feat: suppress sac-fail.count on shutdown (2.3.2-SAC)

Phase 4.2: SAC_SUPPRESS_FAIL_COUNT during lifecycle shutdown so restart during SAC deploy does not trip Telegram fallback. Add docs/sac-ingest.ru.md for SAC_TIMEOUT_SEC guidance, smoke test, and release manifest.
fix: WHITELIST_IPS validation and CSV load (2.3.1-SAC)
2026-07-08 14:12:25 +10:00 · 2026-07-08 13:03:40 +10:00 · 2026-07-08 12:57:36 +10:00 · 2026-07-08 12:25:06 +10:00 · 2026-07-08 12:14:11 +10:00 · 2026-07-08 12:05:21 +10:00
31 changed files with 2174 additions and 256 deletions
@@ -0,0 +1,4 @@
 # Агентские скрипты — LF в git и на Linux (manifest SHA256 = git blob).
 ssh-monitor text eol=lf
 *.sh text eol=lf
 version.txt text eol=lf
@@ -11,4 +11,6 @@ ssh-monitor-*.tar.gz
 # Локальный загрузчик Rutube / yt-dlp — живёт в другом репозитории
 rutube-download.py
 .ytdl-archive.txt
-.cursorignore
+# Локальные инструменты разработки (не в Gitea/GitHub)
 .local/
 scripts/build-release-manifest.sh
@@ -1,10 +1,14 @@
 # Версия берётся из ssh-monitor (SSH_MONITOR_VERSION).
-.PHONY: dist clean-dist
+.PHONY: dist clean-dist manifest
 VERSION := $(shell sed -n 's/^SSH_MONITOR_VERSION="\(.*\)".*/\1/p' ssh-monitor | head -n1)
 DIST := ssh-monitor-$(VERSION).tar.gz
 dist: $(DIST)
 manifest:
 	@test -x .local/build-release-manifest.sh || (echo "Сначала: ./contrib/install-git-hooks.sh" >&2; exit 1)
 	./.local/build-release-manifest.sh
 $(DIST): ssh-monitor
 	git archive --format=tar.gz --prefix=ssh-monitor-$(VERSION)/ -o $(DIST) HEAD
@@ -1,18 +1,20 @@
-# ssh-monitor
+# ssh-monitor
-**Версия:** `2.1.5-SAC`
+**Версия:** `2.3.0-SAC`
 Bash-мониторинг **SSH**, **sudo**, **systemd-logind**: Telegram/email, бан IP (ipset), ежедневный отчёт, heartbeat.
-**Security Alert Center:** модуль **`sac-client.sh`**, режим `UseSAC` (`off` | `exclusive` | `dual` | `fallback`) — [контракт SAC](https://git.kalinamall.ru/PapaTramp/security-alert-center/src/branch/main/docs/agent-integration.md). Обновление с хоста: `update_ssh_monitor.sh` или кнопка **«Обновить ssh-monitor (SSH)»** в SAC — сервер передаёт `REPO_URL` / `GIT_BRANCH` из **Настройки → Обновления агентов** (по умолчанию `git.kalinamall.ru`, не GitHub).
+**Security Alert Center:** модуль **`sac-client.sh`**, режим `UseSAC` (`off` | `exclusive` | `dual` | `fallback`) — [контракт SAC](https://git.kalinamall.ru/PapaTramp/security-alert-center/src/branch/main/docs/agent-integration.md). Ingest / таймауты / fallback: [docs/sac-ingest.ru.md](docs/sac-ingest.ru.md). **Основной способ обновления на Linux** — кнопка **«Обновить ssh-monitor (SSH)»** в SAC: сервер передаёт `REPO_URL` / `GIT_BRANCH`, updater сам подтягивает git, выставляет права на конфиг/spool/state и перезапускает сервис. Cron/systemd timer — опционально.
 **Безопасность (2.1.7+):** агент работает от root; доверяйте только своему git-зеркалу (`REPO_URL`) и `/etc/ssh-monitor.conf` (`chmod 600`). С **2.3.0** конфиг читается **без `source`** (whitelist ключей, без выполнения bash из файла). Updater дописывает обязательные ключи и **на каждом прогоне** применяет `chmod`/`chown` к конфигу, SAC-spool и state-файлам. Подробнее: [docs/security-roadmap.ru.md](docs/security-roadmap.ru.md).
 ## Состав репозитория
 | Файл | Назначение |
 |------|------------|
-| **`ssh-monitor`** | Основной цикл: разбор журналов (**journalctl**: sshd, sudo, «тяжёлые» события, **systemd-logind**), цепочка уведомлений (Telegram, SMTP через **python3**, резервный webhook), при **`ENABLE_IP_BAN=1`** — учёт неудачных попыток, бан в **ipset** и согласование с **iptables**/**ip6tables**, ежедневный отчёт, heartbeat, опционально **Prometheus** textfile и JSON health. Режимы: **`--check-config`**, **`--dry-run`**. |
+| **`ssh-monitor`** | Основной цикл: разбор журналов (**journalctl**: sshd, sudo, «тяжёлые» события, **systemd-logind**), цепочка уведомлений (Telegram, SMTP через **python3**), при **`ENABLE_IP_BAN=1`** — учёт неудачных попыток, бан в **ipset** и согласование с **iptables**/**ip6tables**, ежедневный отчёт, heartbeat, опционально **Prometheus** textfile и JSON health. Режимы: **`--check-config`**, **`--dry-run`**. |
-| **`ssh-monitor-watchdog`** | Отдельный скрипт (обычно по **systemd timer**): проверяет, что сервис монитора активен и файл heartbeat не старше порога; при сбое выполняет **`systemctl restart`** и шлёт уведомление в Telegram или в **`BACKUP_WEBHOOK_URL`**. Читает те же `TELEGRAM_*` / webhook из `/etc/ssh-monitor.conf`. |
+| **`ssh-monitor-watchdog`** | Отдельный скрипт (обычно по **systemd timer**): проверяет, что сервис монитора активен и файл heartbeat не старше порога; при сбое выполняет **`systemctl restart`** и шлёт уведомление в Telegram. Читает `TELEGRAM_*` и watchdog-параметры из `/etc/ssh-monitor.conf`. |
-| `update_ssh_monitor.sh` | Опциональное автообновление: `git pull` / `clone` (дефолт `REPO_URL=git.kalinamall.ru`, override через env), сравнение SHA256, **`sac-client.sh`**, перезапуск `ssh-monitor.service`. См. [docs/auto-update.ru.md](docs/auto-update.ru.md). |
+| `update_ssh_monitor.sh` | Автообновление: git + manifest verify, `sac-client.sh`, перезапуск `ssh-monitor.service`. См. [docs/auto-update.ru.md](docs/auto-update.ru.md). |
 **Системные пакеты и зависимости** (что поставить на сервер до запуска): пошагово в [docs/install-prerequisites.ru.md](docs/install-prerequisites.ru.md).
@@ -20,7 +22,7 @@ Bash-мониторинг **SSH**, **sudo**, **systemd-logind**: Telegram/email,
 > **Закрытый инстанс Gitea:** в доверенном закрытом репозитории допустимо хранить **`ssh-monitor.conf`** с боевыми токенами (файл не в `.gitignore`). В публичном [GitHub](https://git.kalinamall.ru/PapaTramp/ssh-monitor) такой файл игнорируется — используйте только `ssh-monitor.conf.example`.
-Скрипт читает параметры из `/etc/ssh-monitor.conf` в формате `KEY="value"`.
+Скрипт читает параметры из `/etc/ssh-monitor.conf` в формате `KEY="value"` (парсер с whitelist ключей; произвольный bash в файле не выполняется).
 1. Скопируйте пример:
 - `sudo cp ./ssh-monitor.conf.example /etc/ssh-monitor.conf`
@@ -30,14 +32,13 @@ Bash-мониторинг **SSH**, **sudo**, **systemd-logind**: Telegram/email,
 - для **Telegram**: `TELEGRAM_BOT_TOKEN` и `TELEGRAM_CHAT_ID`;
 - или настройте **почту (SMTP)** по переменным ниже при `NOTIFY_ORDER=""` (автовыбор каналов).
-**Обязательное условие:** после загрузки конфигурации в цепочке **`NOTIFY_CHAIN`** должен быть **минимум один** канал (`telegram` или `email`). Если каналов **нет** (пустой `NOTIFY_ORDER` и ни Telegram, ни SMTP не удовлетворяют критериям «настроен», либо в `NOTIFY_ORDER` остались только неизвестные имена), скрипт **не входит** в основной цикл и завершается с кодом **1**, в stderr: **`Не настроен ни один канал отправки оповещений`**. Это же правило действует для **`--check-config`** и **`--dry-run`**. Резервный **`BACKUP_WEBHOOK_URL`** в эту проверку **не входит** — он используется только если **ни один** канал из **`NOTIFY_CHAIN`** не смог доставить сообщение.
+**Обязательное условие:** после загрузки конфигурации в цепочке **`NOTIFY_CHAIN`** должен быть **минимум один** канал (`telegram` или `email`). Если каналов **нет** (пустой `NOTIFY_ORDER` и ни Telegram, ни SMTP не удовлетворяют критериям «настроен», либо в `NOTIFY_ORDER` остались только неизвестные имена), скрипт **не входит** в основной цикл и завершается с кодом **1**, в stderr: **`Не настроен ни один канал отправки оповещений`**. Это же правило действует для **`--check-config`** и **`--dry-run`**.
 Поддерживаемые параметры:
 - `TELEGRAM_BOT_TOKEN`, `TELEGRAM_CHAT_ID`
 - `NOTIFY_ORDER` — список каналов (`telegram`, `email` и сокращения **tg**, **mail**); при каждом оповещении скрипт **пытается отправить во все перечисленные** каналы по порядку (не «первый успешный — и стоп»). Пусто = в цепочку попадают только настроенные каналы (порядок по умолчанию см. в `ssh-monitor.conf.example`). Если итоговая цепочка пуста — скрипт не стартует (см. раздел **«Каналы оповещений и пустой NOTIFY_CHAIN»**).
 - `MAIL_SMTP_HOST`, `MAIL_SMTP_PORT`, `MAIL_SMTP_USER`, `MAIL_SMTP_PASSWORD`, `MAIL_FROM`, `MAIL_TO`, `MAIL_SMTP_STARTTLS`, `MAIL_SMTP_SSL` — отправка почты через **python3** (см. таблицу каналов ниже)
 - `BACKUP_WEBHOOK_URL` — резервная доставка JSON `{"text":"..."}` (например Slack Incoming Webhook), если **все** каналы из **`NOTIFY_CHAIN`** не смогли доставить сообщение; **не заменяет** обязательность хотя бы одного основного канала (см. шаг 3)
 - `LOG_FILE`, `LAST_HEARTBEAT_FILE`, `LAST_REPORT_FILE`, `LAST_SSH_CHECK_FILE`, `LAST_SUDO_CHECK_FILE`, `LAST_SECURITY_EVENTS_FILE`, `LAST_LOGIND_CHECK_FILE`, `BAN_LIST_FILE`
 - `ENABLE_LOGIND_MONITOR`, `LOGIND_NOTIFY_NEW`, `LOGIND_NOTIFY_REMOVED`, `LOGIND_NOTIFY_FAILED`, `LOGIND_SKIP_REMOTE` — см. раздел «Мониторинг systemd-logind» ниже
 - `DAILY_REPORT_HOUR` (0..23), `DAILY_REPORT_ENABLED` (1/0 — отчёт с агента; 0 = только SAC), `DAILY_REPORT_TZ` (опционально), `NOTIFY_TZ` (опционально), `SERVER_DISPLAY_NAME` (опционально), `SSH_ACCEPT_NOTIFY_DEDUP_SEC`, `DAILY_REPORT_TOP_IPS`
@@ -57,7 +58,6 @@ Bash-мониторинг **SSH**, **sudo**, **systemd-logind**: Telegram/email,
 - `TELEGRAM_CHAT_ID` — ID чата/пользователя, куда отправляются уведомления.
 - `NOTIFY_ORDER` — CSV имён каналов (`telegram`, `email` или `tg`, `mail`). Для **каждого** оповещения выполняется попытка доставки **во все** перечисленные каналы (при ошибке одного остальные всё равно пробуются; неудачи пишутся в **`LOG_FILE`**). Пустая строка: автоматически собирается цепочка только из реально настроенных каналов (по умолчанию порядок telegram → email; критерии «настроен» — **таблица** в разделе **«Каналы оповещений и пустой NOTIFY_CHAIN»**). Если после сборки цепочки **нет ни одного** канала, скрипт **сразу завершается** с ошибкой: **«Не настроен ни один канал отправки оповещений»** (в том числе режим `--check-config` и `--dry-run`).
 - `MAIL_SMTP_HOST`, `MAIL_SMTP_PORT`, `MAIL_SMTP_USER`, `MAIL_SMTP_PASSWORD`, `MAIL_FROM`, `MAIL_TO`, `MAIL_SMTP_STARTTLS`, `MAIL_SMTP_SSL` — параметры SMTP для канала `email` (отправка через **python3**; см. таблицу «настроен»).
 - `BACKUP_WEBHOOK_URL` — URL для резервной отправки (тело JSON `{"text":"..."}`); только fallback при сбое основных каналов, **не засчитывается** как «настроенный канал» (см. шаг 3).
 - `LOG_FILE` — путь к основному лог-файлу скрипта.
 - `LAST_HEARTBEAT_FILE` — файл с timestamp последнего heartbeat-сообщения.
 - `LAST_REPORT_FILE` — дата последнего ежедневного отчёта в формате `YYYY-MM-DD` (старый формат Unix-времени при первом запуске будет автоматически интерпретирован).
@@ -127,9 +127,11 @@ Bash-мониторинг **SSH**, **sudo**, **systemd-logind**: Telegram/email,
 - Опционально **`SERVER_DISPLAY_NAME`** в конфиге — фиксированная подпись вместо hostname (удобно при нескольких серверах в одном Telegram-чате).
 - Типы сообщений и примеры: [docs/notifications.ru.md](docs/notifications.ru.md).
-### Автообновление скрипта
+### Обновление агента
-Скрипт **`update_ssh_monitor.sh`** по расписанию (cron или systemd timer) выполняет `git pull` / `clone`, сравнивает SHA256 с `/usr/local/bin/ssh-monitor`, **всегда** подтягивает **`/usr/local/bin/sac-client.sh`** и при изменении любого из файлов перезапускает **`ssh-monitor.service`**. Конфиг **`/etc/ssh-monitor.conf`** не трогается.
+**Рекомендуемый путь — SAC:** в карточке Linux-хоста кнопка **«Обновить ssh-monitor (SSH)»**. Участие админа на сервере не требуется: SAC передаёт `REPO_URL`/`GIT_BRANCH`, updater выполняет `git pull`, синхронизирует `sac-client.sh`, дописывает ключи конфига, **выставляет права** на конфиг/spool/state и перезапускает `ssh-monitor.service`.
 Скрипт **`update_ssh_monitor.sh`** также можно запускать вручную или по расписанию (cron/systemd timer) с тем же `REPO_URL` — поведение идентично.
 Пошаговая настройка: [docs/auto-update.ru.md](docs/auto-update.ru.md).
@@ -161,7 +163,9 @@ bash -n ./ssh-monitor
 ## Релизный архив
-Версия задаётся в **`SSH_MONITOR_VERSION`** в файле **`ssh-monitor`** и дублируется в **`version.txt`** (та же строка, что в шапке README). Модуль **`sac-client.sh`** использует ту же версию для SAC `product_version`. Сборка tarball из текущего git-дерева:
+Версия задаётся в **`SSH_MONITOR_VERSION`** в файле **`ssh-monitor`** и дублируется в **`version.txt`** (та же строка, что в шапке README). Модуль **`sac-client.sh`** использует ту же версию для SAC `product_version`. **Release manifest** (`release/manifest-*.json`): [docs/release-manifest.ru.md](docs/release-manifest.ru.md) — после clone: `.\contrib\install-git-hooks.ps1` (Windows) или `./contrib/install-git-hooks.sh` (Linux/Git Bash).
 Сборка tarball из текущего git-дерева:
 ```bash
 make dist
@@ -228,7 +232,7 @@ sudo journalctl -u ssh-monitor -f
 ## Watchdog (автоматическое восстановление)
-Watchdog проверяет активность `ssh-monitor.service` и актуальность heartbeat (`LAST_HEARTBEAT_FILE`). При сбое выполняет `systemctl restart` и отправляет уведомление (Telegram и при сбое — `BACKUP_WEBHOOK_URL`, если задан).
+Watchdog проверяет активность `ssh-monitor.service` и актуальность heartbeat (`LAST_HEARTBEAT_FILE`). При сбое выполняет `systemctl restart` и отправляет уведомление в Telegram.
 Пошаговая установка скрипта **ssh-monitor-watchdog** и **timer** в **systemd**: раздел 6 в [docs/install-prerequisites.ru.md](docs/install-prerequisites.ru.md).
@@ -0,0 +1,66 @@
 #!/bin/bash
 # Автогенерация release/manifest-VERSION.json при bump версии (version.txt / SSH_MONITOR_VERSION).
 set -euo pipefail
 ROOT="$(git rev-parse --show-toplevel)"
 cd "$ROOT"
 _staged() {
 	git diff --cached --name-only -- "$@"
 }
 _version_bump_staged() {
 	if _staged version.txt | grep -q .; then
 		return 0
 	fi
 	if _staged ssh-monitor | grep -q .; then
 		if git diff --cached -- ssh-monitor | grep -qE '^[+-].*SSH_MONITOR_VERSION='; then
 			return 0
 		fi
 	fi
 	return 1
 }
 _agent_files_staged() {
 	local f
 	for f in ssh-monitor sac-client.sh update_ssh_monitor.sh ssh-monitor-watchdog ssh-monitor-perms.sh; do
 		if _staged "$f" | grep -q .; then
 			return 0
 		fi
 	done
 	return 1
 }
 _version_bump_staged || _agent_files_staged || exit 0
 _find_python() {
 	local c
 	for c in python3 python; do
 		if command -v "$c" >/dev/null 2>&1 && "$c" -c 'import sys' >/dev/null 2>&1; then
 			echo "$c"
 			return 0
 		fi
 	done
 	return 1
 }
 PY="$(_find_python)" || {
 	echo "pre-commit: python нужен для manifest (рабочий python/python3 не найден)" >&2
 	exit 1
 }
 "$PY" "$ROOT/contrib/manifest/generate.py"
 VER="$(tr -d '\r\n' <"$ROOT/version.txt")"
 [ -n "$VER" ] || {
 	echo "pre-commit: version.txt пуст — не могу добавить manifest" >&2
 	exit 1
 }
 MANIFEST="release/manifest-${VER}.json"
 if [ ! -f "$MANIFEST" ]; then
 	echo "pre-commit: не создан $MANIFEST" >&2
 	exit 1
 fi
 git add "$MANIFEST"
 echo "pre-commit: обновлён $MANIFEST (версия $VER)"
@@ -0,0 +1,54 @@
 # Install git hooks + local manifest wrappers (not committed to git).
 # Run from repo root: .\contrib\install-git-hooks.ps1
 $ErrorActionPreference = "Stop"
 $Root = (Resolve-Path (Join-Path $PSScriptRoot "..")).Path
 $HookSrc = Join-Path $Root "contrib\hooks\pre-commit"
 $HookDst = Join-Path $Root ".git\hooks\pre-commit"
 $LocalDir = Join-Path $Root ".local"
 $LocalScript = Join-Path $LocalDir "build-release-manifest.ps1"
 $LocalScriptSh = Join-Path $LocalDir "build-release-manifest.sh"
 if (-not (Test-Path (Join-Path $Root ".git"))) {
    throw "Not a git repository: $Root"
 }
 if (-not (Test-Path $HookSrc)) {
    throw "Missing hook file: $HookSrc"
 }
 New-Item -ItemType Directory -Force -Path (Split-Path $HookDst) | Out-Null
 Copy-Item -Force $HookSrc $HookDst
 New-Item -ItemType Directory -Force -Path $LocalDir | Out-Null
@'
 # Local manifest wrapper (gitignored). Manual generation on Windows.
 $ErrorActionPreference = "Stop"
 $Root = git -C "$PSScriptRoot\.." rev-parse --show-toplevel 2>$null
 if (-not $Root) {
    $Root = (Resolve-Path (Join-Path $PSScriptRoot "..")).Path
 }
 $py = Get-Command python -ErrorAction SilentlyContinue
 if (-not $py) { $py = Get-Command python3 -ErrorAction SilentlyContinue }
 if (-not $py) { throw "python not found in PATH" }
 & $py.Source (Join-Path $Root "contrib\manifest\generate.py") @args
 if ($LASTEXITCODE -ne 0) { exit $LASTEXITCODE }
 '@ | Set-Content -Path $LocalScript -Encoding UTF8
@'
 #!/bin/bash
 # Local manifest wrapper (gitignored). Git Bash.
 set -euo pipefail
 ROOT="$(git rev-parse --show-toplevel)"
 exec python3 "$ROOT/contrib/manifest/generate.py" "$@"
 '@ | Set-Content -Path $LocalScriptSh -Encoding ASCII -NoNewline
 Add-Content -Path $LocalScriptSh -Value "`n" -NoNewline
 Write-Host "OK: pre-commit hook -> $HookDst"
 Write-Host "OK: manual script (PS)  -> $LocalScript"
 Write-Host "OK: manual script (sh)  -> $LocalScriptSh"
 Write-Host ""
 Write-Host "Manual: .\.local\build-release-manifest.ps1"
 Write-Host "        python contrib\manifest\generate.py"
 Write-Host "Pre-commit runs on version bump (python required in PATH)."
@@ -0,0 +1,31 @@
 #!/bin/bash
 # Установка git hooks и локального скрипта ручной генерации manifest (не в git).
 set -euo pipefail
 ROOT="$(cd "$(dirname "${BASH_SOURCE[0]}")/.." && pwd)"
 HOOK_SRC="$ROOT/contrib/hooks/pre-commit"
 HOOK_DST="$ROOT/.git/hooks/pre-commit"
 LOCAL_DIR="$ROOT/.local"
 LOCAL_SCRIPT="$LOCAL_DIR/build-release-manifest.sh"
 if [ ! -d "$ROOT/.git" ]; then
 	echo "ERROR: не git-репозиторий: $ROOT" >&2
 	exit 1
 fi
 mkdir -p "$LOCAL_DIR"
 cat >"$LOCAL_SCRIPT" <<'EOF'
 #!/bin/bash
 # Локальный wrapper (не коммитится). Ручная генерация manifest.
 set -euo pipefail
 ROOT="$(git rev-parse --show-toplevel)"
 exec python3 "$ROOT/contrib/manifest/generate.py" "$@"
 EOF
 chmod +x "$LOCAL_SCRIPT"
 cp "$HOOK_SRC" "$HOOK_DST"
 chmod +x "$HOOK_DST"
 echo "OK: pre-commit hook → $HOOK_DST"
 echo "OK: ручной скрипт → $LOCAL_SCRIPT (в .gitignore, не уйдёт в Gitea/GitHub)"
 echo "После clone: ./contrib/install-git-hooks.sh  или  .\\contrib\\install-git-hooks.ps1 (Windows)"
@@ -0,0 +1,117 @@
 #!/usr/bin/env python3
 """Генерация release/manifest-VERSION.json (SHA256 git blob = checkout на Linux)."""
 from __future__ import annotations
 import argparse
 import hashlib
 import json
 import os
 import subprocess
 import sys
 from pathlib import Path
 MANIFEST_FILES = (
    "ssh-monitor",
    "sac-client.sh",
    "update_ssh_monitor.sh",
    "ssh-monitor-watchdog",
    "ssh-monitor-perms.sh",
 )
 def repo_root() -> Path:
    return Path(
        subprocess.check_output(["git", "rev-parse", "--show-toplevel"], text=True).strip()
    )
 def read_version(root: Path, explicit: str | None) -> str:
    if explicit:
        return explicit.strip()
    vt = root / "version.txt"
    if vt.is_file():
        v = vt.read_text(encoding="utf-8").strip()
        if v:
            return v
    ssh = root / "ssh-monitor"
    if ssh.is_file():
        for line in ssh.read_text(encoding="utf-8", errors="replace").splitlines():
            if line.strip().startswith("SSH_MONITOR_VERSION="):
                v = line.split("=", 1)[1].strip().strip("\"'")
                if v:
                    return v
    raise SystemExit("ERROR: укажите VERSION или заполните version.txt / SSH_MONITOR_VERSION")
 def file_bytes_from_git(root: Path, name: str) -> bytes | None:
    for ref in (f":{name}", f"HEAD:{name}"):
        try:
            return subprocess.check_output(["git", "-C", str(root), "show", ref])
        except subprocess.CalledProcessError:
            continue
    return None
 def sha256_bytes(data: bytes) -> str:
    return hashlib.sha256(data).hexdigest()
 def sha256_release_file(root: Path, name: str) -> str:
    blob = file_bytes_from_git(root, name)
    if blob is not None:
        return sha256_bytes(blob)
    path = root / name
    if not path.is_file():
        raise SystemExit(f"ERROR: нет файла {name} (ни в git index/HEAD, ни на диске)")
    h = hashlib.sha256()
    with path.open("rb") as f:
        for chunk in iter(lambda: f.read(1024 * 1024), b""):
            h.update(chunk)
    return h.hexdigest()
 def main() -> None:
    parser = argparse.ArgumentParser(description="Сгенерировать release/manifest-VERSION.json")
    parser.add_argument("version", nargs="?", help="Версия (по умолчанию из version.txt)")
    parser.add_argument(
        "--pin-commit",
        action="store_true",
        help="Записать git_commit=HEAD (после коммита; в pre-commit не используется)",
    )
    args = parser.parse_args()
    root = repo_root()
    version = read_version(root, args.version)
    for name in MANIFEST_FILES:
        if file_bytes_from_git(root, name) is None and not (root / name).is_file():
            raise SystemExit(f"ERROR: нет файла {name}")
    git_commit = ""
    if args.pin_commit:
        try:
            git_commit = subprocess.check_output(
                ["git", "-C", str(root), "rev-parse", "HEAD"], text=True
            ).strip()
        except subprocess.CalledProcessError:
            pass
    manifest = {
        "version": version,
        "git_commit": git_commit,
        "files": {name: f"sha256:{sha256_release_file(root, name)}" for name in MANIFEST_FILES},
    }
    out = root / "release" / f"manifest-{version}.json"
    out.parent.mkdir(parents=True, exist_ok=True)
    with out.open("w", encoding="utf-8") as f:
        json.dump(manifest, f, indent=2, ensure_ascii=False)
        f.write("\n")
    pin = git_commit[:12] if git_commit else "(empty)"
    print(f"Wrote {out.relative_to(root)} git_commit={pin}")
 if __name__ == "__main__":
    main()
@@ -0,0 +1,50 @@
 #!/bin/bash
 # Smoke-test safe config parser (no network). Run from repo root.
 set -euo pipefail
 ROOT="$(cd "$(dirname "${BASH_SOURCE[0]}")/.." && pwd)"
 # shellcheck source=ssh-monitor-perms.sh
 source "$ROOT/ssh-monitor-perms.sh"
 tmpdir="$(mktemp -d)"
 trap 'rm -rf "$tmpdir"' EXIT
 cfg="$tmpdir/test.conf"
 cat >"$cfg" <<'EOF'
 # comment
 TELEGRAM_BOT_TOKEN="tok"
 UseSAC="exclusive"
 SAC_URL="https://sac.example.test"
 WHITELIST_IPS="127.0.0.1,10.0.0.5"
 WHITELIST_SUBNETS="10.0.0.0/24"
 BACKUP_WEBHOOK_URL="https://hooks.example/legacy"
 UNKNOWN_KEY="ignored"
 EOF
 ssh_monitor_config_load_file "$cfg"
 [ "${TELEGRAM_BOT_TOKEN:-}" = "tok" ] || {
 	echo "FAIL: TELEGRAM_BOT_TOKEN" >&2
 	exit 1
 }
 [ "${UseSAC:-}" = "exclusive" ] || {
 	echo "FAIL: UseSAC" >&2
 	exit 1
 }
 ips_csv="${WHITELIST_IPS:-}"
 subs_csv="${WHITELIST_SUBNETS:-}"
 WHITELIST_IPS=()
 WHITELIST_SUBNETS=()
 IFS=',' read -r -a WHITELIST_IPS <<<"$ips_csv"
 IFS=',' read -r -a WHITELIST_SUBNETS <<<"$subs_csv"
 ssh_monitor_validate_config_values || {
 	echo "FAIL: validate_config_values" >&2
 	exit 1
 }
 printf 'EVIL="$(id)"\n' >"$tmpdir/bad.conf"
 if ssh_monitor_config_load_file "$tmpdir/bad.conf" 2>/dev/null; then
 echo "OK: config parser smoke test passed"
@@ -0,0 +1,32 @@
 #!/bin/bash
 # Smoke-test sac-fail.count suppress on shutdown flag. Run from repo root.
 set -euo pipefail
 ROOT="$(cd "$(dirname "${BASH_SOURCE[0]}")/.." && pwd)"
 tmpdir="$(mktemp -d)"
 trap 'rm -rf "$tmpdir"' EXIT
 write_log() { :; }
 ssh_monitor_secure_file() { :; }
 ssh_monitor_secure_dir() { mkdir -p "$1"; }
 # shellcheck source=sac-client.sh
 source "$ROOT/sac-client.sh"
 export SAC_FAIL_COUNT_FILE="${tmpdir}/sac-fail.count"
 sac_write_fail_count 0
 sac_increment_fail_count
 [ "$(sac_read_fail_count)" = "1" ] || {
 	echo "FAIL: expected count 1 after increment" >&2
 	exit 1
 }
 SAC_SUPPRESS_FAIL_COUNT=1
 sac_increment_fail_count || true
 [ "$(sac_read_fail_count)" = "1" ] || {
 	echo "FAIL: count changed under SAC_SUPPRESS_FAIL_COUNT" >&2
 	exit 1
 }
 echo "OK sac-fail.count suppress"
@@ -1,82 +1,137 @@
 # Автообновление ssh-monitor
-Скрипт **`update_ssh_monitor.sh`** в корне репозитория обновляет установленный **`/usr/local/bin/ssh-monitor`** из git-репозитория и перезапускает systemd-сервис. Watchdog и таймеры **не изменяются**.
+Скрипт **`update_ssh_monitor.sh`** обновляет **`/usr/local/bin/ssh-monitor`** из git и перезапускает systemd-сервис.
-**Конфиг `/etc/ssh-monitor.conf`:** при первой установке копируется из `ssh-monitor.conf.example`. При каждом deploy/обновлении в **существующий** конфиг **дописываются** отсутствующие SAC-переменные (`UseSAC`, `SAC_URL`, `SAC_API_KEY`, spool, timeout и т.д.) и выставляется **`UseSAC=fallback`**. Telegram/SMTP и прочие ключи **не перезаписываются**.
+## Основной путь: Security Alert Center
-Установка самого монитора и unit-файлов: [README.md](../README.md), зависимости: [install-prerequisites.ru.md](install-prerequisites.ru.md).
+На продакшен-хостах обновление идёт **через SAC**, без cron:
 1. Админ нажимает **«Обновить ssh-monitor (SSH)»** в карточке хоста.
 2. SAC по SSH запускает `/opt/scripts/update_ssh_monitor.sh` с `REPO_URL` / `GIT_BRANCH` из **Настройки → Обновления агентов**.
 3. Updater сам выполняет `git pull`, синхронизирует `sac-client.sh` и watchdog, дописывает отсутствующие ключи в **`/etc/ssh-monitor.conf`**, **выставляет `chmod`/`chown`** на конфиг, SAC-spool, счётчики и state-файлы, перезапускает **`ssh-monitor.service`**.
 Участие админа на сервере **не требуется** (кроме первичной настройки `SAC_URL` / `SAC_API_KEY` в конфиге).
 При **первой установке** (нет updater на хосте) SAC выполняет bootstrap с **`--deploy`**: clone, ipset при необходимости, systemd unit, полный hardening.
 **Cron / systemd timer** — опциональная альтернатива с тем же скриптом и обязательным `REPO_URL` в окружении.
 Watchdog и таймеры watchdog **не изменяются** при обычном update (кроме синхронизации скрипта watchdog из git).
 **Конфиг `/etc/ssh-monitor.conf`:** при первой установке копируется из `ssh-monitor.conf.example`. При каждом update в **существующий** конфиг **дописываются** отсутствующие SAC-переменные и ключи безопасности; **`UseSAC=fallback`**. Telegram/SMTP и прочие ключи **не перезаписываются**.
 Установка монитора и unit-файлов: [README.md](../README.md), зависимости: [install-prerequisites.ru.md](install-prerequisites.ru.md).
 ## Что делает скрипт
 1. Создаёт рабочий каталог **`UPDATE_DIR`** (по умолчанию `/opt/scripts/update`).
-2. Проверяет наличие **`ipset`**; при отсутствии пытается установить через пакетный менеджер (apt, yum, dnf, pacman, zypper). Без ipset скрипт завершается с ошибкой — новая версия монитора с **`ENABLE_IP_BAN=1`** требует ipset.
+2. При **`--deploy`** / bootstrap SAC проверяет **`ipset`** и при отсутствии пытается установить через пакетный менеджер. Обычное обновление **не** вызывает `apt-get`.
-3. В **`UPDATE_DIR`** выполняет **`git clone`** или **`git pull origin main`** репозитория.
+3. В **`UPDATE_DIR`** выполняет **`git clone`** или **`git fetch` + checkout / `git pull --ff-only`** (без слепого `reset --hard`).
-4. Ищет файл **`ssh-monitor`** в клоне:
+4. Проверяет **`release/manifest-VERSION.json`** (SHA256 файлов + commit) **до** копирования в `/usr/local/bin`.
-   - `$UPDATE_DIR/ssh-monitor/src/branch/main/ssh-monitor` (структура GitLab);
+5. Ищет **`ssh-monitor`** в клоне (GitLab layout или плоский репозиторий).
-   - `$UPDATE_DIR/ssh-monitor/ssh-monitor` (плоский репозиторий, как в этом проекте).
+6. Сравнивает **SHA256** с **`LOCAL_SCRIPT_PATH`** (`/usr/local/bin/ssh-monitor`).
-5. Сравнивает **SHA256** удалённого файла с **`LOCAL_SCRIPT_PATH`** (по умолчанию `/usr/local/bin/ssh-monitor`).
+7. **Всегда** синхронизирует **`sac-client.sh`**, **`ssh-monitor-perms.sh`**, watchdog.
-6. **Всегда** (независимо от шага 5) синхронизирует **`sac-client.sh`** в каталог рядом с монитором (по умолчанию **`/usr/local/bin/sac-client.sh`**) — нужен для **`UseSAC`** и **`--check-sac`**.
+8. Дописывает ключи конфига; **`apply_runtime_security_hardening`**: `chmod 600` конфиг, `700` spool, `600` state/SAC-файлы, whitelist.
-7. При отличии checksum **`ssh-monitor`** и/или **`sac-client.sh`**:
+9. При изменении **`ssh-monitor`**, **`sac-client.sh`** или конфига — **`systemctl restart ssh-monitor.service`**.
-   - резервная копия `ssh-monitor.backup.YYYYMMDD_HHMMSS` (только для основного скрипта);
+10. Лог: **`/var/log/update_script.log`** (блок «Итог обновления», строки `manifest` и `security hardening`).
   - `cp` + `chmod +x` для `ssh-monitor`, `chmod 644` для `sac-client.sh`;
   - **`systemctl restart ssh-monitor.service`** (если есть systemctl).
 8. Пишет лог в **`LOG_FILE`** (по умолчанию `/var/log/update_script.log`).
 ```mermaid
 flowchart LR
-  A[cron/timer] --> B[update_ssh_monitor.sh]
+  A[SAC или cron] --> B[update_ssh_monitor.sh]
-  B --> C[git pull/clone]
+  B --> C[git fetch/checkout]
-  C --> D[sync sac-client.sh]
+  C --> M{manifest OK?}
  M -->|нет| X[exit 1]
  M -->|да/skip| D[sync sac-client + perms lib]
  C --> E{SHA256 ssh-monitor?}
-  D --> F{что-то обновилось?}
+  D --> F[harden config/spool/state]
  E -->|да| G[backup + cp ssh-monitor]
  E -->|нет| F
  G --> F
-  F -->|да| H[restart ssh-monitor.service]
+  F --> H{что-то изменилось?}
-  F -->|нет| I[без изменений]
+  H -->|да| I[restart ssh-monitor.service]
  H -->|нет| J[без перезапуска]
 ```
 ## Настройка перед первым запуском
 Отредактируйте переменные в начале **`update_ssh_monitor.sh`**:
 | Переменная | По умолчанию | Назначение |
 |------------|--------------|------------|
 | `UPDATE_DIR` | `/opt/scripts/update` | Каталог для git-клона |
-| `REPO_URL` | `https://git.kalinamall.ru/PapaTramp/ssh-monitor.git` | URL репозитория (на закрытом зеркале — URL своего Gitea) |
+| `REPO_URL` | *(обязательно)* | URL git — задаётся SAC, export или `Environment=` в cron |
-| `LOCAL_SCRIPT_PATH` | `/usr/local/bin/ssh-monitor` | Куда копировать бинарник |
+| `GIT_BRANCH` | `main` | Ветка для clone/pull, если **`GIT_REF`** не задан |
 | `GIT_REF` | *(пусто)* | Тег (`2.2.0-SAC`), ветка или commit SHA для checkout |
 | `GIT_VERIFY_MODE` | `off` | `off` \| `tag` \| `commit` — см. раздел ниже |
 | `GIT_ALLOW_RESET` | `0` | `1` = разрешить `git reset --hard` при расхождении истории (риск) |
 | `RELEASE_MANIFEST_STRICT` | `0` | `1` = exit 1, если manifest для версии не найден |
 | `LOCAL_SCRIPT_PATH` | `/usr/local/bin/ssh-monitor` | Куда копировать монитор |
 | `LOG_FILE` | `/var/log/update_script.log` | Лог обновлений |
-| `DEBUG` | `0` | `1` — подробный DEBUG в лог |
+| `UPDATE_VIA_SAC` | *(опционально)* | SAC выставляет `1`; при отсутствии бинарника включается `--deploy` |
-Требования на сервере:
+Требования: **root**, **git**, **python3** (manifest verify), доступ к репозиторию.
- **root** (или sudo) для `cp`, `systemctl`, установки ipset;
+## Pinned ref и manifest (2.2.0+)
- **git** и сетевой доступ к репозиторию (SSH-ключ или HTTPS);
+
- ветка в скрипте жёстко **`main`** — при другой ветке измените `git pull` в файле.
+Updater читает **`GIT_REF`**, **`GIT_VERIFY_MODE`**, **`GIT_ALLOW_RESET`** из env или `/etc/ssh-monitor.conf`.
 ### Режимы `GIT_VERIFY_MODE`
 | Режим | Поведение | Когда |
 |-------|-----------|-------|
 | **`off`** | После fetch принять ref как есть | Тест, legacy; дефолт в скрипте |
 | **`tag`** | `GIT_REF` должен существовать как тег | **Рекомендуется для прода** |
 | **`commit`** | `GIT_REF` = полный SHA commit | Жёсткий pin без тегов |
 Если **`GIT_REF`** пуст, используется **`GIT_BRANCH`** (`git pull --ff-only`). При невозможности fast-forward updater **не** делает `reset --hard` (только с **`GIT_ALLOW_RESET=1`**).
 ### Release manifest
 В репозитории: **`release/manifest-VERSION.json`** — SHA256 ключевых файлов и `git_commit`. Updater сверяет manifest **после** git sync и **до** копирования бинарников.
 - Файл найден и hash не совпал → **exit 1**, ничего не перезаписывается.
 - Файл не найден → WARN, update продолжается (или exit 1 при **`RELEASE_MANIFEST_STRICT=1`**).
 - Копирование **`update_ssh_monitor.sh`** в `/opt/scripts/` и re-exec — только если manifest для версии был и прошёл verify.
 Генерация manifest — см. [release-manifest.ru.md](release-manifest.ru.md). После `./contrib/install-git-hooks.sh` manifest обновляется **автоматически** при bump версии в pre-commit. Ручной wrapper: `.local/build-release-manifest.sh` (не в git).
 ```bash
 ./contrib/install-git-hooks.sh   # один раз после clone
 # bump version.txt + ssh-monitor → git commit (hook добавит manifest)
 git tag 2.2.3-SAC
 ```
 ### Примеры для прода
 **SAC / env на хосте** (через настройки SAC или unit):
 ```bash
 REPO_URL=https://git.kalinamall.ru/PapaTramp/ssh-monitor.git
 GIT_REF=2.2.0-SAC
 GIT_VERIFY_MODE=tag
 ```
 **systemd timer** (`/etc/systemd/system/ssh-monitor-update.service`):
 ```ini
 [Service]
 Type=oneshot
 Environment=REPO_URL=https://git.kalinamall.ru/PapaTramp/ssh-monitor.git
 Environment=GIT_REF=2.2.0-SAC
 Environment=GIT_VERIFY_MODE=tag
 ExecStart=/opt/scripts/update_ssh_monitor.sh
 ```
 При доверенном закрытом зеркале **manifest + `GIT_REF=tag`** — достаточный минимум; GPG-подписи тегов — backlog (см. [security-roadmap.ru.md](security-roadmap.ru.md)).
 ## Первичная установка (--deploy)
 Один сценарий для нового сервера (клон git, `ssh-monitor`, `sac-client.sh`, пример конфига, systemd unit):
 ```bash
-cd /path/to/ssh-monitor   # или curl/clone репозитория
+sudo REPO_URL=https://git.kalinamall.ru/PapaTramp/ssh-monitor.git ./update_ssh_monitor.sh --deploy
-sudo ./first_deploy.sh
+# или first_deploy.sh с REPO_URL в окружении
 # то же самое:
 sudo ./update_ssh_monitor.sh --deploy
 ```
-Скрипт выводит в консоль, **куда что скопировано**, и список переменных для **`/etc/ssh-monitor.conf`**. Существующий конфиг **не перезаписывается**.
+Через SAC bootstrap выполняется автоматически с **`--deploy`**.
-После установки отредактируйте конфиг и проверьте:
+## Установка updater (если не через SAC bootstrap)
 ```bash
 sudo nano /etc/ssh-monitor.conf
 sudo /usr/local/bin/ssh-monitor --check-config
 sudo /usr/local/bin/ssh-monitor --check-sac
 sudo systemctl restart ssh-monitor.service
 ```
 ## Установка updater (для последующих обновлений)
 ```bash
 sudo mkdir -p /opt/scripts
@@ -84,63 +139,26 @@ sudo cp update_ssh_monitor.sh /opt/scripts/update_ssh_monitor.sh
 sudo chmod 750 /opt/scripts/update_ssh_monitor.sh
 ```
-Проверка вручную:
+Проверка:
 ```bash
-sudo /opt/scripts/update_ssh_monitor.sh
+sudo REPO_URL=https://git.kalinamall.ru/PapaTramp/ssh-monitor.git /opt/scripts/update_ssh_monitor.sh
-sudo tail -20 /var/log/update_script.log
+sudo tail -30 /var/log/update_script.log
 sudo systemctl status ssh-monitor
 ```
-## Запуск по расписанию
+## Запуск по расписанию (опционально)
-### Cron (пример: каждый день в 04:00)
+### Cron
 ```bash
 sudo crontab -e
 ```
 Добавьте:
 ```
-0 4 * * * /opt/scripts/update_ssh_monitor.sh
+0 4 * * * REPO_URL=https://git.kalinamall.ru/PapaTramp/ssh-monitor.git /opt/scripts/update_ssh_monitor.sh
 ```
-### systemd timer (альтернатива)
+### systemd timer
-Создайте `/etc/systemd/system/ssh-monitor-update.service`:
+См. предыдущие примеры `ssh-monitor-update.service` / `.timer` с `Environment=REPO_URL=...`.
-```ini
+## Откат
 [Unit]
 Description=Update ssh-monitor from git
 [Service]
 Type=oneshot
 ExecStart=/opt/scripts/update_ssh_monitor.sh
 ```
 И `/etc/systemd/system/ssh-monitor-update.timer`:
 ```ini
 [Unit]
 Description=Daily ssh-monitor update
 [Timer]
 OnCalendar=*-*-* 04:00:00
 Persistent=true
 [Install]
 WantedBy=timers.target
 ```
 ```bash
 sudo systemctl daemon-reload
 sudo systemctl enable --now ssh-monitor-update.timer
 ```
 ## Откат после неудачного обновления
 Резервные копии лежат рядом с установленным скриптом:
 ```bash
 ls -la /usr/local/bin/ssh-monitor.backup.*
@@ -148,27 +166,8 @@ sudo cp /usr/local/bin/ssh-monitor.backup.YYYYMMDD_HHMMSS /usr/local/bin/ssh-mon
 sudo systemctl restart ssh-monitor.service
 ```
 ## Лог и диагностика «мгновенного» завершения
 Все шаги пишутся в **`/var/log/update_script.log`**. При обычном запуске те же строки дублируются в stdout (кроме **`--quiet`**).
 В конце каждого прогона — блок **«Итог обновления»**: статус `ssh-monitor` / `sac-client` / git / перезапуск и **причина**, если файлы не копировались (checksum совпал, git pull failed, скрипт не найден в клоне).
 ```bash
 sudo /opt/scripts/update_ssh_monitor.sh
 sudo tail -40 /var/log/update_script.log
 ```
 **Важно:** после `git pull` в клоне скрипт **сам обновляет** `/opt/scripts/update_ssh_monitor.sh` из репозитория и один раз перезапускает себя (если вызывали именно этот путь). Если в логе старые строки вроде `Checksums match` без блока «Итог обновления» — на сервере ещё старая копия updater; один раз:
 ```bash
 sudo cp /opt/scripts/update/ssh-monitor/update_ssh_monitor.sh /opt/scripts/update_ssh_monitor.sh
 sudo chmod 750 /opt/scripts/update_ssh_monitor.sh
 sudo /opt/scripts/update_ssh_monitor.sh
 ```
 ## Ограничения
- Обновляется **только** файл **`ssh-monitor`**, не конфиг и не watchdog.
+- Секреты (`SAC_API_KEY`, Telegram) SAC **не** прописывает — только в `/etc/ssh-monitor.conf` на хосте.
 - При недоступном git **`git pull`** пишет предупреждение и продолжает с локальной копией.
- На **закрытом зеркале** в `update_ssh_monitor.sh` задайте **`REPO_URL`** своего Gitea; в публичном GitHub по умолчанию — `git.kalinamall.ru/PapaTramp/ssh-monitor`.
+- **`REPO_URL`** без дефолта в скрипте — только доверенное зеркало (kalinamall / своё Gitea).
@@ -56,7 +56,7 @@ sudo apt install -y ip6tables
 (На многих образах **ip6tables** уже входит в метапакет с iptables.)
-**Шаг 3.** Если включите доставку почты (`MAIL_*` в конфиге) или **BACKUP_WEBHOOK_URL** (через Python):
+**Шаг 3.** Если включите доставку почты (`MAIL_*` в конфиге):
 ```bash
 sudo apt install -y python3
@@ -93,6 +93,5 @@ sudo ssh-monitor --check-config
 ## Каналы доставки
 - **`NOTIFY_CHAIN`**: `telegram`, `email` — при каждом событии попытка **во все** каналы списка.
 - **`BACKUP_WEBHOOK_URL`**: только если **все** каналы цепочки не доставили сообщение.
 Режим **`--dry-run`**: уведомления не отправляются; в stderr печатается текст **уже с подписью сервера**.
@@ -0,0 +1,46 @@
 # Release manifest
 Файлы `release/manifest-VERSION.json` — SHA256 агентских скриптов **как в git** (после `checkout` на Linux). Updater сверяет их до копирования на хост.
 ## Автоматически (рекомендуется)
 Один раз после clone:
 **Linux / Git Bash:**
 ```bash
 ./contrib/install-git-hooks.sh
 ```
 **Windows (PowerShell):**
 ```powershell
 .\contrib\install-git-hooks.ps1
 ```
 При коммите, если изменились **`version.txt`**, **`SSH_MONITOR_VERSION`** в `ssh-monitor` или любой из агентских файлов (`ssh-monitor`, `*.sh` из списка manifest), **pre-commit** вызовет `contrib/manifest/generate.py` и добавит `release/manifest-{версия}.json` в коммит.
 ## Ручная генерация (локально)
 Скрипты **`.local/build-release-manifest.ps1`** (Windows) и **`.local/build-release-manifest.sh`** (Git Bash) создаются установщиком и **не коммитятся** (см. `.gitignore`).
 ```powershell
 .\.local\build-release-manifest.ps1
 .\.local\build-release-manifest.ps1 2.2.3-SAC
 ```
 ```bash
 ./.local/build-release-manifest.sh
 ```
 Ядро генерации в репозитории: `contrib/manifest/generate.py` (используется hook и локальным wrapper).
 ## Релиз (чек-лист)
 1. Bump `SSH_MONITOR_VERSION` + `version.txt`
 2. `git add` изменённые файлы
 3. `git commit` — hook обновит manifest (или вручную `.local/build-release-manifest.sh`)
 4. `git tag X.Y.Z-SAC`
 5. Push в kalinamall (+ GitHub при необходимости)
 Поле `git_commit` в manifest по умолчанию **пустое** (проверяются только SHA256 файлов). Опционально после коммита: `python3 contrib/manifest/generate.py --pin-commit`.
 См. также [auto-update.ru.md](auto-update.ru.md).
@@ -0,0 +1,40 @@
 # SAC ingest: таймауты и fallback
 Документ для эксплуатации **ssh-monitor** с `UseSAC=fallback` или `exclusive` при нагрузке на SAC (массовый update агентов, deploy backend).
 См. также: [ingest-mass-update-backlog.ru.md](https://git.kalinamall.ru/PapaTramp/security-alert-center/src/branch/main/docs/ingest-mass-update-backlog.ru.md) (SAC + ops).
 ## `SAC_TIMEOUT_SEC`
 Таймаут **connect** и **max-time** для `curl` к SAC (`/health`, `POST /api/v1/events`).
 | Сценарий | Рекомендация |
 |----------|--------------|
 | Обычная нагрузка | **45** (дефолт в `ssh-monitor.conf.example` и при миграции с 12) |
 | Массовый restart агентов, тяжёлый ingest на SAC | **60–90** на время окна обслуживания |
 | SAC на том же хосте перезапускается (`sac-deploy`) | Кратковременные отказы POST — норма; не поднимать таймаут «навсегда» без причины |
 На стороне SAC (nginx) для ingest задан `proxy_read_timeout 120s` на `POST /api/v1/events`. Агентский таймаут **не обязан** равняться 120: достаточно, чтобы POST не обрывался раньше типичного ответа API. При `SAC_TIMEOUT_SEC` меньше nginx-лимита агент уйдёт в spool и `sac-fail.count`, а не «висит» минутами.
 Проверка после смены:
 ```bash
 sudo ssh-monitor --check-config
 sudo ssh-monitor --check-sac
 ```
 ## `sac-fail.count` и режим `fallback`
 При ошибке POST ingest счётчик в `SAC_FAIL_COUNT_FILE` увеличивается. После **`SAC_FALLBACK_FAILURES`** подряд (по умолчанию 5) агент перестаёт слать в SAC и шлёт только в локальный Telegram, пока `/health` снова не станет OK.
 **Сброс счётчика:** любой успешный POST (в т.ч. heartbeat) обнуляет `sac-fail.count`.
 **Shutdown / SIGTERM (с 2.3.2-SAC):** при остановке монитора (`systemctl stop`, restart во время SAC-update) неудачный lifecycle POST **не увеличивает** счётчик — иначе после штатного restart пачки хостов агент ложно уходит в Telegram-fallback.
 Lifecycle при SAC-update по-прежнему **пропускается**, если существует state-file `agent-update-in-progress` (см. `update_ssh_monitor.sh`).
 ## Операционные правила
 1. Не совмещать `sudo /opt/sac-deploy.sh` и массовое «Обновить ssh-monitor» по многим хостам в одно окно.
 2. Обновлять Linux-хосты **пачками по 2–3**.
 3. На зрелых хостах — **`UseSAC=exclusive`**, если локальный Telegram при fallback не нужен.
@@ -0,0 +1,261 @@
 # Security roadmap — ssh-monitor
 Чек-лист правок по аудиту безопасности. **Код пока не трогаем** — документ для совместного просмотра и утверждения фаз.
 Связанные файлы: `ssh-monitor`, `update_ssh_monitor.sh`, `sac-client.sh`, `ssh-monitor-watchdog`, `ssh-monitor.conf.example`.
 ---
 ## Модель доверия (согласовано)
 | Объект | Кто отвечает |
 |--------|----------------|
 | **`REPO_URL`** | Оператор. Указывает **своё** зеркало (kalinamall, GitHub после санитайза, форк). Жёсткий allowlist в коде **не нужен**. |
 | **Закрытое зеркало** | Доверенный git в LAN/VPN — основной путь обновления. |
 | **Публичный GitHub** | Санитизированная копия без секретов; обновление оттуда допустимо, если оператор сам прописал URL. |
 | **`/etc/ssh-monitor.conf`** | Доверенный root-only файл; агент работает от root. |
 | **Аудиты** | Нерегулярно; roadmap закрывает разумный baseline, не «вечный SOC». |
 ---
 ## Порядок релизов
 | Версия | Фазы | Суть |
 |--------|------|------|
 | **2.1.7-SAC** | Фаза 1 + выбранное из Фазы 4 | Права, `REPO_URL` обязателен, webhook, docs | ✅ реализовано |
 | **2.1.8-SAC** | Дополнение к 1.1 | SAC-first update: hardening прав на каждом прогоне updater | ✅ реализовано |
 | **2.1.9-SAC** | Дополнение к 1.x | Watchdog: `🖥️ Сервер:` в Telegram (как у агента) | ✅ реализовано |
 | **2.3.2-SAC** | **Фаза 4.2** | Shutdown: не крутить `sac-fail.count`; docs `SAC_TIMEOUT_SEC` | ✅ реализовано |
 | **2.3.1-SAC** | Hotfix | `--check-config` + whitelist IPv4 | ✅ реализовано |
 | **2.2.3-SAC** | Дополнение к 2.2.x | Подавление sudo TG при SAC bootstrap/update | ✅ реализовано |
 | **2.2.1-SAC** | Дополнение к 2.2.0 | Подавление lifecycle/watchdog TG при SAC-update | ✅ реализовано |
 | **2.2.0-SAC** | **Фаза 2** | Manifest, pinned ref, без слепого `reset --hard` | ✅ реализовано |
 | **2.3.0-SAC** | Фаза 3 | Парсер конфига без `source` (minor breaking) |
 Bump: `ssh-monitor` (`SSH_MONITOR_VERSION`) + `version.txt` в каждом релизе.
 **Текущий статус (2026-07-08):** фаза **4.2** закрыта (2.3.2-SAC). Дальше — ops (`UseSAC=exclusive`, пачки update) и опционально GPG / `GIT_REF=tag` на проде.  
 Backlog по ingest при массовом update (SAC + ops): [ingest-mass-update-backlog.ru.md](https://git.kalinamall.ru/PapaTramp/security-alert-center/src/branch/main/docs/ingest-mass-update-backlog.ru.md) (отдельный ToDo).
 ---
 ## Фаза 1 — 2.1.7-SAC
 ### 1.1 Права на state / spool (M4)
 - [x] При создании каталогов и файлов состояния: `chown root:root`, каталоги `chmod 700`, файлы `chmod 600`
 - [x] Затронуть: `SAC_SPOOL_DIR`, `SAC_FAIL_COUNT_FILE`, heartbeat / last_* (где создаёт `ssh-monitor` / `sac-client.sh` / deploy)
 - [x] **2.1.8:** `update_ssh_monitor.sh` → `apply_runtime_security_hardening` на **каждом** update (SAC, cron, вручную): retrofit `chmod`/`chown` существующих путей из конфига
 - [x] В `--check-config`: предупреждение, если существующие пути с ослабленными правами
 **Файлы:** `ssh-monitor`, `sac-client.sh`, при необходимости `update_ssh_monitor.sh`
 ---
 ### 1.2 Проверка прав конфига при старте (C1, частично)
 - [x] Перед загрузкой конфига: если `/etc/ssh-monitor.conf` существует — проверить `root:root`, mode `600` или `400`
 - [x] **Поведение по умолчанию:** `WARN` в лог + stderr, работа продолжается (не ломать старые установки с `644`)
 - [x] Опционально в конфиге: `CONFIG_STRICT_PERMS=1` → **exit 1** при нарушении
 **Решение агента:** strict выключен по умолчанию; в README рекомендовать `chmod 600` и позже `400`.
 ---
 ### 1.3 `BACKUP_WEBHOOK_URL` (H3) — **вариант A (soft-deprecate)**
 - [x] В `ssh-monitor.conf.example`: закомментировать / убрать из «активного» блока, комментарий `DEPRECATED: не используется в типовом деплое; будет удалён в 2.3.x`
 - [x] В README / `docs/notifications.ru.md`: пометить **legacy / необязательно**
 - [x] В `--check-config`: если задан — WARN (удалён в 2.3.0)
 - [x] **Удаление кода** — **2.3.0-SAC**
 ---
 ### 1.4 `REPO_URL` — только из env, без дефолта в коде (C3) — **утверждено**
 - [x] Убрать захардкоженный default `https://git.kalinamall.ru/...` из `update_ssh_monitor.sh`
 - [x] При старте updater: если `REPO_URL` пуст — **exit 1**, сообщение в **stderr** и **`$LOG_FILE`**
 - [x] Текст ошибки: что задать (`export REPO_URL=...` или в systemd unit `Environment=REPO_URL=...`)
 - [x] SAC: основной путь обновления (кнопка в UI); cron/timer — опционально. Bootstrap SAC → `--deploy`
 - [x] **Не** делать allowlist доменов — оператор сам выбирает зеркало
 **Файлы:** `update_ssh_monitor.sh`, `docs/auto-update.ru.md`, пример unit/timer если есть
 **Заметка:** после 2.1.7 на всех хостах нужно явно прописать `REPO_URL` до следующего обновления.
 ---
 ### 1.5 Документация threat model
 - [x] `README.md` + этот файл: root-агент, доверие к `REPO_URL` и конфигу, санитайз GitHub
 - [x] Рекомендация: критичные хосты — только закрытое зеркало; автообновление осознанно
 ---
 ## Фаза 2 — 2.2.0-SAC
 ### 2.1 Pinned ref и режим верификации (C2) — **утверждено, детали на агенте**
 Новые переменные (env или ключи в `/etc/ssh-monitor.conf`, читаемые updater’ом):
 | Переменная | Назначение | Рекомендация |
 |------------|------------|--------------|
 | **`GIT_REF`** | Что checkout: тег (`2.2.0-SAC`), ветка (`main`) или commit SHA | **Тег релиза** — оптимально для прода |
 | **`GIT_VERIFY_MODE`** | `off` \| `tag` \| `commit` | См. ниже |
 **`GIT_VERIFY_MODE`:**
 | Значение | Поведение | Когда использовать |
 |----------|-----------|-------------------|
 | **`off`** | После fetch принять ref как есть (как сейчас, но без `reset --hard` по умолчанию) | Тест, если manifest ниже достаточен |
 | **`tag`** | `GIT_REF` должен быть **аннотированным тегом**; опционально `git tag -v` (см. 2.4) | **Рекомендуется для прода** |
 | **`commit`** | `GIT_REF` = полный SHA; сверка с manifest | Жёсткий pin без тегов |
 - [x] Реализовать чтение `GIT_REF` / `GIT_VERIFY_MODE` в `update_ssh_monitor.sh`
 - [x] Дефолты для 2.2.0: `GIT_REF` пуст → `GIT_BRANCH`; `GIT_VERIFY_MODE=off` в скрипте, **`tag`** в prod-документации
 - [x] **`docs/auto-update.ru.md`**: отдельный раздел с примерами systemd и таблицей режимов
 ---
 ### 2.2 Без слепого `reset --hard` (C2) — **утверждено**
 - [x] При failed `git pull --ff-only`: **не** делать `reset --hard` автоматически
 - [x] Лог + stderr: «история разошлась, требуется ручное вмешательство или новый clone»
 - [x] Опционально: `GIT_ALLOW_RESET=1` только для ручного/CI (документировать риск)
 ---
 ### 2.3 Release manifest (C2, C4) — **утверждено**
 - [x] Файл в репо, например `release/manifest-2.2.0-SAC.json`:
 ```json
 {
  "version": "2.2.0-SAC",
  "git_commit": "abc123...",
  "files": {
    "ssh-monitor": "sha256:...",
    "sac-client.sh": "sha256:...",
    "update_ssh_monitor.sh": "sha256:...",
    "ssh-monitor-watchdog": "sha256:..."
  }
 }
 ```
 - [x] Публиковать manifest при каждом релизе (в git, рядом с тегом)
 - [x] Updater: после checkout сверять SHA256 файлов из клона с manifest **до** копирования в `/usr/local/bin`
 - [x] Несовпадение → exit 1, ничего не перезаписывать
 - [x] Скрипт/цель в `Makefile` + `contrib/manifest/generate.py`; pre-commit hook; ручной `.local/` (не в remote)
 **Связь с 2.4:** manifest из **того же** `REPO_URL` защищает от подмены файлов в clone и от «не того» коммита; не защищает от полной компрометации git-сервера (для этого GPG).
 ---
 ### 2.4 GPG-подписи тегов — **опционально, скорее отложить**
 **Вопрос:** если обновляем только из своего `REPO_URL` (kalinamall), нужен ли GPG?
 | Угроза | Manifest + pinned tag | + GPG tag |
 |--------|----------------------|-----------|
 | Подмена файлов в clone / wrong commit | Да | Да |
 | Компрометация аккаунта git (вредоносный force-push) | **Нет** | Да (если ключ не украден) |
 | Доверенный LAN git у оператора | Обычно достаточно manifest | Nice-to-have |
 **Решение для roadmap:**
 - [x] **2.2.0:** не блокировать релиз на GPG; `GIT_VERIFY_MODE=tag` без `-v`
 - [ ] **Backlog:** `GIT_GPG_VERIFY=1` + ключ в `/etc/ssh-monitor/trusted-release-key.asc`, если позже понадобится
 - [x] Документировать: при доверенном закрытом зеркале manifest + `GIT_REF=tag` — **достаточный минимум**
 ---
 ### 2.5 Re-exec updater только после verify (C4) — **утверждено**
 - [x] `UPDATER_REEXEC` / копирование `update_ssh_monitor.sh` в `/opt/scripts/` — только если manifest SHA256 совпал
 - [x] Иначе: лог, старая версия updater остаётся, exit 1
 ---
 ## Фаза 3 — 2.3.0-SAC (парсер конфига)
 ### 3.1 Парсер без `source` (C1) — **утверждено**
 - [x] Whitelist ключей: `TELEGRAM_*`, `SAC_*`, `MAIL_*`, `NOTIFY_*`, числовые лимиты, пути и т.д.
 - [x] Формат строк: `KEY="value"` / `KEY='value'` / `KEY=value`
 - [x] Игнор `#` комментариев; неизвестные ключи — WARN
 **Файлы:** `ssh-monitor-perms.sh` (`ssh_monitor_config_load_file`), `ssh-monitor`, `ssh-monitor-watchdog`
 ---
 ### 3.2 Миграция — **решение агента**
 - [x] **2.3.0:** парсер по умолчанию; `source` **удалён**
 - [x] Синтаксис файла **не меняется** для пользователя — те же `KEY="value"`
 - [x] В release notes: «поведение то же, выполнение bash из конфига невозможно»
 - [x] `ssh-monitor --check-config` проверяет неизвестные/битые строки (WARN) и значения (ERROR)
 - [x] Отдельная команда миграции **не нужна** (формат тот же)
 ---
 ### 3.3 Валидация значений — **решение агента**
 - [x] URL: `SAC_URL` — http(s)://host
 - [x] Enum: `UseSAC` ∈ `off|exclusive|dual|fallback`; `GIT_VERIFY_MODE` ∈ `off|tag|commit`
 - [x] Числа: существующие `validate_numeric_or_default`
 - [x] IP/CIDR в `WHITELIST_*` — базовая проверка формата
 - [x] Ошибки валидации → exit 1 на старте и в `--check-config`
 ---
 ### 3.x Удаление `BACKUP_WEBHOOK` (если утвердили soft-deprecate в 1.3)
 - [x] Удалить код и документацию в **2.3.0**
 ---
 ## Фаза 4 — что делаем, что нет
 | Пункт | Версия | Решение |
 |-------|--------|---------|
 | **4.4** `ensure_ipset_installed` не на каждый update | 2.1.7 | **Делаем:** только `--deploy` / `first_deploy.sh`; обычный update не вызывает `apt-get` | ✅ |
 | **4.3** Права whitelist-файла | 2.1.7 | **Делаем:** при загрузке `/etc/ssh_monitor_whitelist.txt` — WARN если не root:root | ✅ |
 | **4.5** JSON healthcheck через `json.dumps` | 2.2.0 | **Делаем:** мелкий fix L3 | ✅ |
 | **4.1** Секреты не через environ в Python | — | **Не делаем** (мало выигрыша при root) |
 | **4.2** Telegram token в URL | — | **Не делаем** (ограничение Bot API) |
 | **4.6** systemd hardening (non-root) | — | **Не делаем** (ipset/iptables требуют root) |
 | **M6** Ротация логов | — | Уже есть `contrib/logrotate.d/` — только упоминание в README |
 | **M7** `set_config_kv` sed | 2.2.0 | **Делаем:** экранирование `/` и `"` в `val` при merge конфига | ✅ |
 ---
 ## Вне scope (согласовано не раздувать)
 - Жёсткий allowlist `REPO_URL` / зеркал — оператор задаёт свой URL
 - Cert pinning TLS
 - HashiCorp Vault / systemd-creds для секретов (backlog на годы)
 - Регулярные внешние аудиты
 ---
 ## Чек-лист «перед стартом работы завтра»
 - [x] **Релиз 2.1.7–2.1.9** — фаза 1 + SAC-first + watchdog server label
 - [x] **Релиз 2.2.0** — scope: 2.1–2.3, 2.5, 4.5, 4.7(M7); **2.4 GPG отложить**
 - [x] **Релиз 2.3.0** — scope: 3.1–3.3, удаление webhook
 - [ ] **Дефолт `GIT_REF`** в 2.2.0: тег из `version.txt` vs `main`
 - [x] **Миграция хостов:** SAC-first update, `known_hosts`, `REPO_URL` через SAC
 - [ ] **Ingest mass-update backlog** — см. security-alert-center `docs/ingest-mass-update-backlog.ru.md`
 ---
 ## Открытые вопросы на завтра
 1. **1.3** — `BACKUP_WEBHOOK_URL`: soft-deprecate (A), удалить сразу (B), оставить (C)?
 2. **1.2** — достаточно WARN по умолчанию или сразу strict на новых установках?
 3. **2.1** — дефолт `GIT_REF`: тег `version.txt` или ветка `main`?
 4. Подтверждение: **ни на одном хосте** не используется Slack/Discord webhook через `BACKUP_WEBHOOK_URL`?
 ---
 *Документ создан для ревью. После утверждения — работа по фазам в отдельных коммитах с bump версии.*
@@ -0,0 +1,11 @@
 {
  "version": "2.2.0-SAC",
  "git_commit": "275d305d627b462cae141605a002002525aa474c",
  "files": {
    "ssh-monitor": "sha256:517e4a210f271f57717b77746352ce2c60579cf89958c1c36501951901b885d0",
    "sac-client.sh": "sha256:ffcbb0ed28e4247ccb5e74dd6e77d020f93eab8a17f9716e8913a17bc899274b",
    "update_ssh_monitor.sh": "sha256:8108dd703095d54d51070933f074c90805f383967a3d2a6d63825898ad483231",
    "ssh-monitor-watchdog": "sha256:5299bdcb481e7ca1d1042579d5c1ad8b13f3f72c1a6e922bcffd070b6c30ec80",
    "ssh-monitor-perms.sh": "sha256:c67b56060141f67c651906b31afc220a1040c151fb00f60cc5f2511d6664dc11"
  }
 }
@@ -0,0 +1,11 @@
 {
  "version": "2.2.1-SAC",
  "git_commit": "",
  "files": {
    "ssh-monitor": "sha256:9fa2eaadceffe70358d83029668cc9bdc423697626f1c84a62552901490adcd9",
    "sac-client.sh": "sha256:ffcbb0ed28e4247ccb5e74dd6e77d020f93eab8a17f9716e8913a17bc899274b",
    "update_ssh_monitor.sh": "sha256:5e27e3514532500b84d8eca67bb968ee1dde365564ce4c3710422c43e090dc72",
    "ssh-monitor-watchdog": "sha256:d1e786247433b6340a8fd2f1578abb2933149fc328f7d0dd7dcfd2319b94dedd",
    "ssh-monitor-perms.sh": "sha256:86c919032294d47a4daf6681fd6e527babfacf778340dd4c0bcb33f63e5d063e"
  }
 }
@@ -0,0 +1,11 @@
 {
  "version": "2.2.2-SAC",
  "git_commit": "",
  "files": {
    "ssh-monitor": "sha256:be35da47fb1cf370628795bfdfe34195a7ba098c666bd8aa092929a168a10ef6",
    "sac-client.sh": "sha256:4c481effd0e50b3db8cfa3baf3c5f228892530939df6f534a5d3d3d8a79db048",
    "update_ssh_monitor.sh": "sha256:510d63b43ea02e5aaa4385bcc6c9396ad99637c377c9880125cb2168e9d422cd",
    "ssh-monitor-watchdog": "sha256:41aa139cab0fb275249780953fceb3f8ebe01c49bf96f901dd3cf4d2fb3a9274",
    "ssh-monitor-perms.sh": "sha256:53ebf15138d59be1610e5bc14a107b942d9a7fd039683abfd2fdd0aa0b54b933"
  }
 }
@@ -0,0 +1,11 @@
 {
  "version": "2.2.3-SAC",
  "git_commit": "",
  "files": {
    "ssh-monitor": "sha256:875252eb23640cbae34bcaaf71d07b091c71e04c29d5d5d5e90851083c5bfc21",
    "sac-client.sh": "sha256:4c481effd0e50b3db8cfa3baf3c5f228892530939df6f534a5d3d3d8a79db048",
    "update_ssh_monitor.sh": "sha256:76c610ed229d510c41ddd0d10db2b68d48c08b89eb1c8252341ce85f088bf6cd",
    "ssh-monitor-watchdog": "sha256:41aa139cab0fb275249780953fceb3f8ebe01c49bf96f901dd3cf4d2fb3a9274",
    "ssh-monitor-perms.sh": "sha256:a1ca9e72a9bd7162324c308849cfeebd449228c308edb03191171e9d3187658c"
  }
 }
@@ -0,0 +1,11 @@
 {
  "version": "2.3.0-SAC",
  "git_commit": "",
  "files": {
    "ssh-monitor": "sha256:3fd3348b46f444d04155e4b3e52eff6ed22d45587cedaf7584821a66013f8ec1",
    "sac-client.sh": "sha256:4c481effd0e50b3db8cfa3baf3c5f228892530939df6f534a5d3d3d8a79db048",
    "update_ssh_monitor.sh": "sha256:76c610ed229d510c41ddd0d10db2b68d48c08b89eb1c8252341ce85f088bf6cd",
    "ssh-monitor-watchdog": "sha256:c03c50162b552a7790dd0a63eecec08d672ee04955281b5ec434ed92af5e0e2f",
    "ssh-monitor-perms.sh": "sha256:d78349904ea5b0729716f47a65a9ceb531940b6ac92460a7f8e1099738290fd3"
  }
 }
@@ -0,0 +1,11 @@
 {
  "version": "2.3.1-SAC",
  "git_commit": "",
  "files": {
    "ssh-monitor": "sha256:0219054a824242ef800410fd17843e0c45e0572608dfa4825168fbcee0d97012",
    "sac-client.sh": "sha256:4c481effd0e50b3db8cfa3baf3c5f228892530939df6f534a5d3d3d8a79db048",
    "update_ssh_monitor.sh": "sha256:76c610ed229d510c41ddd0d10db2b68d48c08b89eb1c8252341ce85f088bf6cd",
    "ssh-monitor-watchdog": "sha256:c03c50162b552a7790dd0a63eecec08d672ee04955281b5ec434ed92af5e0e2f",
    "ssh-monitor-perms.sh": "sha256:a4e9be8b9d095abf036c1265186863c2e490baf6f05798010dd17c41197a29e4"
  }
 }
@@ -0,0 +1,11 @@
 {
  "version": "2.3.2-SAC",
  "git_commit": "",
  "files": {
    "ssh-monitor": "sha256:ca64d1b2cfda29451704e43d6d5995dbdd5cac44f7e4d85f52d8f54429083c0f",
    "sac-client.sh": "sha256:e3b561280d1c146f565a1fa73e4df29f07b4ffdf149c2b30074fac98722ee9b3",
    "update_ssh_monitor.sh": "sha256:76c610ed229d510c41ddd0d10db2b68d48c08b89eb1c8252341ce85f088bf6cd",
    "ssh-monitor-watchdog": "sha256:c03c50162b552a7790dd0a63eecec08d672ee04955281b5ec434ed92af5e0e2f",
    "ssh-monitor-perms.sh": "sha256:19531b61ebac2e2f9a19fcd9fa40b6fca4651a979dfc6ab9a347a0398ce5e012"
  }
 }
@@ -2,6 +2,26 @@
 # Версия для SAC = SSH_MONITOR_VERSION в ssh-monitor (отдельный номер здесь не задаётся).
 # shellcheck shell=bash
 sac_tls_insecure_enabled() {
 case "${SAC_TLS_INSECURE:-0}" in
 1 | yes | true | on) return 0 ;;
 esac
 return 1
 }
 sac_warn_tls_insecure() {
 if sac_tls_insecure_enabled; then
 write_log 'CRITICAL: SAC_TLS_INSECURE=1 — проверка TLS для SAC отключена (риск MITM). Только для краткой отладки в lab.'
 fi
 }
 sac_curl() {
 if sac_tls_insecure_enabled; then
 curl -k -sS "$@"
 else
 curl -sS "$@"
 fi
 }
 sac_normalize_mode() {
 printf '%s' "${1:-off}" | tr '[:upper:]' '[:lower:]'
 }
@@ -31,7 +51,7 @@ sac_agent_instance_id() {
 local dir
 dir="$(dirname "$id_file")"
 if [ ! -d "$dir" ]; then
- mkdir -p "$dir" 2>/dev/null || id_file="/tmp/ssh-monitor-agent_instance_id"
+ ssh_monitor_secure_dir "$dir" 2>/dev/null || mkdir -p "$dir" 2>/dev/null || id_file="/tmp/ssh-monitor-agent_instance_id"
 fi
 if [ -f "$id_file" ]; then
 cat "$id_file"
@@ -39,6 +59,7 @@ sac_agent_instance_id() {
 fi
 local new_id
 new_id="$(python3 -c 'import uuid; print(uuid.uuid4())')"
 ssh_monitor_secure_file "$id_file" 2>/dev/null || true
 printf '%s\n' "$new_id" >"$id_file" 2>/dev/null || true
 printf '%s' "$new_id"
 }
@@ -50,7 +71,7 @@ sac_check_health() {
 if [ "${DRY_RUN:-0}" = "1" ]; then
 return 0
 fi
- code="$(curl -sS -o /dev/null -w '%{http_code}' \
+ code="$(sac_curl -o /dev/null -w '%{http_code}' \
  --connect-timeout "${SAC_TIMEOUT_SEC:-45}" \
  --max-time "${SAC_TIMEOUT_SEC:-45}" \
  "${base}/health" || echo 000)"
@@ -61,7 +82,8 @@ sac_spool_write() {
 local event_id="$1"
 local body="$2"
 local dir="${SAC_SPOOL_DIR:-/var/lib/ssh-monitor/sac-spool}"
- mkdir -p "$dir" 2>/dev/null || return 1
+ ssh_monitor_secure_dir "$dir" 2>/dev/null || mkdir -p "$dir" 2>/dev/null || return 1
 ssh_monitor_secure_file "${dir}/${event_id}.json" 2>/dev/null || true
 printf '%s' "$body" >"${dir}/${event_id}.json"
 }
@@ -89,7 +111,7 @@ sac_write_fail_count() {
 local n="$1"
 local f
 f="$(sac_fail_count_file)"
- mkdir -p "$(dirname "$f")" 2>/dev/null || true
+ ssh_monitor_secure_file "$f" 2>/dev/null || mkdir -p "$(dirname "$f")" 2>/dev/null || true
 printf '%s' "$n" >"$f"
 }
@@ -97,8 +119,20 @@ sac_reset_fail_count() {
 sac_write_fail_count 0
 }
 # Внутренний флаг: при shutdown/SIGTERM не крутить счётчик (restart во время SAC-deploy).
 sac_fail_count_increment_suppressed() {
 case "${SAC_SUPPRESS_FAIL_COUNT:-0}" in
 1 | yes | true | on) return 0 ;;
 esac
 return 1
 }
 sac_increment_fail_count() {
 local n max
 if sac_fail_count_increment_suppressed; then
  write_log "SAC: пропуск sac-fail.count (shutdown/maintenance)"
  return 1
 fi
 max="${SAC_FALLBACK_FAILURES:-5}"
 n="$(sac_read_fail_count)"
 n=$((n + 1))
@@ -147,7 +181,7 @@ sac_post_payload() {
 tmp="$(mktemp)"
 resp="$(mktemp)"
 printf '%s' "$payload" >"$tmp"
- http_code="$(curl -sS -o "$resp" -w '%{http_code}' \
+ http_code="$(sac_curl -o "$resp" -w '%{http_code}' \
  -X POST "$(sac_ingest_url)" \
  -H "Authorization: Bearer ${SAC_API_KEY}" \
  -H "Content-Type: application/json" \
@@ -0,0 +1,156 @@
 #!/usr/bin/env bash
 # Публичный snapshot на github: без prod URL, токенов и kalinamall-only путей.
 set -Eeuo pipefail
 ROOT="$(cd "$(dirname "${BASH_SOURCE[0]}")/.." && pwd)"
 WORK="$(mktemp -d "${TMPDIR:-/tmp}/ssh-monitor-github-snapshot.XXXX")"
 trap 'rm -rf "$WORK"' EXIT
 REF="${1:-HEAD}"
 VERSION="$(git -C "$ROOT" show "$REF":version.txt 2>/dev/null | tr -d '[:space:]' || true)"
 MSG="${2:-chore: public release ${VERSION:-snapshot} (SSH Monitor, no Cursor IDE traces)}"
 echo "[snapshot] export $REF -> $WORK"
 git -C "$ROOT" archive --format=tar "$REF" \
  | tar -x -C "$WORK" \
  --exclude='.cursor' \
  --exclude='.env'
 apply_sed() {
  local expr=$1
  if [[ "$(uname -s)" == Darwin ]]; then
    find "$WORK" -type f \( -name '*.md' -o -name '*.sh' -o -name '*.example' \) \
      ! -path '*/scripts/push-github-snapshot.sh' \
      -print0 | xargs -0 sed -i '' -E "$expr" 2>/dev/null || true
  else
    find "$WORK" -type f \( -name '*.md' -o -name '*.sh' -o -name '*.example' \) \
      ! -path '*/scripts/push-github-snapshot.sh' \
      -print0 | xargs -0 sed -i -E "$expr" 2>/dev/null || true
  fi
 }
 echo "[snapshot] rewrite hosts and internal URLs"
 apply_sed 's#https://git\.kalinamall\.ru/PapaTramp#https://github.com/PTah#g'
 apply_sed 's#git\.kalinamall\.ru/PapaTramp#github.com/PTah#g'
 apply_sed 's#git\.kalinamall\.ru/papatramp#github.com/PTah#g'
 apply_sed 's#git\.kalinamall\.ru#github.com#g'
 apply_sed 's#sac\.kalinamall\.ru#sac.example.com#g'
 apply_sed 's#remote add kalinamall#remote add origin#g'
 apply_sed 's#remote set-url kalinamall#remote set-url origin#g'
 apply_sed 's#local name=kalinamall#local name=origin#g'
 apply_sed 's#всегда kalinamall#всегда origin#g'
 cat >"$WORK/.gitignore" <<'EOF'
 .DS_Store
 CalculatorApp/
 .env
 .env.*
 ssh-monitor.conf
 ssh-monitor-*.tar.gz
 rutube-download.py
 .ytdl-archive.txt
 EOF
 cat >"$WORK/ssh-monitor.conf.example" <<'EOF'
 # Example configuration — copy to /etc/ssh-monitor.conf and chmod 600.
 # Never commit real tokens or passwords to git.
 TELEGRAM_BOT_TOKEN="YOUR_TELEGRAM_BOT_TOKEN"
 TELEGRAM_CHAT_ID="YOUR_TELEGRAM_CHAT_ID"
 # At least one notification channel (telegram or email) is required.
 NOTIFY_ORDER=""
 # Security Alert Center (optional)
 USE_SAC="off"
 SAC_URL="https://sac.example.com/api/v1/events"
 # SAC_API_KEY="your-ingest-api-key"
 # SMTP (optional, requires python3)
 MAIL_SMTP_HOST=""
 MAIL_SMTP_PORT="587"
 MAIL_SMTP_USER=""
 MAIL_SMTP_PASSWORD=""
 MAIL_FROM=""
 MAIL_TO=""
 MAIL_SMTP_STARTTLS="1"
 MAIL_SMTP_SSL="0"
 # Auto-update script default (override on your server)
 # REPO_URL=https://github.com/PTah/ssh-monitor.git
 EOF
 if [[ -f "$WORK/README.md" ]]; then
  python3 - "$WORK/README.md" <<'PY'
 import pathlib
 import sys
 path = pathlib.Path(sys.argv[1])
 text = path.read_text(encoding="utf-8")
 text = "".join(
    line for line in text.splitlines(keepends=True)
    if not line.startswith("> **Закрытый инстанс Gitea:**")
 )
 header = "# ssh-monitor\n\n**Версия:**"
 if header in text and "Bash monitor for" not in text.split("**Версия:**", 1)[0]:
    text = text.replace(
        header,
        """# ssh-monitor
 Bash monitor for **SSH**, **sudo**, and **systemd-logind** on Linux: Telegram/SMTP alerts, optional IP ban (ipset/iptables), daily report, SAC integration.
 **Repository:** https://github.com/PTah/ssh-monitor
 # ssh-monitor
 **Версия:**""",
        1,
    )
 old = "## Лицензия\n\nПроект распространяется по лицензии **MIT** — см. файл [LICENSE](LICENSE).\n"
 new = """## Topics (GitHub)
 `ssh`, `linux`, `telegram-bot`, `smtp`, `iptables`, `ipset`, `systemd`, `security`, `monitoring`, `openssh`
 ## License
 MIT — see [LICENSE](LICENSE). Copyright (c) 2026 Andrey "PapaTramp" Lutsenko.
 <details>
 <summary><strong>English summary</strong></summary>
 Single-file Bash agent parsing journalctl, notification chain, brute-force IP blocking, heartbeat, optional Prometheus textfile and Security Alert Center ingest via sac-client.sh.
 </details>
 """
 if old not in text:
    raise SystemExit("README footer block not found; update push-github-snapshot.sh")
 path.write_text(text.replace(old, new), encoding="utf-8")
 PY
 fi
 if [[ -f "$WORK/LICENSE" ]]; then
  if [[ "$(uname -s)" == Darwin ]]; then
    sed -i '' 's/Copyright \(c\) 2026 PTah/Copyright (c) 2026 Andrey "PapaTramp" Lutsenko/' "$WORK/LICENSE"
  else
    sed -i 's/Copyright (c) 2026 PTah/Copyright (c) 2026 Andrey "PapaTramp" Lutsenko/' "$WORK/LICENSE"
  fi
 fi
 echo "[snapshot] secret scan"
 if grep -R -E 'AAE[a-zA-Z0-9_-]{30,}|sac_[A-Za-z0-9]{20,}|[0-9]{8,}:[A-Za-z0-9_-]{30,}' "$WORK" 2>/dev/null; then
  echo "  BLOCKED: possible secrets in snapshot tree"
  exit 1
 fi
 echo "[snapshot] git commit in temp repo"
 cd "$WORK"
 git init -q
 git checkout -q -b main
 git add -A
 git -c user.name="Andrey Lutsenko" -c user.email="papatramp@gmail.com" commit -q -m "$MSG"
 echo "[snapshot] push github main (force snapshot)"
 git remote add github "$(git -C "$ROOT" remote get-url github)"
 git push github main --force
 echo "[snapshot] OK -> github/main @ $(git rev-parse --short HEAD)"
@@ -7,9 +7,13 @@ IFS=$'\n\t'
 # ============================================
 CONFIG_FILE="/etc/ssh-monitor.conf"
-SSH_MONITOR_VERSION="2.1.6-SAC"
+SSH_MONITOR_VERSION="2.3.2-SAC"
 SCRIPT_DIR="$(cd "$(dirname "${BASH_SOURCE[0]}")" && pwd)"
 if [ -f "$SCRIPT_DIR/ssh-monitor-perms.sh" ]; then
 # shellcheck source=ssh-monitor-perms.sh
 source "$SCRIPT_DIR/ssh-monitor-perms.sh"
 fi
 if [ -f "$SCRIPT_DIR/sac-client.sh" ]; then
 # shellcheck source=sac-client.sh
 source "$SCRIPT_DIR/sac-client.sh"
@@ -23,7 +27,6 @@ fi
 TELEGRAM_BOT_TOKEN=""
 TELEGRAM_CHAT_ID=""
 BACKUP_WEBHOOK_URL=""
 # Очередь оповещений: CSV из имён telegram, email (или tg, mail).
 # Пусто = авто: только настроенные каналы, порядок telegram → email.
@@ -39,6 +42,8 @@ SAC_SPOOL_FLUSH_MAX_FILES="50"
 SAC_SPOOL_MAX_AGE_HOURS="72"
 SAC_SEND_HEARTBEAT="1"
 SAC_FALLBACK_FAILURES="5"
 SAC_TLS_INSECURE="0"
 CONFIG_STRICT_PERMS="0"
 # Почта (SMTP через python3). Нужны MAIL_SMTP_HOST, MAIL_FROM, MAIL_TO.
 MAIL_SMTP_HOST=""
@@ -184,7 +189,6 @@ load_config() {
 local cfg_telegram_bot_token="${TELEGRAM_BOT_TOKEN}"
 local cfg_telegram_chat_id="${TELEGRAM_CHAT_ID}"
 local cfg_backup_webhook_url="${BACKUP_WEBHOOK_URL}"
 local cfg_log_file="${LOG_FILE}"
 local cfg_last_heartbeat_file="${LAST_HEARTBEAT_FILE}"
 local cfg_heartbeat_interval_minutes="${HEARTBEAT_INTERVAL_MINUTES:-240}"
@@ -229,6 +233,8 @@ load_config() {
 local cfg_sac_timeout_sec="${SAC_TIMEOUT_SEC:-45}"
 local cfg_sac_spool_flush_max="${SAC_SPOOL_FLUSH_MAX_FILES:-50}"
 local cfg_sac_spool_max_age_h="${SAC_SPOOL_MAX_AGE_HOURS:-72}"
 local cfg_sac_tls_insecure="${SAC_TLS_INSECURE:-0}"
 local cfg_config_strict_perms="${CONFIG_STRICT_PERMS:-0}"
 local cfg_mail_smtp_host="${MAIL_SMTP_HOST:-}"
 local cfg_mail_smtp_port="${MAIL_SMTP_PORT:-587}"
 local cfg_mail_smtp_user="${MAIL_SMTP_USER:-}"
@@ -239,15 +245,20 @@ load_config() {
 local cfg_mail_smtp_ssl="${MAIL_SMTP_SSL:-0}"
 if [ -f "$CONFIG_FILE" ]; then
- # shellcheck disable=SC1090
+  local _strict_peek
- source "$CONFIG_FILE"
+  _strict_peek="$(ssh_monitor_config_peek CONFIG_STRICT_PERMS "$CONFIG_FILE" "0")"
  if ! ssh_monitor_check_config_file_perms "$CONFIG_FILE" "$_strict_peek"; then
   exit 1
  fi
  if ! ssh_monitor_config_load_file "$CONFIG_FILE"; then
   exit 1
  fi
 else
 printf 'WARN: Конфиг %s не найден, использую значения по умолчанию\n' "$CONFIG_FILE" >&2
 fi
 TELEGRAM_BOT_TOKEN="${TELEGRAM_BOT_TOKEN:-$cfg_telegram_bot_token}"
 TELEGRAM_CHAT_ID="${TELEGRAM_CHAT_ID:-$cfg_telegram_chat_id}"
 BACKUP_WEBHOOK_URL="${BACKUP_WEBHOOK_URL:-$cfg_backup_webhook_url}"
 LOG_FILE="${LOG_FILE:-$cfg_log_file}"
 LAST_HEARTBEAT_FILE="${LAST_HEARTBEAT_FILE:-$cfg_last_heartbeat_file}"
 HEARTBEAT_INTERVAL_MINUTES="${HEARTBEAT_INTERVAL_MINUTES:-$cfg_heartbeat_interval_minutes}"
@@ -290,8 +301,18 @@ load_config() {
 BAN_CHECK_INTERVAL="${BAN_CHECK_INTERVAL:-$cfg_ban_check_interval}"
 MONITOR_INTERVAL="${MONITOR_INTERVAL:-$cfg_monitor_interval}"
- local whitelist_ips_csv="${WHITELIST_IPS:-$cfg_whitelist_ips_csv}"
+ local whitelist_ips_csv=""
- local whitelist_subnets_csv="${WHITELIST_SUBNETS:-$cfg_whitelist_subnets_csv}"
+ local whitelist_subnets_csv=""
 if [ -f "$CONFIG_FILE" ]; then
  whitelist_ips_csv="$(ssh_monitor_config_peek WHITELIST_IPS "$CONFIG_FILE" "$cfg_whitelist_ips_csv")"
  whitelist_subnets_csv="$(ssh_monitor_config_peek WHITELIST_SUBNETS "$CONFIG_FILE" "$cfg_whitelist_subnets_csv")"
 else
  whitelist_ips_csv="$cfg_whitelist_ips_csv"
  whitelist_subnets_csv="$cfg_whitelist_subnets_csv"
 fi
 unset -v WHITELIST_IPS WHITELIST_SUBNETS 2>/dev/null || true
 WHITELIST_IPS=()
 WHITELIST_SUBNETS=()
 csv_to_array "$whitelist_ips_csv" WHITELIST_IPS
 csv_to_array "$whitelist_subnets_csv" WHITELIST_SUBNETS
@@ -303,6 +324,8 @@ load_config() {
 SAC_TIMEOUT_SEC="$(trim_value "${SAC_TIMEOUT_SEC:-$cfg_sac_timeout_sec}")"
 SAC_SPOOL_FLUSH_MAX_FILES="$(trim_value "${SAC_SPOOL_FLUSH_MAX_FILES:-$cfg_sac_spool_flush_max}")"
 SAC_SPOOL_MAX_AGE_HOURS="$(trim_value "${SAC_SPOOL_MAX_AGE_HOURS:-$cfg_sac_spool_max_age_h}")"
 SAC_TLS_INSECURE="$(trim_value "${SAC_TLS_INSECURE:-$cfg_sac_tls_insecure}")"
 CONFIG_STRICT_PERMS="$(trim_value "${CONFIG_STRICT_PERMS:-$cfg_config_strict_perms}")"
 MAIL_SMTP_HOST="$(trim_value "${MAIL_SMTP_HOST:-$cfg_mail_smtp_host}")"
 MAIL_SMTP_PORT="${MAIL_SMTP_PORT:-$cfg_mail_smtp_port}"
 MAIL_SMTP_USER="$(trim_value "${MAIL_SMTP_USER:-$cfg_mail_smtp_user}")"
@@ -388,6 +411,35 @@ notify_chain_human() {
 (IFS=','; printf '%s' "${NOTIFY_CHAIN[*]}")
 }
 write_state_file() {
 local path="$1" content="$2"
 ssh_monitor_secure_file "$path"
 printf '%s' "$content" >"$path"
 }
 ssh_monitor_audit_state_paths() {
 local path
 for path in \
  "${SAC_SPOOL_DIR:-}" \
  "${SAC_FAIL_COUNT_FILE:-}" \
  "${LAST_HEARTBEAT_FILE:-}" \
  "${LAST_REPORT_FILE:-}" \
  "${LAST_SSH_CHECK_FILE:-}" \
  "${LAST_SUDO_CHECK_FILE:-}" \
  "${LAST_SECURITY_EVENTS_FILE:-}" \
  "${LAST_LOGIND_CHECK_FILE:-}" \
  "${BAN_LIST_FILE:-}" \
  "${HEALTHCHECK_STATUS_FILE:-}" \
  "/etc/ssh_monitor_whitelist.txt"; do
  [ -n "$path" ] || continue
  if [ -d "$path" ]; then
   ssh_monitor_warn_path_perms "$path" "каталог state" 700
  elif [ -e "$path" ]; then
   ssh_monitor_warn_path_perms "$path" "файл state" 600
  fi
 done
 }
 validate_config() {
 validate_report_hour
 validate_numeric_or_default "BAN_TIME" "3600"
@@ -434,6 +486,12 @@ validate_config() {
 printf '%s\n' 'Не настроен ни один канал отправки оповещений' >&2
 exit 1
 fi
 if ! ssh_monitor_validate_config_values; then
 exit 1
 fi
 if command -v sac_warn_tls_insecure >/dev/null 2>&1; then
 sac_warn_tls_insecure
 fi
 }
 # ============================================
@@ -601,7 +659,7 @@ message_ensure_server_line() {
 }
 # ============================================
-# УВЕДОМЛЕНИЯ: telegram / email — по NOTIFY_CHAIN во все перечисленные каналы; BACKUP_WEBHOOK только если все неуспешны.
+# УВЕДОМЛЕНИЯ: telegram / email — по NOTIFY_CHAIN во все перечисленные каналы.
 # ============================================
 send_email_raw() {
@@ -721,29 +779,6 @@ send_telegram_raw() {
 return 1
 }
 send_backup_webhook_raw() {
 local message="$1"
 if [ -z "${BACKUP_WEBHOOK_URL:-}" ]; then
 return 1
 fi
 if ! command -v python3 >/dev/null 2>&1; then
 return 1
 fi
 local plain="$message"
 local payload
 payload="$(BACKUP_MSG="$plain" python3 - <<'PY'
 import json, os
 print(json.dumps({"text": os.environ.get("BACKUP_MSG", "")}))
 PY
 )"
 if curl -fsS -m 12 -X POST "$BACKUP_WEBHOOK_URL" \
 -H "Content-Type: application/json" \
 -d "$payload" >/dev/null 2>&1; then
 return 0
 fi
 return 1
 }
 sac_mirror_notify_message() {
 local message="$1"
 local mode
@@ -810,12 +845,7 @@ notify_send() {
 return 0
 fi
- if send_backup_webhook_raw "$message"; then
+ write_log "WARN: не удалось доставить уведомление ни в один канал ($(notify_chain_human))"
 write_log "WARN: все каналы из NOTIFY_CHAIN недоступны, сообщение ушло в BACKUP_WEBHOOK_URL"
 return 0
 fi
 write_log "WARN: не удалось доставить уведомление ни в один канал ($(notify_chain_human); BACKUP_WEBHOOK не задан или недоступен)"
 return 1
 }
@@ -1045,6 +1075,7 @@ block_ip() {
 return 1
 fi
 ssh_monitor_secure_file "$BAN_LIST_FILE" 2>/dev/null || true
 echo "$ip|$ban_until|$attempts|$(date '+%Y-%m-%d %H:%M:%S')" >>"$BAN_LIST_FILE"
 save_firewall_state
@@ -1214,6 +1245,7 @@ load_whitelist_from_file() {
 local whitelist_file="/etc/ssh_monitor_whitelist.txt"
 if [ -f "$whitelist_file" ]; then
 ssh_monitor_warn_path_perms "$whitelist_file" "whitelist" 600
 write_log "Загрузка белого списка из $whitelist_file"
 while IFS= read -r line || [ -n "$line" ]; do
@@ -1369,7 +1401,7 @@ monitor_ssh() {
 done <<<"$ssh_logs"
 fi
- echo "$current_time" >"$LAST_SSH_CHECK_FILE"
+ write_state_file "$LAST_SSH_CHECK_FILE" "$current_time"
 }
 # ============================================
@@ -1469,6 +1501,10 @@ monitor_sudo() {
 fi
 if [ -n "$user" ] && [ -n "${sudo_cmd:-}" ]; then
 if ssh_monitor_sudo_is_sac_maintenance "$sudo_cmd" 2>/dev/null; then
  write_log "SUDO: пропуск SAC/update maintenance ($user): ${sudo_cmd:0:80}…"
  continue
 fi
 local message=" ⚠️ ИСПОЛЬЗОВАНИЕ SUDO "$'\n'
 message="${message}👤 Пользователь: ${user}"$'\n'
 if [ -n "$run_as" ]; then
@@ -1486,7 +1522,7 @@ monitor_sudo() {
 done <<<"$sudo_logs"
 fi
- echo "$current_time" >"$LAST_SUDO_CHECK_FILE"
+ write_state_file "$LAST_SUDO_CHECK_FILE" "$current_time"
 }
 # ============================================
@@ -1551,7 +1587,7 @@ monitor_security_events() {
 fi
 fi
- echo "$now" >"$LAST_SECURITY_EVENTS_FILE"
+ write_state_file "$LAST_SECURITY_EVENTS_FILE" "$now"
 }
 # ============================================
@@ -1709,7 +1745,7 @@ monitor_logind() {
 done <<<"$logind_lines"
 fi
- echo "$current_time" >"$LAST_LOGIND_CHECK_FILE"
+ write_state_file "$LAST_LOGIND_CHECK_FILE" "$current_time"
 }
 # ============================================
@@ -1877,7 +1913,7 @@ PY
 notify_or_sac "report.daily.ssh" "info" "Ежедневный отчёт SSH" "$sac_summary" "$message" "$sac_details_json"
 write_log "Ежедневный отчет отправлен"
- echo "$(report_date '+%F')" >"$LAST_REPORT_FILE"
+ write_state_file "$LAST_REPORT_FILE" "$(report_date '+%F')"
 }
 read_last_report_date() {
@@ -1936,7 +1972,7 @@ send_heartbeat() {
 message="${message}🕐 Время: ${timestamp_human}"
 notify_or_sac "agent.heartbeat" "info" "Heartbeat" "ssh-monitor alive" "$message"
- echo "$timestamp" >"$LAST_HEARTBEAT_FILE"
+ write_state_file "$LAST_HEARTBEAT_FILE" "$timestamp"
 write_log "Heartbeat отправлен"
 }
@@ -1965,9 +2001,16 @@ write_health_and_metrics() {
 local ts
 ts=$(date '+%s')
 if [ -n "${HEALTHCHECK_STATUS_FILE:-}" ]; then
- mkdir -p "$(dirname "$HEALTHCHECK_STATUS_FILE")" 2>/dev/null || true
+ ssh_monitor_secure_dir "$(dirname "$HEALTHCHECK_STATUS_FILE")" 2>/dev/null || mkdir -p "$(dirname "$HEALTHCHECK_STATUS_FILE")" 2>/dev/null || true
- printf '{"ts":%s,"hostname":"%s","dry_run":%s}\n' "$ts" "$(hostname | sed 's/"/\\"/g')" "$([[ "${DRY_RUN:-0}" = "1" ]] && echo true || echo false)" >"${HEALTHCHECK_STATUS_FILE}.tmp"
+ if command -v python3 >/dev/null 2>&1; then
- mv "${HEALTHCHECK_STATUS_FILE}.tmp" "$HEALTHCHECK_STATUS_FILE" 2>/dev/null || true
+  python3 -c 'import json,sys; print(json.dumps({"ts": int(sys.argv[1]), "hostname": sys.argv[2], "dry_run": sys.argv[3] == "1"}))' \
   "$ts" "$(hostname)" "${DRY_RUN:-0}" >"${HEALTHCHECK_STATUS_FILE}.tmp"
  ssh_monitor_secure_file "${HEALTHCHECK_STATUS_FILE}.tmp" 2>/dev/null || true
  mv "${HEALTHCHECK_STATUS_FILE}.tmp" "$HEALTHCHECK_STATUS_FILE" 2>/dev/null || true
  ssh_monitor_secure_file "$HEALTHCHECK_STATUS_FILE" 2>/dev/null || true
 else
  write_log "WARN: python3 недоступен — HEALTHCHECK_STATUS_FILE пропущен"
 fi
 fi
 if [ -n "${PROMETHEUS_TEXTFILE_DIR:-}" ]; then
 mkdir -p "$PROMETHEUS_TEXTFILE_DIR" 2>/dev/null || true
@@ -1986,6 +2029,10 @@ write_health_and_metrics() {
 # ============================================
 send_startup_notification() {
 if ssh_monitor_update_in_progress 2>/dev/null; then
  write_log "lifecycle startup: пропуск (идёт agent-update)"
  return 0
 fi
 local timestamp
 timestamp=$(notification_date '+%d.%m.%Y %H:%M:%S')
 local whitelist_count=$((${#WHITELIST_IPS[@]} + ${#WHITELIST_SUBNETS[@]}))
@@ -2013,7 +2060,12 @@ send_startup_notification() {
 send_shutdown_notification() {
 [ "${SHUTDOWN_NOTIFIED:-0}" = "1" ] && return 0
 if ssh_monitor_update_in_progress 2>/dev/null; then
  write_log "lifecycle shutdown: пропуск (идёт agent-update)"
  return 0
 fi
 SHUTDOWN_NOTIFIED=1
 SAC_SUPPRESS_FAIL_COUNT=1
 local timestamp
 timestamp=$(notification_date '+%d.%m.%Y %H:%M:%S')
@@ -2074,7 +2126,6 @@ run_check_config() {
 printf 'NOTIFY_ORDER=%s (пусто = авто: только настроенные; при событии — отправка во все каналы списка)\n' "${NOTIFY_ORDER:-}"
 printf 'NOTIFY_CHAIN (эффективная очередь)=%s\n' "$(notify_chain_human)"
 printf 'TELEGRAM: %s\n' "$([ -n "$TELEGRAM_BOT_TOKEN" ] && echo настроен || echo НЕ настроен)"
 printf 'BACKUP_WEBHOOK_URL: %s\n' "$([ -n "${BACKUP_WEBHOOK_URL:-}" ] && echo настроен || echo не задан)"
 printf 'LOG_FILE=%s\n' "$LOG_FILE"
 printf 'DAILY_REPORT_HOUR=%s\n' "$DAILY_REPORT_HOUR"
 printf 'DAILY_REPORT_TZ=%s (пусто = зона процесса/date)\n' "${DAILY_REPORT_TZ:-}"
@@ -2097,6 +2148,8 @@ run_check_config() {
 printf 'MAIL_SMTP_PASSWORD: %s\n' "$([ -n "${MAIL_SMTP_PASSWORD:-}" ] && echo задан || echo не задан)"
 printf 'UseSAC=%s SAC_URL=%s SAC_API_KEY=%s\n' "${UseSAC:-off}" "${SAC_URL:-}" \
  "$([ -n "${SAC_API_KEY:-}" ] && echo задан || echo не задан)"
 printf 'CONFIG_STRICT_PERMS=%s SAC_TLS_INSECURE=%s\n' "${CONFIG_STRICT_PERMS:-0}" "${SAC_TLS_INSECURE:-0}"
 ssh_monitor_audit_state_paths
 if bash -n "$0" 2>/dev/null; then
 printf 'bash -n: OK\n'
 else
@@ -2138,7 +2191,7 @@ fi
 trap send_shutdown_notification EXIT INT TERM
 mkdir -p "$(dirname "$LOG_FILE")"
-touch "$LOG_FILE"
+ssh_monitor_secure_file "$LOG_FILE" 2>/dev/null || touch "$LOG_FILE"
 write_log "Конфигурация загружена из $CONFIG_FILE (или дефолты), версия ${SSH_MONITOR_VERSION:-?}, очередь оповещений: $(notify_chain_human)"
 if [ "${ENABLE_IP_BAN:-1}" = "1" ]; then
@@ -0,0 +1,434 @@
 #!/bin/bash
 # Path permission helpers for ssh-monitor, sac-client, watchdog, updater.
 # shellcheck shell=bash
 ssh_monitor_config_peek() {
 	local key="$1" file="$2" default="${3:-}"
 	local line val
 	[ -f "$file" ] || {
 		printf '%s\n' "$default"
 		return 0
 	}
 	line="$(grep -E "^[[:space:]]*${key}=" "$file" 2>/dev/null | tail -1)" || {
 		printf '%s\n' "$default"
 		return 0
 	}
 	val="${line#*=}"
 	val="${val#"${val%%[![:space:]]*}"}"
 	val="${val%"${val##*[![:space:]]}"}"
 	val="${val#\"}"
 	val="${val%\"}"
 	val="${val#\'}"
 	val="${val%\'}"
 	printf '%s\n' "$val"
 }
 # --- Безопасная загрузка /etc/ssh-monitor.conf (2.3.0+: без source / выполнения bash) ---
 _ssh_monitor_config_trim() {
 	local v="$1"
 	v="${v#"${v%%[![:space:]]*}"}"
 	v="${v%"${v##*[![:space:]]}"}"
 	printf '%s' "$v"
 }
 ssh_monitor_config_is_known_key() {
 	case "$1" in
 	TELEGRAM_BOT_TOKEN | TELEGRAM_CHAT_ID | NOTIFY_ORDER | \
 	UseSAC | SAC_URL | SAC_API_KEY | SAC_SPOOL_DIR | SAC_FAIL_COUNT_FILE | \
 	SAC_FALLBACK_FAILURES | SAC_TIMEOUT_SEC | SAC_SPOOL_FLUSH_MAX_FILES | \
 	SAC_SPOOL_MAX_AGE_HOURS | SAC_TLS_INSECURE | SAC_SEND_HEARTBEAT | SAC_AGENT_ID_FILE | \
 	CONFIG_STRICT_PERMS | \
 	MAIL_SMTP_HOST | MAIL_SMTP_PORT | MAIL_SMTP_USER | MAIL_SMTP_PASSWORD | \
 	MAIL_FROM | MAIL_TO | MAIL_SMTP_STARTTLS | MAIL_SMTP_SSL | \
 	LOG_FILE | LAST_HEARTBEAT_FILE | HEARTBEAT_INTERVAL_MINUTES | LAST_REPORT_FILE | \
 	LAST_SSH_CHECK_FILE | LAST_SUDO_CHECK_FILE | LAST_SECURITY_EVENTS_FILE | LAST_LOGIND_CHECK_FILE | \
 	DAILY_REPORT_ENABLED | DAILY_REPORT_HOUR | DAILY_REPORT_TZ | DAILY_REPORT_TOP_IPS | \
 	NOTIFY_TZ | SERVER_DISPLAY_NAME | SERVER_IPV4 | SSH_ACCEPT_NOTIFY_DEDUP_SEC | \
 	ENABLE_LOGIND_MONITOR | LOGIND_NOTIFY_NEW | LOGIND_NOTIFY_REMOVED | LOGIND_NOTIFY_FAILED | LOGIND_SKIP_REMOTE | \
 	PROMETHEUS_TEXTFILE_DIR | HEALTHCHECK_STATUS_FILE | \
 	BRUTE_WINDOW_SEC | BRUTE_MIN_FAILS | BRUTE_NOTIFY_COOLDOWN_SEC | \
 	ENABLE_IP_BAN | BAN_TIME | MAX_ATTEMPTS | BAN_CHECK_INTERVAL | MONITOR_INTERVAL | BAN_LIST_FILE | \
 	IPSET_NAME_V4 | IPSET_NAME_V6 | IPSET_MAXELEM | \
 	WHITELIST_IPS | WHITELIST_SUBNETS | \
 	WATCHDOG_MAX_HEARTBEAT_AGE | WATCHDOG_LOG_FILE | WATCHDOG_SERVICE_NAME | WATCHDOG_NOTIFY_ON_RECOVERY | \
 	GIT_REF | GIT_VERIFY_MODE | GIT_ALLOW_RESET | GIT_BRANCH | REPO_URL)
 		return 0
 		;;
 	BACKUP_WEBHOOK_URL)
 		return 2
 		;;
 	esac
 	return 1
 }
 # Разбор строки KEY=value. Устанавливает _CFG_KEY / _CFG_VAL.
 # 0 ok | 1 пусто/комментарий | 2 битая строка | 3 подстановка shell в value
 ssh_monitor_config_parse_line() {
 	local line="$1" raw_val
 	_CFG_KEY="" _CFG_VAL=""
 	line="$(_ssh_monitor_config_trim "$line")"
 	[ -n "$line" ] || return 1
 	[[ "$line" == \#* ]] && return 1
 	if [[ ! "$line" =~ ^([A-Za-z_][A-Za-z0-9_]*)=(.*)$ ]]; then
 		return 2
 	fi
 	_CFG_KEY="${BASH_REMATCH[1]}"
 	raw_val="${BASH_REMATCH[2]}"
 	raw_val="$(_ssh_monitor_config_trim "$raw_val")"
 	if [ -z "$raw_val" ]; then
 		_CFG_VAL=""
 		return 0
 	fi
 	case "$raw_val" in
 	\"*\")
 		_CFG_VAL="${raw_val#\"}"
 		_CFG_VAL="${_CFG_VAL%\"}"
 		;;
 	\'*\')
 		_CFG_VAL="${raw_val#\'}"
 		_CFG_VAL="${_CFG_VAL%\'}"
 		;;
 	*)
 		_CFG_VAL="$raw_val"
 		;;
 	esac
 	if [[ "$_CFG_VAL" == *'$('* || "$_CFG_VAL" == *'`'* ]]; then
 		return 3
 	fi
 	return 0
 }
 ssh_monitor_config_load_file() {
 	local file="$1"
 	local line rc line_no=0
 	[ -f "$file" ] || return 1
 	while IFS= read -r line || [ -n "$line" ]; do
 		line_no=$((line_no + 1))
 		ssh_monitor_config_parse_line "$line"
 		rc=$?
 		if [ "$rc" -eq 1 ]; then
 			continue
 		fi
 		if [ "$rc" -eq 2 ]; then
 			printf 'WARN: конфиг %s:%s: пропуск нераспознанной строки: %s\n' "$file" "$line_no" "$line" >&2
 			continue
 		fi
 		if [ "$rc" -eq 3 ]; then
 			printf 'ERROR: конфиг %s:%s: недопустимая подстановка shell в %s=\n' "$file" "$line_no" "$_CFG_KEY" >&2
 			return 1
 		fi
 		ssh_monitor_config_is_known_key "$_CFG_KEY"
 		rc=$?
 		if [ "$rc" -eq 2 ]; then
 			printf 'WARN: конфиг %s:%s: BACKUP_WEBHOOK_URL удалён в 2.3.0-SAC — игнорируется\n' "$file" "$line_no" >&2
 			continue
 		fi
 		if [ "$rc" -eq 1 ]; then
 			printf 'WARN: конфиг %s:%s: неизвестный ключ %s (игнорируется)\n' "$file" "$line_no" "$_CFG_KEY" >&2
 			continue
 		fi
 		printf -v "$_CFG_KEY" '%s' "$_CFG_VAL"
 	done <"$file"
 	return 0
 }
 ssh_monitor_validate_ipv4() {
 	local ip="$1" o
 	ip="$(_ssh_monitor_config_trim "$ip")"
 	[[ "$ip" =~ ^([0-9]{1,3})\.([0-9]{1,3})\.([0-9]{1,3})\.([0-9]{1,3})$ ]] || return 1
 	for o in "${BASH_REMATCH[1]}" "${BASH_REMATCH[2]}" "${BASH_REMATCH[3]}" "${BASH_REMATCH[4]}"; do
 		((10#$o <= 255)) || return 1
 	done
 	return 0
 }
 ssh_monitor_validate_cidr_v4() {
 	local cidr="$1" net mask
 	cidr="$(_ssh_monitor_config_trim "$cidr")"
 	[[ "$cidr" == */* ]] || return 1
 	net="${cidr%/*}"
 	mask="${cidr#*/}"
 	[[ "$mask" =~ ^[0-9]+$ ]] && [ "$mask" -ge 0 ] && [ "$mask" -le 32 ] || return 1
 	ssh_monitor_validate_ipv4 "$net"
 }
 ssh_monitor_validate_http_url() {
 	local name="$1" value="$2" optional="${3:-0}"
 	value="$(_ssh_monitor_config_trim "$value")"
 	if [ -z "$value" ]; then
 		[ "$optional" = "1" ] && return 0
 		printf 'ERROR: %s: пустой URL\n' "$name" >&2
 		return 1
 	fi
 	if [[ ! "$value" =~ ^https?://[^/[:space:]]+ ]]; then
 		printf 'ERROR: %s: ожидается http(s)://host…, получено %s\n' "$name" "$value" >&2
 		return 1
 	fi
 	return 0
 }
 ssh_monitor_validate_hostname() {
 	local name="$1" value="$2"
 	value="$(_ssh_monitor_config_trim "$value")"
 	[ -z "$value" ] && return 0
 	if [[ ! "$value" =~ ^[A-Za-z0-9]([A-Za-z0-9._-]*[A-Za-z0-9])?$ ]]; then
 		printf 'ERROR: %s: недопустимый hostname %s\n' "$name" "$value" >&2
 		return 1
 	fi
 	return 0
 }
 # Проверка значений после load_config (exit 1 при ERROR).
 ssh_monitor_validate_config_values() {
 	local err=0 mode item
 	if [ -n "${SAC_URL:-}" ]; then
 		ssh_monitor_validate_http_url "SAC_URL" "${SAC_URL}" 1 || err=1
 	fi
 	if [ -n "${MAIL_SMTP_HOST:-}" ]; then
 		ssh_monitor_validate_hostname "MAIL_SMTP_HOST" "${MAIL_SMTP_HOST}" || err=1
 	fi
 	if [ -n "${SERVER_IPV4:-}" ]; then
 		ssh_monitor_validate_ipv4 "${SERVER_IPV4}" || {
 			printf 'ERROR: SERVER_IPV4: некорректный IPv4 %s\n' "${SERVER_IPV4}" >&2
 			err=1
 		}
 	fi
 	mode="$(printf '%s' "${UseSAC:-off}" | tr '[:upper:]' '[:lower:]')"
 	case "$mode" in
 	off | exclusive | dual | fallback) ;;
 	*)
 		printf 'ERROR: UseSAC="%s" (допустимо: off, exclusive, dual, fallback)\n' "${UseSAC:-}" >&2
 		err=1
 		;;
 	esac
 	mode="$(printf '%s' "${GIT_VERIFY_MODE:-off}" | tr '[:upper:]' '[:lower:]')"
 	case "$mode" in
 	off | tag | commit) ;;
 	*)
 		printf 'ERROR: GIT_VERIFY_MODE="%s" (допустимо: off, tag, commit)\n' "${GIT_VERIFY_MODE:-}" >&2
 		err=1
 		;;
 	esac
 	for item in "${WHITELIST_IPS[@]:-}"; do
 		item="$(_ssh_monitor_config_trim "$item")"
 		[ -z "$item" ] && continue
 		if ! ssh_monitor_validate_ipv4 "$item"; then
 			printf 'ERROR: WHITELIST_IPS: некорректный IPv4 %s\n' "$item" >&2
 			err=1
 		fi
 	done
 	for item in "${WHITELIST_SUBNETS[@]:-}"; do
 		item="$(_ssh_monitor_config_trim "$item")"
 		[ -z "$item" ] && continue
 		if ! ssh_monitor_validate_cidr_v4 "$item"; then
 			printf 'ERROR: WHITELIST_SUBNETS: некорректный CIDR %s\n' "$item" >&2
 			err=1
 		fi
 	done
 	return "$err"
 }
 ssh_monitor_truthy() {
 	case "${1,,}" in
 	1 | yes | true | on) return 0 ;;
 	esac
 	return 1
 }
 ssh_monitor_path_mode() {
 	local path="$1"
 	[ -e "$path" ] || return 1
 	stat -c '%a' "$path" 2>/dev/null || stat -f '%OLp' "$path" 2>/dev/null
 }
 ssh_monitor_path_owner() {
 	local path="$1"
 	[ -e "$path" ] || return 1
 	stat -c '%U:%G' "$path" 2>/dev/null
 }
 ssh_monitor_is_root_owned() {
 	local path="$1" own
 	[ -e "$path" ] || return 0
 	own="$(ssh_monitor_path_owner "$path" 2>/dev/null || true)"
 	[ "$own" = "root:root" ]
 }
 ssh_monitor_secure_dir() {
 	local dir="$1"
 	[ -n "$dir" ] || return 1
 	mkdir -p "$dir" 2>/dev/null || return 1
 	chmod 700 "$dir" 2>/dev/null || true
 	chown root:root "$dir" 2>/dev/null || true
 }
 ssh_monitor_secure_file() {
 	local file="$1"
 	local dir
 	[ -n "$file" ] || return 1
 	dir="$(dirname "$file")"
 	ssh_monitor_secure_dir "$dir" || true
 	if [ ! -f "$file" ]; then
 		: >"$file" 2>/dev/null || touch "$file" 2>/dev/null || return 1
 	fi
 	chmod 600 "$file" 2>/dev/null || true
 	chown root:root "$file" 2>/dev/null || true
 }
 # Существующий файл или каталог: 600/700 root:root; для отсутствующего пути — только родительский каталог.
 ssh_monitor_harden_path() {
 	local path="$1"
 	[ -n "$path" ] || return 0
 	if [ -d "$path" ]; then
 		ssh_monitor_secure_dir "$path"
 	elif [ -f "$path" ] || [ -L "$path" ]; then
 		ssh_monitor_secure_file "$path"
 	else
 		local parent
 		parent="$(dirname "$path")"
 		[ -n "$parent" ] && [ "$parent" != "." ] && ssh_monitor_secure_dir "$parent"
 	fi
 }
 ssh_monitor_warn_path_perms() {
 	local path="$1" kind="$2" max_mode="${3:-600}"
 	local mode own msg
 	[ -e "$path" ] || return 0
 	if ! ssh_monitor_is_root_owned "$path"; then
 		own="$(ssh_monitor_path_owner "$path" 2>/dev/null || echo '?')"
 		msg="WARN: ${kind} ${path}: владелец ${own}, ожидается root:root"
 		printf '%s\n' "$msg" >&2
 		[ -n "${write_log:-}" ] && write_log "$msg" || true
 	fi
 	mode="$(ssh_monitor_path_mode "$path" 2>/dev/null || echo "")"
 	if [ -n "$mode" ] && [ "$((10#$mode))" -gt "$((10#$max_mode))" ]; then
 		msg="WARN: ${kind} ${path}: mode ${mode}, рекомендуется не шире ${max_mode}"
 		printf '%s\n' "$msg" >&2
 		[ -n "${write_log:-}" ] && write_log "$msg" || true
 	fi
 }
 ssh_monitor_check_config_file_perms() {
 	local file="${1:-/etc/ssh-monitor.conf}"
 	local strict="${2:-0}"
 	local mode msg
 	[ -f "$file" ] || return 0
 	if ! ssh_monitor_is_root_owned "$file"; then
 		msg="WARN: конфиг ${file}: владелец $(ssh_monitor_path_owner "$file" 2>/dev/null || echo '?'), ожидается root:root"
 		printf '%s\n' "$msg" >&2
 		[ -n "${write_log:-}" ] && write_log "$msg" || true
 		if ssh_monitor_truthy "$strict"; then
 			printf '%s\n' "CONFIG_STRICT_PERMS=1: исправьте владельца конфига (chown root:root ${file})" >&2
 			return 1
 		fi
 	fi
 	mode="$(ssh_monitor_path_mode "$file" 2>/dev/null || echo "")"
 	case "$mode" in
 	600 | 400) ;;
 	*)
 		msg="WARN: конфиг ${file}: mode ${mode:-?}, рекомендуется 600 или 400 (chmod 600 ${file})"
 		printf '%s\n' "$msg" >&2
 		[ -n "${write_log:-}" ] && write_log "$msg" || true
 		if ssh_monitor_truthy "$strict"; then
 			printf '%s\n' "CONFIG_STRICT_PERMS=1: ослабленные права конфига недопустимы" >&2
 			return 1
 		fi
 		;;
 	esac
 	return 0
 }
 # Подпись сервера в Telegram/webhook (как в ssh-monitor: SERVER_DISPLAY_NAME или hostname + IPv4).
 ssh_monitor_server_display_name_with_ip() {
 	local hn ip
 	hn="${SERVER_DISPLAY_NAME:-}"
 	if [ -z "$hn" ]; then
 		hn="$(hostname 2>/dev/null | tr -d '\r\n')"
 		[ -z "$hn" ] && hn="(unknown)"
 	fi
 	ip="${SERVER_IPV4:-}"
 	if [ -z "$ip" ] && command -v ip >/dev/null 2>&1; then
 		ip="$(ip -4 route get 1.1.1.1 2>/dev/null | awk '/\bsrc\b/ {for (i = 1; i < NF; i++) if ($i == "src") { print $(i + 1); exit }}')"
 		[ -z "$ip" ] && ip="$(ip -4 route get 8.8.8.8 2>/dev/null | awk '/\bsrc\b/ {for (i = 1; i < NF; i++) if ($i == "src") { print $(i + 1); exit }}')"
 	fi
 	if [ -z "$ip" ] && command -v hostname >/dev/null 2>&1 && hostname -I >/dev/null 2>&1; then
 		ip="$(hostname -I 2>/dev/null | tr ' ' '\n' | grep -E '^[0-9]+\.[0-9]+\.[0-9]+\.[0-9]+$' | grep -Ev '^(127\.|0\.0\.0\.0)$' | head -n1)"
 	fi
 	if [ -n "$ip" ]; then
 		printf '%s (%s)' "$hn" "$ip"
 	else
 		printf '%s' "$hn"
 	fi
 }
 ssh_monitor_message_ensure_server_line() {
 	local msg="$1"
 	if [[ "$msg" == *'🖥️ Сервер:'* ]]; then
 		printf '%s' "$msg"
 		return 0
 	fi
 	local first rest
 	first="${msg%%$'\n'*}"
 	if [ "$first" = "$msg" ]; then
 		printf '%s\n🖥️ Сервер: %s' "$first" "$(ssh_monitor_server_display_name_with_ip)"
 	else
 		rest="${msg#*$'\n'}"
 		printf '%s\n🖥️ Сервер: %s\n%s' "$first" "$(ssh_monitor_server_display_name_with_ip)" "$rest"
 	fi
 }
 # Флаг штатного SAC/cron-update: подавляет lifecycle/watchdog Telegram на время прогона updater.
 SSH_MONITOR_UPDATE_STATE_DEFAULT="/var/lib/ssh-monitor/agent-update-in-progress"
 SSH_MONITOR_UPDATE_STATE_MAX_AGE_SEC="${SSH_MONITOR_UPDATE_STATE_MAX_AGE_SEC:-900}"
 ssh_monitor_update_state_file() {
 	printf '%s\n' "${SSH_MONITOR_UPDATE_STATE_FILE:-$SSH_MONITOR_UPDATE_STATE_DEFAULT}"
 }
 ssh_monitor_update_in_progress() {
 	local f ts now age
 	f="$(ssh_monitor_update_state_file)"
 	[ -f "$f" ] || return 1
 	ts="$(tr -d '\r\n' <"$f" 2>/dev/null || true)"
 	[[ "$ts" =~ ^[0-9]+$ ]] || return 1
 	now=$(date '+%s')
 	age=$((now - ts))
 	[ "$age" -le "$SSH_MONITOR_UPDATE_STATE_MAX_AGE_SEC" ]
 }
 ssh_monitor_update_mark_begin() {
 	local f dir
 	f="$(ssh_monitor_update_state_file)"
 	dir="$(dirname "$f")"
 	ssh_monitor_secure_dir "$dir" 2>/dev/null || mkdir -p "$dir" 2>/dev/null || true
 	date '+%s' >"$f"
 	ssh_monitor_secure_file "$f" 2>/dev/null || chmod 600 "$f" 2>/dev/null || true
 }
 ssh_monitor_update_mark_end() {
 	local f
 	f="$(ssh_monitor_update_state_file)"
 	rm -f "$f" 2>/dev/null || true
 }
 # SAC/cron update: не слать sudo-alert на штатные команды updater/bootstrap.
 ssh_monitor_sudo_is_sac_maintenance() {
 	local cmd="$1"
 	[ -n "$cmd" ] || return 1
 	if ssh_monitor_update_in_progress 2>/dev/null; then
 		return 0
 	fi
 	case "$cmd" in
 	*update_ssh_monitor.sh* | *UPDATE_VIA_SAC* | *update_script.log* | \
 		*"/opt/scripts/update"*"ssh-monitor"* | *agent-update-in-progress*)
 		return 0
 		;;
 	esac
 	return 1
 }
@@ -3,6 +3,11 @@ set -Eeuo pipefail
 IFS=$'\n\t'
 CONFIG_FILE="/etc/ssh-monitor.conf"
 SCRIPT_DIR="$(cd "$(dirname "${BASH_SOURCE[0]}")" && pwd)"
 if [ -f "$SCRIPT_DIR/ssh-monitor-perms.sh" ]; then
 	# shellcheck source=ssh-monitor-perms.sh
 	source "$SCRIPT_DIR/ssh-monitor-perms.sh"
 fi
 WATCHDOG_LOG_FILE="/var/log/ssh_monitor_watchdog.log"
 LAST_HEARTBEAT_FILE="/var/log/last_heartbeat.txt"
 WATCHDOG_MAX_HEARTBEAT_AGE=18000
@@ -37,46 +42,18 @@ send_telegram_raw() {
 	return 1
 }
 send_backup_webhook_raw() {
 	local message="$1"
 	if [ -z "${BACKUP_WEBHOOK_URL:-}" ]; then
 		return 1
 	fi
 	if ! command -v python3 >/dev/null 2>&1; then
 		return 1
 	fi
 	local plain="$message"
 	local payload
 	payload="$(BACKUP_MSG="$plain" python3 - <<'PY'
 import json, os
 print(json.dumps({"text": os.environ.get("BACKUP_MSG", "")}))
 PY
 )"
 	if curl -fsS -m 12 -X POST "$BACKUP_WEBHOOK_URL" \
 		-H "Content-Type: application/json" \
 		-d "$payload" >/dev/null 2>&1; then
 		return 0
 	fi
 	return 1
 }
 notify_send() {
 	local message="$1"
-	if send_telegram_raw "$message"; then
+	message="$(ssh_monitor_message_ensure_server_line "$message")"
-		return 0
+	send_telegram_raw "$message"
 	fi
 	if send_backup_webhook_raw "$message"; then
 		write_log "WARN: Telegram недоступен, сообщение watchdog ушло в BACKUP_WEBHOOK_URL"
 		return 0
 	fi
 	write_log "WARN: watchdog: не удалось отправить уведомление"
 	return 1
 }
 load_config() {
 	if [ -f "$CONFIG_FILE" ]; then
-		# shellcheck disable=SC1090
+		local _strict_peek
-		source "$CONFIG_FILE"
+		_strict_peek="$(ssh_monitor_config_peek CONFIG_STRICT_PERMS "$CONFIG_FILE" "0")"
 		ssh_monitor_check_config_file_perms "$CONFIG_FILE" "$_strict_peek" || true
 		ssh_monitor_config_load_file "$CONFIG_FILE" || true
 	fi
 }
@@ -130,6 +107,11 @@ main() {
 	mkdir -p "$(dirname "$WATCHDOG_LOG_FILE")"
 	touch "$WATCHDOG_LOG_FILE"
 	if ssh_monitor_update_in_progress 2>/dev/null; then
 		write_log "Watchdog: пропуск — идёт agent-update (state file)"
 		exit 0
 	fi
 	local reason=""
 	if ! is_service_active; then
 		reason="systemd reported inactive service"
@@ -2,12 +2,6 @@
 TELEGRAM_BOT_TOKEN="8239219522:AAEyOZX3cwNfgGOMDkf-mgjTIuoaOh5gF7I"
 TELEGRAM_CHAT_ID="2843230"
 # Резервный webhook, если ВСЕ каналы из NOTIFY_CHAIN не смогли доставить сообщение (JSON {"text":"..."}).
 # ВАЖНО: BACKUP_WEBHOOK_URL НЕ заменяет основной канал — без хотя бы одного из telegram/email
 # скрипт сразу завершится с ошибкой в stderr: «Не настроен ни один канал отправки оповещений» (код 1),
 # в том числе при --check-config и --dry-run. Сначала настройте Telegram или SMTP ниже.
 BACKUP_WEBHOOK_URL=""
 # --- Очередь оповещений (NOTIFY_ORDER) ---
 # CSV: telegram, email (или сокращения tg, mail).
 # При каждом событии скрипт ПЫТАЕТСЯ ОТПРАВИТЬ ВО ВСЕ перечисленные каналы по порядку (не только в первый успешный).
@@ -35,10 +29,16 @@ SAC_API_KEY="sac_UkOsAT3UWiQS54KK5OJPBDCSucysQDrKFju28wmYiz8"
 SAC_SPOOL_DIR="/var/lib/ssh-monitor/sac-spool"
 SAC_FAIL_COUNT_FILE="/var/lib/ssh-monitor/sac-fail.count"
 SAC_FALLBACK_FAILURES="5"
 # Таймаут curl к SAC (health + ingest). При burst ingest на сервере — 60–90; см. docs/sac-ingest.ru.md
 SAC_TIMEOUT_SEC="45"
 SAC_SPOOL_FLUSH_MAX_FILES="50"
 SAC_SPOOL_MAX_AGE_HOURS="72"
 # 0 = проверять TLS SAC (рекомендуется). 1 = curl -k (только lab; CRITICAL в логе).
 SAC_TLS_INSECURE="0"
 # 0 = WARN при chmod конфига != 600. 1 = exit 1 при ослабленных правах /etc/ssh-monitor.conf.
 CONFIG_STRICT_PERMS="0"
 # SMTP (python3). Для авто-режима почты нужны MAIL_SMTP_HOST, MAIL_FROM, MAIL_TO.
 MAIL_SMTP_HOST=""
 MAIL_SMTP_PORT="587"
@@ -106,6 +106,14 @@ PROMETHEUS_TEXTFILE_DIR=""
 # JSON-снимок состояния на каждой итерации (timestamp, hostname, dry_run). Пусто — отключено.
 HEALTHCHECK_STATUS_FILE=""
 # --- Автообновление (update_ssh_monitor.sh; читается updater'ом, не агентом) ---
 # Пусто = ветка GIT_BRANCH (main). Для прода рекомендуется тег релиза, напр. 2.2.0-SAC.
 # GIT_REF="2.2.0-SAC"
 # off | tag | commit — см. docs/auto-update.ru.md. Дефолт в скрипте: off (совместимость).
 # GIT_VERIFY_MODE="tag"
 # 1 = разрешить git reset --hard при расхождении истории (только ручной/CI; риск).
 # GIT_ALLOW_RESET="0"
 # Порог устаревания heartbeat для watchdog (сек): интервал + 1 ч запас (240 мин → 18000).
 WATCHDOG_MAX_HEARTBEAT_AGE="18000"
 WATCHDOG_LOG_FILE="/var/log/ssh_monitor_watchdog.log"
@@ -3,8 +3,13 @@
 # === Конфигурация скрипта ===
 UPDATE_DIR="/opt/scripts/update"
 SCRIPT_NAME="ssh-monitor"
-REPO_URL="${REPO_URL:-https://git.kalinamall.ru/PapaTramp/ssh-monitor.git}"
+REPO_URL="${REPO_URL:-}"
 GIT_BRANCH="${GIT_BRANCH:-main}"
 GIT_REF="${GIT_REF:-}"
 GIT_VERIFY_MODE="${GIT_VERIFY_MODE:-off}"
 GIT_ALLOW_RESET="${GIT_ALLOW_RESET:-0}"
 MANIFEST_VERIFIED=0
 MANIFEST_STRICT=0
 LOCAL_SCRIPT_PATH="/usr/local/bin/ssh-monitor"
 LOG_FILE="/var/log/update_script.log"
@@ -23,6 +28,8 @@ SUMMARY_GIT="—"
 SUMMARY_SERVICE_RESTART="—"
 SUMMARY_UPDATER="—"
 SUMMARY_WATCHDOG="—"
 SUMMARY_HARDENING="—"
 SUMMARY_MANIFEST="—"
 CONFIG_FILE="/etc/ssh-monitor.conf"
 DEPLOY_INSTALL_PATH="/opt/scripts/update_ssh_monitor.sh"
@@ -76,10 +83,34 @@ update_ssh_monitor.sh — обновление или первичная уст
 При первой установке создаётся /etc/ssh-monitor.conf из example.
 При обновлении в существующий конфиг дописываются отсутствующие SAC-переменные
-и выставляется UseSAC=fallback (Telegram/SMTP не перезаписываются).
+и обязательные ключи безопасности (CONFIG_STRICT_PERMS, SAC_TLS_INSECURE и т.д.);
 выставляется UseSAC=fallback (Telegram/SMTP не перезаписываются).
 На каждом прогоне автоматически выставляются chmod/chown на конфиг, spool и state-файлы
 (основной сценарий — кнопка «Обновить» в SAC; cron/timer — опционально).
 Переменная REPO_URL обязательна (export, SAC или Environment= в systemd/cron).
 EOF
 }
 require_repo_url() {
    if [ -n "${REPO_URL:-}" ]; then
        return 0
    fi
    local msg="ERROR: REPO_URL не задан. Задайте export REPO_URL=https://git.kalinamall.ru/PapaTramp/ssh-monitor.git или Environment=REPO_URL=... в systemd unit / cron."
    echo "$msg" >&2
    mkdir -p "$(dirname "$LOG_FILE")" 2>/dev/null || true
    echo "$(date '+%Y-%m-%d %H:%M:%S') ERROR: REPO_URL не задан" >>"$LOG_FILE" 2>/dev/null || true
    exit 1
 }
 default_required_config_value() {
    case "$1" in
        CONFIG_STRICT_PERMS) printf '0' ;;
        SAC_TLS_INSECURE) printf '0' ;;
        *) printf '' ;;
    esac
 }
 # Ключи SAC: дописываются из ssh-monitor.conf.example, если отсутствуют в /etc.
 SAC_CONFIG_KEYS=(
    UseSAC
@@ -94,6 +125,12 @@ SAC_CONFIG_KEYS=(
 )
 SAC_USE_MODE_DEFAULT="fallback"
 # Обязательные ключи конфига (добавляются updater'ом, если отсутствуют).
 REQUIRED_CONFIG_KEYS=(
    CONFIG_STRICT_PERMS
    SAC_TLS_INSECURE
 )
 find_ssh_monitor_conf_example() {
    local example="$UPDATE_DIR/$SCRIPT_NAME/ssh-monitor.conf.example"
    if [ -f "$example" ]; then
@@ -155,6 +192,7 @@ ensure_ssh_monitor_config_file() {
        return 1
    fi
    chmod 600 "$CONFIG_FILE" 2>/dev/null || true
    chown root:root "$CONFIG_FILE" 2>/dev/null || true
    CONFIG_CHANGED=1
    return 0
 }
@@ -235,12 +273,146 @@ sync_sac_config_keys() {
    return 0
 }
 sync_required_config_keys() {
    local file="$CONFIG_FILE"
    local example backed_up=0
    local key val changed=0
    [ -f "$file" ] || return 1
    example=$(find_ssh_monitor_conf_example) || example=""
    for key in "${REQUIRED_CONFIG_KEYS[@]}"; do
        if config_key_exists "$key" "$file"; then
            continue
        fi
        val="$(config_example_value "$key" "$example")"
        if [ -z "$val" ]; then
            val="$(default_required_config_value "$key")"
        fi
        backup_config_if_needed "$file" backed_up
        if ! grep -qE '^[[:space:]]*# --- Security / updater ---' "$file" 2>/dev/null; then
            printf '\n# --- Security / updater (добавлено update_ssh_monitor.sh) ---\n' >>"$file"
        fi
        set_config_kv "$key" "$val" "$file"
        log_message "INFO" "Config $file: добавлен обязательный ${key}=${val}"
        changed=1
    done
    if [ "$changed" -eq 0 ]; then
        return 1
    fi
    CONFIG_CHANGED=1
    return 0
 }
 harden_ssh_monitor_config_perms() {
    [ -f "$CONFIG_FILE" ] || return 0
    chmod 600 "$CONFIG_FILE" 2>/dev/null || true
    chown root:root "$CONFIG_FILE" 2>/dev/null || true
 }
 load_ssh_monitor_perms_lib() {
    local p candidates=()
    candidates+=("${LOCAL_SCRIPT_PATH%/*}/ssh-monitor-perms.sh")
    candidates+=("$UPDATE_DIR/$SCRIPT_NAME/ssh-monitor-perms.sh")
    for p in "${candidates[@]}"; do
        if [ -f "$p" ]; then
            # shellcheck source=/dev/null
            source "$p"
            return 0
        fi
    done
    return 1
 }
 # SAC-first: при каждом обновлении (SAC, cron или вручную) выставляет chmod/chown на конфиг,
 # spool, счётчики SAC и state-файлы из /etc/ssh-monitor.conf — без участия админа.
 apply_runtime_security_hardening() {
    local spool fail_count agent_id path key
    local -a state_keys defaults
    local i=0
    log_action "security: применение прав (конфиг, spool, state) — основной путь через SAC/update"
    harden_ssh_monitor_config_perms
    chmod 750 "$DEPLOY_INSTALL_PATH" 2>/dev/null || true
    chown root:root "$DEPLOY_INSTALL_PATH" 2>/dev/null || true
    if ! load_ssh_monitor_perms_lib; then
        log_action "WARNING: ssh-monitor-perms.sh недоступен — только chmod конфига и базовых каталогов"
        mkdir -p /var/lib/ssh-monitor "$SAC_SPOOL_DIR_DEFAULT" 2>/dev/null || true
        chmod 700 /var/lib/ssh-monitor "$SAC_SPOOL_DIR_DEFAULT" 2>/dev/null || true
        chown root:root /var/lib/ssh-monitor "$SAC_SPOOL_DIR_DEFAULT" 2>/dev/null || true
        SUMMARY_HARDENING="частично (нет perms lib)"
        return 0
    fi
    ssh_monitor_secure_dir "/var/lib/ssh-monitor"
    spool="$(config_conf_value SAC_SPOOL_DIR "$CONFIG_FILE" 2>/dev/null || echo "$SAC_SPOOL_DIR_DEFAULT")"
    fail_count="$(config_conf_value SAC_FAIL_COUNT_FILE "$CONFIG_FILE" 2>/dev/null || echo "/var/lib/ssh-monitor/sac-fail.count")"
    agent_id="$(config_conf_value SAC_AGENT_ID_FILE "$CONFIG_FILE" 2>/dev/null || echo "/var/lib/ssh-monitor/agent_instance_id")"
    ssh_monitor_harden_path "$spool"
    ssh_monitor_harden_path "$fail_count"
    ssh_monitor_harden_path "$agent_id"
    state_keys=(
        LAST_HEARTBEAT_FILE
        LAST_REPORT_FILE
        LAST_SSH_CHECK_FILE
        LAST_SUDO_CHECK_FILE
        LAST_SECURITY_EVENTS_FILE
        LAST_LOGIND_CHECK_FILE
        BAN_LIST_FILE
        HEALTHCHECK_STATUS_FILE
    )
    defaults=(
        /var/log/last_heartbeat.txt
        /var/log/last_daily_report.txt
        /var/log/last_ssh_check
        /var/log/last_sudo_check
        /var/log/last_security_events_check
        /var/log/last_logind_check
        /var/log/ssh_bans.txt
        ""
    )
    for key in "${state_keys[@]}"; do
        path="$(config_conf_value "$key" "$CONFIG_FILE" 2>/dev/null || true)"
        if [ -z "$path" ]; then
            path="${defaults[$i]}"
        fi
        if [ -n "$path" ]; then
            ssh_monitor_harden_path "$path"
        fi
        i=$((i + 1))
    done
    if [ -f /etc/ssh_monitor_whitelist.txt ]; then
        ssh_monitor_harden_path /etc/ssh_monitor_whitelist.txt
    fi
    SUMMARY_HARDENING="права применены"
    log_action "security: runtime paths hardened (spool, state, config)"
 }
 maybe_enable_deploy_for_missing_install() {
    if [ "$DEPLOY_MODE" -eq 1 ]; then
        return 0
    fi
    if [ -f "$LOCAL_SCRIPT_PATH" ]; then
        return 0
    fi
    log_action "ssh-monitor не найден в $LOCAL_SCRIPT_PATH — автоматический режим --deploy"
    DEPLOY_MODE=1
 }
 set_config_kv() {
-    local key="$1" val="$2" file="$3"
+    local key="$1" val="$2" file="$3" esc
    esc=$(printf '%s' "$val" | sed -e 's/[\\&/]/\\&/g' -e 's/"/\\"/g')
    if grep -qE "^[[:space:]]*${key}=" "$file" 2>/dev/null; then
-        sed -i -E "s/^[[:space:]]*${key}=.*/${key}=\"${val}\"/" "$file"
+        sed -i -E "s/^[[:space:]]*${key}=.*/${key}=\"${esc}\"/" "$file"
    else
-        printf '%s="%s"\n' "$key" "$val" >>"$file"
+        printf '%s="%s"\n' "$key" "$esc" >>"$file"
    fi
 }
@@ -454,44 +626,238 @@ resolve_git_remote_name() {
    printf '%s' "$name"
 }
-# fetch + ff-only pull; при расхождении истории (force-push) — reset --hard.
+load_git_verify_settings() {
    local v
    if [ -f "$CONFIG_FILE" ]; then
        if [ -z "${GIT_REF:-}" ]; then
            v=$(config_conf_value GIT_REF "$CONFIG_FILE" 2>/dev/null || true)
            [ -n "$v" ] && GIT_REF="$v"
        fi
        if [ -z "${GIT_VERIFY_MODE:-}" ] || [ "$GIT_VERIFY_MODE" = "off" ]; then
            v=$(config_conf_value GIT_VERIFY_MODE "$CONFIG_FILE" 2>/dev/null || true)
            [ -n "$v" ] && GIT_VERIFY_MODE="$v"
        fi
        if [ "${GIT_ALLOW_RESET:-0}" = "0" ]; then
            v=$(config_conf_value GIT_ALLOW_RESET "$CONFIG_FILE" 2>/dev/null || true)
            [ -n "$v" ] && GIT_ALLOW_RESET="$v"
        fi
    fi
    GIT_VERIFY_MODE="$(printf '%s' "${GIT_VERIFY_MODE:-off}" | tr '[:upper:]' '[:lower:]')"
    case "$GIT_VERIFY_MODE" in
        off | tag | commit) ;;
        *)
            log_action "WARN: GIT_VERIFY_MODE=$GIT_VERIFY_MODE неизвестен — off"
            GIT_VERIFY_MODE=off
            ;;
    esac
    case "${GIT_ALLOW_RESET:-0}" in
        1 | yes | true | on) GIT_ALLOW_RESET=1 ;;
        *) GIT_ALLOW_RESET=0 ;;
    esac
    case "${RELEASE_MANIFEST_STRICT:-0}" in
        1 | yes | true | on) MANIFEST_STRICT=1 ;;
        *) MANIFEST_STRICT=0 ;;
    esac
 }
 verify_git_ref() {
    local repo="$1" ref="$2" mode="$3"
    local obj_type full
    [ "$mode" = "off" ] && return 0
    [ -n "$ref" ] || {
        log_action "ERROR: GIT_VERIFY_MODE=$mode требует GIT_REF"
        return 1
    }
    case "$mode" in
        tag)
            if ! git -C "$repo" rev-parse "refs/tags/$ref" >/dev/null 2>&1; then
                log_action "ERROR: GIT_REF=$ref не найден как тег в клоне"
                return 1
            fi
            obj_type=$(git -C "$repo" cat-file -t "refs/tags/$ref" 2>/dev/null || true)
            if [ "$obj_type" != "tag" ] && [ "$obj_type" != "commit" ]; then
                log_action "ERROR: GIT_REF=$ref: неожиданный тип объекта ($obj_type)"
                return 1
            fi
            log_action "git verify: тег $ref OK (type=$obj_type)"
            ;;
        commit)
            full=$(git -C "$repo" rev-parse "$ref^{commit}" 2>/dev/null || true)
            if [ -z "$full" ] || [ "${#full}" -ne 40 ]; then
                log_action "ERROR: GIT_REF=$ref не является полным commit SHA"
                return 1
            fi
            log_action "git verify: commit ${full:0:12}… OK"
            ;;
    esac
    return 0
 }
 find_release_manifest_path() {
    local repo="$1" version="$2"
    local p="$repo/release/manifest-${version}.json"
    if [ -f "$p" ]; then
        printf '%s\n' "$p"
        return 0
    fi
    return 1
 }
 read_repo_release_version() {
    local repo="$1" ver
    ver=$(read_ssh_monitor_version "$repo/ssh-monitor")
    if [ -z "$ver" ] && [ -f "$repo/version.txt" ]; then
        ver=$(tr -d '\r\n' <"$repo/version.txt")
    fi
    printf '%s' "$ver"
 }
 verify_release_manifest() {
    local repo="$1" version manifest_path rc
    MANIFEST_VERIFIED=0
    version=$(read_repo_release_version "$repo")
    if [ -z "$version" ]; then
        SUMMARY_MANIFEST="версия не определена"
        log_action "WARN: не удалось определить версию релиза для manifest"
        [ "$MANIFEST_STRICT" -eq 1 ] && return 1
        return 0
    fi
    manifest_path=$(find_release_manifest_path "$repo" "$version" 2>/dev/null || true)
    if [ -z "$manifest_path" ]; then
        SUMMARY_MANIFEST="manifest-${version}.json не найден (skip)"
        log_action "WARN: release/manifest-${version}.json не найден — проверка SHA пропущена"
        if [ "$MANIFEST_STRICT" -eq 1 ]; then
            log_action "ERROR: RELEASE_MANIFEST_STRICT=1 — manifest обязателен"
            return 1
        fi
        return 0
    fi
    log_action "manifest: проверка $manifest_path"
    if ! MANIFEST_PATH="$manifest_path" REPO_DIR="$repo" python3 <<'PY' >>"$LOG_FILE" 2>&1
 import hashlib
 import json
 import os
 import subprocess
 import sys
 manifest_path = os.environ["MANIFEST_PATH"]
 repo = os.environ["REPO_DIR"]
 with open(manifest_path, encoding="utf-8") as f:
    manifest = json.load(f)
 expected_commit = (manifest.get("git_commit") or "").strip()
 if expected_commit:
    actual = subprocess.check_output(["git", "-C", repo, "rev-parse", "HEAD"], text=True).strip()
    if actual != expected_commit:
        print(f"commit mismatch: HEAD={actual[:12]} manifest={expected_commit[:12]}", file=sys.stderr)
        sys.exit(2)
 files = manifest.get("files") or {}
 for rel, spec in files.items():
    path = os.path.join(repo, rel)
    if not os.path.isfile(path):
        print(f"missing file: {rel}", file=sys.stderr)
        sys.exit(3)
    want = str(spec).removeprefix("sha256:")
    h = hashlib.sha256()
    with open(path, "rb") as fh:
        for chunk in iter(lambda: fh.read(1024 * 1024), b""):
            h.update(chunk)
    got = h.hexdigest()
    if got != want:
        print(f"sha256 mismatch: {rel}", file=sys.stderr)
        sys.exit(4)
 print("OK")
 PY
    then
        SUMMARY_MANIFEST="ОШИБКА verify"
        log_action "ERROR: manifest verify failed (см. $LOG_FILE)"
        return 1
    fi
    MANIFEST_VERIFIED=1
    SUMMARY_MANIFEST="OK ($version)"
    log_action "manifest: verify OK ($version)"
    return 0
 }
 # fetch + checkout GIT_REF или fast-forward по GIT_BRANCH; без reset --hard (кроме GIT_ALLOW_RESET=1).
 sync_git_repository() {
    local repo="$1" branch="${2:-main}"
-    local remote upstream git_before git_after
+    local remote upstream git_before git_after ref="${GIT_REF:-}"
    remote="$(resolve_git_remote_name "$repo")"
    upstream="${remote}/${branch}"
    if [ -f "$repo/.git/MERGE_HEAD" ]; then
        log_action "git: незавершённый merge — abort"
-        git -C "$repo" merge --abort >> "$LOG_FILE" 2>&1 || true
+        git -C "$repo" merge --abort >>"$LOG_FILE" 2>&1 || true
    fi
    git_before="$(get_git_short_rev "$repo")"
    if [ -n "$ref" ]; then
        log_action "git: fetch $remote (ref=$ref, verify=$GIT_VERIFY_MODE) → $REPO_URL"
        if ! git -C "$repo" fetch --prune "$remote" \
            "+refs/heads/*:refs/remotes/${remote}/*" \
            "+refs/tags/*:refs/tags/*" >>"$LOG_FILE" 2>&1; then
            SUMMARY_GIT="fetch FAILED ($git_before)"
            log_action "ERROR: git fetch failed (см. $LOG_FILE)"
            return 1
        fi
        if ! verify_git_ref "$repo" "$ref" "$GIT_VERIFY_MODE"; then
            SUMMARY_GIT="verify FAILED ($ref)"
            return 1
        fi
        if ! git -C "$repo" checkout -f "$ref" >>"$LOG_FILE" 2>&1; then
            SUMMARY_GIT="checkout FAILED ($ref)"
            log_action "ERROR: git checkout $ref failed (см. $LOG_FILE)"
            return 1
        fi
        git_after="$(get_git_short_rev "$repo")"
        SUMMARY_GIT="checkout $ref ok, $git_before → $git_after"
        log_action "git: checkout $ref OK ($git_before → $git_after)"
        return 0
    fi
    log_action "git: fetch --prune $remote $branch (было $git_before) → $REPO_URL"
-    if ! git -C "$repo" fetch --prune "$remote" "$branch" >> "$LOG_FILE" 2>&1; then
+    if ! git -C "$repo" fetch --prune "$remote" "$branch" >>"$LOG_FILE" 2>&1; then
        SUMMARY_GIT="fetch FAILED ($git_before)"
        log_action "ERROR: git fetch failed (см. $LOG_FILE)"
        return 1
    fi
-    if git -C "$repo" pull --ff-only "$remote" "$branch" >> "$LOG_FILE" 2>&1; then
+    if git -C "$repo" pull --ff-only "$remote" "$branch" >>"$LOG_FILE" 2>&1; then
        git_after="$(get_git_short_rev "$repo")"
        SUMMARY_GIT="pull ok, $git_before → $git_after"
        log_action "git: fast-forward OK ($git_before → $git_after)"
        return 0
    fi
-    log_action "WARN: fast-forward невозможен (часто после force-push) — reset --hard $upstream"
+    if [ "$GIT_ALLOW_RESET" -eq 1 ]; then
-    if ! git -C "$repo" reset --hard "$upstream" >> "$LOG_FILE" 2>&1; then
+        log_action "WARN: fast-forward невозможен — GIT_ALLOW_RESET=1, reset --hard $upstream"
-        SUMMARY_GIT="reset FAILED ($git_before)"
+        if ! git -C "$repo" reset --hard "$upstream" >>"$LOG_FILE" 2>&1; then
-        log_action "ERROR: git reset --hard $upstream failed (см. $LOG_FILE)"
+            SUMMARY_GIT="reset FAILED ($git_before)"
-        return 1
+            log_action "ERROR: git reset --hard $upstream failed (см. $LOG_FILE)"
            return 1
        fi
        git_after="$(get_git_short_rev "$repo")"
        SUMMARY_GIT="reset ok, $git_before → $git_after"
        log_action "git reset --hard: $git_before → $git_after"
        return 0
    fi
-    git_after="$(get_git_short_rev "$repo")"
+
-    SUMMARY_GIT="reset ok, $git_before → $git_after"
+    SUMMARY_GIT="diverged ($git_before)"
-    log_action "git reset --hard: $git_before → $git_after"
+    log_action "ERROR: git: история разошлась (ff-only невозможен). Ручной clone или GIT_ALLOW_RESET=1"
-    return 0
+    echo "ERROR: git pull --ff-only failed; история разошлась. Исправьте клон в $repo или задайте GIT_ALLOW_RESET=1 (риск)." >&2
    return 1
 }
 read_ssh_monitor_version() {
@@ -539,6 +905,8 @@ log_update_summary() {
    log_action "git: $SUMMARY_GIT"
    log_action "updater ($DEPLOY_INSTALL_PATH): $SUMMARY_UPDATER"
    log_action "watchdog: $SUMMARY_WATCHDOG"
    log_action "security hardening: $SUMMARY_HARDENING"
    log_action "manifest: $SUMMARY_MANIFEST"
    log_action "перезапуск ssh-monitor.service: $SUMMARY_SERVICE_RESTART"
    log_action "полный лог: $LOG_FILE"
    log_action "==========================="
@@ -776,6 +1144,38 @@ sync_sac_client() {
    return 0
 }
 find_ssh_monitor_perms_remote() {
    local p="$UPDATE_DIR/$SCRIPT_NAME/ssh-monitor-perms.sh"
    if [ -f "$p" ]; then
        printf '%s\n' "$p"
        return 0
    fi
    return 1
 }
 sync_ssh_monitor_perms_lib() {
    local remote local_dst remote_sum local_sum=""
    remote=$(find_ssh_monitor_perms_remote) || {
        log_action "WARNING: ssh-monitor-perms.sh не найден в клоне git"
        return 0
    }
    local_dst="${LOCAL_SCRIPT_PATH%/*}/ssh-monitor-perms.sh"
    remote_sum=$(file_sha256 "$remote")
    if [ -f "$local_dst" ]; then
        local_sum=$(file_sha256 "$local_dst")
        if [ "$local_sum" = "$remote_sum" ]; then
            return 0
        fi
    fi
    if ! cp "$remote" "$local_dst"; then
        log_action "ERROR: не удалось скопировать ssh-monitor-perms.sh"
        return 1
    fi
    chmod 644 "$local_dst"
    log_action "ssh-monitor-perms.sh обновлён → $local_dst"
    return 0
 }
 find_remote_ssh_monitor_path() {
    local repo="$UPDATE_DIR/$SCRIPT_NAME"
    local candidates=() git_path="" found="" p
@@ -854,7 +1254,10 @@ install_ssh_monitor_from() {
 deploy_prepare_dirs() {
    say_step "Каталоги"
-    mkdir -p "$UPDATE_DIR" /opt/scripts /var/log "$SAC_SPOOL_DIR_DEFAULT" /var/lib/ssh-monitor 2>/dev/null || true
+    mkdir -p "$UPDATE_DIR" /opt/scripts /var/log /var/lib/ssh-monitor 2>/dev/null || true
    mkdir -p "$SAC_SPOOL_DIR_DEFAULT" 2>/dev/null || true
    chmod 700 "$SAC_SPOOL_DIR_DEFAULT" 2>/dev/null || true
    chown root:root "$SAC_SPOOL_DIR_DEFAULT" 2>/dev/null || true
    say_ok "UPDATE_DIR=$UPDATE_DIR, spool=$SAC_SPOOL_DIR_DEFAULT"
 }
@@ -862,9 +1265,11 @@ deploy_install_config() {
    say_step "Конфигурация"
    ensure_ssh_monitor_config_file || return 1
    sync_sac_config_keys || true
    sync_required_config_keys || true
    sync_heartbeat_interval_config || true
    sync_server_ipv4_hint_config || true
    sync_daily_report_enabled_config || true
    apply_runtime_security_hardening
 }
 deploy_install_systemd() {
@@ -1067,6 +1472,7 @@ deploy_post_install() {
 sync_installed_updater_from_clone() {
    local remote="$UPDATE_DIR/$SCRIPT_NAME/update_ssh_monitor.sh"
    local self installed_path remote_sum installed_sum=""
    local repo="$UPDATE_DIR/$SCRIPT_NAME" ver manifest_path=""
    if [ ! -f "$remote" ]; then
        SUMMARY_UPDATER="не найден в клоне"
@@ -1074,6 +1480,16 @@ sync_installed_updater_from_clone() {
        return 0
    fi
    ver=$(read_repo_release_version "$repo")
    if [ -n "$ver" ]; then
        manifest_path=$(find_release_manifest_path "$repo" "$ver" 2>/dev/null || true)
        if [ -n "$manifest_path" ] && [ "${MANIFEST_VERIFIED:-0}" != "1" ]; then
            SUMMARY_UPDATER="manifest не verified"
            log_action "ERROR: updater: $manifest_path не verified — копирование пропущено"
            return 1
        fi
    fi
    self="$(readlink -f "$0" 2>/dev/null || realpath "$0" 2>/dev/null || printf '%s' "$0")"
    installed_path="$(readlink -f "$DEPLOY_INSTALL_PATH" 2>/dev/null || realpath "$DEPLOY_INSTALL_PATH" 2>/dev/null || printf '%s' "$DEPLOY_INSTALL_PATH")"
    remote_sum=$(file_sha256 "$remote")
@@ -1115,6 +1531,14 @@ restart_ssh_monitor_service() {
            SUMMARY_SERVICE_RESTART="выполнен"
            log_action "ssh-monitor.service перезапущен"
            debug_step "Сервис успешно перезапущен"
            local i
            for i in $(seq 1 30); do
                if systemctl is-active --quiet ssh-monitor.service 2>/dev/null; then
                    sleep 2
                    break
                fi
                sleep 1
            done
        else
            SUMMARY_SERVICE_RESTART="не удался"
            log_action "WARNING: systemctl restart ssh-monitor.service не выполнен"
@@ -1140,9 +1564,13 @@ update_script() {
    SUMMARY_SAC_REASON="—"
    SUMMARY_CONFIG="—"
    SUMMARY_GIT="—"
    SUMMARY_HARDENING="—"
    SUMMARY_MANIFEST="—"
    SUMMARY_SERVICE_RESTART="не требовался"
-    log_action "Старт обновления (deploy=$DEPLOY_MODE, debug=$DEBUG)"
+    load_git_verify_settings
    load_ssh_monitor_perms_lib || true
    log_action "Старт обновления (deploy=$DEPLOY_MODE, debug=$DEBUG, git_ref=${GIT_REF:-$GIT_BRANCH})"
    debug_step "Запуск функции обновления скрипта"
    debug_step "Гарантируем наличие директории для работы"
@@ -1171,9 +1599,10 @@ update_script() {
            log_action "WARNING: git sync не удался — remote в клоне может быть устаревшим"
        fi
    else
-        log_action "git: clone $REPO_URL → $UPDATE_DIR/$SCRIPT_NAME"
+        local clone_ref="${GIT_REF:-$GIT_BRANCH}"
-        debug_step "Выполняем git clone $REPO_URL $SCRIPT_NAME"
+        log_action "git: clone -b $clone_ref $REPO_URL → $UPDATE_DIR/$SCRIPT_NAME"
-        if ! git clone -b "$GIT_BRANCH" "$REPO_URL" "$SCRIPT_NAME" >> "$LOG_FILE" 2>&1; then
+        debug_step "Выполняем git clone -b $clone_ref $REPO_URL $SCRIPT_NAME"
        if ! git clone -b "$clone_ref" "$REPO_URL" "$SCRIPT_NAME" >>"$LOG_FILE" 2>&1; then
            SUMMARY_GIT="clone FAILED"
            SUMMARY_SCRIPT="ошибка"
            SUMMARY_SCRIPT_REASON="git clone failed"
@@ -1181,11 +1610,25 @@ update_script() {
            log_update_summary
            return 1
        fi
        if [ -n "${GIT_REF:-}" ] && ! verify_git_ref "$git_repo" "$GIT_REF" "$GIT_VERIFY_MODE"; then
            SUMMARY_GIT="verify FAILED ($GIT_REF)"
            SUMMARY_SCRIPT="ошибка"
            SUMMARY_SCRIPT_REASON="GIT_REF verify failed"
            log_update_summary
            return 1
        fi
        git_after="$(get_git_short_rev "$git_repo")"
        SUMMARY_GIT="clone ok, commit $git_after"
        log_action "git clone: успех (commit $git_after)"
    fi
    if ! verify_release_manifest "$git_repo"; then
        SUMMARY_SCRIPT="ошибка"
        SUMMARY_SCRIPT_REASON="manifest verify failed"
        log_update_summary
        return 1
    fi
    sync_installed_updater_from_clone "$@"
    actual_script_path="$(find_remote_ssh_monitor_path 2>/dev/null || true)"
@@ -1201,6 +1644,7 @@ update_script() {
        log_update_summary
        return 1
    fi
    sync_ssh_monitor_perms_lib || true
    WATCHDOG_CHANGED=0
    if ! ensure_watchdog_installed; then
@@ -1217,9 +1661,11 @@ update_script() {
    else
        SUMMARY_CONFIG="SAC без изменений"
    fi
    sync_required_config_keys && SUMMARY_CONFIG="${SUMMARY_CONFIG}; security keys"
    sync_heartbeat_interval_config || true
    sync_server_ipv4_hint_config || true
    sync_daily_report_enabled_config || true
    harden_ssh_monitor_config_perms
    if [ "${CONFIG_CHANGED:-0}" -eq 1 ] && [ "$SUMMARY_CONFIG" = "SAC без изменений" ]; then
        SUMMARY_CONFIG="heartbeat/watchdog выровнены"
    elif [ "${CONFIG_CHANGED:-0}" -eq 1 ] && [ "$SUMMARY_CONFIG" != "SAC без изменений" ]; then
@@ -1288,6 +1734,8 @@ update_script() {
        script_changed=1
    fi
    apply_runtime_security_hardening
    if [ "$script_changed" -eq 1 ] || [ "${SAC_CLIENT_CHANGED:-0}" -eq 1 ] || [ "${CONFIG_CHANGED:-0}" -eq 1 ]; then
        restart_ssh_monitor_service
    else
@@ -1303,6 +1751,12 @@ update_script() {
 parse_command_line "$@"
 deploy_require_root
 require_repo_url
 load_ssh_monitor_perms_lib || true
 if declare -F ssh_monitor_update_mark_begin >/dev/null 2>&1; then
    ssh_monitor_update_mark_begin
 fi
 if [ "$DEPLOY_MODE" -eq 1 ]; then
    printf '\n=== ssh-monitor: первичная установка (--deploy) ===\n'
@@ -1322,11 +1776,22 @@ if ! ensure_directories; then
    exit 1
 fi
-debug_step "Начинаем проверку и установку ipset (КРИТИЧЕСКИЙ ШАГ)"
+maybe_enable_deploy_for_missing_install
-if ! ensure_ipset_installed; then
+
-    log_message "ERROR" "CRITICAL: ipset installation or verification failed"
+cleanup_update_state() {
-    echo "ERROR: Работа обновленного скрипта невозможна без установленного ipset" >&2
+    if declare -F ssh_monitor_update_mark_end >/dev/null 2>&1; then
-    exit 1
+        ssh_monitor_update_mark_end
    fi
 }
 trap cleanup_update_state EXIT
 debug_step "Начинаем проверку и установку ipset (только --deploy / first_deploy)"
 if [ "$DEPLOY_MODE" -eq 1 ]; then
    if ! ensure_ipset_installed; then
        log_message "ERROR" "CRITICAL: ipset installation or verification failed"
        echo "ERROR: Работа deploy невозможна без установленного ipset" >&2
        exit 1
    fi
 fi
 update_script "$@"
@@ -1 +1 @@
-2.1.6-SAC
+2.3.2-SAC
Author	SHA1	Message	Date
PapaTramp	b0abf99d1b	feat: suppress sac-fail.count on shutdown (2.3.2-SAC) Phase 4.2: SAC_SUPPRESS_FAIL_COUNT during lifecycle shutdown so restart during SAC deploy does not trip Telegram fallback. Add docs/sac-ingest.ru.md for SAC_TIMEOUT_SEC guidance, smoke test, and release manifest.	2026-07-08 14:12:25 +10:00
PapaTramp	05733d7402	fix: WHITELIST_IPS validation and CSV load (2.3.1-SAC) Parse whitelist from config via peek; validate IPv4 octets with BASH_REMATCH and 10# arithmetic.	2026-07-08 13:03:40 +10:00
PapaTramp	18a65078fc	feat: safe config parser without source (2.3.0-SAC) Whitelist-based /etc/ssh-monitor.conf load; validate URLs/enums/CIDR; remove BACKUP_WEBHOOK_URL.	2026-07-08 12:57:36 +10:00
PapaTramp	6511d34ca7	fix: suppress sudo Telegram during SAC agent update (2.2.3-SAC) Whitelist SAC maintenance commands in ssh-monitor-perms and monitor_sudo; pre-commit uses working python on Windows.	2026-07-08 12:25:06 +10:00
PapaTramp	440577ac5a	chore: install-git-hooks.ps1 for Windows	2026-07-08 12:14:11 +10:00
PapaTramp	5ac4792c3c	chore: auto manifest on version bump; local manual script only contrib/manifest/generate.py + pre-commit hook; install-git-hooks.sh creates .local/build-release-manifest.sh (gitignored). Remove scripts/ from remote.	2026-07-08 12:05:21 +10:00
PapaTramp	0399a6d384	fix: manifest SHA256 from git blobs (CRLF/LF) — release 2.2.2-SAC Manifest was hashed from Windows working tree while Linux checkout uses git blobs; verify failed with sha256 mismatch. build-release-manifest.sh now hashes :index/HEAD; .gitattributes enforces LF for agent scripts.	2026-07-08 12:00:51 +10:00
PapaTramp	6df83f1838	feat: release 2.2.1-SAC — phase 2 manifest verify and quiet SAC updates Pinned GIT_REF/verify, release manifest, no blind reset --hard; suppress lifecycle and watchdog Telegram during updater; healthcheck via json.dumps.	2026-07-08 11:48:34 +10:00
PapaTramp	275d305d62	feat: watchdog Telegram shows server name (2.1.9-SAC) Add shared server label helpers in ssh-monitor-perms.sh; roadmap marks phase 1 done and phase 2.2.0 as next release. Co-authored-by: Cursor <cursoragent@cursor.com>	2026-07-08 11:28:57 +10:00
PapaTramp	2048162057	feat: release 2.1.8-SAC — security phase 1 and SAC-first update hardening Updater applies chmod/chown on config, spool and state paths on every run. SAC is the primary update path; optional cron uses the same behavior. Co-authored-by: Cursor <cursoragent@cursor.com>	2026-07-08 09:44:24 +10:00
PapaTramp	ec0857b8f2	docs: security roadmap по аудиту (фазы 1–4, чек-лист)	2026-07-07 20:57:45 +10:00
PapaTramp	732f32559a	fix: harden push-github-snapshot URL rewrite and README header	2026-07-07 20:28:59 +10:00
PapaTramp	141a841f6f	docs: sync README version 2.1.6-SAC; add push-github-snapshot.sh	2026-07-07 20:27:44 +10:00