Перенесены секреты из .env в SM

codebase/backend/deployment/RUNBOOK.ru.md

@@ -63,16 +63,21 @@ sudo deployment/scripts/setup-vm.sh
 ## Этап 6 — окружение и секреты
 
 ```sh
-umask 077
 cp .env.example .env
-chmod 600 .env
-# Замените заглушки через защищенный редактор или менеджер секретов.
+# Замените только несекретные placeholders.
 ./scripts/validate-env .env
-docker compose --env-file .env config --quiet
+sudo systemctl restart han-secrets@production.service
+sudo ./scripts/validate-env .env \
+  --runtime-manifest /run/han-chat/secrets/manifest
+sudo deployment/secrets/han-compose config --quiet
 ```
 
-- [ ] Парные токены совпадают, PostgreSQL проверяет TLS, публичные URL используют HTTPS.
-- [ ] Риск mock OTP принят; все секреты уникальны и содержат не менее 128 бит энтропии.
+- [ ] `SECRETS_SOURCE=file|selectel`; `.env` не содержит secret keys и DSN с credentials.
+- [ ] `deployment/secrets/han-secrets` устанавливает `HAN_SECRETS_ACTIVE=1`,
+      не пишет значения в лог и при возможности передаёт paths-only manifest
+      через `HAN_RUNTIME_SECRET_MANIFEST`.
+- [ ] Runtime-пары токенов совпадают, PostgreSQL проверяет TLS.
+- [ ] Риск mock OTP принят; runtime-секреты уникальны и содержат не менее 128 бит энтропии.
 - [ ] `NOTIFICATIONS_TOKEN_PRODUCER_TEST` сгенерирован отдельно, передан только через secret/env; seed `notification_sources.code='producer_test'` содержит только его hash.
 - [ ] Установлено `FRONTEND_DEV_PROXY_ENABLED=false`; таймауты Safety и nginx согласованы.
 
@@ -233,8 +238,7 @@ deployment/scripts/smoke.sh
 Основным механизмом являются backup/PITR провайдера. Дополнительный проверенный логический дамп:
 
 ```sh
-PG_BACKUP_DSN='postgresql://...?...sslmode=verify-full&sslrootcert=...' \
-  deployment/scripts/backup.sh /opt/han-chat/backups
+deployment/scripts/backup.sh /opt/han-chat/backups
 ```
 
 Ежеквартально восстанавливайте PostgreSQL и S3 в изолированной VPC, развертывайте те же
@@ -248,10 +252,13 @@ smoke-тесты и фиксируйте фактические RPO/RTO. Redis
 
 ```sh
 SCHEMA_BACKWARD_COMPATIBLE_CONFIRMED=true \
-  deployment/scripts/rollback.sh /secure/path/previous-release.env
-ENV_FILE=/secure/path/previous-release.env deployment/scripts/smoke.sh
+  deployment/scripts/rollback.sh <PREVIOUS_IMMUTABLE_RELEASE>
+deployment/scripts/smoke.sh
 ```
 
+Откат использует текущие runtime-секреты и текущий несекретный config. Snapshot
+старого `.env` не создаётся и не восстанавливается.
+
 ## Дополнение: rollout реальной SMS-авторизации
 
 Текущий runbook остаётся mock-only, пока артефакты module-11 не реализованы. Для SMS release обязательны: schema/role `sms`, migrations/seed active approved `auth_otp`, `sms-service`/worker, exact callback route, парные service tokens, Direct `TOKEN_1`, согласованные sender/template, отдельные callback credentials, подтверждённый callback source IP и статический egress IP worker.