp" comment 'HAN Chat SSH'
+  ufw limit "${SSH_PORT}/tcp" comment 'HAN Chat SSH rate limit'
+  ufw allow 80/tcp comment 'HAN Chat HTTP'
+  ufw allow 443/tcp comment 'HAN Chat HTTPS'
+  ufw logging medium
+  ufw --force enable
+}
+
+configure_fail2ban() {
+  step "Настройка fail2ban для SSH"
+  cat >/etc/fail2ban/jail.d/han-chat.local <<EOF
+[DEFAULT]
+bantime = 2h
+findtime = 10m
+maxretry = 5
+backend = systemd
+banaction = ufw
+
+[sshd]
+enabled = true
+port = ${SSH_PORT}
+maxretry = 3
+EOF
+  systemctl enable --now fail2ban
+  systemctl restart fail2ban
+}
+
+configure_unattended_upgrades() {
+  step "Автоматические обновления безопасности"
+  cat >/etc/apt/apt.conf.d/51han-chat-unattended <<'EOF'
+Unattended-Upgrade::Remove-Unused-Dependencies "true";
+Unattended-Upgrade::Automatic-Reboot "false";
+EOF
+  dpkg-reconfigure -f noninteractive unattended-upgrades
+  systemctl enable --now unattended-upgrades
+}
+
+configure_docker_firewall() {
+  step "Фильтрация опубликованных Docker-портов"
+  cat >/etc/default/han-chat-docker-firewall <<EOF
+EXTERNAL_IF=${EXTERNAL_IF}
+PUBLIC_DOCKER_PORTS=${PUBLIC_DOCKER_PORTS}
+EOF
+
+  cat >/usr/local/sbin/han-chat-docker-firewall <<'FIREWALL'
+#!/usr/bin/env bash
+set -Eeuo pipefail
+# shellcheck disable=SC1091
+source /etc/default/han-chat-docker-firewall
+
+external_if="${EXTERNAL_IF:-}"
+if [[ -z "$external_if" ]]; then
+  external_if="$(ip -4 route show default | awk '{print $5; exit}')"
+fi
+[[ -n "$external_if" ]] || {
+  echo "Не удалось определить внешний интерфейс; задайте EXTERNAL_IF" >&2
+  exit 1
+}
+
+iptables -N HAN-CHAT-DOCKER 2>/dev/null || true
+iptables -F HAN-CHAT-DOCKER
+
+iptables -A HAN-CHAT-DOCKER -m conntrack --ctstate RELATED,ESTABLISHED -j RETURN
+iptables -A HAN-CHAT-DOCKER -i lo -j RETURN
+
+IFS=',' read -ra ports <<<"$PUBLIC_DOCKER_PORTS"
+for port in "${ports[@]}"; do
+  [[ "$port" =~ ^[0-9]+$ ]] || {
+    echo "Некорректный порт: $port" >&2
+    exit 1
+  }
+  iptables -A HAN-CHAT-DOCKER -i "$external_if" -p tcp --dport "$port" -j RETURN
+done
+
+# Блокируется только новый входящий трафик с внешнего интерфейса в Docker bridge.
+# Исходящий и межконтейнерный трафик этой цепочкой не затрагивается.
+iptables -A HAN-CHAT-DOCKER -i "$external_if" -o docker+ -j DROP
+iptables -A HAN-CHAT-DOCKER -i "$external_if" -o br+ -j DROP
+iptables -A HAN-CHAT-DOCKER -j RETURN
+
+while iptables -C DOCKER-USER -j HAN-CHAT-DOCKER 2>/dev/null; do
+  iptables -D DOCKER-USER -j HAN-CHAT-DOCKER
+done
+iptables -I DOCKER-USER 1 -j HAN-CHAT-DOCKER
+FIREWALL
+  chmod 750 /usr/local/sbin/han-chat-docker-firewall
+
+  cat >/etc/systemd/system/han-chat-docker-firewall.service <<'EOF'
+[Unit]
+Description=HAN Chat firewall for Docker published ports
+After=docker.service network-online.target
+Wants=docker.service network-online.target
+
+[Service]
+Type=oneshot
+ExecStart=/usr/local/sbin/han-chat-docker-firewall
+RemainAfterExit=yes
+
+[Install]
+WantedBy=multi-user.target
+EOF
+
+  install -d -m 755 /etc/systemd/system/docker.service.d
+  cat >/etc/systemd/system/docker.service.d/han-chat-firewall.conf <<'EOF'
+[Service]
+ExecStartPost=-/usr/local/sbin/han-chat-docker-firewall
+EOF
+  systemctl daemon-reload
+  systemctl enable --now han-chat-docker-firewall.service
+}
+
+configure_ssh() {
+  step "Настройка SSH"
+  [[ -s /root/.ssh/authorized_keys || -s "/home/${DEPLOY_USER}/.ssh/authorized_keys" ]] \
+    || die "Нельзя отключить парольный SSH-вход: не найден ни один authorized_keys"
+
+  cat >/etc/ssh/sshd_config.d/00-han-chat.conf <<EOF
+PasswordAuthentication no
+KbdInteractiveAuthentication no
+PubkeyAuthentication yes
+X11Forwarding no
+MaxAuthTries 3
+ClientAliveInterval 120
+ClientAliveCountMax 2
+Port ${SSH_PORT}
+EOF
+  if [[ "$HARDEN_SSH" == "true" ]]; then
+    cat >>/etc/ssh/sshd_config.d/00-han-chat.conf <<'EOF'
+PermitRootLogin no
+AllowTcpForwarding no
+EOF
+    log "Расширенный SSH hardening включен: root-вход и TCP forwarding запрещены"
+  else
+    log "Базовый SSH hardening включен; root-вход и TCP forwarding не изменены"
+  fi
+
+  rm -f /etc/ssh/sshd_config.d/99-han-chat.conf
+  sshd -t || die "Проверка конфигурации sshd не пройдена"
+  systemctl reload ssh
+}
+
+configure_application_security() {
+  step "Безопасные HTTP-заголовки приложения"
+  local env_file="${DEPLOY_DIR}/.env"
+
+  if [[ -f "$env_file" ]]; then
+    if grep -q '^NGINX_HSTS_MAX_AGE=' "$env_file"; then
+      sed -i "s/^NGINX_HSTS_MAX_AGE=.*/NGINX_HSTS_MAX_AGE=${HSTS_MAX_AGE_SECONDS}/" "$env_file"
+    else
+      printf '\nNGINX_HSTS_MAX_AGE=%s\n' "$HSTS_MAX_AGE_SECONDS" >>"$env_file"
+    fi
+    chown "$DEPLOY_USER:$DEPLOY_USER" "$env_file"
+    chmod 600 "$env_file"
+    log "HSTS настроен на ${HSTS_MAX_AGE_SECONDS} секунд в ${env_file}"
+  else
+    log "Проект еще не настроен: HSTS будет взят из безопасного значения Compose по умолчанию"
+  fi
+}
+
+install_secret_loader_if_possible() {
+  step "Загрузчик секретов"
+  local source_dir="${DEPLOY_DIR}/deployment/secrets"
+  if [[ ! -f "${source_dir}/secrets_loader.py" || ! -f "${source_dir}/han-secrets" ]]; then
+    log "Проект еще не скопирован: загрузчик секретов будет установлен при повторном запуске"
+    return
+  fi
+  chmod 0750 "${source_dir}/han-secrets" "${source_dir}/han-compose"
+
+  install -d -m 0700 -o root -g root \
+    /etc/han \
+    /etc/han/secrets \
+    /etc/han/credentials
+  install -d -m 0755 -o root -g root \
+    /usr/local/lib/han-secrets \
+    /usr/local/share/doc/han-secrets
+  install -m 0750 -o root -g root \
+    "${source_dir}/secrets_loader.py" \
+    /usr/local/lib/han-secrets/secrets_loader.py
+  install -m 0750 -o root -g root \
+    "${source_dir}/han-secrets" \
+    /usr/local/lib/han-secrets/han-secrets
+  install -m 0750 -o root -g root \
+    "${source_dir}/han-compose" \
+    /usr/local/bin/han-compose
+  install -m 0644 -o root -g root \
+    "${source_dir}/han-secrets@.service" \
+    /etc/systemd/system/han-secrets@.service
+  install -m 0644 -o root -g root \
+    "${source_dir}/SELECTEL_RUNBOOK.ru.md" \
+    /usr/local/share/doc/han-secrets/SELECTEL_RUNBOOK.ru.md
+  if [[ ! -e /etc/han/secrets/production.selectel.json.example ]]; then
+    install -m 0600 -o root -g root \
+      "${source_dir}/config.example.json" \
+      /etc/han/secrets/production.selectel.json.example
+  fi
+  systemctl daemon-reload
+  log "Загрузчик установлен, но не включен: сначала выполните SELECTEL_RUNBOOK.ru.md"
+}
+
+install_ssl_timer_if_possible() {
+  step "Таймер продления TLS"
+  local renew_script="${DEPLOY_DIR}/deployment/scripts/ssl-renew.sh"
+  if [[ ! -x "$renew_script" ]]; then
+    log "Проект еще не скопирован: таймер TLS будет установлен при повторном запуске"
+    return
+  fi
+
+  cat >/etc/systemd/system/han-chat-ssl-renew.service <<EOF
+[Unit]
+Description=Renew HAN Chat TLS certificate
+After=docker.service
+
+[Service]
+Type=oneshot
+User=${DEPLOY_USER}
+WorkingDirectory=${DEPLOY_DIR}
+ExecStart=${renew_script}
+EOF
+
+  cat >/etc/systemd/system/han-chat-ssl-renew.timer <<'EOF'
+[Unit]
+Description=Run HAN Chat TLS renewal twice daily
+
+[Timer]
+OnCalendar=*-*-* 03,15:20:00
+RandomizedDelaySec=30m
+Persistent=true
+
+[Install]
+WantedBy=timers.target
+EOF
+  systemctl daemon-reload
+  systemctl enable --now han-chat-ssl-renew.timer
+}
+
+verify() {
+  step "Проверка результата"
+  local failed=0
+  systemctl is-active --quiet docker || { log "FAIL: Docker не активен"; failed=1; }
+  systemctl is-active --quiet fail2ban || { log "FAIL: fail2ban не активен"; failed=1; }
+  ufw status | grep -q 'Status: active' || { log "FAIL: UFW не активен"; failed=1; }
+  iptables -C DOCKER-USER -j HAN-CHAT-DOCKER 2>/dev/null \
+    || { log "FAIL: цепочка HAN-CHAT-DOCKER не подключена"; failed=1; }
+  docker compose version >/dev/null || { log "FAIL: Compose недоступен"; failed=1; }
+  [[ -d "$DEPLOY_DIR" ]] || { log "FAIL: отсутствует ${DEPLOY_DIR}"; failed=1; }
+  ((failed == 0)) || die "Базовая проверка VM не пройдена"
+  log "Базовая проверка VM пройдена"
+}
+
+summary() {
+  step "Настройка VM завершена"
+  cat <<EOF | tee -a "$LOG_FILE"
+
+Пользователь развертывания: ${DEPLOY_USER}
+Каталог Compose:          ${DEPLOY_DIR}
+Открытые порты:           ${SSH_PORT}, 80, 443
+Парольный SSH/X11:        отключены
+Локальные пароли:         ${LOCK_ACCOUNT_PASSWORDS}
+HSTS max-age:             ${HSTS_MAX_AGE_SECONDS}
+Лог настройки:            ${LOG_FILE}
+
+Следующие действия:
+1. Проверьте вход в новой SSH-сессии:
+     ssh ${DEPLOY_USER}@<VM_IP>
+2. Скопируйте содержимое codebase/backend в:
+     ${DEPLOY_DIR}
+3. Поместите CA PostgreSQL:
+     ${DEPLOY_DIR}/secrets/pg/ca.pem
+4. Создайте только несекретный config:
+     cd ${DEPLOY_DIR}
+     cp .env.example .env
+     chmod 600 .env
+     ./scripts/validate-env .env
+5. Настройте Selectel, encrypted bootstrap credential и fallback map:
+     deployment/secrets/SELECTEL_RUNBOOK.ru.md
+6. Выполняйте Compose только через:
+     sudo deployment/secrets/han-compose <command>
+7. Продолжите с Gate 7 в:
+     deployment/RUNBOOK.ru.md
+8. После копирования проекта повторно запустите этот скрипт для установки unit-файлов.
+
+Важно: членство в группе docker начнет действовать после нового входа в систему.
+EOF
+}
+
+main() {
+  require_root
+  install -d -m 755 "$(dirname "$LOG_FILE")"
+  touch "$LOG_FILE"
+  chmod 600 "$LOG_FILE"
+  validate_parameters
+  check_os
+  update_system
+  configure_time
+  create_deploy_user
+  configure_account_passwords
+  configure_layout
+  configure_swap
+  configure_sysctl
+  install_docker
+  configure_ufw
+  configure_fail2ban
+  configure_unattended_upgrades
+  configure_docker_firewall
+  configure_ssh
+  configure_application_security
+  install_secret_loader_if_possible
+  install_ssl_timer_if_possible
+  verify
+  summary
+}
+
+main "$@"

VM1_app/codebase/backend/deployment/scripts/smoke.sh

@@ -0,0 +1,71 @@
+#!/bin/sh
+set -eu
+cd "$(dirname "$0")/../.."
+
+CONFIG_FILE=${CONFIG_FILE:-.env}
+SECRETS_LAUNCHER=${SECRETS_LAUNCHER:-deployment/secrets/han-secrets}
+if [ "${HAN_SECRETS_ACTIVE:-0}" != "1" ]; then
+  [ -x "$SECRETS_LAUNCHER" ] || {
+    echo "Secret launcher is required: $SECRETS_LAUNCHER" >&2
+    exit 66
+  }
+  exec "$SECRETS_LAUNCHER" run --config "$CONFIG_FILE" -- "$0" "$@"
+fi
+if [ -n "${HAN_RUNTIME_SECRET_MANIFEST:-}" ]; then
+  ./scripts/validate-env "$CONFIG_FILE" --runtime-manifest "$HAN_RUNTIME_SECRET_MANIFEST"
+else
+  ./scripts/validate-env "$CONFIG_FILE" --runtime-env
+fi
+
+env_value() {
+  python3 - "$CONFIG_FILE" "$1" <<'PY'
+import sys
+from pathlib import Path
+
+path, wanted = sys.argv[1:]
+for raw in Path(path).read_text(encoding="utf-8").splitlines():
+    line = raw.strip()
+    if not line or line.startswith("#") or "=" not in line:
+        continue
+    key, value = line.split("=", 1)
+    if key.strip() == wanted:
+        value = value.strip()
+        if len(value) >= 2 and value[0] == value[-1] and value[0] in "\"'":
+            value = value[1:-1]
+        print(value)
+        break
+else:
+    raise SystemExit(f"missing environment variable: {wanted}")
+PY
+}
+
+PUBLIC_HOST=$(env_value PUBLIC_HOST)
+PUBLIC_WEB_URL=$(env_value PUBLIC_WEB_URL)
+KEYCLOAK_REALM=$(env_value KEYCLOAK_REALM)
+
+tmp=$(mktemp -d)
+trap 'rm -rf "$tmp"' EXIT
+
+http_code=$(curl -sS -o /dev/null -w '%{http_code}' "http://${PUBLIC_HOST}/")
+[ "$http_code" = "308" ] || { echo "Expected HTTP 308, got $http_code" >&2; exit 1; }
+curl -fsS "${PUBLIC_WEB_URL}/api/v1/public/app-config" -o "$tmp/app-config.json"
+curl -fsS "${PUBLIC_WEB_URL}/api/v1/public/content" -o "$tmp/content.json"
+curl -fsS "${PUBLIC_WEB_URL}/auth/realms/${KEYCLOAK_REALM}/.well-known/openid-configuration" -o "$tmp/oidc.json"
+
+internal_code=$(curl -sS -o /dev/null -w '%{http_code}' "${PUBLIC_WEB_URL}/internal/safety/v1/messages/check")
+[ "$internal_code" = "404" ] || { echo "Public /internal returned $internal_code, expected 404" >&2; exit 1; }
+sms_internal_code=$(curl -sS -o /dev/null -w '%{http_code}' "${PUBLIC_WEB_URL}/internal/sms/v1/messages/00000000-0000-0000-0000-000000000000")
+[ "$sms_internal_code" = "404" ] || { echo "Public SMS internal API returned $sms_internal_code, expected 404" >&2; exit 1; }
+sms_callback_code=$(curl -sS -o /dev/null -w '%{http_code}' -X POST \
+  -H 'Content-Type: application/json' --data '[]' \
+  "${PUBLIC_WEB_URL}/callbacks/idgtl/sms")
+[ "$sms_callback_code" = "403" ] || { echo "SMS callback without provider IP returned $sms_callback_code, expected 403" >&2; exit 1; }
+
+headers=$(curl -fsSI "${PUBLIC_WEB_URL}/")
+printf '%s' "$headers" | grep -qi '^x-content-type-options: nosniff'
+printf '%s' "$headers" | grep -qi '^x-request-id:'
+printf '%s' "$headers" | grep -qi '^content-security-policy:'
+
+openssl s_client -connect "${PUBLIC_HOST}:443" -servername "$PUBLIC_HOST" </dev/null 2>/dev/null \
+  | openssl x509 -noout -checkend 604800
+echo "Public edge smoke passed."

VM1_app/codebase/backend/deployment/scripts/ssl-renew.sh

@@ -0,0 +1,38 @@
+#!/bin/sh
+set -eu
+cd "$(dirname "$0")/../.."
+CONFIG_FILE=${CONFIG_FILE:-.env}
+SECRETS_LAUNCHER=${SECRETS_LAUNCHER:-deployment/secrets/han-secrets}
+
+if [ "${HAN_SECRETS_ACTIVE:-0}" != "1" ]; then
+  [ -x "$SECRETS_LAUNCHER" ] || {
+    echo "Secret launcher is required: $SECRETS_LAUNCHER" >&2
+    exit 66
+  }
+  exec "$SECRETS_LAUNCHER" run --config "$CONFIG_FILE" -- "$0" "$@"
+fi
+
+lock=/tmp/han-chat-cert-renew.lock
+exec 9>"$lock"
+flock -n 9 || { echo '{"event":"tls.renew.skipped","reason":"lock_busy"}'; exit 0; }
+
+compose() {
+  docker compose --env-file "$CONFIG_FILE" "$@"
+}
+
+nginx_container="$(compose ps --status running --quiet nginx)"
+if [ -z "$nginx_container" ]; then
+  echo '{"event":"tls.renew.failed","reason":"nginx_not_running"}' >&2
+  exit 1
+fi
+
+compose --profile certbot run --rm certbot renew \
+  --webroot -w /var/www/certbot --quiet
+compose exec -T nginx nginx -t -c /tmp/nginx.conf
+
+# Сигнал отправляется PID 1 контейнера. Нельзя использовать `nginx -s reload`:
+# он ищет дефолтный /var/run/nginx.pid, тогда как рабочий PID — /tmp/nginx.pid.
+compose kill --signal HUP nginx
+
+compose ps --status running --quiet nginx | awk 'NF {found=1} END {exit !found}'
+echo "{\"event\":\"tls.renew.completed\",\"timestamp\":\"$(date -u +%FT%TZ)\"}"

VM1_app/codebase/backend/deployment/scripts/verify-observability.sh

@@ -0,0 +1,75 @@
+#!/usr/bin/env bash
+set -Eeuo pipefail
+cd "$(dirname "$0")/../.."
+CONFIG_FILE="${CONFIG_FILE:-.env}"
+SECRETS_LAUNCHER="${SECRETS_LAUNCHER:-deployment/secrets/han-secrets}"
+
+if [[ "${HAN_SECRETS_ACTIVE:-0}" != 1 ]]; then
+  [[ -x "$SECRETS_LAUNCHER" ]] || {
+    echo "Secret launcher is required: $SECRETS_LAUNCHER" >&2
+    exit 66
+  }
+  exec "$SECRETS_LAUNCHER" run --config "$CONFIG_FILE" -- "$0" "$@"
+fi
+
+compose() { docker compose --env-file "$CONFIG_FILE" "$@"; }
+
+NETWORK="${OBSERVABILITY_NETWORK:-han-chat-observability}"
+COLLECTOR_SERVICE="${COLLECTOR_SERVICE:-otel-collector}"
+errors=0
+
+ok() { printf 'OK   %s\n' "$*"; }
+fail() { printf 'FAIL %s\n' "$*" >&2; errors=$((errors + 1)); }
+
+collector_id="$(compose ps -q "$COLLECTOR_SERVICE" 2>/dev/null || true)"
+if [[ -n "$collector_id" ]] &&
+  [[ "$(docker inspect --format '{{.State.Status}}' "$collector_id")" == running ]]; then
+  ok "Collector service is running"
+else
+  fail "Collector service '$COLLECTOR_SERVICE' is not running"
+fi
+
+for service in sms-service sms-worker; do
+  if compose exec -T "$service" python - <<'PY' >/dev/null 2>&1
+import os
+import urllib.request
+port = os.environ.get("SMS_METRICS_PORT", "9464") if "worker" in os.environ.get("OTEL_SERVICE_NAME", "") else "8080"
+urllib.request.urlopen(f"http://127.0.0.1:{port}/metrics", timeout=3).read(1024)
+PY
+  then
+    ok "${service} metrics endpoint"
+  else
+    fail "${service} metrics endpoint"
+  fi
+done
+
+docker run --rm --network "$NETWORK" \
+  ghcr.io/open-telemetry/opentelemetry-collector-contrib/telemetrygen:latest \
+  traces --otlp-endpoint otel-collector:4317 --otlp-insecure \
+  --service han-chat-e2e-canary --traces 100 --rate 20 >/dev/null \
+  && ok "100 canary traces submitted" \
+  || fail "telemetrygen failed"
+
+bad_logs="$(
+  compose logs --since=10m "$COLLECTOR_SERVICE" 2>&1 |
+    grep -Ei 'queue is full|connection refused|tls:|Unauthenticated|Permanent error' || true
+)"
+if [[ -z "$bad_logs" ]]; then
+  ok "No exporter/queue errors in last 10 minutes"
+else
+  fail "Collector reports exporter/queue errors"
+  printf '%s\n' "$bad_logs" >&2
+fi
+
+if ((errors)); then
+  printf 'Observability verification failed: %d check(s)\n' "$errors" >&2
+  exit 1
+fi
+
+cat <<'EOF'
+Локальный канал исправен. В SigNoz проверьте за последние 15 минут:
+  service.name = han-chat-e2e-canary
+  service.namespace = han-chat
+Затем выполните synthetic API request и проверьте общий trace между
+api-backend и dependency spans, service.version и deployment.environment.
+EOF