Реализован production-hardening по fix1: env/reconfigure, IPv4-only, TLS, secrets, firewall, docs

docs/11-testing-and-acceptance.md

@@ -25,21 +25,26 @@
 3. bundled HY2XS admin раскладывается локально из пакета
 4. создаются нужные каталоги
 5. создаются systemd unit-файлы
-6. создаётся `post-install.env`
-7. baseline firewall применяется корректно
+6. создаются `hy2xs.env` и `post-install.env` с правами `0600`
+7. baseline firewall применяется корректно через staged mode
 8. SSH остаётся доступным
+9. `reconfigure --dry-run` выводит план изменений
+10. `reconfigure --apply` применяет изменения и проходит smoke
 
 ## C. Runtime tests
 
 1. `hysteria-server` active
 2. `hy2xs-admin` active
-3. UDP-порт слушается
-4. HY2XS admin открывается по ожидаемому admin path
+3. Hysteria слушает только IPv4 (`0.0.0.0:<udp_port>`)
+4. HY2XS admin слушает ожидаемый `HY2XS_UI_BIND_HOST:<ui_port>`
 5. тестовый совместимый клиент подключается
 6. идёт реальный трафик
 7. лимит 50/50 Mbps соблюдается при согласованной клиентской конфигурации
 8. reboot не ломает baseline
 9. Hysteria2 управляется systemd unit, а не внутренним updater'ом admin panel
+10. нет IPv6 listen (`[::]`) для Hysteria/HY2XS admin
+11. `trafficStats.secret` не равен `JWT_SECRET`
+12. bootstrap admin secret существует и имеет `0600`
 
 ## D. Negative tests
 
@@ -51,6 +56,8 @@
 6. Hysteria upstream недоступен
 7. firewall применился частично
 8. install flow прерван посередине
+9. попытка использовать `HY2XS_IPV6_ENABLED=true`
+10. `HY2XS_PUBLIC_HOST=0.0.0.0`
 
 ## Acceptance criteria
 
@@ -64,3 +71,5 @@
 6. оркестратор зафиксирован как Bun/TypeScript stack и поставляется как готовый install-артефакт
 7. оркестратор не требует update / rollback / uninstall логики
 8. Telegram/access layer не требуется для прохождения install acceptance
+9. отсутствует production path для port hopping
+10. UI не запускается от root