chore(home): mirror from kalinamall (b0abf99) with papatramp URLs

2026-07-14 20:43:55 +10:00
commit 10704e0f88
40 changed files with 7253 additions and 0 deletions
@@ -0,0 +1,4 @@
 # Агентские скрипты — LF в git и на Linux (manifest SHA256 = git blob).
 ssh-monitor text eol=lf
 *.sh text eol=lf
 version.txt text eol=lf
@@ -0,0 +1,16 @@
 .DS_Store
 CalculatorApp/
 .cursor/
 # .env — не коммитить; ssh-monitor.conf с секретами допустим только в закрытом зеркале (не в публичном GitHub)
 .env
 .env.*
 # Артефакты локальной сборки (релизные архивы грузятся в GitHub Releases, в git не коммитим)
 ssh-monitor-*.tar.gz
 # Локальный загрузчик Rutube / yt-dlp — живёт в другом репозитории
 rutube-download.py
 .ytdl-archive.txt
 # Локальные инструменты разработки (не в Gitea/GitHub)
 .local/
 scripts/build-release-manifest.sh
@@ -0,0 +1,24 @@
 ssh-monitor (ветка ipset) — что сделать на сервере
 ==================================================
 1) apt install ipset
 2) Скопируйте ssh-monitor в /usr/local/bin/ (или как у вас принято), права +x.
 3) Каталог /etc/iptables должен существовать, если нужен save правил:
   mkdir -p /etc/iptables
   Скрипт пишет:
   - /etc/iptables/ipset.rules
   - /etc/iptables/rules.v4 и rules.v6 (если есть iptables-save)
 4) Загрузка ipset после перезагрузки (Debian/Ubuntu, пример):
   apt install ipset-persistent
   либо свой systemd unit: ipset restore -f /etc/iptables/ipset.rules
 5) UFW / nftables: если фактический фильтр не iptables-nft совместимый с -m set,
   правило может не примениться — проверяйте «iptables -L INPUT -n» и счётчики.
 6) С таймаутом ipset ядро само убирает IP из набора; скрипт лишь чистит файл бан-листа
   и при расхождении восстанавливает элемент в ipset (verify_ban_list_vs_ipset).
 Версия скрипта: см. SSH_MONITOR_VERSION в начале файла.
@@ -0,0 +1,21 @@
 MIT License
 Copyright (c) 2026 PTah
 Permission is hereby granted, free of charge, to any person obtaining a copy
 of this software and associated documentation files (the "Software"), to deal
 in the Software without restriction, including without limitation the rights
 to use, copy, modify, merge, publish, distribute, sublicense, and/or sell
 copies of the Software, and to permit persons to whom the Software is
 furnished to do so, subject to the following conditions:
 The above copyright notice and this permission notice shall be included in all
 copies or substantial portions of the Software.
 THE SOFTWARE IS PROVIDED "AS IS", WITHOUT WARRANTY OF ANY KIND, EXPRESS OR
 IMPLIED, INCLUDING BUT NOT LIMITED TO THE WARRANTIES OF MERCHANTABILITY,
 FITNESS FOR A PARTICULAR PURPOSE AND NONINFRINGEMENT. IN NO EVENT SHALL THE
 AUTHORS OR COPYRIGHT HOLDERS BE LIABLE FOR ANY CLAIM, DAMAGES OR OTHER
 LIABILITY, WHETHER IN AN ACTION OF CONTRACT, TORT OR OTHERWISE, ARISING FROM,
 OUT OF OR IN CONNECTION WITH THE SOFTWARE OR THE USE OR OTHER DEALINGS IN THE
 SOFTWARE.
@@ -0,0 +1,16 @@
 # Версия берётся из ssh-monitor (SSH_MONITOR_VERSION).
 .PHONY: dist clean-dist manifest
 VERSION := $(shell sed -n 's/^SSH_MONITOR_VERSION="\(.*\)".*/\1/p' ssh-monitor | head -n1)
 DIST := ssh-monitor-$(VERSION).tar.gz
 dist: $(DIST)
 manifest:
 	@test -x .local/build-release-manifest.sh || (echo "Сначала: ./contrib/install-git-hooks.sh" >&2; exit 1)
 	./.local/build-release-manifest.sh
 $(DIST): ssh-monitor
 	git archive --format=tar.gz --prefix=ssh-monitor-$(VERSION)/ -o $(DIST) HEAD
 clean-dist:
 	rm -f ssh-monitor-*.tar.gz
@@ -0,0 +1,243 @@
 # ssh-monitor
 **Версия:** `2.3.0-SAC`
 Bash-мониторинг **SSH**, **sudo**, **systemd-logind**: Telegram/email, бан IP (ipset), ежедневный отчёт, heartbeat.
 **Security Alert Center:** модуль **`sac-client.sh`**, режим `UseSAC` (`off` | `exclusive` | `dual` | `fallback`) — [контракт SAC](https://git.papatramp.ru/PapaTramp/security-alert-center/src/branch/main/docs/agent-integration.md). Ingest / таймауты / fallback: [docs/sac-ingest.ru.md](docs/sac-ingest.ru.md). **Основной способ обновления на Linux** — кнопка **«Обновить ssh-monitor (SSH)»** в SAC: сервер передаёт `REPO_URL` / `GIT_BRANCH`, updater сам подтягивает git, выставляет права на конфиг/spool/state и перезапускает сервис. Cron/systemd timer — опционально.
 **Безопасность (2.1.7+):** агент работает от root; доверяйте только своему git-зеркалу (`REPO_URL`) и `/etc/ssh-monitor.conf` (`chmod 600`). С **2.3.0** конфиг читается **без `source`** (whitelist ключей, без выполнения bash из файла). Updater дописывает обязательные ключи и **на каждом прогоне** применяет `chmod`/`chown` к конфигу, SAC-spool и state-файлам. Подробнее: [docs/security-roadmap.ru.md](docs/security-roadmap.ru.md).
 ## Состав репозитория
 | Файл | Назначение |
 |------|------------|
 | **`ssh-monitor`** | Основной цикл: разбор журналов (**journalctl**: sshd, sudo, «тяжёлые» события, **systemd-logind**), цепочка уведомлений (Telegram, SMTP через **python3**), при **`ENABLE_IP_BAN=1`** — учёт неудачных попыток, бан в **ipset** и согласование с **iptables**/**ip6tables**, ежедневный отчёт, heartbeat, опционально **Prometheus** textfile и JSON health. Режимы: **`--check-config`**, **`--dry-run`**. |
 | **`ssh-monitor-watchdog`** | Отдельный скрипт (обычно по **systemd timer**): проверяет, что сервис монитора активен и файл heartbeat не старше порога; при сбое выполняет **`systemctl restart`** и шлёт уведомление в Telegram. Читает `TELEGRAM_*` и watchdog-параметры из `/etc/ssh-monitor.conf`. |
 | `update_ssh_monitor.sh` | Автообновление: git + manifest verify, `sac-client.sh`, перезапуск `ssh-monitor.service`. См. [docs/auto-update.ru.md](docs/auto-update.ru.md). |
 **Системные пакеты и зависимости** (что поставить на сервер до запуска): пошагово в [docs/install-prerequisites.ru.md](docs/install-prerequisites.ru.md).
 ## Конфигурация
 > **Закрытый инстанс Gitea:** в доверенном закрытом репозитории допустимо хранить **`ssh-monitor.conf`** с боевыми токенами (файл не в `.gitignore`). В публичном [GitHub](https://git.papatramp.ru/PapaTramp/ssh-monitor) такой файл игнорируется — используйте только `ssh-monitor.conf.example`.
 Скрипт читает параметры из `/etc/ssh-monitor.conf` в формате `KEY="value"` (парсер с whitelist ключей; произвольный bash в файле не выполняется).
 1. Скопируйте пример:
 - `sudo cp ./ssh-monitor.conf.example /etc/ssh-monitor.conf`
 2. Ограничьте доступ:
 - `sudo chmod 600 /etc/ssh-monitor.conf`
 3. Заполните минимум — **хотя бы один канал доставки оповещений** (иначе скрипт сразу завершится с ошибкой; см. абзац **«Обязательное условие»** ниже и раздел **«Каналы оповещений и пустой NOTIFY_CHAIN»**):
 - для **Telegram**: `TELEGRAM_BOT_TOKEN` и `TELEGRAM_CHAT_ID`;
 - или настройте **почту (SMTP)** по переменным ниже при `NOTIFY_ORDER=""` (автовыбор каналов).
 **Обязательное условие:** после загрузки конфигурации в цепочке **`NOTIFY_CHAIN`** должен быть **минимум один** канал (`telegram` или `email`). Если каналов **нет** (пустой `NOTIFY_ORDER` и ни Telegram, ни SMTP не удовлетворяют критериям «настроен», либо в `NOTIFY_ORDER` остались только неизвестные имена), скрипт **не входит** в основной цикл и завершается с кодом **1**, в stderr: **`Не настроен ни один канал отправки оповещений`**. Это же правило действует для **`--check-config`** и **`--dry-run`**.
 Поддерживаемые параметры:
 - `TELEGRAM_BOT_TOKEN`, `TELEGRAM_CHAT_ID`
 - `NOTIFY_ORDER` — список каналов (`telegram`, `email` и сокращения **tg**, **mail**); при каждом оповещении скрипт **пытается отправить во все перечисленные** каналы по порядку (не «первый успешный — и стоп»). Пусто = в цепочку попадают только настроенные каналы (порядок по умолчанию см. в `ssh-monitor.conf.example`). Если итоговая цепочка пуста — скрипт не стартует (см. раздел **«Каналы оповещений и пустой NOTIFY_CHAIN»**).
 - `MAIL_SMTP_HOST`, `MAIL_SMTP_PORT`, `MAIL_SMTP_USER`, `MAIL_SMTP_PASSWORD`, `MAIL_FROM`, `MAIL_TO`, `MAIL_SMTP_STARTTLS`, `MAIL_SMTP_SSL` — отправка почты через **python3** (см. таблицу каналов ниже)
 - `LOG_FILE`, `LAST_HEARTBEAT_FILE`, `LAST_REPORT_FILE`, `LAST_SSH_CHECK_FILE`, `LAST_SUDO_CHECK_FILE`, `LAST_SECURITY_EVENTS_FILE`, `LAST_LOGIND_CHECK_FILE`, `BAN_LIST_FILE`
 - `ENABLE_LOGIND_MONITOR`, `LOGIND_NOTIFY_NEW`, `LOGIND_NOTIFY_REMOVED`, `LOGIND_NOTIFY_FAILED`, `LOGIND_SKIP_REMOTE` — см. раздел «Мониторинг systemd-logind» ниже
 - `DAILY_REPORT_HOUR` (0..23), `DAILY_REPORT_ENABLED` (1/0 — отчёт с агента; 0 = только SAC), `DAILY_REPORT_TZ` (опционально), `NOTIFY_TZ` (опционально), `SERVER_DISPLAY_NAME` (опционально), `SSH_ACCEPT_NOTIFY_DEDUP_SEC`, `DAILY_REPORT_TOP_IPS`
 - `BRUTE_WINDOW_SEC`, `BRUTE_MIN_FAILS`, `BRUTE_NOTIFY_COOLDOWN_SEC`
 - `PROMETHEUS_TEXTFILE_DIR` — каталог для `ssh_monitor.prom` (совместимость с node_exporter textfile collector)
 - `HEALTHCHECK_STATUS_FILE` — путь к JSON-файлу с меткой последней итерации цикла
 - `ENABLE_IP_BAN` — `1` (по умолчанию): мониторинг и автобан через ipset; `0`: только мониторинг и уведомления (без ipset/бана)
 - `BAN_TIME`, `MAX_ATTEMPTS`, `BAN_CHECK_INTERVAL`, `MONITOR_INTERVAL`
 - `WHITELIST_IPS`, `WHITELIST_SUBNETS` (CSV, например `ip1,ip2`)
 - `WATCHDOG_MAX_HEARTBEAT_AGE`, `WATCHDOG_LOG_FILE`, `WATCHDOG_SERVICE_NAME`, `WATCHDOG_NOTIFY_ON_RECOVERY`
 Если файл `/etc/ssh-monitor.conf` отсутствует или часть значений пустая, используются значения по умолчанию из скрипта.
 ### Описание переменных в `/etc/ssh-monitor.conf`
 - `TELEGRAM_BOT_TOKEN` — токен Telegram-бота для отправки уведомлений.
 - `TELEGRAM_CHAT_ID` — ID чата/пользователя, куда отправляются уведомления.
 - `NOTIFY_ORDER` — CSV имён каналов (`telegram`, `email` или `tg`, `mail`). Для **каждого** оповещения выполняется попытка доставки **во все** перечисленные каналы (при ошибке одного остальные всё равно пробуются; неудачи пишутся в **`LOG_FILE`**). Пустая строка: автоматически собирается цепочка только из реально настроенных каналов (по умолчанию порядок telegram → email; критерии «настроен» — **таблица** в разделе **«Каналы оповещений и пустой NOTIFY_CHAIN»**). Если после сборки цепочки **нет ни одного** канала, скрипт **сразу завершается** с ошибкой: **«Не настроен ни один канал отправки оповещений»** (в том числе режим `--check-config` и `--dry-run`).
 - `MAIL_SMTP_HOST`, `MAIL_SMTP_PORT`, `MAIL_SMTP_USER`, `MAIL_SMTP_PASSWORD`, `MAIL_FROM`, `MAIL_TO`, `MAIL_SMTP_STARTTLS`, `MAIL_SMTP_SSL` — параметры SMTP для канала `email` (отправка через **python3**; см. таблицу «настроен»).
 - `LOG_FILE` — путь к основному лог-файлу скрипта.
 - `LAST_HEARTBEAT_FILE` — файл с timestamp последнего heartbeat-сообщения.
 - `LAST_REPORT_FILE` — дата последнего ежедневного отчёта в формате `YYYY-MM-DD` (старый формат Unix-времени при первом запуске будет автоматически интерпретирован).
 - `LAST_SSH_CHECK_FILE` — файл с меткой времени последней проверки SSH-событий.
 - `LAST_SUDO_CHECK_FILE` — файл с меткой времени последней проверки sudo-событий.
 - `LAST_SECURITY_EVENTS_FILE` — метка последней проверки «тяжёлых» событий безопасности в журнале.
 - `LAST_LOGIND_CHECK_FILE` — метка последней обработки журнала `systemd-logind` (unix-время); при первом запуске подтягивается около 30 минут истории.
 - `BAN_LIST_FILE` — файл состояния банов (IP, время окончания бана и метаданные).
 - `ENABLE_LOGIND_MONITOR` — `1` включает опрос `journalctl -u systemd-logind`, `0` полностью отключает этот блок.
 - `LOGIND_NOTIFY_NEW` — `1` отправлять Telegram при появлении новой сессии в logind (строки вида *New session … of user …*).
 - `LOGIND_NOTIFY_REMOVED` — `1` отправлять Telegram при завершении сессии (*Removed session …*); по умолчанию `0` (только запись в `LOG_FILE`, чтобы не заспамить канал).
 - `LOGIND_NOTIFY_FAILED` — `1` отправлять Telegram по строкам logind, содержащим *failed* (широкий фильтр; при необходимости отключите).
 - `LOGIND_SKIP_REMOTE` — `1` (по умолчанию): для новой сессии logind, если доступен `loginctl`, не отправляется второе Telegram, если сессия уже учтена в **`monitor_ssh`**: при **`Type=ssh`** или если **`Service`** указывает на **sshd** (часто **`Type=tty` + `Service=sshd`**); при пустом ответе `loginctl` делаются короткие повторы. Поставьте `0`, если нужны отдельные алерты logind и для SSH-сессий.
 - `DAILY_REPORT_HOUR` — час (0..23), после наступления которого в **текущих календарных сутках** (в выбранной ниже зоне) отправляется не более одного ежедневного отчёта.
 - `DAILY_REPORT_ENABLED` — `1` (по умолчанию) отправлять `report.daily.ssh` с агента; **`0`** — не слать (суточный отчёт формирует только SAC, см. `SAC_DAILY_REPORT_*`).
 - `DAILY_REPORT_TZ` — необязательная **IANA**-зона (`Europe/Moscow`, `Asia/Yekaterinburg`, …). Если **пусто**, для отчёта используется та же зона, что и у команды `date` у процесса монитора (как правило, совпадает с `timedatectl` / `/etc/localtime` на сервере). Если сервис запускается с `TZ=UTC` в unit-файле, без `DAILY_REPORT_TZ` отчёт ориентируется на **UTC** — тогда задайте явную зону в конфиге.
 - `NOTIFY_TZ` — **IANA**-зона для строк **«🕐 Время»** в Telegram/email (и аналогичных текстах). **Пусто** — используется **`DAILY_REPORT_TZ`**, если она задана, иначе зона процесса. Частая причина «время в теле сообщения UTC, а в заголовке чата локальное»: в **`ssh-monitor.service`** задано **`Environment=TZ=UTC`** — тогда задайте **`NOTIFY_TZ`** (или **`DAILY_REPORT_TZ`**) на вашу локаль, например `Asia/Vladivostok`.
 - `SERVER_DISPLAY_NAME` — подпись в строке **«🖥️ Сервер»** во всех уведомлениях. **Пусто** — `hostname` и при возможности основной IPv4 (`hostname (10.x.x.x)`). Задайте явное имя, если несколько хостов с одинаковым hostname шлют в один чат. Подробнее: [docs/notifications.ru.md](docs/notifications.ru.md).
 - `SERVER_IPV4` — опциональный override для SAC `host.ipv4`. Если пусто, IPv4 определяется автоматически.
 - `SSH_ACCEPT_NOTIFY_DEDUP_SEC` — не чаще одного Telegram по **успешному SSH (`Accepted`)** на одну пару **пользователь + IP** за указанное число **секунд** (по умолчанию **5**). Снимает дубли, когда в journal две строки с **разными портами клиента** за один вход. **`0`** — отключить этот антидубль (останется только дедупликация внутри одного прохода `monitor_ssh` по `user|ip|port`).
 - `DAILY_REPORT_TOP_IPS` — сколько IP показывать в топе неудачных попыток за 24 часа.
 - `BRUTE_WINDOW_SEC` — окно (секунды) для оценки «массового» брутфорса по `journalctl`.
 - `BRUTE_MIN_FAILS` — минимум неудачных попыток за окно для тревоги.
 - `BRUTE_NOTIFY_COOLDOWN_SEC` — пауза между повторными уведомлениями по одному и тому же IP.
 - `PROMETHEUS_TEXTFILE_DIR` — если задан существующий каталог, на каждой итерации пишется `ssh_monitor.prom` с метрикой `ssh_monitor_last_loop_unixtime`.
 - `HEALTHCHECK_STATUS_FILE` — если задан, на каждой итерации обновляется JSON `{ "ts", "hostname", "dry_run" }`.
 - `ENABLE_IP_BAN` — включить автобан IP (`1`) или работать только как монитор с уведомлениями (`0`; **ipset** не требуется).
 - `BAN_TIME` — длительность бана IP в секундах (используется при `ENABLE_IP_BAN=1`).
 - `MAX_ATTEMPTS` — число неудачных SSH-попыток до автоматического бана.
 - `BAN_CHECK_INTERVAL` — интервал проверки просроченных банов и аудита согласованности бан-листа с firewall (секунды).
 - `MONITOR_INTERVAL` — пауза между итерациями основного цикла мониторинга (секунды).
 - `WHITELIST_IPS` — белый список IP через запятую (IPv4 и IPv6 — точное совпадение).
 - `WHITELIST_SUBNETS` — белый список подсетей **только IPv4** CIDR через запятую (например `10.0.0.0/24`).
 - `WATCHDOG_MAX_HEARTBEAT_AGE` — через сколько секунд heartbeat считается устаревшим.
 - `WATCHDOG_LOG_FILE` — лог-файл watchdog-скрипта.
 - `WATCHDOG_SERVICE_NAME` — имя systemd-сервиса, который контролирует watchdog (по умолчанию `ssh-monitor.service`).
 - `WATCHDOG_NOTIFY_ON_RECOVERY` — `1` включает служебные сообщения watchdog при штатном состоянии, `0` отключает.
 ### Каналы оповещений и пустой NOTIFY_CHAIN
 Кратко, что считается **настроенным** каналом (только такие попадают в автоматическую цепочку при **`NOTIFY_ORDER=""`**):
 | Канал | Условие «настроен» |
 |--------|-------------------|
 | `telegram` | заданы **`TELEGRAM_BOT_TOKEN`** и **`TELEGRAM_CHAT_ID`** |
 | `email` | непустые **`MAIL_SMTP_HOST`**, **`MAIL_FROM`**, **`MAIL_TO`**, в PATH есть **`python3`** |
 Если итоговый **`NOTIFY_CHAIN` пуст**, скрипт завершается с сообщением **`Не настроен ни один канал отправки оповещений`** (см. шаг 3 в разделе «Конфигурация» выше).
 ### Мониторинг systemd-logind
 - Собираются сообщения юнита **`systemd-logind`** через **`journalctl`** (`-o cat`): новые и завершённые сессии, а также строки с подстрокой *failed* (если включено).
 - Без **`journalctl`** на хосте этот блок **не работает** (как и часть других функций, завязанных на journal).
 - Для разбора «новой сессии» используются типичные англоязычные форматы (`New session … of user …`). При несовпадении формата строка всё равно попадёт в лог с пометкой о неудачном разборе.
 - **`loginctl`** нужен для **`LOGIND_SKIP_REMOTE`**: по `Type` и **`Service`** решается, не дублировать ли Telegram с **`monitor_ssh`** (см. описание `LOGIND_SKIP_REMOTE` выше).
 - **`monitor_ssh`**: события **sshd** читаются из journal преимущественно как **`journalctl _COMM=sshd`** (запасные варианты — юниты `sshd` / `ssh`), строки **`sort -u`**, для **`Accepted`** в одном проходе — дедуп по **пользователь|IP|порт**; между проходами цикла — пауза **`SSH_ACCEPT_NOTIFY_DEDUP_SEC`** для той же пары **пользователь|IP** (см. переменную в конфиге).
 Команда **`ssh-monitor --check-config`** выводит актуальные значения, в том числе параметры logind.
 Ограничения на хостах **без journald** и нюансы **`/var/log/auth.log`**: см. раздел 4 в [docs/install-prerequisites.ru.md](docs/install-prerequisites.ru.md).
 ### Идентификация сервера в уведомлениях
 Во **всех** оповещениях (SSH, sudo, бан IP, logind, heartbeat, ежедневный отчёт и т.д.) после заголовка автоматически добавляется строка **«🖥️ Сервер: …»** — формат `hostname (IPv4)` или только `hostname`, если IPv4 определить не удалось. Логика в `notify_send()`; дублирование в тексте сообщения не требуется.
 - Утилиты **`hostname`** и **`ip`** (см. [docs/install-prerequisites.ru.md](docs/install-prerequisites.ru.md)).
 - Опционально **`SERVER_DISPLAY_NAME`** в конфиге — фиксированная подпись вместо hostname (удобно при нескольких серверах в одном Telegram-чате).
 - Типы сообщений и примеры: [docs/notifications.ru.md](docs/notifications.ru.md).
 ### Обновление агента
 **Рекомендуемый путь — SAC:** в карточке Linux-хоста кнопка **«Обновить ssh-monitor (SSH)»**. Участие админа на сервере не требуется: SAC передаёт `REPO_URL`/`GIT_BRANCH`, updater выполняет `git pull`, синхронизирует `sac-client.sh`, дописывает ключи конфига, **выставляет права** на конфиг/spool/state и перезапускает `ssh-monitor.service`.
 Скрипт **`update_ssh_monitor.sh`** также можно запускать вручную или по расписанию (cron/systemd timer) с тем же `REPO_URL` — поведение идентично.
 Пошаговая настройка: [docs/auto-update.ru.md](docs/auto-update.ru.md).
 ## Режимы запуска
 Обычный запуск (root):
 ```bash
 sudo bash ./ssh-monitor
 ```
 Проверка конфигурации и синтаксиса **без** запуска цикла, **без** изменений `iptables` и без обязательного Telegram:
 ```bash
 sudo bash ./ssh-monitor --check-config
 ```
 Режим **dry-run** (правила firewall не меняются; уведомления выводятся в stderr вместо отправки):
 ```bash
 sudo bash ./ssh-monitor --dry-run
 ```
 ## Проверка синтаксиса
 ```bash
 bash -n ./ssh-monitor
 ```
 ## Релизный архив
 Версия задаётся в **`SSH_MONITOR_VERSION`** в файле **`ssh-monitor`** и дублируется в **`version.txt`** (та же строка, что в шапке README). Модуль **`sac-client.sh`** использует ту же версию для SAC `product_version`. **Release manifest** (`release/manifest-*.json`): [docs/release-manifest.ru.md](docs/release-manifest.ru.md) — после clone: `.\contrib\install-git-hooks.ps1` (Windows) или `./contrib/install-git-hooks.sh` (Linux/Git Bash).
 Сборка tarball из текущего git-дерева:
 ```bash
 make dist
 ```
 Появится файл `ssh-monitor-<версия>.tar.gz` (через `git archive`). Готовые архивы для установки без клона репозитория прикладываются к [релизам на GitHub](https://git.papatramp.ru/PapaTramp/ssh-monitor/releases).
 ## Установка скрипта, конфигурации и systemd
 ### Автоматическая установка (рекомендуется)
 ```bash
 sudo ./first_deploy.sh
 # или: sudo ./update_ssh_monitor.sh --deploy
 ```
 См. [docs/auto-update.ru.md](docs/auto-update.ru.md) — клон из git, копирование в `/usr/local/bin/`, `sac-client.sh`, пример `/etc/ssh-monitor.conf`, unit systemd.
 ### Ручная установка
 1. Скопируйте скрипт в постоянное место:
   - `sudo install -m 750 ./ssh-monitor /usr/local/bin/ssh-monitor`
   - `sudo install -m 644 ./sac-client.sh /usr/local/bin/sac-client.sh`
 2. Убедитесь, что конфиг создан (см. раздел **«Конфигурация»** выше):
   - `sudo cp ./ssh-monitor.conf.example /etc/ssh-monitor.conf`
   - `sudo chmod 600 /etc/ssh-monitor.conf`
 3. Создайте unit-файл `/etc/systemd/system/ssh-monitor.service` (или `sudo cp ssh-monitor.service.example ...`):
 ```ini
 [Unit]
 Description=SSH Monitor with Telegram alerts
 After=network-online.target
 Wants=network-online.target
 [Service]
 Type=simple
 ExecStart=/usr/local/bin/ssh-monitor
 Restart=always
 RestartSec=5
 User=root
 [Install]
 WantedBy=multi-user.target
 ```
 4. Включите и запустите сервис:
 ```bash
 sudo systemctl daemon-reload
 sudo systemctl enable ssh-monitor
 sudo systemctl start ssh-monitor
 ```
 5. Проверка состояния и логов:
 ```bash
 sudo systemctl status ssh-monitor
 sudo journalctl -u ssh-monitor -f
 ```
 ## Ротация логов
 Пример для `logrotate` лежит в репозитории: `contrib/logrotate.d/ssh-monitor`. Скопируйте файл в `/etc/logrotate.d/` и при необходимости поправьте пути под ваши `LOG_FILE` / `WATCHDOG_LOG_FILE` и другие файлы состояния в `/var/log/` (в т.ч. `LAST_*`, если решите их ротировать отдельно).
 ## Watchdog (автоматическое восстановление)
 Watchdog проверяет активность `ssh-monitor.service` и актуальность heartbeat (`LAST_HEARTBEAT_FILE`). При сбое выполняет `systemctl restart` и отправляет уведомление в Telegram.
 Пошаговая установка скрипта **ssh-monitor-watchdog** и **timer** в **systemd**: раздел 6 в [docs/install-prerequisites.ru.md](docs/install-prerequisites.ru.md).
 **Ключевые темы (для поиска):** мониторинг **SSH** и **sshd**, **bash**-скрипт для **Linux**-сервера, уведомления в **Telegram** и по **SMTP** / электронной почте, **systemd-logind**, **sudo**, **journalctl**, **iptables** / **ip6tables**, автоматический **бан IP** и **whitelist**, **systemd** unit, **ежедневный отчёт**, **heartbeat**, **OpenSSH**, безопасность сервера, **Prometheus** textfile, опционально **watchdog** для сервиса.
 ## Лицензия
 Проект распространяется по лицензии **MIT** — см. файл [LICENSE](LICENSE).
@@ -0,0 +1,66 @@
 #!/bin/bash
 # Автогенерация release/manifest-VERSION.json при bump версии (version.txt / SSH_MONITOR_VERSION).
 set -euo pipefail
 ROOT="$(git rev-parse --show-toplevel)"
 cd "$ROOT"
 _staged() {
 	git diff --cached --name-only -- "$@"
 }
 _version_bump_staged() {
 	if _staged version.txt | grep -q .; then
 		return 0
 	fi
 	if _staged ssh-monitor | grep -q .; then
 		if git diff --cached -- ssh-monitor | grep -qE '^[+-].*SSH_MONITOR_VERSION='; then
 			return 0
 		fi
 	fi
 	return 1
 }
 _agent_files_staged() {
 	local f
 	for f in ssh-monitor sac-client.sh update_ssh_monitor.sh ssh-monitor-watchdog ssh-monitor-perms.sh; do
 		if _staged "$f" | grep -q .; then
 			return 0
 		fi
 	done
 	return 1
 }
 _version_bump_staged || _agent_files_staged || exit 0
 _find_python() {
 	local c
 	for c in python3 python; do
 		if command -v "$c" >/dev/null 2>&1 && "$c" -c 'import sys' >/dev/null 2>&1; then
 			echo "$c"
 			return 0
 		fi
 	done
 	return 1
 }
 PY="$(_find_python)" || {
 	echo "pre-commit: python нужен для manifest (рабочий python/python3 не найден)" >&2
 	exit 1
 }
 "$PY" "$ROOT/contrib/manifest/generate.py"
 VER="$(tr -d '\r\n' <"$ROOT/version.txt")"
 [ -n "$VER" ] || {
 	echo "pre-commit: version.txt пуст — не могу добавить manifest" >&2
 	exit 1
 }
 MANIFEST="release/manifest-${VER}.json"
 if [ ! -f "$MANIFEST" ]; then
 	echo "pre-commit: не создан $MANIFEST" >&2
 	exit 1
 fi
 git add "$MANIFEST"
 echo "pre-commit: обновлён $MANIFEST (версия $VER)"
@@ -0,0 +1,54 @@
 # Install git hooks + local manifest wrappers (not committed to git).
 # Run from repo root: .\contrib\install-git-hooks.ps1
 $ErrorActionPreference = "Stop"
 $Root = (Resolve-Path (Join-Path $PSScriptRoot "..")).Path
 $HookSrc = Join-Path $Root "contrib\hooks\pre-commit"
 $HookDst = Join-Path $Root ".git\hooks\pre-commit"
 $LocalDir = Join-Path $Root ".local"
 $LocalScript = Join-Path $LocalDir "build-release-manifest.ps1"
 $LocalScriptSh = Join-Path $LocalDir "build-release-manifest.sh"
 if (-not (Test-Path (Join-Path $Root ".git"))) {
    throw "Not a git repository: $Root"
 }
 if (-not (Test-Path $HookSrc)) {
    throw "Missing hook file: $HookSrc"
 }
 New-Item -ItemType Directory -Force -Path (Split-Path $HookDst) | Out-Null
 Copy-Item -Force $HookSrc $HookDst
 New-Item -ItemType Directory -Force -Path $LocalDir | Out-Null
@'
 # Local manifest wrapper (gitignored). Manual generation on Windows.
 $ErrorActionPreference = "Stop"
 $Root = git -C "$PSScriptRoot\.." rev-parse --show-toplevel 2>$null
 if (-not $Root) {
    $Root = (Resolve-Path (Join-Path $PSScriptRoot "..")).Path
 }
 $py = Get-Command python -ErrorAction SilentlyContinue
 if (-not $py) { $py = Get-Command python3 -ErrorAction SilentlyContinue }
 if (-not $py) { throw "python not found in PATH" }
 & $py.Source (Join-Path $Root "contrib\manifest\generate.py") @args
 if ($LASTEXITCODE -ne 0) { exit $LASTEXITCODE }
 '@ | Set-Content -Path $LocalScript -Encoding UTF8
@'
 #!/bin/bash
 # Local manifest wrapper (gitignored). Git Bash.
 set -euo pipefail
 ROOT="$(git rev-parse --show-toplevel)"
 exec python3 "$ROOT/contrib/manifest/generate.py" "$@"
 '@ | Set-Content -Path $LocalScriptSh -Encoding ASCII -NoNewline
 Add-Content -Path $LocalScriptSh -Value "`n" -NoNewline
 Write-Host "OK: pre-commit hook -> $HookDst"
 Write-Host "OK: manual script (PS)  -> $LocalScript"
 Write-Host "OK: manual script (sh)  -> $LocalScriptSh"
 Write-Host ""
 Write-Host "Manual: .\.local\build-release-manifest.ps1"
 Write-Host "        python contrib\manifest\generate.py"
 Write-Host "Pre-commit runs on version bump (python required in PATH)."
@@ -0,0 +1,31 @@
 #!/bin/bash
 # Установка git hooks и локального скрипта ручной генерации manifest (не в git).
 set -euo pipefail
 ROOT="$(cd "$(dirname "${BASH_SOURCE[0]}")/.." && pwd)"
 HOOK_SRC="$ROOT/contrib/hooks/pre-commit"
 HOOK_DST="$ROOT/.git/hooks/pre-commit"
 LOCAL_DIR="$ROOT/.local"
 LOCAL_SCRIPT="$LOCAL_DIR/build-release-manifest.sh"
 if [ ! -d "$ROOT/.git" ]; then
 	echo "ERROR: не git-репозиторий: $ROOT" >&2
 	exit 1
 fi
 mkdir -p "$LOCAL_DIR"
 cat >"$LOCAL_SCRIPT" <<'EOF'
 #!/bin/bash
 # Локальный wrapper (не коммитится). Ручная генерация manifest.
 set -euo pipefail
 ROOT="$(git rev-parse --show-toplevel)"
 exec python3 "$ROOT/contrib/manifest/generate.py" "$@"
 EOF
 chmod +x "$LOCAL_SCRIPT"
 cp "$HOOK_SRC" "$HOOK_DST"
 chmod +x "$HOOK_DST"
 echo "OK: pre-commit hook → $HOOK_DST"
 echo "OK: ручной скрипт → $LOCAL_SCRIPT (в .gitignore, не уйдёт в Gitea/GitHub)"
 echo "После clone: ./contrib/install-git-hooks.sh  или  .\\contrib\\install-git-hooks.ps1 (Windows)"
@@ -0,0 +1,19 @@
 # Пример для /etc/logrotate.d/ssh-monitor
 # Установка: sudo cp contrib/logrotate.d/ssh-monitor /etc/logrotate.d/ssh-monitor
 # Пути должны совпадать с LOG_FILE и WATCHDOG_LOG_FILE в /etc/ssh-monitor.conf
 /var/log/ssh_monitor.log
 /var/log/ssh_monitor_watchdog.log {
    weekly
    rotate 12
    compress
    delaycompress
    missingok
    notifempty
    create 0640 root root
    sharedscripts
    postrotate
        # При необходимости отправьте сигнал процессу (если добавите обработку HUP)
        /bin/true
    endscript
 }
@@ -0,0 +1,117 @@
 #!/usr/bin/env python3
 """Генерация release/manifest-VERSION.json (SHA256 git blob = checkout на Linux)."""
 from __future__ import annotations
 import argparse
 import hashlib
 import json
 import os
 import subprocess
 import sys
 from pathlib import Path
 MANIFEST_FILES = (
    "ssh-monitor",
    "sac-client.sh",
    "update_ssh_monitor.sh",
    "ssh-monitor-watchdog",
    "ssh-monitor-perms.sh",
 )
 def repo_root() -> Path:
    return Path(
        subprocess.check_output(["git", "rev-parse", "--show-toplevel"], text=True).strip()
    )
 def read_version(root: Path, explicit: str | None) -> str:
    if explicit:
        return explicit.strip()
    vt = root / "version.txt"
    if vt.is_file():
        v = vt.read_text(encoding="utf-8").strip()
        if v:
            return v
    ssh = root / "ssh-monitor"
    if ssh.is_file():
        for line in ssh.read_text(encoding="utf-8", errors="replace").splitlines():
            if line.strip().startswith("SSH_MONITOR_VERSION="):
                v = line.split("=", 1)[1].strip().strip("\"'")
                if v:
                    return v
    raise SystemExit("ERROR: укажите VERSION или заполните version.txt / SSH_MONITOR_VERSION")
 def file_bytes_from_git(root: Path, name: str) -> bytes | None:
    for ref in (f":{name}", f"HEAD:{name}"):
        try:
            return subprocess.check_output(["git", "-C", str(root), "show", ref])
        except subprocess.CalledProcessError:
            continue
    return None
 def sha256_bytes(data: bytes) -> str:
    return hashlib.sha256(data).hexdigest()
 def sha256_release_file(root: Path, name: str) -> str:
    blob = file_bytes_from_git(root, name)
    if blob is not None:
        return sha256_bytes(blob)
    path = root / name
    if not path.is_file():
        raise SystemExit(f"ERROR: нет файла {name} (ни в git index/HEAD, ни на диске)")
    h = hashlib.sha256()
    with path.open("rb") as f:
        for chunk in iter(lambda: f.read(1024 * 1024), b""):
            h.update(chunk)
    return h.hexdigest()
 def main() -> None:
    parser = argparse.ArgumentParser(description="Сгенерировать release/manifest-VERSION.json")
    parser.add_argument("version", nargs="?", help="Версия (по умолчанию из version.txt)")
    parser.add_argument(
        "--pin-commit",
        action="store_true",
        help="Записать git_commit=HEAD (после коммита; в pre-commit не используется)",
    )
    args = parser.parse_args()
    root = repo_root()
    version = read_version(root, args.version)
    for name in MANIFEST_FILES:
        if file_bytes_from_git(root, name) is None and not (root / name).is_file():
            raise SystemExit(f"ERROR: нет файла {name}")
    git_commit = ""
    if args.pin_commit:
        try:
            git_commit = subprocess.check_output(
                ["git", "-C", str(root), "rev-parse", "HEAD"], text=True
            ).strip()
        except subprocess.CalledProcessError:
            pass
    manifest = {
        "version": version,
        "git_commit": git_commit,
        "files": {name: f"sha256:{sha256_release_file(root, name)}" for name in MANIFEST_FILES},
    }
    out = root / "release" / f"manifest-{version}.json"
    out.parent.mkdir(parents=True, exist_ok=True)
    with out.open("w", encoding="utf-8") as f:
        json.dump(manifest, f, indent=2, ensure_ascii=False)
        f.write("\n")
    pin = git_commit[:12] if git_commit else "(empty)"
    print(f"Wrote {out.relative_to(root)} git_commit={pin}")
 if __name__ == "__main__":
    main()
@@ -0,0 +1,50 @@
 #!/bin/bash
 # Smoke-test safe config parser (no network). Run from repo root.
 set -euo pipefail
 ROOT="$(cd "$(dirname "${BASH_SOURCE[0]}")/.." && pwd)"
 # shellcheck source=ssh-monitor-perms.sh
 source "$ROOT/ssh-monitor-perms.sh"
 tmpdir="$(mktemp -d)"
 trap 'rm -rf "$tmpdir"' EXIT
 cfg="$tmpdir/test.conf"
 cat >"$cfg" <<'EOF'
 # comment
 TELEGRAM_BOT_TOKEN="tok"
 UseSAC="exclusive"
 SAC_URL="https://sac.example.test"
 WHITELIST_IPS="127.0.0.1,10.0.0.5"
 WHITELIST_SUBNETS="10.0.0.0/24"
 BACKUP_WEBHOOK_URL="https://hooks.example/legacy"
 UNKNOWN_KEY="ignored"
 EOF
 ssh_monitor_config_load_file "$cfg"
 [ "${TELEGRAM_BOT_TOKEN:-}" = "tok" ] || {
 	echo "FAIL: TELEGRAM_BOT_TOKEN" >&2
 	exit 1
 }
 [ "${UseSAC:-}" = "exclusive" ] || {
 	echo "FAIL: UseSAC" >&2
 	exit 1
 }
 ips_csv="${WHITELIST_IPS:-}"
 subs_csv="${WHITELIST_SUBNETS:-}"
 WHITELIST_IPS=()
 WHITELIST_SUBNETS=()
 IFS=',' read -r -a WHITELIST_IPS <<<"$ips_csv"
 IFS=',' read -r -a WHITELIST_SUBNETS <<<"$subs_csv"
 ssh_monitor_validate_config_values || {
 	echo "FAIL: validate_config_values" >&2
 	exit 1
 }
 printf 'EVIL="$(id)"\n' >"$tmpdir/bad.conf"
 if ssh_monitor_config_load_file "$tmpdir/bad.conf" 2>/dev/null; then
 echo "OK: config parser smoke test passed"
@@ -0,0 +1,32 @@
 #!/bin/bash
 # Smoke-test sac-fail.count suppress on shutdown flag. Run from repo root.
 set -euo pipefail
 ROOT="$(cd "$(dirname "${BASH_SOURCE[0]}")/.." && pwd)"
 tmpdir="$(mktemp -d)"
 trap 'rm -rf "$tmpdir"' EXIT
 write_log() { :; }
 ssh_monitor_secure_file() { :; }
 ssh_monitor_secure_dir() { mkdir -p "$1"; }
 # shellcheck source=sac-client.sh
 source "$ROOT/sac-client.sh"
 export SAC_FAIL_COUNT_FILE="${tmpdir}/sac-fail.count"
 sac_write_fail_count 0
 sac_increment_fail_count
 [ "$(sac_read_fail_count)" = "1" ] || {
 	echo "FAIL: expected count 1 after increment" >&2
 	exit 1
 }
 SAC_SUPPRESS_FAIL_COUNT=1
 sac_increment_fail_count || true
 [ "$(sac_read_fail_count)" = "1" ] || {
 	echo "FAIL: count changed under SAC_SUPPRESS_FAIL_COUNT" >&2
 	exit 1
 }
 echo "OK sac-fail.count suppress"
@@ -0,0 +1,173 @@
 # Автообновление ssh-monitor
 Скрипт **`update_ssh_monitor.sh`** обновляет **`/usr/local/bin/ssh-monitor`** из git и перезапускает systemd-сервис.
 ## Основной путь: Security Alert Center
 На продакшен-хостах обновление идёт **через SAC**, без cron:
 1. Админ нажимает **«Обновить ssh-monitor (SSH)»** в карточке хоста.
 2. SAC по SSH запускает `/opt/scripts/update_ssh_monitor.sh` с `REPO_URL` / `GIT_BRANCH` из **Настройки → Обновления агентов**.
 3. Updater сам выполняет `git pull`, синхронизирует `sac-client.sh` и watchdog, дописывает отсутствующие ключи в **`/etc/ssh-monitor.conf`**, **выставляет `chmod`/`chown`** на конфиг, SAC-spool, счётчики и state-файлы, перезапускает **`ssh-monitor.service`**.
 Участие админа на сервере **не требуется** (кроме первичной настройки `SAC_URL` / `SAC_API_KEY` в конфиге).
 При **первой установке** (нет updater на хосте) SAC выполняет bootstrap с **`--deploy`**: clone, ipset при необходимости, systemd unit, полный hardening.
 **Cron / systemd timer** — опциональная альтернатива с тем же скриптом и обязательным `REPO_URL` в окружении.
 Watchdog и таймеры watchdog **не изменяются** при обычном update (кроме синхронизации скрипта watchdog из git).
 **Конфиг `/etc/ssh-monitor.conf`:** при первой установке копируется из `ssh-monitor.conf.example`. При каждом update в **существующий** конфиг **дописываются** отсутствующие SAC-переменные и ключи безопасности; **`UseSAC=fallback`**. Telegram/SMTP и прочие ключи **не перезаписываются**.
 Установка монитора и unit-файлов: [README.md](../README.md), зависимости: [install-prerequisites.ru.md](install-prerequisites.ru.md).
 ## Что делает скрипт
 1. Создаёт рабочий каталог **`UPDATE_DIR`** (по умолчанию `/opt/scripts/update`).
 2. При **`--deploy`** / bootstrap SAC проверяет **`ipset`** и при отсутствии пытается установить через пакетный менеджер. Обычное обновление **не** вызывает `apt-get`.
 3. В **`UPDATE_DIR`** выполняет **`git clone`** или **`git fetch` + checkout / `git pull --ff-only`** (без слепого `reset --hard`).
 4. Проверяет **`release/manifest-VERSION.json`** (SHA256 файлов + commit) **до** копирования в `/usr/local/bin`.
 5. Ищет **`ssh-monitor`** в клоне (GitLab layout или плоский репозиторий).
 6. Сравнивает **SHA256** с **`LOCAL_SCRIPT_PATH`** (`/usr/local/bin/ssh-monitor`).
 7. **Всегда** синхронизирует **`sac-client.sh`**, **`ssh-monitor-perms.sh`**, watchdog.
 8. Дописывает ключи конфига; **`apply_runtime_security_hardening`**: `chmod 600` конфиг, `700` spool, `600` state/SAC-файлы, whitelist.
 9. При изменении **`ssh-monitor`**, **`sac-client.sh`** или конфига — **`systemctl restart ssh-monitor.service`**.
 10. Лог: **`/var/log/update_script.log`** (блок «Итог обновления», строки `manifest` и `security hardening`).
 ```mermaid
 flowchart LR
  A[SAC или cron] --> B[update_ssh_monitor.sh]
  B --> C[git fetch/checkout]
  C --> M{manifest OK?}
  M -->|нет| X[exit 1]
  M -->|да/skip| D[sync sac-client + perms lib]
  C --> E{SHA256 ssh-monitor?}
  D --> F[harden config/spool/state]
  E -->|да| G[backup + cp ssh-monitor]
  E -->|нет| F
  G --> F
  F --> H{что-то изменилось?}
  H -->|да| I[restart ssh-monitor.service]
  H -->|нет| J[без перезапуска]
 ```
 ## Настройка перед первым запуском
 | Переменная | По умолчанию | Назначение |
 |------------|--------------|------------|
 | `UPDATE_DIR` | `/opt/scripts/update` | Каталог для git-клона |
 | `REPO_URL` | *(обязательно)* | URL git — задаётся SAC, export или `Environment=` в cron |
 | `GIT_BRANCH` | `main` | Ветка для clone/pull, если **`GIT_REF`** не задан |
 | `GIT_REF` | *(пусто)* | Тег (`2.2.0-SAC`), ветка или commit SHA для checkout |
 | `GIT_VERIFY_MODE` | `off` | `off` \| `tag` \| `commit` — см. раздел ниже |
 | `GIT_ALLOW_RESET` | `0` | `1` = разрешить `git reset --hard` при расхождении истории (риск) |
 | `RELEASE_MANIFEST_STRICT` | `0` | `1` = exit 1, если manifest для версии не найден |
 | `LOCAL_SCRIPT_PATH` | `/usr/local/bin/ssh-monitor` | Куда копировать монитор |
 | `LOG_FILE` | `/var/log/update_script.log` | Лог обновлений |
 | `UPDATE_VIA_SAC` | *(опционально)* | SAC выставляет `1`; при отсутствии бинарника включается `--deploy` |
 Требования: **root**, **git**, **python3** (manifest verify), доступ к репозиторию.
 ## Pinned ref и manifest (2.2.0+)
 Updater читает **`GIT_REF`**, **`GIT_VERIFY_MODE`**, **`GIT_ALLOW_RESET`** из env или `/etc/ssh-monitor.conf`.
 ### Режимы `GIT_VERIFY_MODE`
 | Режим | Поведение | Когда |
 |-------|-----------|-------|
 | **`off`** | После fetch принять ref как есть | Тест, legacy; дефолт в скрипте |
 | **`tag`** | `GIT_REF` должен существовать как тег | **Рекомендуется для прода** |
 | **`commit`** | `GIT_REF` = полный SHA commit | Жёсткий pin без тегов |
 Если **`GIT_REF`** пуст, используется **`GIT_BRANCH`** (`git pull --ff-only`). При невозможности fast-forward updater **не** делает `reset --hard` (только с **`GIT_ALLOW_RESET=1`**).
 ### Release manifest
 В репозитории: **`release/manifest-VERSION.json`** — SHA256 ключевых файлов и `git_commit`. Updater сверяет manifest **после** git sync и **до** копирования бинарников.
 - Файл найден и hash не совпал → **exit 1**, ничего не перезаписывается.
 - Файл не найден → WARN, update продолжается (или exit 1 при **`RELEASE_MANIFEST_STRICT=1`**).
 - Копирование **`update_ssh_monitor.sh`** в `/opt/scripts/` и re-exec — только если manifest для версии был и прошёл verify.
 Генерация manifest — см. [release-manifest.ru.md](release-manifest.ru.md). После `./contrib/install-git-hooks.sh` manifest обновляется **автоматически** при bump версии в pre-commit. Ручной wrapper: `.local/build-release-manifest.sh` (не в git).
 ```bash
 ./contrib/install-git-hooks.sh   # один раз после clone
 # bump version.txt + ssh-monitor → git commit (hook добавит manifest)
 git tag 2.2.3-SAC
 ```
 ### Примеры для прода
 **SAC / env на хосте** (через настройки SAC или unit):
 ```bash
 REPO_URL=https://git.papatramp.ru/PapaTramp/ssh-monitor.git
 GIT_REF=2.2.0-SAC
 GIT_VERIFY_MODE=tag
 ```
 **systemd timer** (`/etc/systemd/system/ssh-monitor-update.service`):
 ```ini
 [Service]
 Type=oneshot
 Environment=REPO_URL=https://git.papatramp.ru/PapaTramp/ssh-monitor.git
 Environment=GIT_REF=2.2.0-SAC
 Environment=GIT_VERIFY_MODE=tag
 ExecStart=/opt/scripts/update_ssh_monitor.sh
 ```
 При доверенном закрытом зеркале **manifest + `GIT_REF=tag`** — достаточный минимум; GPG-подписи тегов — backlog (см. [security-roadmap.ru.md](security-roadmap.ru.md)).
 ## Первичная установка (--deploy)
 ```bash
 sudo REPO_URL=https://git.papatramp.ru/PapaTramp/ssh-monitor.git ./update_ssh_monitor.sh --deploy
 # или first_deploy.sh с REPO_URL в окружении
 ```
 Через SAC bootstrap выполняется автоматически с **`--deploy`**.
 ## Установка updater (если не через SAC bootstrap)
 ```bash
 sudo mkdir -p /opt/scripts
 sudo cp update_ssh_monitor.sh /opt/scripts/update_ssh_monitor.sh
 sudo chmod 750 /opt/scripts/update_ssh_monitor.sh
 ```
 Проверка:
 ```bash
 sudo REPO_URL=https://git.papatramp.ru/PapaTramp/ssh-monitor.git /opt/scripts/update_ssh_monitor.sh
 sudo tail -30 /var/log/update_script.log
 ```
 ## Запуск по расписанию (опционально)
 ### Cron
 ```
 0 4 * * * REPO_URL=https://git.papatramp.ru/PapaTramp/ssh-monitor.git /opt/scripts/update_ssh_monitor.sh
 ```
 ### systemd timer
 См. предыдущие примеры `ssh-monitor-update.service` / `.timer` с `Environment=REPO_URL=...`.
 ## Откат
 ```bash
 ls -la /usr/local/bin/ssh-monitor.backup.*
 sudo cp /usr/local/bin/ssh-monitor.backup.YYYYMMDD_HHMMSS /usr/local/bin/ssh-monitor
 sudo systemctl restart ssh-monitor.service
 ```
 ## Ограничения
 - Секреты (`SAC_API_KEY`, Telegram) SAC **не** прописывает — только в `/etc/ssh-monitor.conf` на хосте.
 - При недоступном git **`git pull`** пишет предупреждение и продолжает с локальной копией.
 - **`REPO_URL`** без дефолта в скрипте — только доверенное зеркало (kalinamall / своё Gitea).
@@ -0,0 +1,152 @@
 # Системные зависимости и установка окружения
 Этот документ описывает, **какой софт** на сервере нужен для работы **ssh-monitor**, и **как его поставить** типовыми пакетами. Саму установку скрипта, конфигов и **systemd** смотрите в корневом [README.md](../README.md).
 ## 1. Что должно быть на хосте
 ### Обязательно
 | Назначение | Что используется | Примечание |
 |------------|------------------|------------|
 | Интерпретатор | **Bash** (версия с `declare -A`) | Обычно уже есть (`/bin/bash`). |
 | Запуск брандмауэра | **iptables**; для IPv6 — **ip6tables** (если баните IPv6) | Скрипт добавляет правила `DROP` для заблокированных IP. Нужен **root** (скрипт не стартует без root, кроме `--dry-run` / проверок). |
 | Telegram | **curl** | Запросы к `api.telegram.org`. |
 | Почта (канал `email`) | **Python 3** | SMTP через стандартную библиотеку. |
 | Резервный webhook | **Python 3** + **curl** | Сборка JSON и `POST`. |
 Без **хотя бы одного** настроенного канала (`telegram` или `email`) скрипт завершится с ошибкой — это не зависимости ОС, а настройка в `/etc/ssh-monitor.conf`.
 ### Настоятельно рекомендуется (полный функционал)
 | Назначение | Что используется |
 |------------|------------------|
 | Журнал SSH/sudo/брутфорс, logind | **systemd** + **`journalctl`** |
 | Дедупликация уведомлений logind для SSH | **`loginctl`** (часть **systemd**) |
 | Удобный просмотр логов сервиса | **`journalctl`** |
 На минималистичных системах без **journald** часть функций не работает или упрощается; отчёт за сутки по SSH может опираться на **`/var/log/auth.log`** (см. ниже).
 ### Утилиты из «базовой» системы
 Обычно уже установлены: `grep`, `sed`, `awk`, `sort`, `date`, `who`, `mktemp`, `sudo` (если запускаете не напрямую от root), `wc`, `hostname`, `ip` (для подписи сервера в уведомлениях). Для дедупликации sudo в журнале желательны **`sha256sum`** или **`cksum`**.
 ---
 ## 2. Пошаговая установка пакетов (Debian / Ubuntu)
 Выполняйте от пользователя с `sudo`.
 **Шаг 1.** Обновить индексы пакетов:
 ```bash
 sudo apt update
 ```
 **Шаг 2.** Минимум для Telegram и бана по firewall:
 ```bash
 sudo apt install -y iptables curl
 ```
 При необходимости IPv6 (если на сервере используется `ip6tables`):
 ```bash
 sudo apt install -y ip6tables
 ```
 (На многих образах **ip6tables** уже входит в метапакет с iptables.)
 **Шаг 3.** Если включите доставку почты (`MAIL_*` в конфиге):
 ```bash
 sudo apt install -y python3
 ```
 **Шаг 4.** Типовой сервер с **systemd** уже содержит `journalctl` и `loginctl`. Если ставите минимальный контейнер без них — для полного мониторинга нужен стек с **systemd** и **journald** (или см. раздел про ограничения без journald).
 **Шаг 5.** (Опционально) Сохранение правил **iptables** после перезагрузки — отдельно от ssh-monitor, например:
 ```bash
 sudo apt install -y iptables-persistent netfilter-persistent
 ```
 Скрипт при наличии каталога **`/etc/iptables`** может записывать туда `rules.v4` / `rules.v6` (см. код `save_iptables_rules`). Имеет смысл создать каталог и настроить автозагрузку правил по документации вашего дистрибутива.
 ---
 ## 3. Другие дистрибутивы
 Принцип тот же: пакеты **bash**, **iptables** (+ **ip6tables**), **curl**, **python3**; для полного функционала — **systemd** с **journald**.
 Примеры:
 - **RHEL / Alma / Rocky:** `dnf install iptables curl python3 systemd` (имена метапакетов могут отличаться).
 - **Alpine:** `apk add bash iptables ip6tables curl python3` — отдельно проверьте наличие **systemd** / **journalctl** (на Alpine часто нет; мониторинг по journal будет недоступен).
 ---
 ## 4. Системы без `journalctl` (классический syslog)
 - События **SSH** могут читаться из **`/var/log/auth.log`** (если скрипт не находит `journalctl`).
 - **Ежедневная статистика** по этим файлам для отчёта **точнее с Python 3** (разбор логов в скрипте). Без Python отчёт может использовать упрощённый fallback.
 - Блоки, завязанные на **`journalctl`** (**sudo** по журналу, **systemd-logind**, часть **security/brute**), на таком хосте **не дадут полного результата**.
 ---
 ## 5. Конфликты с UFW / другими обёртками firewall
 Скрипт вставляет правила **iptables** самостоятельно. Если используете **UFW**, **firewalld** или только **nftables** без совместимости с iptables-nft, возможны конфликты или неожиданный порядок правил. После внедрения проверьте:
 ```bash
 sudo iptables -L INPUT -n -v --line-numbers
 ```
 При необходимости согласуйте порядок с вашей схемой управления firewall.
 ---
 ## 6. Опционально: watchdog
 Скрипт **`ssh-monitor-watchdog`** проверяет сервис `ssh-monitor.service` и актуальность heartbeat; при сбое выполняет `systemctl restart`.
 **Установка:**
 1. Скопируйте скрипт:  
   `sudo install -m 750 ./ssh-monitor-watchdog /usr/local/bin/ssh-monitor-watchdog`
 2. Установите unit и timer:  
   `sudo cp ./ssh-monitor-watchdog.service.example /etc/systemd/system/ssh-monitor-watchdog.service`  
   `sudo cp ./ssh-monitor-watchdog.timer.example /etc/systemd/system/ssh-monitor-watchdog.timer`
 3. Включите timer:
 ```bash
 sudo systemctl daemon-reload
 sudo systemctl enable ssh-monitor-watchdog.timer
 sudo systemctl start ssh-monitor-watchdog.timer
 ```
 4. Проверка:
 ```bash
 sudo systemctl status ssh-monitor-watchdog.timer
 sudo systemctl list-timers | grep ssh-monitor-watchdog
 sudo journalctl -u ssh-monitor-watchdog.service -f
 ```
 Параметры watchdog задаются в **`/etc/ssh-monitor.conf`** (переменные `WATCHDOG_*` в примере конфига).
 ---
 ## 7. Краткий чек-лист перед первым запуском
 - [ ] Установлены **iptables** (и при необходимости **ip6tables**).
 - [ ] Для Telegram установлен **curl**; для почты / webhook — **python3**.
 - [ ] Настроен **`/etc/ssh-monitor.conf`** (минимум один канал уведомлений).
 - [ ] Понятен порядок правил firewall на хосте (UFW и т.д.).
 - [ ] (По желанию) настроено сохранение правил после перезагрузки.
 Далее: установка самого **`ssh-monitor`**, unit **systemd** и проверка — в [README.md](../README.md).
 Дополнительно:
 - [notifications.ru.md](notifications.ru.md) — подпись **«🖥️ Сервер»** в уведомлениях, типы алертов, часовые пояса.
 - [auto-update.ru.md](auto-update.ru.md) — автообновление скрипта через **`update_ssh_monitor.sh`**.
@@ -0,0 +1,97 @@
 # Уведомления ssh-monitor
 Документ описывает, **какие сообщения** отправляет монитор, **какие поля** в них есть и как настроить **подпись сервера** и **часовой пояс**.
 См. также: [README.md](../README.md), пример конфига [ssh-monitor.conf.example](../ssh-monitor.conf.example).
 ## Подпись сервера (🖥️ Сервер)
 Начиная с версии **1.1.3-server-label**, каждое уведомление, проходящее через **`notify_send()`**, получает строку **«🖥️ Сервер: …»** сразу **после первой строки** (заголовка алерта).
 Формат значения:
 | Условие | Пример |
 |---------|--------|
 | `SERVER_DISPLAY_NAME` пусто, IPv4 найден | `web01 (10.1.20.5)` |
 | `SERVER_DISPLAY_NAME` пусто, IPv4 нет | `web01` |
 | Задан `SERVER_DISPLAY_NAME="prod-db-01"` | `prod-db-01 (10.1.20.5)` |
 IPv4 определяется через `ip -4 route get` (исходящий адрес) или `hostname -I`. Нужны утилиты **`hostname`** и **`ip`** — см. [install-prerequisites.ru.md](install-prerequisites.ru.md).
 Если в тексте сообщения уже есть подстрока **`🖥️ Сервер:`**, вторая строка **не добавляется** (защита от дубля при ручной вставке).
 ### Пример: успешный SSH
 ```
 ✅ УСПЕШНОЕ SSH ПОДКЛЮЧЕНИЕ
 🖥️ Сервер: myhost (10.1.20.5)
 👤 Пользователь: alice
 🌐 IP адрес: 10.1.20.1
 🕐 Время: 25.05.2026 09:08:22
 ```
 ### Пример: sudo
 ```
 ⚠️ ИСПОЛЬЗОВАНИЕ SUDO
 🖥️ Сервер: myhost (10.1.20.5)
 👤 Пользователь: alice
 🔑 От имени USER: root
 💻 Команда: /bin/bash
 📁 Директория: /home/alice
 🕐 Время: 24.05.2026 16:54:49
 ```
 ## Настройка в `/etc/ssh-monitor.conf`
 ```bash
 # Пусто = hostname (+ IPv4 при возможности)
 SERVER_DISPLAY_NAME=""
 # Или фиксированное имя для этого хоста в общем чате:
 # SERVER_DISPLAY_NAME="dc1-app-03"
 ```
 Проверка эффективной подписи:
 ```bash
 sudo ssh-monitor --check-config
 ```
 В выводе будет строка `SERVER_DISPLAY_NAME=... (эффективно: ...)`.
 ## Типы уведомлений
 | Событие | Заголовок (первая строка) | Доп. поля |
 |---------|----------------------------|-----------|
 | Успешный SSH | ✅ УСПЕШНОЕ SSH ПОДКЛЮЧЕНИЕ | пользователь, IP клиента, время |
 | SSH под root | 🔑 SSH ВХОД ПОД ROOT | IP, время |
 | Неудачная попытка SSH | ❌ НЕУДАЧНАЯ ПОПЫТКА SSH | пользователь, IP, счётчик попыток, время |
 | Sudo | ⚠️ ИСПОЛЬЗОВАНИЕ SUDO | пользователь, USER=, команда, PWD, время |
 | Бан IP | 🚫 IP ЗАБЛОКИРОВАН АВТОМАТИЧЕСКИ | IP, попытки, длительность, время |
 | Порог без бана | ⚠️ ЛИМИТ НЕУДАЧНЫХ SSH (автобан отключён…) | IP, попытки, время |
 | Брутфорс | 🧨 ВОЗМОЖНЫЙ МАССОВЫЙ БРУТФОРС SSH | IP, счётчик за окно, время |
 | Host key / MITM | 🔐 ВНИМАНИЕ: изменение SSH host key… | фрагмент журнала, время |
 | logind: новая сессия | 🖥️ НОВАЯ СЕССИЯ (systemd-logind) | пользователь, ID сессии, время |
 | logind: сбой | ❌ СБОЙ (systemd-logind) | строка журнала, время |
 | Ежедневный отчёт | 📊 ЕЖЕДНЕВНЫЙ ОТЧЕТ SSH МОНИТОРИНГА | статистика 24 ч, баны, топ IP, сессии |
 | Heartbeat | ❤️ Heartbeat - скрипт мониторинга работает | время |
 | Старт / стоп | ✅ СКРИПТ МОНИТОРИНГА ЗАПУЩЕН / ⚠️ ОСТАНОВЛЕН | версия, каналы, время |
 Во всех перечисленных случаях **🖥️ Сервер** добавляется автоматически (кроме сообщений, где вы сами вставили эту строку).
 ## Время в сообщениях (🕐)
 Строки **«🕐 Время»** формируются функцией **`notification_date()`**:
 1. Если задан **`NOTIFY_TZ`** (IANA, например `Europe/Moscow`) — используется он.
 2. Иначе, если задан **`DAILY_REPORT_TZ`** — он.
 3. Иначе — зона процесса (`date` у systemd-сервиса; часто UTC, если в unit указано `Environment=TZ=UTC`).
 Ежедневный отчёт по календарю и часу **`DAILY_REPORT_HOUR`** использует **`DAILY_REPORT_TZ`** (или зону процесса) — см. README.
 ## Каналы доставки
 - **`NOTIFY_CHAIN`**: `telegram`, `email` — при каждом событии попытка **во все** каналы списка.
 Режим **`--dry-run`**: уведомления не отправляются; в stderr печатается текст **уже с подписью сервера**.
@@ -0,0 +1,46 @@
 # Release manifest
 Файлы `release/manifest-VERSION.json` — SHA256 агентских скриптов **как в git** (после `checkout` на Linux). Updater сверяет их до копирования на хост.
 ## Автоматически (рекомендуется)
 Один раз после clone:
 **Linux / Git Bash:**
 ```bash
 ./contrib/install-git-hooks.sh
 ```
 **Windows (PowerShell):**
 ```powershell
 .\contrib\install-git-hooks.ps1
 ```
 При коммите, если изменились **`version.txt`**, **`SSH_MONITOR_VERSION`** в `ssh-monitor` или любой из агентских файлов (`ssh-monitor`, `*.sh` из списка manifest), **pre-commit** вызовет `contrib/manifest/generate.py` и добавит `release/manifest-{версия}.json` в коммит.
 ## Ручная генерация (локально)
 Скрипты **`.local/build-release-manifest.ps1`** (Windows) и **`.local/build-release-manifest.sh`** (Git Bash) создаются установщиком и **не коммитятся** (см. `.gitignore`).
 ```powershell
 .\.local\build-release-manifest.ps1
 .\.local\build-release-manifest.ps1 2.2.3-SAC
 ```
 ```bash
 ./.local/build-release-manifest.sh
 ```
 Ядро генерации в репозитории: `contrib/manifest/generate.py` (используется hook и локальным wrapper).
 ## Релиз (чек-лист)
 1. Bump `SSH_MONITOR_VERSION` + `version.txt`
 2. `git add` изменённые файлы
 3. `git commit` — hook обновит manifest (или вручную `.local/build-release-manifest.sh`)
 4. `git tag X.Y.Z-SAC`
 5. Push в kalinamall (+ GitHub при необходимости)
 Поле `git_commit` в manifest по умолчанию **пустое** (проверяются только SHA256 файлов). Опционально после коммита: `python3 contrib/manifest/generate.py --pin-commit`.
 См. также [auto-update.ru.md](auto-update.ru.md).
@@ -0,0 +1,40 @@
 # SAC ingest: таймауты и fallback
 Документ для эксплуатации **ssh-monitor** с `UseSAC=fallback` или `exclusive` при нагрузке на SAC (массовый update агентов, deploy backend).
 См. также: [ingest-mass-update-backlog.ru.md](https://git.papatramp.ru/PapaTramp/security-alert-center/src/branch/main/docs/ingest-mass-update-backlog.ru.md) (SAC + ops).
 ## `SAC_TIMEOUT_SEC`
 Таймаут **connect** и **max-time** для `curl` к SAC (`/health`, `POST /api/v1/events`).
 | Сценарий | Рекомендация |
 |----------|--------------|
 | Обычная нагрузка | **45** (дефолт в `ssh-monitor.conf.example` и при миграции с 12) |
 | Массовый restart агентов, тяжёлый ingest на SAC | **60–90** на время окна обслуживания |
 | SAC на том же хосте перезапускается (`sac-deploy`) | Кратковременные отказы POST — норма; не поднимать таймаут «навсегда» без причины |
 На стороне SAC (nginx) для ingest задан `proxy_read_timeout 120s` на `POST /api/v1/events`. Агентский таймаут **не обязан** равняться 120: достаточно, чтобы POST не обрывался раньше типичного ответа API. При `SAC_TIMEOUT_SEC` меньше nginx-лимита агент уйдёт в spool и `sac-fail.count`, а не «висит» минутами.
 Проверка после смены:
 ```bash
 sudo ssh-monitor --check-config
 sudo ssh-monitor --check-sac
 ```
 ## `sac-fail.count` и режим `fallback`
 При ошибке POST ingest счётчик в `SAC_FAIL_COUNT_FILE` увеличивается. После **`SAC_FALLBACK_FAILURES`** подряд (по умолчанию 5) агент перестаёт слать в SAC и шлёт только в локальный Telegram, пока `/health` снова не станет OK.
 **Сброс счётчика:** любой успешный POST (в т.ч. heartbeat) обнуляет `sac-fail.count`.
 **Shutdown / SIGTERM (с 2.3.2-SAC):** при остановке монитора (`systemctl stop`, restart во время SAC-update) неудачный lifecycle POST **не увеличивает** счётчик — иначе после штатного restart пачки хостов агент ложно уходит в Telegram-fallback.
 Lifecycle при SAC-update по-прежнему **пропускается**, если существует state-file `agent-update-in-progress` (см. `update_ssh_monitor.sh`).
 ## Операционные правила
 1. Не совмещать `sudo /opt/sac-deploy.sh` и массовое «Обновить ssh-monitor» по многим хостам в одно окно.
 2. Обновлять Linux-хосты **пачками по 2–3**.
 3. На зрелых хостах — **`UseSAC=exclusive`**, если локальный Telegram при fallback не нужен.
@@ -0,0 +1,261 @@
 # Security roadmap — ssh-monitor
 Чек-лист правок по аудиту безопасности. **Код пока не трогаем** — документ для совместного просмотра и утверждения фаз.
 Связанные файлы: `ssh-monitor`, `update_ssh_monitor.sh`, `sac-client.sh`, `ssh-monitor-watchdog`, `ssh-monitor.conf.example`.
 ---
 ## Модель доверия (согласовано)
 | Объект | Кто отвечает |
 |--------|----------------|
 | **`REPO_URL`** | Оператор. Указывает **своё** зеркало (kalinamall, GitHub после санитайза, форк). Жёсткий allowlist в коде **не нужен**. |
 | **Закрытое зеркало** | Доверенный git в LAN/VPN — основной путь обновления. |
 | **Публичный GitHub** | Санитизированная копия без секретов; обновление оттуда допустимо, если оператор сам прописал URL. |
 | **`/etc/ssh-monitor.conf`** | Доверенный root-only файл; агент работает от root. |
 | **Аудиты** | Нерегулярно; roadmap закрывает разумный baseline, не «вечный SOC». |
 ---
 ## Порядок релизов
 | Версия | Фазы | Суть |
 |--------|------|------|
 | **2.1.7-SAC** | Фаза 1 + выбранное из Фазы 4 | Права, `REPO_URL` обязателен, webhook, docs | ✅ реализовано |
 | **2.1.8-SAC** | Дополнение к 1.1 | SAC-first update: hardening прав на каждом прогоне updater | ✅ реализовано |
 | **2.1.9-SAC** | Дополнение к 1.x | Watchdog: `🖥️ Сервер:` в Telegram (как у агента) | ✅ реализовано |
 | **2.3.2-SAC** | **Фаза 4.2** | Shutdown: не крутить `sac-fail.count`; docs `SAC_TIMEOUT_SEC` | ✅ реализовано |
 | **2.3.1-SAC** | Hotfix | `--check-config` + whitelist IPv4 | ✅ реализовано |
 | **2.2.3-SAC** | Дополнение к 2.2.x | Подавление sudo TG при SAC bootstrap/update | ✅ реализовано |
 | **2.2.1-SAC** | Дополнение к 2.2.0 | Подавление lifecycle/watchdog TG при SAC-update | ✅ реализовано |
 | **2.2.0-SAC** | **Фаза 2** | Manifest, pinned ref, без слепого `reset --hard` | ✅ реализовано |
 | **2.3.0-SAC** | Фаза 3 | Парсер конфига без `source` (minor breaking) |
 Bump: `ssh-monitor` (`SSH_MONITOR_VERSION`) + `version.txt` в каждом релизе.
 **Текущий статус (2026-07-08):** фаза **4.2** закрыта (2.3.2-SAC). Дальше — ops (`UseSAC=exclusive`, пачки update) и опционально GPG / `GIT_REF=tag` на проде.  
 Backlog по ingest при массовом update (SAC + ops): [ingest-mass-update-backlog.ru.md](https://git.papatramp.ru/PapaTramp/security-alert-center/src/branch/main/docs/ingest-mass-update-backlog.ru.md) (отдельный ToDo).
 ---
 ## Фаза 1 — 2.1.7-SAC
 ### 1.1 Права на state / spool (M4)
 - [x] При создании каталогов и файлов состояния: `chown root:root`, каталоги `chmod 700`, файлы `chmod 600`
 - [x] Затронуть: `SAC_SPOOL_DIR`, `SAC_FAIL_COUNT_FILE`, heartbeat / last_* (где создаёт `ssh-monitor` / `sac-client.sh` / deploy)
 - [x] **2.1.8:** `update_ssh_monitor.sh` → `apply_runtime_security_hardening` на **каждом** update (SAC, cron, вручную): retrofit `chmod`/`chown` существующих путей из конфига
 - [x] В `--check-config`: предупреждение, если существующие пути с ослабленными правами
 **Файлы:** `ssh-monitor`, `sac-client.sh`, при необходимости `update_ssh_monitor.sh`
 ---
 ### 1.2 Проверка прав конфига при старте (C1, частично)
 - [x] Перед загрузкой конфига: если `/etc/ssh-monitor.conf` существует — проверить `root:root`, mode `600` или `400`
 - [x] **Поведение по умолчанию:** `WARN` в лог + stderr, работа продолжается (не ломать старые установки с `644`)
 - [x] Опционально в конфиге: `CONFIG_STRICT_PERMS=1` → **exit 1** при нарушении
 **Решение агента:** strict выключен по умолчанию; в README рекомендовать `chmod 600` и позже `400`.
 ---
 ### 1.3 `BACKUP_WEBHOOK_URL` (H3) — **вариант A (soft-deprecate)**
 - [x] В `ssh-monitor.conf.example`: закомментировать / убрать из «активного» блока, комментарий `DEPRECATED: не используется в типовом деплое; будет удалён в 2.3.x`
 - [x] В README / `docs/notifications.ru.md`: пометить **legacy / необязательно**
 - [x] В `--check-config`: если задан — WARN (удалён в 2.3.0)
 - [x] **Удаление кода** — **2.3.0-SAC**
 ---
 ### 1.4 `REPO_URL` — только из env, без дефолта в коде (C3) — **утверждено**
 - [x] Убрать захардкоженный default `https://git.kalinamall.ru/...` из `update_ssh_monitor.sh`
 - [x] При старте updater: если `REPO_URL` пуст — **exit 1**, сообщение в **stderr** и **`$LOG_FILE`**
 - [x] Текст ошибки: что задать (`export REPO_URL=...` или в systemd unit `Environment=REPO_URL=...`)
 - [x] SAC: основной путь обновления (кнопка в UI); cron/timer — опционально. Bootstrap SAC → `--deploy`
 - [x] **Не** делать allowlist доменов — оператор сам выбирает зеркало
 **Файлы:** `update_ssh_monitor.sh`, `docs/auto-update.ru.md`, пример unit/timer если есть
 **Заметка:** после 2.1.7 на всех хостах нужно явно прописать `REPO_URL` до следующего обновления.
 ---
 ### 1.5 Документация threat model
 - [x] `README.md` + этот файл: root-агент, доверие к `REPO_URL` и конфигу, санитайз GitHub
 - [x] Рекомендация: критичные хосты — только закрытое зеркало; автообновление осознанно
 ---
 ## Фаза 2 — 2.2.0-SAC
 ### 2.1 Pinned ref и режим верификации (C2) — **утверждено, детали на агенте**
 Новые переменные (env или ключи в `/etc/ssh-monitor.conf`, читаемые updater’ом):
 | Переменная | Назначение | Рекомендация |
 |------------|------------|--------------|
 | **`GIT_REF`** | Что checkout: тег (`2.2.0-SAC`), ветка (`main`) или commit SHA | **Тег релиза** — оптимально для прода |
 | **`GIT_VERIFY_MODE`** | `off` \| `tag` \| `commit` | См. ниже |
 **`GIT_VERIFY_MODE`:**
 | Значение | Поведение | Когда использовать |
 |----------|-----------|-------------------|
 | **`off`** | После fetch принять ref как есть (как сейчас, но без `reset --hard` по умолчанию) | Тест, если manifest ниже достаточен |
 | **`tag`** | `GIT_REF` должен быть **аннотированным тегом**; опционально `git tag -v` (см. 2.4) | **Рекомендуется для прода** |
 | **`commit`** | `GIT_REF` = полный SHA; сверка с manifest | Жёсткий pin без тегов |
 - [x] Реализовать чтение `GIT_REF` / `GIT_VERIFY_MODE` в `update_ssh_monitor.sh`
 - [x] Дефолты для 2.2.0: `GIT_REF` пуст → `GIT_BRANCH`; `GIT_VERIFY_MODE=off` в скрипте, **`tag`** в prod-документации
 - [x] **`docs/auto-update.ru.md`**: отдельный раздел с примерами systemd и таблицей режимов
 ---
 ### 2.2 Без слепого `reset --hard` (C2) — **утверждено**
 - [x] При failed `git pull --ff-only`: **не** делать `reset --hard` автоматически
 - [x] Лог + stderr: «история разошлась, требуется ручное вмешательство или новый clone»
 - [x] Опционально: `GIT_ALLOW_RESET=1` только для ручного/CI (документировать риск)
 ---
 ### 2.3 Release manifest (C2, C4) — **утверждено**
 - [x] Файл в репо, например `release/manifest-2.2.0-SAC.json`:
 ```json
 {
  "version": "2.2.0-SAC",
  "git_commit": "abc123...",
  "files": {
    "ssh-monitor": "sha256:...",
    "sac-client.sh": "sha256:...",
    "update_ssh_monitor.sh": "sha256:...",
    "ssh-monitor-watchdog": "sha256:..."
  }
 }
 ```
 - [x] Публиковать manifest при каждом релизе (в git, рядом с тегом)
 - [x] Updater: после checkout сверять SHA256 файлов из клона с manifest **до** копирования в `/usr/local/bin`
 - [x] Несовпадение → exit 1, ничего не перезаписывать
 - [x] Скрипт/цель в `Makefile` + `contrib/manifest/generate.py`; pre-commit hook; ручной `.local/` (не в remote)
 **Связь с 2.4:** manifest из **того же** `REPO_URL` защищает от подмены файлов в clone и от «не того» коммита; не защищает от полной компрометации git-сервера (для этого GPG).
 ---
 ### 2.4 GPG-подписи тегов — **опционально, скорее отложить**
 **Вопрос:** если обновляем только из своего `REPO_URL` (kalinamall), нужен ли GPG?
 | Угроза | Manifest + pinned tag | + GPG tag |
 |--------|----------------------|-----------|
 | Подмена файлов в clone / wrong commit | Да | Да |
 | Компрометация аккаунта git (вредоносный force-push) | **Нет** | Да (если ключ не украден) |
 | Доверенный LAN git у оператора | Обычно достаточно manifest | Nice-to-have |
 **Решение для roadmap:**
 - [x] **2.2.0:** не блокировать релиз на GPG; `GIT_VERIFY_MODE=tag` без `-v`
 - [ ] **Backlog:** `GIT_GPG_VERIFY=1` + ключ в `/etc/ssh-monitor/trusted-release-key.asc`, если позже понадобится
 - [x] Документировать: при доверенном закрытом зеркале manifest + `GIT_REF=tag` — **достаточный минимум**
 ---
 ### 2.5 Re-exec updater только после verify (C4) — **утверждено**
 - [x] `UPDATER_REEXEC` / копирование `update_ssh_monitor.sh` в `/opt/scripts/` — только если manifest SHA256 совпал
 - [x] Иначе: лог, старая версия updater остаётся, exit 1
 ---
 ## Фаза 3 — 2.3.0-SAC (парсер конфига)
 ### 3.1 Парсер без `source` (C1) — **утверждено**
 - [x] Whitelist ключей: `TELEGRAM_*`, `SAC_*`, `MAIL_*`, `NOTIFY_*`, числовые лимиты, пути и т.д.
 - [x] Формат строк: `KEY="value"` / `KEY='value'` / `KEY=value`
 - [x] Игнор `#` комментариев; неизвестные ключи — WARN
 **Файлы:** `ssh-monitor-perms.sh` (`ssh_monitor_config_load_file`), `ssh-monitor`, `ssh-monitor-watchdog`
 ---
 ### 3.2 Миграция — **решение агента**
 - [x] **2.3.0:** парсер по умолчанию; `source` **удалён**
 - [x] Синтаксис файла **не меняется** для пользователя — те же `KEY="value"`
 - [x] В release notes: «поведение то же, выполнение bash из конфига невозможно»
 - [x] `ssh-monitor --check-config` проверяет неизвестные/битые строки (WARN) и значения (ERROR)
 - [x] Отдельная команда миграции **не нужна** (формат тот же)
 ---
 ### 3.3 Валидация значений — **решение агента**
 - [x] URL: `SAC_URL` — http(s)://host
 - [x] Enum: `UseSAC` ∈ `off|exclusive|dual|fallback`; `GIT_VERIFY_MODE` ∈ `off|tag|commit`
 - [x] Числа: существующие `validate_numeric_or_default`
 - [x] IP/CIDR в `WHITELIST_*` — базовая проверка формата
 - [x] Ошибки валидации → exit 1 на старте и в `--check-config`
 ---
 ### 3.x Удаление `BACKUP_WEBHOOK` (если утвердили soft-deprecate в 1.3)
 - [x] Удалить код и документацию в **2.3.0**
 ---
 ## Фаза 4 — что делаем, что нет
 | Пункт | Версия | Решение |
 |-------|--------|---------|
 | **4.4** `ensure_ipset_installed` не на каждый update | 2.1.7 | **Делаем:** только `--deploy` / `first_deploy.sh`; обычный update не вызывает `apt-get` | ✅ |
 | **4.3** Права whitelist-файла | 2.1.7 | **Делаем:** при загрузке `/etc/ssh_monitor_whitelist.txt` — WARN если не root:root | ✅ |
 | **4.5** JSON healthcheck через `json.dumps` | 2.2.0 | **Делаем:** мелкий fix L3 | ✅ |
 | **4.1** Секреты не через environ в Python | — | **Не делаем** (мало выигрыша при root) |
 | **4.2** Telegram token в URL | — | **Не делаем** (ограничение Bot API) |
 | **4.6** systemd hardening (non-root) | — | **Не делаем** (ipset/iptables требуют root) |
 | **M6** Ротация логов | — | Уже есть `contrib/logrotate.d/` — только упоминание в README |
 | **M7** `set_config_kv` sed | 2.2.0 | **Делаем:** экранирование `/` и `"` в `val` при merge конфига | ✅ |
 ---
 ## Вне scope (согласовано не раздувать)
 - Жёсткий allowlist `REPO_URL` / зеркал — оператор задаёт свой URL
 - Cert pinning TLS
 - HashiCorp Vault / systemd-creds для секретов (backlog на годы)
 - Регулярные внешние аудиты
 ---
 ## Чек-лист «перед стартом работы завтра»
 - [x] **Релиз 2.1.7–2.1.9** — фаза 1 + SAC-first + watchdog server label
 - [x] **Релиз 2.2.0** — scope: 2.1–2.3, 2.5, 4.5, 4.7(M7); **2.4 GPG отложить**
 - [x] **Релиз 2.3.0** — scope: 3.1–3.3, удаление webhook
 - [ ] **Дефолт `GIT_REF`** в 2.2.0: тег из `version.txt` vs `main`
 - [x] **Миграция хостов:** SAC-first update, `known_hosts`, `REPO_URL` через SAC
 - [ ] **Ingest mass-update backlog** — см. security-alert-center `docs/ingest-mass-update-backlog.ru.md`
 ---
 ## Открытые вопросы на завтра
 1. **1.3** — `BACKUP_WEBHOOK_URL`: soft-deprecate (A), удалить сразу (B), оставить (C)?
 2. **1.2** — достаточно WARN по умолчанию или сразу strict на новых установках?
 3. **2.1** — дефолт `GIT_REF`: тег `version.txt` или ветка `main`?
 4. Подтверждение: **ни на одном хосте** не используется Slack/Discord webhook через `BACKUP_WEBHOOK_URL`?
 ---
 *Документ создан для ревью. После утверждения — работа по фазам в отдельных коммитах с bump версии.*
@@ -0,0 +1,5 @@
 #!/bin/bash
 # Первичная установка ssh-monitor — обёртка над update_ssh_monitor.sh --deploy
 set -euo pipefail
 SCRIPT_DIR="$(cd "$(dirname "${BASH_SOURCE[0]}")" && pwd)"
 exec "$SCRIPT_DIR/update_ssh_monitor.sh" --deploy "$@"
@@ -0,0 +1,220 @@
 # ssh-monitor
 Bash script that monitors **SSH**, **SUDO**, and **`systemd-logind`** events (local/graphical sessions, etc.), sends alerts via **Telegram** and **SMTP email**, optional backup webhook, automatic IP blocking (**ipset** + **iptables** / **ip6tables**: `hash:ip` sets with timeout, single `-m set` rule; details in **`IPSET-NOTES.txt`**), and a daily report.
 ## Repository contents
 | File | Purpose |
 |------|---------|
 | **`ssh-monitor`** | Main loop: parses logs (**journalctl**: sshd, sudo, security events, **systemd-logind**), notification chain (Telegram, SMTP via **python3**, backup webhook); with **`ENABLE_IP_BAN=1`** tracks failed attempts, bans via **ipset**, reconciles with **iptables**/**ip6tables**, daily report, heartbeat, optional **Prometheus** textfile and JSON health. Modes: **`--check-config`**, **`--dry-run`**. |
 | **`ssh-monitor-watchdog`** | Standalone script (usually via **systemd timer**): checks that the monitor service is active and the heartbeat file is fresh; on failure runs **`systemctl restart`** and sends Telegram or **`BACKUP_WEBHOOK_URL`**. Reads the same `TELEGRAM_*` / webhook from `/etc/ssh-monitor.conf`. |
 | **`update_ssh_monitor.sh`** | Optional auto-update: `git pull` / `clone`, SHA256 compare with `/usr/local/bin/ssh-monitor`, restart `ssh-monitor.service`. See [docs/auto-update.ru.md](docs/auto-update.ru.md) (Russian). |
 **System packages and dependencies** (install on the server before running): step-by-step in [docs/install-prerequisites.ru.md](docs/install-prerequisites.ru.md) (Russian).
 ## Configuration
 The script reads `/etc/ssh-monitor.conf` in `KEY="value"` format.
 1. Copy the example:
   - `sudo cp ./ssh-monitor.conf.example /etc/ssh-monitor.conf`
 2. Restrict permissions:
   - `sudo chmod 600 /etc/ssh-monitor.conf`
 3. Fill in at least **one notification channel** (otherwise the script exits immediately; see **«Mandatory requirement»** below and **«Notification channels and empty NOTIFY_CHAIN»**):
   - for **Telegram**: `TELEGRAM_BOT_TOKEN` and `TELEGRAM_CHAT_ID`;
   - or configure **SMTP** using the variables below with `NOTIFY_ORDER=""` (auto-selected channels).
 **Mandatory requirement:** after loading the config, **`NOTIFY_CHAIN`** must contain **at least one** channel (`telegram` or `email`). If there are **none** (empty `NOTIFY_ORDER` and neither Telegram nor SMTP qualify as “configured”, or `NOTIFY_ORDER` contains only unknown names), the script **does not** enter the main loop and exits with code **1**, stderr: **`Не настроен ни один канал отправки оповещений`**. The same applies to **`--check-config`** and **`--dry-run`**. The backup **`BACKUP_WEBHOOK_URL`** is **not** part of this check — it is used only if **every** channel in **`NOTIFY_CHAIN`** fails to deliver.
 Supported parameters:
 - `TELEGRAM_BOT_TOKEN`, `TELEGRAM_CHAT_ID`
 - `NOTIFY_ORDER` — channel list (`telegram`, `email`, or **tg**, **mail**); for each alert the script **tries all listed** channels in order (not “first success stops”). Empty = only configured channels are chained (default order in `ssh-monitor.conf.example`). If the resulting chain is empty — the script does not start (see **«Notification channels and empty NOTIFY_CHAIN»**).
 - `MAIL_SMTP_HOST`, `MAIL_SMTP_PORT`, `MAIL_SMTP_USER`, `MAIL_SMTP_PASSWORD`, `MAIL_FROM`, `MAIL_TO`, `MAIL_SMTP_STARTTLS`, `MAIL_SMTP_SSL` — mail via **python3** (see channel table below)
 - `BACKUP_WEBHOOK_URL` — fallback JSON `{"text":"..."}` (e.g. Slack Incoming Webhook) if **all** **`NOTIFY_CHAIN`** channels fail; **does not** replace the need for at least one primary channel (see step 3)
 - `LOG_FILE`, `LAST_HEARTBEAT_FILE`, `LAST_REPORT_FILE`, `LAST_SSH_CHECK_FILE`, `LAST_SUDO_CHECK_FILE`, `LAST_SECURITY_EVENTS_FILE`, `LAST_LOGIND_CHECK_FILE`, `BAN_LIST_FILE`
 - `ENABLE_LOGIND_MONITOR`, `LOGIND_NOTIFY_NEW`, `LOGIND_NOTIFY_REMOVED`, `LOGIND_NOTIFY_FAILED`, `LOGIND_SKIP_REMOTE` — see **«systemd-logind monitoring»** below
 - `DAILY_REPORT_HOUR` (0..23), `DAILY_REPORT_TZ` (optional), `NOTIFY_TZ` (optional), `SERVER_DISPLAY_NAME` (optional), `SSH_ACCEPT_NOTIFY_DEDUP_SEC`, `DAILY_REPORT_TOP_IPS`
 - `BRUTE_WINDOW_SEC`, `BRUTE_MIN_FAILS`, `BRUTE_NOTIFY_COOLDOWN_SEC`
 - `PROMETHEUS_TEXTFILE_DIR` — directory for `ssh_monitor.prom` (node_exporter textfile collector)
 - `HEALTHCHECK_STATUS_FILE` — path to JSON with last loop iteration marker
 - `ENABLE_IP_BAN` — `1` (default): monitoring and auto-ban via ipset; `0`: monitoring and alerts only (no ipset/ban)
 - `BAN_TIME`, `MAX_ATTEMPTS`, `BAN_CHECK_INTERVAL`, `MONITOR_INTERVAL`
 - `WHITELIST_IPS`, `WHITELIST_SUBNETS` (CSV, e.g. `ip1,ip2`)
 - `WATCHDOG_MAX_HEARTBEAT_AGE`, `WATCHDOG_LOG_FILE`, `WATCHDOG_SERVICE_NAME`, `WATCHDOG_NOTIFY_ON_RECOVERY`
 If `/etc/ssh-monitor.conf` is missing or some values are empty, script defaults apply.
 ### `/etc/ssh-monitor.conf` variables
 - `TELEGRAM_BOT_TOKEN` — Telegram bot token for alerts.
 - `TELEGRAM_CHAT_ID` — chat/user ID for notifications.
 - `NOTIFY_ORDER` — CSV of channel names (`telegram`, `email`, `tg`, `mail`). For **each** alert, delivery is attempted **to all** listed channels (if one fails, others still run; failures go to **`LOG_FILE`**). Empty string: build chain from configured channels only (default order telegram → email; “configured” criteria — **table** in **«Notification channels and empty NOTIFY_CHAIN»**). If no channels remain, the script exits: **«Не настроен ни один канал отправки оповещений»** (including `--check-config` and `--dry-run`).
 - `MAIL_SMTP_HOST`, `MAIL_SMTP_PORT`, `MAIL_SMTP_USER`, `MAIL_SMTP_PASSWORD`, `MAIL_FROM`, `MAIL_TO`, `MAIL_SMTP_STARTTLS`, `MAIL_SMTP_SSL` — SMTP for `email` channel (**python3**; see “configured” table).
 - `BACKUP_WEBHOOK_URL` — backup POST URL (JSON `{"text":"..."}`); fallback only, **not** counted as a configured channel (see step 3).
 - `LOG_FILE` — main script log path.
 - `LAST_HEARTBEAT_FILE` — file with last heartbeat timestamp.
 - `LAST_REPORT_FILE` — date of last daily report `YYYY-MM-DD` (legacy Unix time on first run is interpreted automatically).
 - `LAST_SSH_CHECK_FILE` — last SSH events check timestamp.
 - `LAST_SUDO_CHECK_FILE` — last sudo events check timestamp.
 - `LAST_SECURITY_EVENTS_FILE` — last “heavy” security journal check.
 - `LAST_LOGIND_CHECK_FILE` — last `systemd-logind` journal processing (Unix time); ~30 minutes of history on first run.
 - `BAN_LIST_FILE` — ban state file (IP, ban end time, metadata).
 - `ENABLE_LOGIND_MONITOR` — `1` enables `journalctl -u systemd-logind`, `0` disables this block.
 - `LOGIND_NOTIFY_NEW` — `1` send Telegram on new logind session (*New session … of user …*).
 - `LOGIND_NOTIFY_REMOVED` — `1` send Telegram on session end (*Removed session …*); default `0` (log only to avoid spam).
 - `LOGIND_NOTIFY_FAILED` — `1` send Telegram on logind lines containing *failed* (broad filter; disable if needed).
 - `LOGIND_SKIP_REMOTE` — `1` (default): for a new logind session, if `loginctl` is available, skip duplicate Telegram when already covered by **`monitor_ssh`**: **`Type=ssh`** or **`Service`** points to **sshd** (often **`Type=tty` + `Service=sshd`**); short retries if `loginctl` returns empty. Set `0` for separate logind alerts for SSH sessions too.
 - `DAILY_REPORT_HOUR` — hour (0..23) after which at most one daily report is sent in the **current calendar day** (in the zone below).
 - `DAILY_REPORT_TZ` — optional **IANA** zone (`Europe/Moscow`, …). If **empty**, report uses the monitor process zone (usually matches `timedatectl` / `/etc/localtime`). If the unit sets `TZ=UTC`, without `DAILY_REPORT_TZ` the report uses **UTC** — set an explicit zone in config.
 - `NOTIFY_TZ` — **IANA** zone for **«🕐 Время»** lines in Telegram/email. **Empty** — use **`DAILY_REPORT_TZ`** if set, else process zone. Common mismatch: **`ssh-monitor.service`** has **`Environment=TZ=UTC`** — set **`NOTIFY_TZ`** or **`DAILY_REPORT_TZ`** to your locale, e.g. `Asia/Vladivostok`.
 - `SERVER_DISPLAY_NAME` — label in **«🖥️ Server»** line on every alert. **Empty** — `hostname` plus primary IPv4 when available. Set a fixed name when many hosts share one Telegram chat. Details: [docs/notifications.ru.md](docs/notifications.ru.md) (Russian).
 - `SERVER_IPV4` — optional override for SAC `host.ipv4`. If empty, the script auto-detects host IPv4.
 - `SSH_ACCEPT_NOTIFY_DEDUP_SEC` — at most one Telegram per successful SSH (**Accepted**) per **user + IP** pair within **N** seconds (default **5**). Removes duplicates when journal has two lines with **different client ports** for one login. **`0`** disables this cross-iteration dedup (in-pass dedup by `user|ip|port` remains).
 - `DAILY_REPORT_TOP_IPS` — how many IPs in the failed-attempts top for 24 hours.
 - `BRUTE_WINDOW_SEC` — window (seconds) for “mass” brute-force evaluation via `journalctl`.
 - `BRUTE_MIN_FAILS` — minimum failures in the window to alert.
 - `BRUTE_NOTIFY_COOLDOWN_SEC` — cooldown between repeat alerts for the same IP.
 - `PROMETHEUS_TEXTFILE_DIR` — if set to an existing directory, writes `ssh_monitor.prom` with `ssh_monitor_last_loop_unixtime` each iteration.
 - `HEALTHCHECK_STATUS_FILE` — if set, updates JSON `{ "ts", "hostname", "dry_run" }` each iteration.
 - `ENABLE_IP_BAN` — enable auto-ban (`1`) or monitor-only with alerts (`0`; **ipset** not required).
 - `BAN_TIME` — ban duration in seconds (`ENABLE_IP_BAN=1`).
 - `MAX_ATTEMPTS` — failed SSH attempts before auto-ban.
 - `BAN_CHECK_INTERVAL` — interval to check expired bans and reconcile ban list with firewall (seconds).
 - `MONITOR_INTERVAL` — pause between main loop iterations (seconds).
 - `WHITELIST_IPS` — comma-separated whitelist (IPv4/IPv6 exact match).
 - `WHITELIST_SUBNETS` — **IPv4-only** CIDR whitelist, comma-separated (e.g. `10.0.0.0/24`).
 - `WATCHDOG_MAX_HEARTBEAT_AGE` — seconds after which heartbeat is stale.
 - `WATCHDOG_LOG_FILE` — watchdog log file.
 - `WATCHDOG_SERVICE_NAME` — systemd service watched by watchdog (default `ssh-monitor.service`).
 - `WATCHDOG_NOTIFY_ON_RECOVERY` — `1` enables watchdog “OK” messages when healthy, `0` disables.
 ### Notification channels and empty NOTIFY_CHAIN
 What counts as a **configured** channel (only these join the auto chain when **`NOTIFY_ORDER=""`**):
 | Channel | “Configured” condition |
 |---------|------------------------|
 | `telegram` | **`TELEGRAM_BOT_TOKEN`** and **`TELEGRAM_CHAT_ID`** set |
 | `email` | non-empty **`MAIL_SMTP_HOST`**, **`MAIL_FROM`**, **`MAIL_TO`**, **`python3`** in PATH |
 If **`NOTIFY_CHAIN` is empty**, the script exits with **`Не настроен ни один канал отправки оповещений`** (see step 3 in **Configuration**).
 ### systemd-logind monitoring
 - Collects **`systemd-logind`** unit messages via **`journalctl`** (`-o cat`): new/ended sessions, and lines containing *failed* (if enabled).
 - Without **`journalctl`**, this block **does not run** (like other journal-based features).
 - “New session” parsing expects typical English formats (`New session … of user …`). On mismatch, the line is still logged with a parse warning.
 - **`loginctl`** is used for **`LOGIND_SKIP_REMOTE`**: **Type** and **Service** decide whether to avoid duplicate Telegram with **`monitor_ssh`** (see `LOGIND_SKIP_REMOTE` above).
 - **`monitor_ssh`**: **sshd** events mostly **`journalctl _COMM=sshd`** (fallback units `sshd` / `ssh`), lines **`sort -u`**, **`Accepted`** dedup per **user|IP|port** within one pass; between passes **`SSH_ACCEPT_NOTIFY_DEDUP_SEC`** for **user|IP** (see config).
 **`ssh-monitor --check-config`** prints current values, including logind settings.
 Hosts **without journald** and **`/var/log/auth.log`** caveats: section 4 in [docs/install-prerequisites.ru.md](docs/install-prerequisites.ru.md).
 ### Server identification in alerts
 **All** notifications sent via **`notify_send()`** get a **«🖥️ Сервер: …»** line (Russian label in messages) right after the title: `hostname (IPv4)` or hostname only. Implemented centrally in **`message_ensure_server_line()`**; no need to add the line in each alert builder.
 - Requires **`hostname`** and **`ip`** (see prerequisites doc).
 - Optional **`SERVER_DISPLAY_NAME`** in config for a fixed label.
 - Message types and examples: [docs/notifications.ru.md](docs/notifications.ru.md) (Russian).
 ### Auto-update
 **`update_ssh_monitor.sh`** can run on a schedule to `git pull`, compare SHA256 with `/usr/local/bin/ssh-monitor`, copy on change, and restart **`ssh-monitor.service`**. Does not modify `/etc/ssh-monitor.conf`.
 Setup guide: [docs/auto-update.ru.md](docs/auto-update.ru.md) (Russian).
 ## Run modes
 Normal run (root):
 ```bash
 sudo bash ./ssh-monitor
 ```
 Check config and syntax **without** starting the loop, **without** changing `iptables`, no mandatory Telegram send:
 ```bash
 sudo bash ./ssh-monitor --check-config
 ```
 **Dry-run** (firewall rules unchanged; notifications go to stderr instead of sending):
 ```bash
 sudo bash ./ssh-monitor --dry-run
 ```
 ## Syntax check
 ```bash
 bash -n ./ssh-monitor
 ```
 ## Release tarball
 Version is set as **`SSH_MONITOR_VERSION`** in **`ssh-monitor`** and **`version.txt`** (same string as in the README header). **`sac-client.sh`** reports the same version to SAC. Build from the git tree:
 ```bash
 make dist
 ```
 Produces `ssh-monitor-<version>.tar.gz` (via `git archive`). Prebuilt archives are attached to [GitHub releases](https://git.papatramp.ru/PapaTramp/ssh-monitor/releases).
 ## Installing the script, config, and systemd
 1. Install the script:
   - `sudo install -m 750 ./ssh-monitor /usr/local/bin/ssh-monitor`
 2. Ensure config exists (see **Configuration**):
   - `sudo cp ./ssh-monitor.conf.example /etc/ssh-monitor.conf`
   - `sudo chmod 600 /etc/ssh-monitor.conf`
 3. Create `/etc/systemd/system/ssh-monitor.service`:
 ```ini
 [Unit]
 Description=SSH Monitor with Telegram alerts
 After=network-online.target
 Wants=network-online.target
 [Service]
 Type=simple
 ExecStart=/usr/local/bin/ssh-monitor
 Restart=always
 RestartSec=5
 User=root
 [Install]
 WantedBy=multi-user.target
 ```
 4. Enable and start:
 ```bash
 sudo systemctl daemon-reload
 sudo systemctl enable ssh-monitor
 sudo systemctl start ssh-monitor
 ```
 5. Status and logs:
 ```bash
 sudo systemctl status ssh-monitor
 sudo journalctl -u ssh-monitor -f
 ```
 ## Log rotation
 Example `logrotate` config: `contrib/logrotate.d/ssh-monitor`. Copy to `/etc/logrotate.d/` and adjust paths for your `LOG_FILE` / `WATCHDOG_LOG_FILE` and state files under `/var/log/` (including `LAST_*` if you rotate them separately).
 ## Watchdog (automatic recovery)
 The watchdog checks `ssh-monitor.service` activity and heartbeat freshness (`LAST_HEARTBEAT_FILE`). On failure it runs `systemctl restart` and sends a notification (Telegram, or `BACKUP_WEBHOOK_URL` if Telegram fails).
 Step-by-step **ssh-monitor-watchdog** and **timer** setup: section 6 in [docs/install-prerequisites.ru.md](docs/install-prerequisites.ru.md).
 **Keywords (search):** SSH, **sshd**, **bash** on **Linux**, **Telegram**, **SMTP**, **systemd-logind**, **sudo**, **journalctl**, **iptables** / **ip6tables**, automatic **IP ban** and **whitelist**, **systemd** unit, **daily report**, **heartbeat**, **OpenSSH**, server security, **Prometheus** textfile, optional **watchdog**.
 ## License
 This project is licensed under the **MIT License** — see [LICENSE](LICENSE).
@@ -0,0 +1,11 @@
 {
  "version": "2.2.0-SAC",
  "git_commit": "275d305d627b462cae141605a002002525aa474c",
  "files": {
    "ssh-monitor": "sha256:517e4a210f271f57717b77746352ce2c60579cf89958c1c36501951901b885d0",
    "sac-client.sh": "sha256:ffcbb0ed28e4247ccb5e74dd6e77d020f93eab8a17f9716e8913a17bc899274b",
    "update_ssh_monitor.sh": "sha256:8108dd703095d54d51070933f074c90805f383967a3d2a6d63825898ad483231",
    "ssh-monitor-watchdog": "sha256:5299bdcb481e7ca1d1042579d5c1ad8b13f3f72c1a6e922bcffd070b6c30ec80",
    "ssh-monitor-perms.sh": "sha256:c67b56060141f67c651906b31afc220a1040c151fb00f60cc5f2511d6664dc11"
  }
 }
@@ -0,0 +1,11 @@
 {
  "version": "2.2.1-SAC",
  "git_commit": "",
  "files": {
    "ssh-monitor": "sha256:9fa2eaadceffe70358d83029668cc9bdc423697626f1c84a62552901490adcd9",
    "sac-client.sh": "sha256:ffcbb0ed28e4247ccb5e74dd6e77d020f93eab8a17f9716e8913a17bc899274b",
    "update_ssh_monitor.sh": "sha256:5e27e3514532500b84d8eca67bb968ee1dde365564ce4c3710422c43e090dc72",
    "ssh-monitor-watchdog": "sha256:d1e786247433b6340a8fd2f1578abb2933149fc328f7d0dd7dcfd2319b94dedd",
    "ssh-monitor-perms.sh": "sha256:86c919032294d47a4daf6681fd6e527babfacf778340dd4c0bcb33f63e5d063e"
  }
 }
@@ -0,0 +1,11 @@
 {
  "version": "2.2.2-SAC",
  "git_commit": "",
  "files": {
    "ssh-monitor": "sha256:be35da47fb1cf370628795bfdfe34195a7ba098c666bd8aa092929a168a10ef6",
    "sac-client.sh": "sha256:4c481effd0e50b3db8cfa3baf3c5f228892530939df6f534a5d3d3d8a79db048",
    "update_ssh_monitor.sh": "sha256:510d63b43ea02e5aaa4385bcc6c9396ad99637c377c9880125cb2168e9d422cd",
    "ssh-monitor-watchdog": "sha256:41aa139cab0fb275249780953fceb3f8ebe01c49bf96f901dd3cf4d2fb3a9274",
    "ssh-monitor-perms.sh": "sha256:53ebf15138d59be1610e5bc14a107b942d9a7fd039683abfd2fdd0aa0b54b933"
  }
 }
@@ -0,0 +1,11 @@
 {
  "version": "2.2.3-SAC",
  "git_commit": "",
  "files": {
    "ssh-monitor": "sha256:875252eb23640cbae34bcaaf71d07b091c71e04c29d5d5d5e90851083c5bfc21",
    "sac-client.sh": "sha256:4c481effd0e50b3db8cfa3baf3c5f228892530939df6f534a5d3d3d8a79db048",
    "update_ssh_monitor.sh": "sha256:76c610ed229d510c41ddd0d10db2b68d48c08b89eb1c8252341ce85f088bf6cd",
    "ssh-monitor-watchdog": "sha256:41aa139cab0fb275249780953fceb3f8ebe01c49bf96f901dd3cf4d2fb3a9274",
    "ssh-monitor-perms.sh": "sha256:a1ca9e72a9bd7162324c308849cfeebd449228c308edb03191171e9d3187658c"
  }
 }
@@ -0,0 +1,11 @@
 {
  "version": "2.3.0-SAC",
  "git_commit": "",
  "files": {
    "ssh-monitor": "sha256:3fd3348b46f444d04155e4b3e52eff6ed22d45587cedaf7584821a66013f8ec1",
    "sac-client.sh": "sha256:4c481effd0e50b3db8cfa3baf3c5f228892530939df6f534a5d3d3d8a79db048",
    "update_ssh_monitor.sh": "sha256:76c610ed229d510c41ddd0d10db2b68d48c08b89eb1c8252341ce85f088bf6cd",
    "ssh-monitor-watchdog": "sha256:c03c50162b552a7790dd0a63eecec08d672ee04955281b5ec434ed92af5e0e2f",
    "ssh-monitor-perms.sh": "sha256:d78349904ea5b0729716f47a65a9ceb531940b6ac92460a7f8e1099738290fd3"
  }
 }
@@ -0,0 +1,11 @@
 {
  "version": "2.3.1-SAC",
  "git_commit": "",
  "files": {
    "ssh-monitor": "sha256:0219054a824242ef800410fd17843e0c45e0572608dfa4825168fbcee0d97012",
    "sac-client.sh": "sha256:4c481effd0e50b3db8cfa3baf3c5f228892530939df6f534a5d3d3d8a79db048",
    "update_ssh_monitor.sh": "sha256:76c610ed229d510c41ddd0d10db2b68d48c08b89eb1c8252341ce85f088bf6cd",
    "ssh-monitor-watchdog": "sha256:c03c50162b552a7790dd0a63eecec08d672ee04955281b5ec434ed92af5e0e2f",
    "ssh-monitor-perms.sh": "sha256:a4e9be8b9d095abf036c1265186863c2e490baf6f05798010dd17c41197a29e4"
  }
 }
@@ -0,0 +1,11 @@
 {
  "version": "2.3.2-SAC",
  "git_commit": "",
  "files": {
    "ssh-monitor": "sha256:ca64d1b2cfda29451704e43d6d5995dbdd5cac44f7e4d85f52d8f54429083c0f",
    "sac-client.sh": "sha256:e3b561280d1c146f565a1fa73e4df29f07b4ffdf149c2b30074fac98722ee9b3",
    "update_ssh_monitor.sh": "sha256:76c610ed229d510c41ddd0d10db2b68d48c08b89eb1c8252341ce85f088bf6cd",
    "ssh-monitor-watchdog": "sha256:c03c50162b552a7790dd0a63eecec08d672ee04955281b5ec434ed92af5e0e2f",
    "ssh-monitor-perms.sh": "sha256:19531b61ebac2e2f9a19fcd9fa40b6fca4651a979dfc6ab9a347a0398ce5e012"
  }
 }
@@ -0,0 +1,532 @@
 # SAC client for ssh-monitor (source from ssh-monitor)
 # Версия для SAC = SSH_MONITOR_VERSION в ssh-monitor (отдельный номер здесь не задаётся).
 # shellcheck shell=bash
 sac_tls_insecure_enabled() {
 case "${SAC_TLS_INSECURE:-0}" in
 1 | yes | true | on) return 0 ;;
 esac
 return 1
 }
 sac_warn_tls_insecure() {
 if sac_tls_insecure_enabled; then
 write_log 'CRITICAL: SAC_TLS_INSECURE=1 — проверка TLS для SAC отключена (риск MITM). Только для краткой отладки в lab.'
 fi
 }
 sac_curl() {
 if sac_tls_insecure_enabled; then
 curl -k -sS "$@"
 else
 curl -sS "$@"
 fi
 }
 sac_normalize_mode() {
 printf '%s' "${1:-off}" | tr '[:upper:]' '[:lower:]'
 }
 sac_is_configured() {
 [ -n "${SAC_URL:-}" ] && [ -n "${SAC_API_KEY:-}" ]
 }
 sac_base_url() {
 local url="${SAC_URL%/}"
 case "$url" in
 */api/v1/events) url="${url%/api/v1/events}" ;;
 esac
 printf '%s' "${url%/}"
 }
 # URL ingest (POST): всегда .../api/v1/events, даже если в конфиге указан только хост
 sac_ingest_url() {
 local base
 base="$(sac_base_url)"
 [ -n "$base" ] || return 1
 printf '%s/api/v1/events' "$base"
 }
 sac_agent_instance_id() {
 local id_file="${SAC_AGENT_ID_FILE:-/var/lib/ssh-monitor/agent_instance_id}"
 local dir
 dir="$(dirname "$id_file")"
 if [ ! -d "$dir" ]; then
 ssh_monitor_secure_dir "$dir" 2>/dev/null || mkdir -p "$dir" 2>/dev/null || id_file="/tmp/ssh-monitor-agent_instance_id"
 fi
 if [ -f "$id_file" ]; then
 cat "$id_file"
 return 0
 fi
 local new_id
 new_id="$(python3 -c 'import uuid; print(uuid.uuid4())')"
 ssh_monitor_secure_file "$id_file" 2>/dev/null || true
 printf '%s\n' "$new_id" >"$id_file" 2>/dev/null || true
 printf '%s' "$new_id"
 }
 sac_check_health() {
 local base code
 base="$(sac_base_url)"
 [ -n "$base" ] || return 1
 if [ "${DRY_RUN:-0}" = "1" ]; then
 return 0
 fi
 code="$(sac_curl -o /dev/null -w '%{http_code}' \
  --connect-timeout "${SAC_TIMEOUT_SEC:-45}" \
  --max-time "${SAC_TIMEOUT_SEC:-45}" \
  "${base}/health" || echo 000)"
 [ "$code" = "200" ]
 }
 sac_spool_write() {
 local event_id="$1"
 local body="$2"
 local dir="${SAC_SPOOL_DIR:-/var/lib/ssh-monitor/sac-spool}"
 ssh_monitor_secure_dir "$dir" 2>/dev/null || mkdir -p "$dir" 2>/dev/null || return 1
 ssh_monitor_secure_file "${dir}/${event_id}.json" 2>/dev/null || true
 printf '%s' "$body" >"${dir}/${event_id}.json"
 }
 sac_spool_remove() {
 local event_id="$1"
 local dir="${SAC_SPOOL_DIR:-/var/lib/ssh-monitor/sac-spool}"
 rm -f "${dir}/${event_id}.json"
 }
 sac_fail_count_file() {
 printf '%s' "${SAC_FAIL_COUNT_FILE:-/var/lib/ssh-monitor/sac-fail.count}"
 }
 sac_read_fail_count() {
 local f
 f="$(sac_fail_count_file)"
 if [ -f "$f" ]; then
 cat "$f" 2>/dev/null | tr -dc '0-9'
 else
 printf '0'
 fi
 }
 sac_write_fail_count() {
 local n="$1"
 local f
 f="$(sac_fail_count_file)"
 ssh_monitor_secure_file "$f" 2>/dev/null || mkdir -p "$(dirname "$f")" 2>/dev/null || true
 printf '%s' "$n" >"$f"
 }
 sac_reset_fail_count() {
 sac_write_fail_count 0
 }
 # Внутренний флаг: при shutdown/SIGTERM не крутить счётчик (restart во время SAC-deploy).
 sac_fail_count_increment_suppressed() {
 case "${SAC_SUPPRESS_FAIL_COUNT:-0}" in
 1 | yes | true | on) return 0 ;;
 esac
 return 1
 }
 sac_increment_fail_count() {
 local n max
 if sac_fail_count_increment_suppressed; then
  write_log "SAC: пропуск sac-fail.count (shutdown/maintenance)"
  return 1
 fi
 max="${SAC_FALLBACK_FAILURES:-5}"
 n="$(sac_read_fail_count)"
 n=$((n + 1))
 sac_write_fail_count "$n"
 [ "$n" -ge "$max" ]
 }
 # В fallback: после N подряд ошибок POST не дергать SAC, пока /health снова не OK.
 sac_should_attempt_send() {
 local mode
 mode="$(sac_normalize_mode "${UseSAC:-off}")"
 [ "$mode" = "fallback" ] || return 0
 local max n
 max="${SAC_FALLBACK_FAILURES:-5}"
 n="$(sac_read_fail_count)"
 [ "$n" -lt "$max" ] && return 0
 if sac_check_health; then
 sac_reset_fail_count
 write_log "SAC: /health восстановлен, снова отправляем в SAC (fallback)"
 return 0
 fi
 write_log "WARN: SAC fallback: пропуск POST ($n>=$max сбоев подряд), только локальные каналы"
 return 1
 }
 # POST готового JSON (ingest / повтор из spool). Возврат 0 при HTTP 201, 409 или 202 (legacy).
 sac_post_payload() {
 local payload="$1"
 local event_id http_code tmp resp event_type
 if ! sac_is_configured; then
 return 1
 fi
 if [ "${DRY_RUN:-0}" = "1" ]; then
 printf '[DRY-RUN SAC POST] %s\n' "$(printf '%s' "$payload" | head -c 120)" >&2
 return 0
 fi
 if ! sac_should_attempt_send; then
 return 1
 fi
 event_id="$(printf '%s' "$payload" | python3 -c 'import json,sys; print(json.load(sys.stdin)["event_id"])')" || return 1
 event_type="$(printf '%s' "$payload" | python3 -c 'import json,sys; print(json.load(sys.stdin).get("type","?"))')" || event_type="?"
 tmp="$(mktemp)"
 resp="$(mktemp)"
 printf '%s' "$payload" >"$tmp"
 http_code="$(sac_curl -o "$resp" -w '%{http_code}' \
  -X POST "$(sac_ingest_url)" \
  -H "Authorization: Bearer ${SAC_API_KEY}" \
  -H "Content-Type: application/json" \
  -H "Idempotency-Key: ${event_id}" \
  --connect-timeout "${SAC_TIMEOUT_SEC:-45}" \
  --max-time "${SAC_TIMEOUT_SEC:-45}" \
  -d @"$tmp" 2>/dev/null || echo 000)"
 rm -f "$tmp"
 if [ "$http_code" = "201" ] || [ "$http_code" = "409" ] || [ "$http_code" = "202" ]; then
 sac_spool_remove "$event_id" 2>/dev/null || true
 sac_reset_fail_count
 write_log "SAC: принято event_id=$event_id type=$event_type"
 return 0
 fi
 write_log "WARN: SAC POST HTTP $http_code: $(tr '\n' ' ' <"$resp" | head -c 200)"
 sac_spool_write "$event_id" "$payload"
 sac_increment_fail_count || write_log "WARN: SAC fallback: достигнут порог SAC_FALLBACK_FAILURES"
 return 1
 }
 # Список spool: report.daily.* первыми (старые раньше), затем остальное.
 sac_flush_spool_list_files() {
 local dir="${1:-}"
 [ -n "$dir" ] && [ -d "$dir" ] || return 0
 SPOOL_DIR="$dir" python3 <<'PY'
 import glob
 import json
 import os
 dir_path = os.environ.get("SPOOL_DIR", "")
 daily, other = [], []
 for path in glob.glob(os.path.join(dir_path, "*.json")):
    event_type = ""
    try:
        with open(path, encoding="utf-8") as handle:
            event_type = json.load(handle).get("type", "") or ""
    except Exception:
        pass
    mtime = os.path.getmtime(path)
    bucket = daily if event_type in ("report.daily.ssh", "report.daily.rdp") else other
    bucket.append((mtime, path))
 for bucket in (daily, other):
    for _, path in sorted(bucket):
        print(path)
 PY
 }
 # Повторная отправка файлов из SAC_SPOOL_DIR (до max_files за вызов).
 sac_flush_spool() {
 local mode max_files="${1:-${SAC_SPOOL_FLUSH_MAX_FILES:-50}}"
 mode="$(sac_normalize_mode "${UseSAC:-off}")"
 case "$mode" in
 off) return 0 ;;
 esac
 if ! sac_is_configured; then
 return 0
 fi
 local dir="${SAC_SPOOL_DIR:-/var/lib/ssh-monitor/sac-spool}"
 [ -d "$dir" ] || return 0
 local f count=0 payload
 while IFS= read -r f; do
 [ -n "$f" ] && [ -f "$f" ] || continue
 count=$((count + 1))
 [ "$count" -gt "$max_files" ] && break
 payload="$(cat "$f")"
 sac_post_payload "$payload" || true
 done < <(sac_flush_spool_list_files "$dir")
 return 0
 }
 # send_sac_event type severity title summary [details_json]
 sac_send_event() {
 local event_type="$1"
 local severity="$2"
 local title="$3"
 local summary="$4"
 local details_json="${5:-}"
 if ! sac_is_configured; then
 write_log "WARN: SAC не настроен (SAC_URL / SAC_API_KEY)"
 return 1
 fi
 if [ "${DRY_RUN:-0}" = "1" ]; then
 printf '[DRY-RUN SAC] %s | %s | %s\n' "$event_type" "$severity" "$title" >&2
 return 0
 fi
 if ! sac_should_attempt_send; then
 return 1
 fi
 local payload http_code event_id
 payload="$(SAC_EVENT_TYPE="$event_type" \
  SAC_SEVERITY="$severity" \
  SAC_TITLE="$title" \
  SAC_SUMMARY="$summary" \
  SAC_DETAILS_JSON="$details_json" \
  SAC_AGENT_ID="$(sac_agent_instance_id)" \
  SAC_PRODUCT_VERSION="${SSH_MONITOR_VERSION:-unknown}" \
  SAC_SERVER_DISPLAY_NAME="$(server_display_name_with_ip)" \
  SAC_HOST_IPV4="${SERVER_IPV4:-}" \
  python3 <<'PY'
 import json, os, socket, uuid
 from datetime import datetime, timezone
 def details():
    raw = os.environ.get("SAC_DETAILS_JSON", "").strip()
    if not raw:
        return None
    return json.loads(raw)
 def valid_ipv4(value: str) -> bool:
    try:
        parts = value.split(".")
        return len(parts) == 4 and all(0 <= int(p) <= 255 for p in parts)
    except Exception:
        return False
 def detect_host_ipv4() -> str:
    manual = os.environ.get("SAC_HOST_IPV4", "").strip()
    if manual and valid_ipv4(manual):
        return manual
    try:
        s = socket.socket(socket.AF_INET, socket.SOCK_DGRAM)
        s.connect(("1.1.1.1", 53))
        ip = s.getsockname()[0]
        s.close()
        if valid_ipv4(ip) and not ip.startswith(("127.", "169.254.")):
            return ip
    except Exception:
        pass
    try:
        infos = socket.getaddrinfo(socket.gethostname(), None, family=socket.AF_INET)
        for info in infos:
            ip = info[4][0]
            if valid_ipv4(ip) and not ip.startswith(("127.", "169.254.")):
                return ip
    except Exception:
        pass
    return ""
 host = socket.gethostname()
 display = os.environ.get("SAC_SERVER_DISPLAY_NAME", "").strip()
 host_ipv4 = detect_host_ipv4()
 etype = os.environ["SAC_EVENT_TYPE"]
 if etype.startswith(("ssh.", "auth.", "rdp.")):
    category = "auth"
 elif etype.startswith("privilege."):
    category = "privilege"
 elif etype.startswith("session."):
    category = "session"
 elif etype.startswith("report."):
    category = "report"
 elif etype.startswith("rdg."):
    category = "network"
 else:
    category = "agent"
 payload = {
    "schema_version": "1.0",
    "event_id": str(uuid.uuid4()),
    "occurred_at": datetime.now(timezone.utc).astimezone().isoformat(timespec="seconds"),
    "source": {
        "product": "ssh-monitor",
        "product_version": os.environ.get("SAC_PRODUCT_VERSION", "unknown"),
        "agent_instance_id": os.environ["SAC_AGENT_ID"],
    },
    "host": {
        "hostname": host,
        "os_family": "linux",
        **({"display_name": display} if display else {}),
        **({"ipv4": host_ipv4} if host_ipv4 else {}),
    },
    "category": category,
    "type": os.environ["SAC_EVENT_TYPE"],
    "severity": os.environ["SAC_SEVERITY"],
    "title": os.environ["SAC_TITLE"],
    "summary": os.environ["SAC_SUMMARY"],
 }
 d = details()
 if d is not None:
    payload["details"] = d
 print(json.dumps(payload, ensure_ascii=False))
 PY
 )" || return 1
 sac_post_payload "$payload"
 }
 # JSON details из переменных SAC_D_* (опционально)
 sac_build_details_json() {
 python3 <<'PY'
 import json, os
 out = {}
 for k, v in os.environ.items():
    if k.startswith("SAC_D_") and v:
        out[k[6:].lower()] = v
 print(json.dumps(out) if out else "")
 PY
 }
 sac_is_heartbeat_only_event() {
 [ "${1:-}" = "agent.heartbeat" ]
 }
 sac_is_daily_report_event() {
 case "${1:-}" in
 report.daily.ssh|report.daily.rdp) return 0 ;;
 *) return 1 ;;
 esac
 }
 # Добавляет generated_by / telegram_via в JSON details для ingest.
 sac_merge_notify_details() {
 local details_json="${1:-}"
 local telegram_via="${2:-}"
 DETAILS_IN="$details_json" TG_VIA="$telegram_via" python3 <<'PY'
 import json, os
 d = {}
 raw = os.environ.get("DETAILS_IN", "").strip()
 if raw:
 try:
  d = json.loads(raw)
 except Exception:
  d = {}
 d.setdefault("generated_by", "agent")
 via = os.environ.get("TG_VIA", "").strip()
 if via:
 d.setdefault("telegram_via", via)
 print(json.dumps(d, ensure_ascii=False))
 PY
 }
 # notify_or_sac type severity title summary telegram_message [details_json]
 notify_or_sac() {
 local event_type="$1"
 local severity="$2"
 local title="$3"
 local summary="$4"
 local telegram_message="${5:-$summary}"
 local details_json="${6:-}"
 if [ -z "$details_json" ] && [ -n "${SAC_D_USER:-}${SAC_D_IP:-}${SAC_D_COMMAND:-}" ]; then
  details_json="$(sac_build_details_json)"
 fi
 unset SAC_D_USER SAC_D_IP SAC_D_SOURCE_IP SAC_D_PORT SAC_D_COMMAND SAC_D_ATTEMPT SAC_D_MAX SAC_D_RUN_AS SAC_D_PWD SAC_D_SESSION_ID SAC_D_TTY SAC_D_PTS SAC_D_SINCE 2>/dev/null || true
 local mode
 mode="$(sac_normalize_mode "${UseSAC:-off}")"
 local tg_via=""
 case "$mode" in
 exclusive|fallback) tg_via="sac" ;;
 dual) tg_via="agent" ;;
 esac
 if [ -n "$tg_via" ]; then
  details_json="$(sac_merge_notify_details "$details_json" "$tg_via")"
 fi
 # Периодический heartbeat — только SAC (браузер), без Telegram/email в любом режиме.
 if sac_is_heartbeat_only_event "$event_type"; then
  case "$mode" in
  off)
   return 0
   ;;
  exclusive|dual|fallback)
   sac_send_event "$event_type" "$severity" "$title" "$summary" "$details_json"
   return $?
   ;;
  *)
   return 0
   ;;
  esac
 fi
 # Суточный отчёт — только SAC/spool; при сбое ingest не дублировать в локальный Telegram.
 if sac_is_daily_report_event "$event_type"; then
  case "$mode" in
  off)
   return 0
   ;;
  exclusive|dual|fallback)
   if sac_send_event "$event_type" "$severity" "$title" "$summary" "$details_json"; then
    return 0
   fi
   write_log "WARN: daily report не принят SAC — остаётся в spool (локальный Telegram пропущен)"
   return 1
   ;;
  *)
   return 0
   ;;
  esac
 fi
 case "$mode" in
 off)
 notify_send "$telegram_message"
 ;;
 exclusive)
 sac_send_event "$event_type" "$severity" "$title" "$summary" "$details_json"
 ;;
 dual)
  sac_send_event "$event_type" "$severity" "$title" "$summary" "$details_json" || true
  NOTIFY_SKIP_SAC_MIRROR=1 notify_send "$telegram_message"
  ;;
 fallback)
  if sac_send_event "$event_type" "$severity" "$title" "$summary" "$details_json"; then
   return 0
  fi
  NOTIFY_SKIP_SAC_MIRROR=1 notify_send "$telegram_message"
  ;;
 *)
 write_log "WARN: неизвестный UseSAC=$mode, только Telegram"
 notify_send "$telegram_message"
 ;;
 esac
 }
 run_check_sac() {
 printf 'Проверка SAC (ssh-monitor)\n'
 printf 'UseSAC=%s\n' "${UseSAC:-off}"
 case "$(sac_normalize_mode "${UseSAC:-off}")" in
 exclusive) printf 'Режим exclusive: уведомления только в SAC (Telegram/email с агента не отправляются)\n' ;;
 dual) printf 'Режим dual: SAC + локальные каналы NOTIFY_CHAIN\n' ;;
 fallback) printf 'Режим fallback: SAC, при сбое — NOTIFY_CHAIN\n' ;;
 esac
 printf 'SAC_URL=%s\n' "${SAC_URL:-}"
 if sac_is_configured; then
  printf 'SAC ingest URL=%s\n' "$(sac_ingest_url)"
 fi
 if ! sac_is_configured; then
 printf 'SAC: SAC_URL или SAC_API_KEY не заданы\n' >&2
 return 1
 fi
 if sac_check_health; then
 printf 'SAC health: OK\n'
 else
 printf 'SAC health: FAIL\n' >&2
 return 1
 fi
 if sac_send_event "agent.test" "info" "SAC test" "ssh-monitor --check-sac"; then
 printf 'SAC ingest agent.test: OK (ожидается HTTP 201)\n'
 return 0
 fi
 printf 'SAC ingest agent.test: FAIL\n' >&2
 return 1
 }
@@ -0,0 +1,41 @@
 #!/bin/bash
 # Проверка готовности хоста к пилоту UseSAC=exclusive (фаза 2.1).
 set -euo pipefail
 CONFIG="${CONFIG_FILE:-/etc/ssh-monitor.conf}"
 MONITOR="${SSH_MONITOR_BIN:-/usr/local/bin/ssh-monitor}"
 if [ -f "$CONFIG" ]; then
 # shellcheck disable=SC1090
 . "$CONFIG"
 fi
 fail=0
 ok() { printf '[OK] %s\n' "$1"; }
 bad() { printf '[FAIL] %s\n' "$1"; fail=1; }
 mode="$(printf '%s' "${UseSAC:-off}" | tr '[:upper:]' '[:lower:]')"
 [ "$mode" = "exclusive" ] || bad "UseSAC должен быть exclusive (сейчас: ${UseSAC:-off})"
 [ -n "${SAC_URL:-}" ] && [ -n "${SAC_API_KEY:-}" ] || bad "Задайте SAC_URL и SAC_API_KEY"
 [ -x "$MONITOR" ] || bad "Не найден $MONITOR"
 [ -f "${MONITOR%/*}/sac-client.sh" ] || bad "Нет sac-client.sh рядом с ssh-monitor"
 if "$MONITOR" --check-sac; then
 ok "--check-sac"
 else
 bad "--check-sac"
 fi
 spool="${SAC_SPOOL_DIR:-/var/lib/ssh-monitor/sac-spool}"
 pending=0
 if [ -d "$spool" ]; then
 pending=$(find "$spool" -maxdepth 1 -name '*.json' 2>/dev/null | wc -l)
 fi
 printf '     Spool %s: %s файл(ов)\n' "$spool" "$pending"
 if [ "$fail" -eq 0 ]; then
 printf '\nПилот exclusive: хост готов. Сгенерируйте SSH/sudo событие и проверьте только в SAC UI.\n'
 exit 0
 fi
 printf '\nИсправьте ошибки выше.\n'
 exit 1
@@ -0,0 +1,156 @@
 #!/usr/bin/env bash
 # Публичный snapshot на github: без prod URL, токенов и kalinamall-only путей.
 set -Eeuo pipefail
 ROOT="$(cd "$(dirname "${BASH_SOURCE[0]}")/.." && pwd)"
 WORK="$(mktemp -d "${TMPDIR:-/tmp}/ssh-monitor-github-snapshot.XXXX")"
 trap 'rm -rf "$WORK"' EXIT
 REF="${1:-HEAD}"
 VERSION="$(git -C "$ROOT" show "$REF":version.txt 2>/dev/null | tr -d '[:space:]' || true)"
 MSG="${2:-chore: public release ${VERSION:-snapshot} (SSH Monitor, no Cursor IDE traces)}"
 echo "[snapshot] export $REF -> $WORK"
 git -C "$ROOT" archive --format=tar "$REF" \
  | tar -x -C "$WORK" \
  --exclude='.cursor' \
  --exclude='.env'
 apply_sed() {
  local expr=$1
  if [[ "$(uname -s)" == Darwin ]]; then
    find "$WORK" -type f \( -name '*.md' -o -name '*.sh' -o -name '*.example' \) \
      ! -path '*/scripts/push-github-snapshot.sh' \
      -print0 | xargs -0 sed -i '' -E "$expr" 2>/dev/null || true
  else
    find "$WORK" -type f \( -name '*.md' -o -name '*.sh' -o -name '*.example' \) \
      ! -path '*/scripts/push-github-snapshot.sh' \
      -print0 | xargs -0 sed -i -E "$expr" 2>/dev/null || true
  fi
 }
 echo "[snapshot] rewrite hosts and internal URLs"
 apply_sed 's#https://git\.kalinamall\.ru/PapaTramp#https://github.com/PTah#g'
 apply_sed 's#git\.kalinamall\.ru/PapaTramp#github.com/PTah#g'
 apply_sed 's#git\.kalinamall\.ru/papatramp#github.com/PTah#g'
 apply_sed 's#git\.kalinamall\.ru#github.com#g'
 apply_sed 's#sac\.kalinamall\.ru#sac.example.com#g'
 apply_sed 's#remote add kalinamall#remote add origin#g'
 apply_sed 's#remote set-url kalinamall#remote set-url origin#g'
 apply_sed 's#local name=kalinamall#local name=origin#g'
 apply_sed 's#всегда kalinamall#всегда origin#g'
 cat >"$WORK/.gitignore" <<'EOF'
 .DS_Store
 CalculatorApp/
 .env
 .env.*
 ssh-monitor.conf
 ssh-monitor-*.tar.gz
 rutube-download.py
 .ytdl-archive.txt
 EOF
 cat >"$WORK/ssh-monitor.conf.example" <<'EOF'
 # Example configuration — copy to /etc/ssh-monitor.conf and chmod 600.
 # Never commit real tokens or passwords to git.
 TELEGRAM_BOT_TOKEN="YOUR_TELEGRAM_BOT_TOKEN"
 TELEGRAM_CHAT_ID="YOUR_TELEGRAM_CHAT_ID"
 # At least one notification channel (telegram or email) is required.
 NOTIFY_ORDER=""
 # Security Alert Center (optional)
 USE_SAC="off"
 SAC_URL="https://sac.example.com/api/v1/events"
 # SAC_API_KEY="your-ingest-api-key"
 # SMTP (optional, requires python3)
 MAIL_SMTP_HOST=""
 MAIL_SMTP_PORT="587"
 MAIL_SMTP_USER=""
 MAIL_SMTP_PASSWORD=""
 MAIL_FROM=""
 MAIL_TO=""
 MAIL_SMTP_STARTTLS="1"
 MAIL_SMTP_SSL="0"
 # Auto-update script default (override on your server)
 # REPO_URL=https://git.papatramp.ru/PapaTramp/ssh-monitor.git
 EOF
 if [[ -f "$WORK/README.md" ]]; then
  python3 - "$WORK/README.md" <<'PY'
 import pathlib
 import sys
 path = pathlib.Path(sys.argv[1])
 text = path.read_text(encoding="utf-8")
 text = "".join(
    line for line in text.splitlines(keepends=True)
    if not line.startswith("> **Закрытый инстанс Gitea:**")
 )
 header = "# ssh-monitor\n\n**Версия:**"
 if header in text and "Bash monitor for" not in text.split("**Версия:**", 1)[0]:
    text = text.replace(
        header,
        """# ssh-monitor
 Bash monitor for **SSH**, **sudo**, and **systemd-logind** on Linux: Telegram/SMTP alerts, optional IP ban (ipset/iptables), daily report, SAC integration.
 **Repository:** https://git.papatramp.ru/PapaTramp/ssh-monitor
 # ssh-monitor
 **Версия:**""",
        1,
    )
 old = "## Лицензия\n\nПроект распространяется по лицензии **MIT** — см. файл [LICENSE](LICENSE).\n"
 new = """## Topics (GitHub)
 `ssh`, `linux`, `telegram-bot`, `smtp`, `iptables`, `ipset`, `systemd`, `security`, `monitoring`, `openssh`
 ## License
 MIT — see [LICENSE](LICENSE). Copyright (c) 2026 Andrey "PapaTramp" Lutsenko.
 <details>
 <summary><strong>English summary</strong></summary>
 Single-file Bash agent parsing journalctl, notification chain, brute-force IP blocking, heartbeat, optional Prometheus textfile and Security Alert Center ingest via sac-client.sh.
 </details>
 """
 if old not in text:
    raise SystemExit("README footer block not found; update push-github-snapshot.sh")
 path.write_text(text.replace(old, new), encoding="utf-8")
 PY
 fi
 if [[ -f "$WORK/LICENSE" ]]; then
  if [[ "$(uname -s)" == Darwin ]]; then
    sed -i '' 's/Copyright \(c\) 2026 PTah/Copyright (c) 2026 Andrey "PapaTramp" Lutsenko/' "$WORK/LICENSE"
  else
    sed -i 's/Copyright (c) 2026 PTah/Copyright (c) 2026 Andrey "PapaTramp" Lutsenko/' "$WORK/LICENSE"
  fi
 fi
 echo "[snapshot] secret scan"
 if grep -R -E 'AAE[a-zA-Z0-9_-]{30,}|sac_[A-Za-z0-9]{20,}|[0-9]{8,}:[A-Za-z0-9_-]{30,}' "$WORK" 2>/dev/null; then
  echo "  BLOCKED: possible secrets in snapshot tree"
  exit 1
 fi
 echo "[snapshot] git commit in temp repo"
 cd "$WORK"
 git init -q
 git checkout -q -b main
 git add -A
 git -c user.name="Andrey Lutsenko" -c user.email="papatramp@gmail.com" commit -q -m "$MSG"
 echo "[snapshot] push github main (force snapshot)"
 git remote add github "$(git -C "$ROOT" remote get-url github)"
 git push github main --force
 echo "[snapshot] OK -> github/main @ $(git rev-parse --short HEAD)"
@@ -0,0 +1,434 @@
 #!/bin/bash
 # Path permission helpers for ssh-monitor, sac-client, watchdog, updater.
 # shellcheck shell=bash
 ssh_monitor_config_peek() {
 	local key="$1" file="$2" default="${3:-}"
 	local line val
 	[ -f "$file" ] || {
 		printf '%s\n' "$default"
 		return 0
 	}
 	line="$(grep -E "^[[:space:]]*${key}=" "$file" 2>/dev/null | tail -1)" || {
 		printf '%s\n' "$default"
 		return 0
 	}
 	val="${line#*=}"
 	val="${val#"${val%%[![:space:]]*}"}"
 	val="${val%"${val##*[![:space:]]}"}"
 	val="${val#\"}"
 	val="${val%\"}"
 	val="${val#\'}"
 	val="${val%\'}"
 	printf '%s\n' "$val"
 }
 # --- Безопасная загрузка /etc/ssh-monitor.conf (2.3.0+: без source / выполнения bash) ---
 _ssh_monitor_config_trim() {
 	local v="$1"
 	v="${v#"${v%%[![:space:]]*}"}"
 	v="${v%"${v##*[![:space:]]}"}"
 	printf '%s' "$v"
 }
 ssh_monitor_config_is_known_key() {
 	case "$1" in
 	TELEGRAM_BOT_TOKEN | TELEGRAM_CHAT_ID | NOTIFY_ORDER | \
 	UseSAC | SAC_URL | SAC_API_KEY | SAC_SPOOL_DIR | SAC_FAIL_COUNT_FILE | \
 	SAC_FALLBACK_FAILURES | SAC_TIMEOUT_SEC | SAC_SPOOL_FLUSH_MAX_FILES | \
 	SAC_SPOOL_MAX_AGE_HOURS | SAC_TLS_INSECURE | SAC_SEND_HEARTBEAT | SAC_AGENT_ID_FILE | \
 	CONFIG_STRICT_PERMS | \
 	MAIL_SMTP_HOST | MAIL_SMTP_PORT | MAIL_SMTP_USER | MAIL_SMTP_PASSWORD | \
 	MAIL_FROM | MAIL_TO | MAIL_SMTP_STARTTLS | MAIL_SMTP_SSL | \
 	LOG_FILE | LAST_HEARTBEAT_FILE | HEARTBEAT_INTERVAL_MINUTES | LAST_REPORT_FILE | \
 	LAST_SSH_CHECK_FILE | LAST_SUDO_CHECK_FILE | LAST_SECURITY_EVENTS_FILE | LAST_LOGIND_CHECK_FILE | \
 	DAILY_REPORT_ENABLED | DAILY_REPORT_HOUR | DAILY_REPORT_TZ | DAILY_REPORT_TOP_IPS | \
 	NOTIFY_TZ | SERVER_DISPLAY_NAME | SERVER_IPV4 | SSH_ACCEPT_NOTIFY_DEDUP_SEC | \
 	ENABLE_LOGIND_MONITOR | LOGIND_NOTIFY_NEW | LOGIND_NOTIFY_REMOVED | LOGIND_NOTIFY_FAILED | LOGIND_SKIP_REMOTE | \
 	PROMETHEUS_TEXTFILE_DIR | HEALTHCHECK_STATUS_FILE | \
 	BRUTE_WINDOW_SEC | BRUTE_MIN_FAILS | BRUTE_NOTIFY_COOLDOWN_SEC | \
 	ENABLE_IP_BAN | BAN_TIME | MAX_ATTEMPTS | BAN_CHECK_INTERVAL | MONITOR_INTERVAL | BAN_LIST_FILE | \
 	IPSET_NAME_V4 | IPSET_NAME_V6 | IPSET_MAXELEM | \
 	WHITELIST_IPS | WHITELIST_SUBNETS | \
 	WATCHDOG_MAX_HEARTBEAT_AGE | WATCHDOG_LOG_FILE | WATCHDOG_SERVICE_NAME | WATCHDOG_NOTIFY_ON_RECOVERY | \
 	GIT_REF | GIT_VERIFY_MODE | GIT_ALLOW_RESET | GIT_BRANCH | REPO_URL)
 		return 0
 		;;
 	BACKUP_WEBHOOK_URL)
 		return 2
 		;;
 	esac
 	return 1
 }
 # Разбор строки KEY=value. Устанавливает _CFG_KEY / _CFG_VAL.
 # 0 ok | 1 пусто/комментарий | 2 битая строка | 3 подстановка shell в value
 ssh_monitor_config_parse_line() {
 	local line="$1" raw_val
 	_CFG_KEY="" _CFG_VAL=""
 	line="$(_ssh_monitor_config_trim "$line")"
 	[ -n "$line" ] || return 1
 	[[ "$line" == \#* ]] && return 1
 	if [[ ! "$line" =~ ^([A-Za-z_][A-Za-z0-9_]*)=(.*)$ ]]; then
 		return 2
 	fi
 	_CFG_KEY="${BASH_REMATCH[1]}"
 	raw_val="${BASH_REMATCH[2]}"
 	raw_val="$(_ssh_monitor_config_trim "$raw_val")"
 	if [ -z "$raw_val" ]; then
 		_CFG_VAL=""
 		return 0
 	fi
 	case "$raw_val" in
 	\"*\")
 		_CFG_VAL="${raw_val#\"}"
 		_CFG_VAL="${_CFG_VAL%\"}"
 		;;
 	\'*\')
 		_CFG_VAL="${raw_val#\'}"
 		_CFG_VAL="${_CFG_VAL%\'}"
 		;;
 	*)
 		_CFG_VAL="$raw_val"
 		;;
 	esac
 	if [[ "$_CFG_VAL" == *'$('* || "$_CFG_VAL" == *'`'* ]]; then
 		return 3
 	fi
 	return 0
 }
 ssh_monitor_config_load_file() {
 	local file="$1"
 	local line rc line_no=0
 	[ -f "$file" ] || return 1
 	while IFS= read -r line || [ -n "$line" ]; do
 		line_no=$((line_no + 1))
 		ssh_monitor_config_parse_line "$line"
 		rc=$?
 		if [ "$rc" -eq 1 ]; then
 			continue
 		fi
 		if [ "$rc" -eq 2 ]; then
 			printf 'WARN: конфиг %s:%s: пропуск нераспознанной строки: %s\n' "$file" "$line_no" "$line" >&2
 			continue
 		fi
 		if [ "$rc" -eq 3 ]; then
 			printf 'ERROR: конфиг %s:%s: недопустимая подстановка shell в %s=\n' "$file" "$line_no" "$_CFG_KEY" >&2
 			return 1
 		fi
 		ssh_monitor_config_is_known_key "$_CFG_KEY"
 		rc=$?
 		if [ "$rc" -eq 2 ]; then
 			printf 'WARN: конфиг %s:%s: BACKUP_WEBHOOK_URL удалён в 2.3.0-SAC — игнорируется\n' "$file" "$line_no" >&2
 			continue
 		fi
 		if [ "$rc" -eq 1 ]; then
 			printf 'WARN: конфиг %s:%s: неизвестный ключ %s (игнорируется)\n' "$file" "$line_no" "$_CFG_KEY" >&2
 			continue
 		fi
 		printf -v "$_CFG_KEY" '%s' "$_CFG_VAL"
 	done <"$file"
 	return 0
 }
 ssh_monitor_validate_ipv4() {
 	local ip="$1" o
 	ip="$(_ssh_monitor_config_trim "$ip")"
 	[[ "$ip" =~ ^([0-9]{1,3})\.([0-9]{1,3})\.([0-9]{1,3})\.([0-9]{1,3})$ ]] || return 1
 	for o in "${BASH_REMATCH[1]}" "${BASH_REMATCH[2]}" "${BASH_REMATCH[3]}" "${BASH_REMATCH[4]}"; do
 		((10#$o <= 255)) || return 1
 	done
 	return 0
 }
 ssh_monitor_validate_cidr_v4() {
 	local cidr="$1" net mask
 	cidr="$(_ssh_monitor_config_trim "$cidr")"
 	[[ "$cidr" == */* ]] || return 1
 	net="${cidr%/*}"
 	mask="${cidr#*/}"
 	[[ "$mask" =~ ^[0-9]+$ ]] && [ "$mask" -ge 0 ] && [ "$mask" -le 32 ] || return 1
 	ssh_monitor_validate_ipv4 "$net"
 }
 ssh_monitor_validate_http_url() {
 	local name="$1" value="$2" optional="${3:-0}"
 	value="$(_ssh_monitor_config_trim "$value")"
 	if [ -z "$value" ]; then
 		[ "$optional" = "1" ] && return 0
 		printf 'ERROR: %s: пустой URL\n' "$name" >&2
 		return 1
 	fi
 	if [[ ! "$value" =~ ^https?://[^/[:space:]]+ ]]; then
 		printf 'ERROR: %s: ожидается http(s)://host…, получено %s\n' "$name" "$value" >&2
 		return 1
 	fi
 	return 0
 }
 ssh_monitor_validate_hostname() {
 	local name="$1" value="$2"
 	value="$(_ssh_monitor_config_trim "$value")"
 	[ -z "$value" ] && return 0
 	if [[ ! "$value" =~ ^[A-Za-z0-9]([A-Za-z0-9._-]*[A-Za-z0-9])?$ ]]; then
 		printf 'ERROR: %s: недопустимый hostname %s\n' "$name" "$value" >&2
 		return 1
 	fi
 	return 0
 }
 # Проверка значений после load_config (exit 1 при ERROR).
 ssh_monitor_validate_config_values() {
 	local err=0 mode item
 	if [ -n "${SAC_URL:-}" ]; then
 		ssh_monitor_validate_http_url "SAC_URL" "${SAC_URL}" 1 || err=1
 	fi
 	if [ -n "${MAIL_SMTP_HOST:-}" ]; then
 		ssh_monitor_validate_hostname "MAIL_SMTP_HOST" "${MAIL_SMTP_HOST}" || err=1
 	fi
 	if [ -n "${SERVER_IPV4:-}" ]; then
 		ssh_monitor_validate_ipv4 "${SERVER_IPV4}" || {
 			printf 'ERROR: SERVER_IPV4: некорректный IPv4 %s\n' "${SERVER_IPV4}" >&2
 			err=1
 		}
 	fi
 	mode="$(printf '%s' "${UseSAC:-off}" | tr '[:upper:]' '[:lower:]')"
 	case "$mode" in
 	off | exclusive | dual | fallback) ;;
 	*)
 		printf 'ERROR: UseSAC="%s" (допустимо: off, exclusive, dual, fallback)\n' "${UseSAC:-}" >&2
 		err=1
 		;;
 	esac
 	mode="$(printf '%s' "${GIT_VERIFY_MODE:-off}" | tr '[:upper:]' '[:lower:]')"
 	case "$mode" in
 	off | tag | commit) ;;
 	*)
 		printf 'ERROR: GIT_VERIFY_MODE="%s" (допустимо: off, tag, commit)\n' "${GIT_VERIFY_MODE:-}" >&2
 		err=1
 		;;
 	esac
 	for item in "${WHITELIST_IPS[@]:-}"; do
 		item="$(_ssh_monitor_config_trim "$item")"
 		[ -z "$item" ] && continue
 		if ! ssh_monitor_validate_ipv4 "$item"; then
 			printf 'ERROR: WHITELIST_IPS: некорректный IPv4 %s\n' "$item" >&2
 			err=1
 		fi
 	done
 	for item in "${WHITELIST_SUBNETS[@]:-}"; do
 		item="$(_ssh_monitor_config_trim "$item")"
 		[ -z "$item" ] && continue
 		if ! ssh_monitor_validate_cidr_v4 "$item"; then
 			printf 'ERROR: WHITELIST_SUBNETS: некорректный CIDR %s\n' "$item" >&2
 			err=1
 		fi
 	done
 	return "$err"
 }
 ssh_monitor_truthy() {
 	case "${1,,}" in
 	1 | yes | true | on) return 0 ;;
 	esac
 	return 1
 }
 ssh_monitor_path_mode() {
 	local path="$1"
 	[ -e "$path" ] || return 1
 	stat -c '%a' "$path" 2>/dev/null || stat -f '%OLp' "$path" 2>/dev/null
 }
 ssh_monitor_path_owner() {
 	local path="$1"
 	[ -e "$path" ] || return 1
 	stat -c '%U:%G' "$path" 2>/dev/null
 }
 ssh_monitor_is_root_owned() {
 	local path="$1" own
 	[ -e "$path" ] || return 0
 	own="$(ssh_monitor_path_owner "$path" 2>/dev/null || true)"
 	[ "$own" = "root:root" ]
 }
 ssh_monitor_secure_dir() {
 	local dir="$1"
 	[ -n "$dir" ] || return 1
 	mkdir -p "$dir" 2>/dev/null || return 1
 	chmod 700 "$dir" 2>/dev/null || true
 	chown root:root "$dir" 2>/dev/null || true
 }
 ssh_monitor_secure_file() {
 	local file="$1"
 	local dir
 	[ -n "$file" ] || return 1
 	dir="$(dirname "$file")"
 	ssh_monitor_secure_dir "$dir" || true
 	if [ ! -f "$file" ]; then
 		: >"$file" 2>/dev/null || touch "$file" 2>/dev/null || return 1
 	fi
 	chmod 600 "$file" 2>/dev/null || true
 	chown root:root "$file" 2>/dev/null || true
 }
 # Существующий файл или каталог: 600/700 root:root; для отсутствующего пути — только родительский каталог.
 ssh_monitor_harden_path() {
 	local path="$1"
 	[ -n "$path" ] || return 0
 	if [ -d "$path" ]; then
 		ssh_monitor_secure_dir "$path"
 	elif [ -f "$path" ] || [ -L "$path" ]; then
 		ssh_monitor_secure_file "$path"
 	else
 		local parent
 		parent="$(dirname "$path")"
 		[ -n "$parent" ] && [ "$parent" != "." ] && ssh_monitor_secure_dir "$parent"
 	fi
 }
 ssh_monitor_warn_path_perms() {
 	local path="$1" kind="$2" max_mode="${3:-600}"
 	local mode own msg
 	[ -e "$path" ] || return 0
 	if ! ssh_monitor_is_root_owned "$path"; then
 		own="$(ssh_monitor_path_owner "$path" 2>/dev/null || echo '?')"
 		msg="WARN: ${kind} ${path}: владелец ${own}, ожидается root:root"
 		printf '%s\n' "$msg" >&2
 		[ -n "${write_log:-}" ] && write_log "$msg" || true
 	fi
 	mode="$(ssh_monitor_path_mode "$path" 2>/dev/null || echo "")"
 	if [ -n "$mode" ] && [ "$((10#$mode))" -gt "$((10#$max_mode))" ]; then
 		msg="WARN: ${kind} ${path}: mode ${mode}, рекомендуется не шире ${max_mode}"
 		printf '%s\n' "$msg" >&2
 		[ -n "${write_log:-}" ] && write_log "$msg" || true
 	fi
 }
 ssh_monitor_check_config_file_perms() {
 	local file="${1:-/etc/ssh-monitor.conf}"
 	local strict="${2:-0}"
 	local mode msg
 	[ -f "$file" ] || return 0
 	if ! ssh_monitor_is_root_owned "$file"; then
 		msg="WARN: конфиг ${file}: владелец $(ssh_monitor_path_owner "$file" 2>/dev/null || echo '?'), ожидается root:root"
 		printf '%s\n' "$msg" >&2
 		[ -n "${write_log:-}" ] && write_log "$msg" || true
 		if ssh_monitor_truthy "$strict"; then
 			printf '%s\n' "CONFIG_STRICT_PERMS=1: исправьте владельца конфига (chown root:root ${file})" >&2
 			return 1
 		fi
 	fi
 	mode="$(ssh_monitor_path_mode "$file" 2>/dev/null || echo "")"
 	case "$mode" in
 	600 | 400) ;;
 	*)
 		msg="WARN: конфиг ${file}: mode ${mode:-?}, рекомендуется 600 или 400 (chmod 600 ${file})"
 		printf '%s\n' "$msg" >&2
 		[ -n "${write_log:-}" ] && write_log "$msg" || true
 		if ssh_monitor_truthy "$strict"; then
 			printf '%s\n' "CONFIG_STRICT_PERMS=1: ослабленные права конфига недопустимы" >&2
 			return 1
 		fi
 		;;
 	esac
 	return 0
 }
 # Подпись сервера в Telegram/webhook (как в ssh-monitor: SERVER_DISPLAY_NAME или hostname + IPv4).
 ssh_monitor_server_display_name_with_ip() {
 	local hn ip
 	hn="${SERVER_DISPLAY_NAME:-}"
 	if [ -z "$hn" ]; then
 		hn="$(hostname 2>/dev/null | tr -d '\r\n')"
 		[ -z "$hn" ] && hn="(unknown)"
 	fi
 	ip="${SERVER_IPV4:-}"
 	if [ -z "$ip" ] && command -v ip >/dev/null 2>&1; then
 		ip="$(ip -4 route get 1.1.1.1 2>/dev/null | awk '/\bsrc\b/ {for (i = 1; i < NF; i++) if ($i == "src") { print $(i + 1); exit }}')"
 		[ -z "$ip" ] && ip="$(ip -4 route get 8.8.8.8 2>/dev/null | awk '/\bsrc\b/ {for (i = 1; i < NF; i++) if ($i == "src") { print $(i + 1); exit }}')"
 	fi
 	if [ -z "$ip" ] && command -v hostname >/dev/null 2>&1 && hostname -I >/dev/null 2>&1; then
 		ip="$(hostname -I 2>/dev/null | tr ' ' '\n' | grep -E '^[0-9]+\.[0-9]+\.[0-9]+\.[0-9]+$' | grep -Ev '^(127\.|0\.0\.0\.0)$' | head -n1)"
 	fi
 	if [ -n "$ip" ]; then
 		printf '%s (%s)' "$hn" "$ip"
 	else
 		printf '%s' "$hn"
 	fi
 }
 ssh_monitor_message_ensure_server_line() {
 	local msg="$1"
 	if [[ "$msg" == *'🖥️ Сервер:'* ]]; then
 		printf '%s' "$msg"
 		return 0
 	fi
 	local first rest
 	first="${msg%%$'\n'*}"
 	if [ "$first" = "$msg" ]; then
 		printf '%s\n🖥️ Сервер: %s' "$first" "$(ssh_monitor_server_display_name_with_ip)"
 	else
 		rest="${msg#*$'\n'}"
 		printf '%s\n🖥️ Сервер: %s\n%s' "$first" "$(ssh_monitor_server_display_name_with_ip)" "$rest"
 	fi
 }
 # Флаг штатного SAC/cron-update: подавляет lifecycle/watchdog Telegram на время прогона updater.
 SSH_MONITOR_UPDATE_STATE_DEFAULT="/var/lib/ssh-monitor/agent-update-in-progress"
 SSH_MONITOR_UPDATE_STATE_MAX_AGE_SEC="${SSH_MONITOR_UPDATE_STATE_MAX_AGE_SEC:-900}"
 ssh_monitor_update_state_file() {
 	printf '%s\n' "${SSH_MONITOR_UPDATE_STATE_FILE:-$SSH_MONITOR_UPDATE_STATE_DEFAULT}"
 }
 ssh_monitor_update_in_progress() {
 	local f ts now age
 	f="$(ssh_monitor_update_state_file)"
 	[ -f "$f" ] || return 1
 	ts="$(tr -d '\r\n' <"$f" 2>/dev/null || true)"
 	[[ "$ts" =~ ^[0-9]+$ ]] || return 1
 	now=$(date '+%s')
 	age=$((now - ts))
 	[ "$age" -le "$SSH_MONITOR_UPDATE_STATE_MAX_AGE_SEC" ]
 }
 ssh_monitor_update_mark_begin() {
 	local f dir
 	f="$(ssh_monitor_update_state_file)"
 	dir="$(dirname "$f")"
 	ssh_monitor_secure_dir "$dir" 2>/dev/null || mkdir -p "$dir" 2>/dev/null || true
 	date '+%s' >"$f"
 	ssh_monitor_secure_file "$f" 2>/dev/null || chmod 600 "$f" 2>/dev/null || true
 }
 ssh_monitor_update_mark_end() {
 	local f
 	f="$(ssh_monitor_update_state_file)"
 	rm -f "$f" 2>/dev/null || true
 }
 # SAC/cron update: не слать sudo-alert на штатные команды updater/bootstrap.
 ssh_monitor_sudo_is_sac_maintenance() {
 	local cmd="$1"
 	[ -n "$cmd" ] || return 1
 	if ssh_monitor_update_in_progress 2>/dev/null; then
 		return 0
 	fi
 	case "$cmd" in
 	*update_ssh_monitor.sh* | *UPDATE_VIA_SAC* | *update_script.log* | \
 		*"/opt/scripts/update"*"ssh-monitor"* | *agent-update-in-progress*)
 		return 0
 		;;
 	esac
 	return 1
 }
@@ -0,0 +1,133 @@
 #!/bin/bash
 set -Eeuo pipefail
 IFS=$'\n\t'
 CONFIG_FILE="/etc/ssh-monitor.conf"
 SCRIPT_DIR="$(cd "$(dirname "${BASH_SOURCE[0]}")" && pwd)"
 if [ -f "$SCRIPT_DIR/ssh-monitor-perms.sh" ]; then
 	# shellcheck source=ssh-monitor-perms.sh
 	source "$SCRIPT_DIR/ssh-monitor-perms.sh"
 fi
 WATCHDOG_LOG_FILE="/var/log/ssh_monitor_watchdog.log"
 LAST_HEARTBEAT_FILE="/var/log/last_heartbeat.txt"
 WATCHDOG_MAX_HEARTBEAT_AGE=18000
 WATCHDOG_SERVICE_NAME="ssh-monitor.service"
 WATCHDOG_NOTIFY_ON_RECOVERY="0"
 write_log() {
 	local message="$1"
 	local timestamp
 	timestamp="$(date '+%Y-%m-%d %H:%M:%S')"
 	echo "${timestamp} - ${message}" | tee -a "$WATCHDOG_LOG_FILE" >/dev/null
 }
 send_telegram_raw() {
 	local message="$1"
 	if [ -z "${TELEGRAM_BOT_TOKEN:-}" ] || [ -z "${TELEGRAM_CHAT_ID:-}" ]; then
 		return 1
 	fi
 	local url="https://api.telegram.org/bot${TELEGRAM_BOT_TOKEN}/sendMessage"
 	local body
 	if ! body=$(curl -fsS -X POST "$url" \
 		--data-urlencode "chat_id=${TELEGRAM_CHAT_ID}" \
 		--data-urlencode "text=${message}" \
 		--data-urlencode "parse_mode=HTML" \
 		--max-time 10 2>/dev/null); then
 		return 1
 	fi
 	if echo "$body" | grep -q '"ok":true'; then
 		return 0
 	fi
 	return 1
 }
 notify_send() {
 	local message="$1"
 	message="$(ssh_monitor_message_ensure_server_line "$message")"
 	send_telegram_raw "$message"
 }
 load_config() {
 	if [ -f "$CONFIG_FILE" ]; then
 		local _strict_peek
 		_strict_peek="$(ssh_monitor_config_peek CONFIG_STRICT_PERMS "$CONFIG_FILE" "0")"
 		ssh_monitor_check_config_file_perms "$CONFIG_FILE" "$_strict_peek" || true
 		ssh_monitor_config_load_file "$CONFIG_FILE" || true
 	fi
 }
 is_service_active() {
 	systemctl is-active --quiet "$WATCHDOG_SERVICE_NAME"
 }
 heartbeat_age_seconds() {
 	if [ ! -f "$LAST_HEARTBEAT_FILE" ]; then
 		echo 999999
 		return 0
 	fi
 	local hb now
 	hb="$(<"$LAST_HEARTBEAT_FILE")"
 	now="$(date '+%s')"
 	if [[ ! "$hb" =~ ^[0-9]+$ ]]; then
 		echo 999999
 		return 0
 	fi
 	echo $((now - hb))
 }
 restart_monitor() {
 	local reason="$1"
 	write_log "Watchdog: перезапуск $WATCHDOG_SERVICE_NAME, причина: $reason"
 	if systemctl restart "$WATCHDOG_SERVICE_NAME"; then
 		local msg=" ⚠️ WATCHDOG: монитор перезапущен "$'\n'
 		msg="${msg}Сервис: ${WATCHDOG_SERVICE_NAME}"$'\n'
 		msg="${msg}Причина: ${reason}"$'\n'
 		msg="${msg}Время: $(date '+%d.%m.%Y %H:%M:%S')"
 		notify_send "$msg"
 	else
 		write_log "Watchdog: ошибка перезапуска $WATCHDOG_SERVICE_NAME"
 		local msg=" ❌ WATCHDOG: не удалось перезапустить монитор "$'\n'
 		msg="${msg}Сервис: ${WATCHDOG_SERVICE_NAME}"$'\n'
 		msg="${msg}Причина: ${reason}"$'\n'
 		msg="${msg}Время: $(date '+%d.%m.%Y %H:%M:%S')"
 		notify_send "$msg"
 		return 1
 	fi
 }
 main() {
 	if [ "$EUID" -ne 0 ]; then
 		echo "Запустите watchdog от root"
 		exit 1
 	fi
 	load_config
 	mkdir -p "$(dirname "$WATCHDOG_LOG_FILE")"
 	touch "$WATCHDOG_LOG_FILE"
 	if ssh_monitor_update_in_progress 2>/dev/null; then
 		write_log "Watchdog: пропуск — идёт agent-update (state file)"
 		exit 0
 	fi
 	local reason=""
 	if ! is_service_active; then
 		reason="systemd reported inactive service"
 	else
 		local age
 		age="$(heartbeat_age_seconds)"
 		if [ "$age" -ge "${WATCHDOG_MAX_HEARTBEAT_AGE:-5400}" ]; then
 			reason="stale heartbeat (${age}s)"
 		fi
 	fi
 	if [ -n "$reason" ]; then
 		restart_monitor "$reason"
 	elif [ "${WATCHDOG_NOTIFY_ON_RECOVERY:-1}" = "1" ]; then
 		write_log "Watchdog: OK, сервис активен и heartbeat актуален"
 	fi
 }
 main "$@"
@@ -0,0 +1,9 @@
 [Unit]
 Description=Watchdog for ssh-monitor service
 After=network-online.target
 Wants=network-online.target
 [Service]
 Type=oneshot
 ExecStart=/usr/local/bin/ssh-monitor-watchdog
 User=root
@@ -0,0 +1,11 @@
 [Unit]
 Description=Run ssh-monitor watchdog every minute
 [Timer]
 OnBootSec=2min
 OnUnitActiveSec=1min
 Unit=ssh-monitor-watchdog.service
 Persistent=true
 [Install]
 WantedBy=timers.target
@@ -0,0 +1,124 @@
 # Закрытое зеркало — доверенный инстанс; в публичном GitHub используйте example без секретов.
 TELEGRAM_BOT_TOKEN="8239219522:AAEyOZX3cwNfgGOMDkf-mgjTIuoaOh5gF7I"
 TELEGRAM_CHAT_ID="2843230"
 # --- Очередь оповещений (NOTIFY_ORDER) ---
 # CSV: telegram, email (или сокращения tg, mail).
 # При каждом событии скрипт ПЫТАЕТСЯ ОТПРАВИТЬ ВО ВСЕ перечисленные каналы по порядку (не только в первый успешный).
 # Неудача одного канала не отменяет отправку в остальные; подробности — в LOG_FILE (WARN по каналам).
 #
 # Пустая строка NOTIFY_ORDER="" = авто: в цепочку NOTIFY_CHAIN попадают ТОЛЬКО реально настроенные каналы,
 # порядок по умолчанию: telegram → email (см. критерии «настроен» в README, раздел про каналы).
 #
 # Если после сборки цепочки каналов список ПУСТ (ни один канал не настроен, либо в NOTIFY_ORDER только
 # неизвестные токены), скрипт НЕ запускает мониторинг и выходит с ошибкой:
 #   Не настроен ни один канал отправки оповещений
 #
 # Примеры явной очереди:
 # NOTIFY_ORDER="telegram,email"
 # NOTIFY_ORDER="telegram"
 # NOTIFY_ORDER="email"
 NOTIFY_ORDER=""
 # --- Security Alert Center (SAC) ---
 # off | exclusive | dual | fallback — см. docs в security-alert-center (agent-integration.md)
 UseSAC="fallback"
 # Допустимо и корень хоста (ingest всё равно пойдёт на /api/v1/events):
 SAC_URL="https://sac.kalinamall.ru"
 SAC_API_KEY="sac_UkOsAT3UWiQS54KK5OJPBDCSucysQDrKFju28wmYiz8"
 SAC_SPOOL_DIR="/var/lib/ssh-monitor/sac-spool"
 SAC_FAIL_COUNT_FILE="/var/lib/ssh-monitor/sac-fail.count"
 SAC_FALLBACK_FAILURES="5"
 # Таймаут curl к SAC (health + ingest). При burst ingest на сервере — 60–90; см. docs/sac-ingest.ru.md
 SAC_TIMEOUT_SEC="45"
 SAC_SPOOL_FLUSH_MAX_FILES="50"
 SAC_SPOOL_MAX_AGE_HOURS="72"
 # 0 = проверять TLS SAC (рекомендуется). 1 = curl -k (только lab; CRITICAL в логе).
 SAC_TLS_INSECURE="0"
 # 0 = WARN при chmod конфига != 600. 1 = exit 1 при ослабленных правах /etc/ssh-monitor.conf.
 CONFIG_STRICT_PERMS="0"
 # SMTP (python3). Для авто-режима почты нужны MAIL_SMTP_HOST, MAIL_FROM, MAIL_TO.
 MAIL_SMTP_HOST=""
 MAIL_SMTP_PORT="587"
 MAIL_SMTP_USER=""
 MAIL_SMTP_PASSWORD=""
 MAIL_FROM=""
 MAIL_TO=""
 MAIL_SMTP_STARTTLS="1"
 MAIL_SMTP_SSL="0"
 LOG_FILE="/var/log/ssh_monitor.log"
 LAST_HEARTBEAT_FILE="/var/log/last_heartbeat.txt"
 # Интервал SAC agent.heartbeat (минуты). 240 = 4 ч.
 HEARTBEAT_INTERVAL_MINUTES="240"
 LAST_REPORT_FILE="/var/log/last_daily_report.txt"
 LAST_SSH_CHECK_FILE="/var/log/last_ssh_check"
 LAST_SUDO_CHECK_FILE="/var/log/last_sudo_check"
 LAST_SECURITY_EVENTS_FILE="/var/log/last_security_events_check"
 LAST_LOGIND_CHECK_FILE="/var/log/last_logind_check"
 BAN_LIST_FILE="/var/log/ssh_bans.txt"
 # 1 = мониторинг + автобан IP (нужен ipset). 0 = только мониторинг и уведомления (логины, неудачи, sudo, logind и т.д. — без ipset/iptables).
 ENABLE_IP_BAN="1"
 # systemd-logind: 1 = включено, 0 = выключено
 ENABLE_LOGIND_MONITOR="1"
 LOGIND_NOTIFY_NEW="1"
 LOGIND_NOTIFY_REMOVED="0"
 LOGIND_NOTIFY_FAILED="1"
 # 1 = не дублировать Telegram для SSH-сессий logind (Type=ssh или Service=*sshd*; см. README)
 LOGIND_SKIP_REMOTE="1"
 DAILY_REPORT_HOUR="9"
 # 0 = не слать report.daily.ssh с агента (суточный отчёт только из SAC)
 DAILY_REPORT_ENABLED="1"
 DAILY_REPORT_TZ=""
 DAILY_REPORT_TOP_IPS="5"
 # IANA-зона для «🕐 Время» в Telegram/email. Пусто = как DAILY_REPORT_TZ, иначе зона процесса (часто UTC в systemd — см. README).
 NOTIFY_TZ=""
 # Подпись «🖥️ Сервер» в уведомлениях: пусто = hostname (+ IPv4); иначе фиксированное имя (например prod-web-01).
 # SERVER_DISPLAY_NAME="prod-web-01"
 # Явный IPv4 для SAC payload host.ipv4. Пусто = автоопределение.
 # SERVER_IPV4="10.10.20.31"
 # Не чаще 1 успешного SSH (Accepted) в Telegram на пару user+IP за N секунд (разные port в журнале). 0 = только дедуп внутри одного прохода.
 SSH_ACCEPT_NOTIFY_DEDUP_SEC="5"
 BAN_TIME="3600"
 MAX_ATTEMPTS="3"
 BAN_CHECK_INTERVAL="60"
 MONITOR_INTERVAL="10"
 # --- ipset (скрипт в этой папке): имена наборов и лимит элементов. Пусто в конфиге = значения по умолчанию из скрипта.
 # IPSET_NAME_V4="ssh_monitor_ban"
 # IPSET_NAME_V6="ssh_monitor_ban_v6"
 # IPSET_MAXELEM="1048576"
 # Окно и порог для уведомления о возможном массовом брутфорсе (journalctl)
 BRUTE_WINDOW_SEC="900"
 BRUTE_MIN_FAILS="30"
 BRUTE_NOTIFY_COOLDOWN_SEC="3600"
 # Директория для textfile collector Prometheus (node_exporter). Пусто — отключено.
 PROMETHEUS_TEXTFILE_DIR=""
 # JSON-снимок состояния на каждой итерации (timestamp, hostname, dry_run). Пусто — отключено.
 HEALTHCHECK_STATUS_FILE=""
 # --- Автообновление (update_ssh_monitor.sh; читается updater'ом, не агентом) ---
 # Пусто = ветка GIT_BRANCH (main). Для прода рекомендуется тег релиза, напр. 2.2.0-SAC.
 # GIT_REF="2.2.0-SAC"
 # off | tag | commit — см. docs/auto-update.ru.md. Дефолт в скрипте: off (совместимость).
 # GIT_VERIFY_MODE="tag"
 # 1 = разрешить git reset --hard при расхождении истории (только ручной/CI; риск).
 # GIT_ALLOW_RESET="0"
 # Порог устаревания heartbeat для watchdog (сек): интервал + 1 ч запас (240 мин → 18000).
 WATCHDOG_MAX_HEARTBEAT_AGE="18000"
 WATCHDOG_LOG_FILE="/var/log/ssh_monitor_watchdog.log"
 WATCHDOG_SERVICE_NAME="ssh-monitor.service"
 WATCHDOG_NOTIFY_ON_RECOVERY="0"
 WHITELIST_IPS="127.0.0.1,10.0.0.5"
 WHITELIST_SUBNETS="10.0.0.0/24,192.168.1.0/24"
@@ -0,0 +1,14 @@
 [Unit]
 Description=SSH Monitor with Telegram alerts and SAC integration
 After=network-online.target
 Wants=network-online.target
 [Service]
 Type=simple
 ExecStart=/usr/local/bin/ssh-monitor
 Restart=always
 RestartSec=5
 User=root
 [Install]
 WantedBy=multi-user.target
@@ -0,0 +1 @@
 2.3.2-SAC