Внедрение KESL на ВМ2 + замена CLAMAV на KESL

architectory/arch-04-settings-and-content.md

@@ -199,7 +199,7 @@ worker.lease_seconds=90
 
 ## Service-owned настройки `message-safety`
 
-Runtime policy хранится в версионированной `message_safety.config_versions`, а не в `.env` и не в `han_app.app_settings`. Сюда входят task lease/deadline/attempts, internal rate/pending limits, retention/cache TTL, URL/DNS pipeline limits, ClamAV policy timeout/signature age и enabled file MIME/size policy. Для ClamAV schema допускает возраст сигнатур не более `720` часов (30 дней), seed `max_signature_age_hours` равен `240` часам (10 дней). Полный schema/seed/activation contract — module-05 §10.1 и §15.
+Runtime policy хранится в версионированной `message_safety.config_versions`, а не в `.env` и не в `han_app.app_settings`. Сюда входят task lease/deadline/attempts, internal rate/pending limits, retention/cache TTL, URL/DNS pipeline limits, KESL broker timeout/database age и enabled file MIME/size policy. Schema допускает возраст базы KESL не более `720` часов (30 дней), seed `max_signature_age_hours` равен `240` часам (10 дней). Полный schema/seed/activation contract — module-05 §10.1 и §15.
 
 Seed, JSON Schema и referenced artifacts входят в immutable Message Safety
 image. Их изменение требует одновременно нового pinned image digest и новой
@@ -211,7 +211,7 @@ active row на месте. Rollback выполняется новой config ve
 
 `han_app.app_settings:chat.attachments.*` остаётся бизнес-настройкой api-backend. Message Safety не получает cross-schema read к `han_app`; файл допускается только при пересечении business allow-list, active safety policy и immutable detector manifest. Active policy может сузить manifest, но не добавить parser и не увеличить hard limit.
 
-В env Message Safety остаются только bootstrap/topology/capacity (`APP_ENV`, worker concurrency, DNS resolver, ClamAV/S3/OTLP endpoints); credentials доставляются secret files. Rules/detector versions вычисляются/проверяются по immutable artifacts. Emergency MOCK остаётся в отдельном read-only bind file `root:han-message-safety 0640` с dedicated GID контейнера и намеренно не переносится в БД.
+В env Message Safety остаются только bootstrap/topology/capacity (`APP_ENV`, worker concurrency, DNS resolver, Unix socket KESL broker, S3/OTLP endpoints); credentials доставляются secret files. Rules/detector versions вычисляются/проверяются по immutable artifacts. `scanner_engine=kesl`; `signatures_version` вычисляется как hash KESL version + database date. Emergency MOCK остаётся в отдельном read-only bind file `root:han-message-safety 0640` с dedicated GID контейнера и намеренно не переносится в БД.
 
 ---
 
@@ -379,8 +379,7 @@ HAN_APP_SAFETY_RECOVERY_MAX_SEC=1200
 # /etc/han-chat/message-safety-mode.env и меняется approved helper-ом.
 MESSAGE_SAFETY_WORKER_CONCURRENCY=5
 MESSAGE_SAFETY_DNS_RESOLVERS=<VPC-resolver-IP>
-MESSAGE_SAFETY_CLAMAV_HOST=clamd
-MESSAGE_SAFETY_CLAMAV_PORT=3310
+MESSAGE_SAFETY_KESL_SOCKET=/run/han-kesl/scan.sock
 
 # =============================================================================
 # Frontend (nginx)