fix(admin): вход в панель падал на теге правила, пережившего переименование

RC2 на чистом Debian 13 завершался INSTALL EXIT CODE: 0 при полностью
недоступной панели. На LoginDto.Username стоял тег `validateStr` — правило с
таким именем не регистрировалось: при переименовании в `credentialStr` правка
не доехала до одного файла, оставив мёртвую регистрацию и живую ссылку на
несуществующее имя. go-playground/validator на неизвестный тег ПАНИКУЕТ при
разборе структуры, то есть до всякой проверки логина и пароля, а gin.Recovery
превращал панику в HTTP 500 на каждый POST /api/auth/login.

Дефект пережил 311 Go-тестов, и это главное, что здесь чинится. Проверялся сам
регексп, в обход валидатора, а обработчика входа не касался ни один тест.
Очевидная замена не помогла бы: цепочка правил поля обрывается на первом
несработавшем, поэтому нулевое DTO отказывает по `required` и до испорченного
тега не доходит. Теперь TestEveryValidationTagIsRegistered обходит исходники
apps/model/**, вытаскивает каждый тег `validate:"…"` и предъявляет его
валидатору отдельно — незарегистрированное правило паникует так же, как в бою,
но на сборке. Барьер проверен возвратом исходного тега.

Установка тоже не отвечала на вопрос, ради которого проверялась. Smoke считал
панель работающей по трём признакам — юнит активен, порт в LISTEN, /healthz
отвечает ok, — и все три были истинны. Теперь smoke выполняет настоящий вход
bootstrap-учётными данными и требует конверт успеха с непустым токеном: по коду
HTTP это неотличимо, админка отвечает 200 OK и на отказ. Отрицательная проба
идёт в любом режиме операции и от актуальности пароля не зависит.

Рядом лежали три расхождения того же класса, найденные при разборе.

Оркестратор не знал контракта, который сам порождает: HY2XS_ADMIN_USER по
умолчанию был `admin` — пять символов при минимуме панели в шесть, — и такая
установка проходила целиком, создавая учётную запись, под которой невозможно
войти. Про одно имя существовало три расходящихся умолчания. Оба значения
теперь проверяются при разборе окружения — той стороной, которая их порождает:
отказ, пришедший установщику, чинится строкой в hy2xs.env, а неработающий вход
на готовом сервере — переустановкой.

Панель была строже сервера. Форма входа ограничивала пароль 32 символами при
серверном пределе в 64, а форма смены пароля назначала до 64: пароль,
назначенный штатной операцией, после этого не вводился. Набор символов на
пароле отвергал значение, которое сервер принял бы, — сервер его не
ограничивает нигде. Контракт учётных данных объявлен один раз в
service/admin_credentials.go, копии в панели и оркестраторе сверяются с ним
тестами, читающими Go-исходник.

Класс символов логина был записан диапазоном по опечатке: неэкранированный
дефис превращал `+-=` в диапазон, впускающий `, - . / 0-9 : ; < =`. С серверным
набором это совпадало только потому, что обе стороны несли одну опечатку. Набор
записан явно и НЕ сужен — он уже действует на установленных серверах.

Визуально: красная рамка отказа обводила не то, что видит оператор. Element Plus
рисует состояние ошибки на el-input__wrapper селектором из четырёх классов, а
форма входа рисует видимую рамку поля на el-form-item — внутрь поля кладутся
иконка, ввод и переключатель видимости — и гасила чужую тень селектором из трёх,
проигрывая по специфичности. Рамка ложилась вокруг одного лишь ввода: у логина
начиналась после иконки, у пароля обрывалась перед «глазом». Индикация
перенесена на элемент, который оператор и видит полем; чужая тень гасится
селектором, повторяющим её собственный и добавляющим атрибут scoped-стиля, —
конкретностью, а не !important. Остальные формы панели проверены: собственная
рамка на el-form-item есть только на форме входа.

Заодно: `last_login_at` объявлен в схеме и в entity, а писать его было некому —
UpdateAdminLastLoginAt не вызывался ниоткуда. Отметка ставится в service.Login
сразу после успешной проверки пароля; отказ записи вход не отменяет, но
попадает в журнал. Обработчик входа переехал из controller/peer.go в
controller/auth.go: стек в journal указывал на управление пирами.

Требование теперь называется, а не сообщается фактом нарушения. «Неверный
формат логина» и «Некорректное значение» не давали оператору способа узнать,
что от него хотят: набор символов приходит из hy2xs.env и в панели нигде не
показан. Фразы форм и серверная причина credential_format перечисляют границы
и набор.

Гейт сборки run_admin_login_acceptance удерживает барьеры от тихого удаления —
по той же причине, что и гейт детектора гонок. Каждое из его утверждений
проверено мутационной пробой на реальный отказ; две первые редакции оказались
вакуумными и переписаны.

Прогнано: go vet + go test ./... , bun test оркестратора (427) и контрактов
панели (66), vue-tsc --noEmit, production-сборка frontend, гейт приёмки
целиком. `go test -race` не прогонялся — на машине нет C-компилятора, это
релизный гейт сборщика.

Прогон задокументирован в
docs/acceptance/2026-09-04-v1.0.0-rc2-runtime-findings.md.

docs/acceptance/2026-09-04-v1.0.0-rc2-runtime-findings.md

@@ -0,0 +1,262 @@
+# Runtime-прогон `1.0.0-rc2` на чистом Debian 13
+
+```text
+Findings base:      82e5ca40  — дерево, на котором собран проверявшийся RC2
+Fixes verified in:  рабочее дерево этого прохода
+Хост:               чистый Debian 13, установка с нуля из release-архива
+```
+
+Провенанс у этого файла другой, чем у соседних preflight-разборов: дефект
+наблюдался **на хосте**, а не найден чтением дерева. Установка прошла целиком и
+объявила успех, после чего панель оказалась недоступна.
+
+## Статус прогона
+
+```text
+RC2 BUILD ACCEPTANCE:        PASS
+RC2 CLEAN INSTALL:           PASS
+RC2 SERVER RUNTIME:          PASS
+RC2 ADMIN LOGIN:             FAIL
+RC2 OVERALL RUNTIME:         REJECTED
+```
+
+Hysteria работает, сервер не повреждён, паника восстановима. Приёмка RC2
+останавливается здесь: основная admin-панель после чистой установки недоступна
+целиком, и это P0 для release candidate.
+
+## Сводка
+
+| ID | Дефект | Приоритет | Статус |
+| --- | --- | --- | --- |
+| LOGIN-01 | `POST /api/auth/login` паниковал на теге незарегистрированного правила | P0 | закрыт |
+| LOGIN-02 | Ни один тест не прогонял DTO через production-валидатор | P0 | закрыт |
+| LOGIN-03 | Установка объявляла успех, не проверив, что в панель можно войти | P0 | закрыт |
+| LOGIN-04 | Оркестратор не знал контракта учётных данных и по умолчанию писал невалидный логин | P0 | закрыт |
+| LOGIN-05 | Форма входа была строже сервера и запирала оператора после смены пароля | P1 | закрыт |
+| LOGIN-06 | Индикация ошибки на форме входа рисовалась вокруг не того элемента | P2 | закрыт |
+| LOGIN-07 | Класс символов записан диапазоном по опечатке в двух формах панели | P2 | закрыт |
+| LOGIN-08 | `last_login_at` объявлен в схеме, но не записывался никогда | P3 | закрыт |
+
+---
+
+## LOGIN-01 — вход паниковал до проверки учётных данных
+
+**Наблюдалось на хосте.** Каждый `POST /api/auth/login` отдавал HTTP 500. В
+journal на каждый запрос:
+
+```text
+panic recovered:
+Undefined validation function 'validateStr' on field 'Username'
+
+controller/validator.go:115
+controller/peer.go:50
+```
+
+В `apps/model/dto/auth.go` на поле стоял тег `validateStr`:
+
+```go
+Username *string `json:"username" ... validate:"required,min=6,max=32,validateStr"`
+```
+
+Правило с таким именем не регистрируется: при переименовании в `credentialStr`
+правка не доехала до одного файла. `go-playground/validator` на неизвестный тег
+ПАНИКУЕТ при разборе структуры — то есть до всякой проверки логина и пароля, —
+а `gin.Recovery` превращал панику в HTTP 500.
+
+Побочно это подтверждается тем, что зарегистрированное правило `credentialStr`
+не использовалось **нигде**: переименование оставило после себя мёртвую
+регистрацию и живую ссылку на несуществующее имя.
+
+**Закрыто.** Контракт учётных данных вынесен в
+`apps/service/admin_credentials.go` — по образцу уже существующего
+`IsValidPeerName`. Правило `credentialStr` зовёт его, длина живёт ВНУТРИ
+правила (два правила длины на одном поле уже приводили к необъяснимому отказу
+на имени пира), а обработчик входа переехал в `apps/controller/auth.go`: пока
+он лежал в `peer.go`, стек указывал на управление пирами — подсистему, не
+имеющую к отказу отношения.
+
+---
+
+## LOGIN-02 — 311 Go-тестов не видели дефекта
+
+**Наблюдалось по дереву.** `validator_test.go` проверял регексп `credentialStr`
+НАПРЯМУЮ, в обход валидатора, а обработчика входа не касался ни один тест.
+
+Важно, почему очевидная проверка не помогла бы. Прогон нулевого `LoginDto`
+через `validate.Struct` дефекта НЕ ловит: цепочка правил поля обрывается на
+первом несработавшем, поэтому на пустом `Username` проверка отказывает по
+`required` и до испорченного тега не доходит.
+
+**Закрыто** барьером, закрывающим КЛАСС, а не найденный экземпляр:
+`TestEveryValidationTagIsRegistered` извлекает все теги `validate:"…"` из
+`apps/model/**` и предъявляет каждый валидатору отдельно. Незарегистрированное
+правило паникует так же, как паниковало в бою, — но на сборке. Барьер проверен
+возвратом исходного тега: тест падает с именем правила и файлом.
+
+Сверх него добавлены прогон `LoginDto` через production-валидатор, таблица
+негативных случаев с ожидаемыми кодами причин и HTTP-регрессия обработчика — в
+том числе за `gin.Recovery`, то есть ровно в той конфигурации, в которой дефект
+наблюдался.
+
+---
+
+## LOGIN-03 — установка не проверяла, что в панель можно войти
+
+**Наблюдалось на хосте.** Установка завершилась `INSTALL EXIT CODE: 0` при
+полностью недоступной панели.
+
+Smoke отвечал на вопрос «работает ли панель» тремя фактами: юнит активен,
+`127.0.0.1:8080` в `LISTEN`, `/healthz` отвечает `ok: true`. Все три были
+истинны. Факт `LISTEN` не означает, что панель функциональна, — RC2 это
+буквально доказал.
+
+**Закрыто.** `orchestrator/src/steps/smoke.ts` выполняет настоящий
+`POST /api/auth/login` bootstrap-учётными данными и требует `code: 20000` с
+непустым `accessToken`; успех определяется КОНВЕРТОМ, а не кодом HTTP — админка
+отвечает `200 OK` и на отказ тоже. Отдельная отрицательная проба выполняется в
+любом режиме операции и не зависит от актуальности пароля: заведомо неверные
+учётные данные обязаны получить конверт отказа, а не 500. Учётные данные не
+попадают ни в текст ошибки, ни в журнал.
+
+---
+
+## LOGIN-04 — оркестратор не знал контракта, который сам порождает
+
+**Найдено при разборе смежного кода.** `orchestrator/src/config/env.ts` брал
+логин как
+
+```ts
+adminUser: requireValue("HY2XS_ADMIN_USER", env.HY2XS_ADMIN_USER || "admin")
+```
+
+`admin` — пять символов при минимуме панели в шесть. При пустом
+`HY2XS_ADMIN_USER` установка проходила целиком и создавала учётную запись, под
+которой невозможно войти. Про одно и то же имя существовало три расходящихся
+умолчания: `admin` здесь, `hy2xsadmin` в `apps/dao/sqlite.go` и `hy2xsadmin` в
+`package/config/hy2xs.env`.
+
+Ни логин, ни операторский `HY2XS_ADMIN_INITIAL_PASSWORD` не проверялись против
+контракта панели вовсе.
+
+**Закрыто.** Оба значения проверяются при разборе окружения — той стороной,
+которая их ПОРОЖДАЕТ: отказ, пришедший установщику, чинится одной строкой в
+`hy2xs.env`, а неработающий вход на готовом сервере — переустановкой. Умолчание
+сведено к `hy2xsadmin` во всех трёх местах. Проверяется и сгенерированный
+пароль: генератор — такой же источник значения.
+
+---
+
+## LOGIN-05 — панель была строже сервера и запирала после смены пароля
+
+**Найдено при разборе панели.** Границы пароля различались на трёх сторонах:
+
+| Где | Логин | Пароль |
+| --- | --- | --- |
+| форма входа | 6-32 + набор | 6-**32** + набор |
+| форма смены пароля | — | 6-**64** + набор |
+| сервер | 6-32 + набор | 6-**64**, набора нет |
+
+Следствий два, и оба закрывают панель. Пароль длиннее 32 символов назначался
+штатной формой смены и после этого не вводился на форме входа: оператор терял
+доступ после операции, которую панель ему же и предложила. А набор символов на
+пароле отвергал значение, которое сервер принял бы, — в том числе
+`HY2XS_ADMIN_INITIAL_PASSWORD`, заданный оператором со знаком вне набора.
+
+**Закрыто.** Правило объявлено один раз в
+`apps/frontend/src/constants/credentials.ts` и используется обеими формами;
+набор символов с пароля снят — сервер его не предъявляет нигде, а проверка,
+умеющая только запереть оператора, не защищает ничего. Совпадение с Go-контрактом
+удерживается тестом, читающим Go-исходник.
+
+---
+
+## LOGIN-06 — красная рамка обводила не то, что видит оператор
+
+**Наблюдалось на экране.** При отказе проверки красная рамка ложилась вокруг
+одного лишь поля ввода: у логина начиналась после иконки пользователя, у пароля
+обрывалась перед переключателем видимости, и ни одна её сторона не совпадала с
+видимой границей поля.
+
+Причина — специфичность, а не опечатка. Element Plus 2.14.5
+(`theme-chalk/src/form-item.scss`) рисует состояние отказа на
+`el-input__wrapper` селектором из ЧЕТЫРЁХ классов:
+
+```text
+.el-form-item.is-error .el-form-item__content .el-input__wrapper
+```
+
+Форма входа рисует видимую рамку поля на `el-form-item` — внутрь одного поля
+кладутся иконка, ввод и переключатель видимости, — а штатную тень враппера
+гасила селектором из трёх классов и проигрывала.
+
+**Закрыто.** Индикация перенесена на элемент, который оператор и видит полем
+(`.el-form-item.is-error`), а тень враппера гасится селектором, повторяющим
+чужой и добавляющим атрибут scoped-стиля, — то есть выигрывает конкретностью, а
+не `!important`. Сообщению об отказе оставлено место под полем:
+`el-form-item__error` позиционируется абсолютно от `top: 100%` и живёт вне
+рамки.
+
+Проверены остальные формы панели: собственная рамка на `el-form-item` вместе с
+переопределением `el-input__wrapper` встречается только на форме входа. Смена
+пароля, диалог пира и тулбары используют штатную рамку, где `is-error` попадает
+точно.
+
+**Что машина не докажет.** Совпадение рамки с границей поля на экране остаётся
+ручной проверкой; тест закрепляет только наличие правил, которые её
+обеспечивают.
+
+---
+
+## LOGIN-07 — класс символов записан диапазоном по опечатке
+
+**Найдено при разборе панели.** В формах входа и смены пароля стояло
+
+```text
+/^[a-zA-Z0-9!@#$%^&*()_+-=]{6,32}$/
+```
+
+Дефис внутри класса не экранирован, поэтому `+-=` образует ДИАПАЗОН и впускает
+`, - . / 0-9 : ; < =`. С серверным набором это совпадало по совпадению: оба
+несли одну и ту же опечатку. В форме пира тот же класс уже был записан явно
+(`_+\-=`) — договорённость в проекте существовала и до входа не доехала.
+
+**Закрыто.** Класс записан явно и НЕ сужен: фактическое множество уже действует
+на установленных серверах. Экранирование дефиса закреплено тестом — пока набор
+выглядел опечаткой, любая попытка «навести порядок» развела бы панель и сервер
+обратно.
+
+---
+
+## LOGIN-08 — время последнего входа не записывалось никогда
+
+**Найдено при разборе.** Колонка `last_login_at` объявлена в схеме и в entity,
+`service.UpdateAdminLastLoginAt` существовал — и не вызывался ниоткуда.
+
+**Закрыто.** Отметка ставится в `service.Login`, сразу после успешной проверки
+пароля: это единственная дверь, и записать её оттуда невозможно забыть. Отказ
+записи вход НЕ отменяет — учётные данные уже подтверждены, — но пишется в
+журнал уровнем error: неписаная отметка есть расхождение между тем, что
+показывает панель, и тем, что произошло.
+
+---
+
+## Отдельно: диагностика на хосте
+
+`systemctl cat` открывает `less`, из-за чего вставленный следом блок
+перемешивается с pager. Для воспроизводимых прогонов используется
+
+```bash
+SYSTEMD_PAGER=cat systemctl cat hy2xs-admin.service
+```
+
+или `systemctl --no-pager cat hy2xs-admin.service`. Юнит `hy2xs-admin.service`
+проверен и к дефекту отношения не имеет.
+
+## Что делать с установленным RC2
+
+На хосте ничего чинить вручную не нужно и не следует: hotpatch бинарника на
+проде и перезалив содержимого уже опубликованного `v1.0.0-rc2` противоречат
+воспроизводимости и immutable provenance, вокруг которых построен продукт.
+Правильный путь — исправленный source и новая сборка, а хост переустанавливается
+с нуля, чтобы проверка шла по тому же clean-host сценарию, а не поверх
+установленного RC2.

docs/acceptance/README.md

@@ -25,12 +25,14 @@
 | Дата | Версия | Коммит источника | Вид | Вердикт |
 | --- | --- | --- | --- | --- |
 | 2026-09-01 | `1.0.0-rc1` | `a1f0db22` | build + host acceptance, Debian 13 | [RC ACCEPTED WITH RELEASE-REQUIRED UX FIXES](2026-09-01-v1.0.0-rc1-host-acceptance.md) |
+| 2026-09-04 | `1.0.0-rc2` | `82e5ca40` | clean install + runtime, Debian 13 | [RUNTIME REJECTED — вход в панель недоступен](2026-09-04-v1.0.0-rc2-runtime-findings.md) |
 
 ## Открытые дефекты приёмки
 
 | Прогон | Дефекты |
 | --- | --- |
 | 2026-09-01, `1.0.0-rc1` | [UX-01…UX-05 и найденное сверх отчёта](2026-09-01-v1.0.0-rc1-ux-findings.md) |
+| 2026-09-04, `1.0.0-rc2` | [LOGIN-01…LOGIN-08](2026-09-04-v1.0.0-rc2-runtime-findings.md) — все закрыты |
 
 ## Разборы кода между прогонами
 

docs/admin/15-ui-contracts.md

@@ -259,3 +259,90 @@ control plane показывал всех пиров офлайн. Теперь
 принадлежит приложению. Он не является операторской настройкой: ни `hy2xs.env`,
 ни config API, ни таблица `config`, ни настройки панели его не содержат и не
 могут переопределить.
+
+---
+
+## 10. Форма входа
+
+**Правило.** Панель не имеет права быть строже сервера. Значение, которое
+сервер принял бы, форма обязана отправить.
+
+### Где живёт контракт
+
+Требования к логину и паролю администратора объявлены **один раз**, в
+`apps/service/admin_credentials.go`:
+
+| Что | Значение | Владелец |
+| --- | --- | --- |
+| Длина логина | 6-32 символа | `AdminUsernameMinLength` / `AdminUsernameMaxLength` |
+| Набор символов логина | `a-z A-Z 0-9 !@#$%^&*()_+,-./:;<=` | `AdminUsernameCharset` |
+| Длина пароля | 6-64 символа | `AdminPasswordMinLength` / `AdminPasswordMaxLength` |
+| Набор символов пароля | не ограничен | — |
+
+Остальные три стороны продукта только повторяют этот контракт, и каждая копия
+сверяется с оригиналом тестом, читающим Go-исходник:
+
+* панель — `apps/frontend/src/constants/credentials.ts`
+  (`tools/test/frontend-contract.test.ts`);
+* оркестратор — `orchestrator/src/config/profile.ts`
+  (`orchestrator/test/admin-credentials.test.ts`);
+* правило валидатора — `credentialStr` в `apps/controller/validator.go`, длина
+  живёт ВНУТРИ него.
+
+### Почему у пароля нет набора символов
+
+Пароль назначает оператор — установкой через `HY2XS_ADMIN_INITIAL_PASSWORD` или
+формой смены. Сервер его набор не проверяет нигде: значение сравнивается с
+bcrypt-хешем. Ограничение набора на форме не защищает ничего и умеет только
+отвергнуть пароль, который сервер принял бы.
+
+Верхняя граница в 64 символа выбрана не круглым числом: bcrypt читает первые 72
+БАЙТА и молча отбрасывает остаток, поэтому предел обязан быть заведомо ниже.
+
+Длина считается в **символах**, а не в байтах: `go-playground/validator` считает
+`min`/`max` на строке в рунах, и проверка по байтам отвергла бы пароль из 32
+кириллических букв, который сервер принимает.
+
+### Границы обеих форм обязаны совпадать
+
+Форма входа и форма смены пароля предъявляют к паролю **одно и то же**
+требование. Расхождение здесь запирает оператора снаружи после операции,
+которую панель ему же и предложила: пароль длиннее предела формы входа
+назначается успешно и после этого не вводится.
+
+### Индикация ошибки принадлежит видимому полю
+
+Element Plus рисует состояние отказа на `el-input__wrapper` правилом
+
+```text
+.el-form-item.is-error .el-form-item__content .el-input__wrapper
+```
+
+то есть селектором из четырёх классов. На форме входа видимое поле — это
+`el-form-item`: внутрь одного поля кладутся иконка, ввод и переключатель
+видимости пароля, а `el-input` занимает лишь среднюю часть. Поэтому штатная
+индикация ложится вокруг одного лишь ввода и ни одной стороной не совпадает с
+границей поля.
+
+**Правило.** Там, где рамка поля нарисована на `el-form-item`, состояние отказа
+рисуется на нём же, а штатная тень враппера гасится селектором, который
+повторяет чужой и добавляет атрибут scoped-стиля — то есть выигрывает
+специфичностью, а не `!important`. Сообщению об отказе оставляется место под
+полем: `el-form-item__error` позиционируется абсолютно от `top: 100%` и живёт
+вне рамки.
+
+**Что машина не докажет.** Совпадение рамки с границей поля на экране. Проверка
+остаётся ручной и фиксируется в отчёте приёмки; тест закрепляет только наличие
+правил, которые её обеспечивают.
+
+### Требование называется, а не нарушается
+
+Фразы `credentials.usernameFormat` и `credentials.passwordLength` перечисляют
+границы и набор символов. Набор логина приходит из `HY2XS_ADMIN_USER`, и
+посмотреть его в панели больше негде — сообщение «Неверный формат логина» не
+давало оператору ни одного способа узнать, что от него хотят.
+
+Серверная причина `credential_format` несёт те же значения в `params`
+(`min`, `max`, `charset`), и фраза панели обязана их использовать: правило одно
+и проверяет и длину, и набор, поэтому описывать его только через символы —
+значит описывать отказ по длине неверно.

docs/runtime/08-orchestrator-spec.md

@@ -542,6 +542,44 @@ production-профилем, а не ищет подстроки. Проверя
 Сообщение об ошибке для `auth.http.url` намеренно не печатает сам токен: текст
 уходит в логи и в diagnostics-бандл.
 
+## Smoke проверяет, что панель ВПУСКАЕТ
+
+Открытый порт — это не работающая панель.
+
+До RC3 установка отвечала на вопрос «работает ли панель» тремя фактами: юнит
+активен, `127.0.0.1:8080` в `LISTEN`, `/healthz` отвечает `ok: true`. RC2
+доказал, что все три бывают истинными одновременно с полностью недоступной
+панелью: на поле логина стоял тег незарегистрированного правила валидации,
+`POST /api/auth/login` паниковал ещё до проверки учётных данных, `gin.Recovery`
+превращал панику в HTTP 500 — и установка завершалась `INSTALL EXIT CODE: 0`.
+
+Поэтому smoke выполняет **настоящий вход** на `POST /api/auth/login`:
+
+| Проба | Когда | Что требуется |
+| --- | --- | --- |
+| заведомо неверные учётные данные | всегда | HTTP 200 с конвертом отказа |
+| bootstrap-учётные данные из `bootstrap-admin.secret` | только `install` | `code: 20000` и непустой `accessToken` |
+
+Детали, которые здесь существенны:
+
+- **успех определяется конвертом, а не кодом HTTP.** Админка отвечает `200 OK` и
+  на отказ тоже — причина живёт в поле `code`. Проверка «HTTP 200» приняла бы за
+  успешный вход любой отказ, то есть не проверяла бы ничего;
+- **токен требуется отдельно.** `code: 20000` без `accessToken` означал бы
+  панель, которая пускает и не выдаёт сессию;
+- **тело собирается `JSON.stringify`**, а не интерполяцией в строку: пароль
+  задаёт оператор, и кавычка в нём сломала бы сам запрос, а не панель — проверка
+  объявила бы рабочую установку сломанной;
+- **обе команды идут через `runReadOnlySecret`**: он не кладёт команду в текст
+  ошибки, а команда несёт пароль администратора. Наружу отдаётся только код
+  ответа: тело успешного входа содержит токен доступа, а текст ошибки уезжает в
+  журнал установки и в diagnostics-бандл;
+- **положительная проба install-only.** На `reconfigure` пароль в
+  `bootstrap-admin.secret` устаревает в тот момент, когда оператор сменил его в
+  панели, и требовать по нему вход значило бы ронять законную операцию.
+  Отрицательная проба от пароля не зависит и выполняется всегда — именно она
+  воспроизводит дефект RC2.
+
 ## Редактирование секретов
 
 `redact-config` и diagnostics-бандл используют **структурную** редакцию: YAML

docs/runtime/09-post-install-env.md

@@ -144,6 +144,34 @@ anycast. Отсутствие A-записи фатально при любом
 - `HY2XS_FORCE_PASSWORD_CHANGE` в production baseline установлен в `false` (forced UX-flow пока не реализован);
 - после первичного seed перезапуски `hy2xs-admin` не должны переопределять пароль admin и `con_pass`.
 
+### Учётные данные администратора проверяются при разборе окружения
+
+`HY2XS_ADMIN_USER` и `HY2XS_ADMIN_INITIAL_PASSWORD` — это значения, которые
+потом принимает **форма входа в панель**. Оркестратор проверяет их против того
+же контракта, что и админка (`apps/service/admin_credentials.go`):
+
+| Переменная | Требование | Значение по умолчанию |
+| --- | --- | --- |
+| `HY2XS_ADMIN_USER` | 6-32 символа из набора `a-z A-Z 0-9 !@#$%^&*()_+,-./:;<=` | `hy2xsadmin` |
+| `HY2XS_ADMIN_INITIAL_PASSWORD` | 6-64 символа, набор не ограничен | генерируется |
+
+Значение вне контракта **роняет установку** с явным текстом, называющим границы
+и набор. Так и должно быть: отказ, пришедший установщику, чинится одной строкой
+в `hy2xs.env`, а неработающий вход на готовом сервере — переустановкой.
+
+Проверяется и сгенерированный пароль, а не только заданный оператором:
+генератор — такой же источник значения.
+
+Окружающие пробелы у `HY2XS_ADMIN_USER` снимаются. Иначе они уезжали бы в имя
+учётной записи в SQLite, и вход отказывал бы «неверным логином или паролем» —
+отказом, который невозможно связать с причиной.
+
+Значение по умолчанию совпадает в трёх местах и обязано совпадать:
+`package/config/hy2xs.env`, `orchestrator/src/config/env.ts` и запасное
+значение в `apps/dao/sqlite.go`. Раньше оркестратор писал `admin` — пять
+символов при минимуме панели в шесть, — и установка завершалась
+`INSTALL EXIT CODE: 0`, оставляя панель, в которую невозможно войти.
+
 ### Immutable-bootstrap контракт
 
 - `/etc/hy2xs/bootstrap-admin.secret` создаётся оркестратором только при первичной установке.

docs/testing/11-3-target-and-runtime.md

@@ -52,6 +52,38 @@
 32. дашборд различает «служба остановлена» и «состояние службы неизвестно»; доступность Traffic Stats API показывается независимо от ответа systemd
 33. страница журнала Hysteria показывает разобранные `level`/`time`/`msg` и структурный контекст, а не сырой JSON
 34. страница конфигурации показывает фактические значения `/etc/hysteria/config.yaml`, перечисляет секции вне production-профиля и не содержит паролей и токенов
+35. **оператор входит в панель**: `POST /api/auth/login` с bootstrap-учётными данными из `/etc/hy2xs/bootstrap-admin.secret` отвечает `code: 20000` и непустым `accessToken`. Заведомо неверные учётные данные дают HTTP 200 с конвертом отказа, а не 500
+36. пароль предельной длины (64 символа), назначенный формой смены пароля, принимается формой входа: границы обеих форм совпадают с серверными
+37. `last_login_at` администратора обновляется после успешного входа и не меняется после неудачной попытки
+
+## C0. Панель обязана впускать, а не слушать порт
+
+Проверки 1-4 отвечают на вопрос «поднялось ли», и ни одна из них не отвечает на
+вопрос «работает ли». RC2 показал разницу: юнит активен, `127.0.0.1:8080` в
+`LISTEN`, `/healthz` отвечает `ok: true` — и `POST /api/auth/login` отдаёт
+HTTP 500 на каждый запрос, потому что валидатор паникует на теге
+несуществующего правила. Установка при этом завершилась `INSTALL EXIT CODE: 0`.
+
+Поэтому вход в панель проверяется **настоящим запросом**, а не косвенными
+признаками, и эта проверка встроена в smoke оркестратора — то есть релиз с
+недоступной панелью физически не может завершиться успешной установкой.
+Ручной эквивалент:
+
+```bash
+# Пароль в переменную, чтобы он не попал ни в историю shell, ни в вывод.
+read -r -s BOOTSTRAP_PASS < <(sudo grep '^ADMIN_INITIAL_PASSWORD=' /etc/hy2xs/bootstrap-admin.secret | cut -d= -f2-)
+BOOTSTRAP_USER="$(sudo grep '^ADMIN_USER=' /etc/hy2xs/bootstrap-admin.secret | cut -d= -f2-)"
+
+curl -sS --max-time 5 -X POST \
+  -H 'Content-Type: application/json' \
+  --data "$(jq -nc --arg u "$BOOTSTRAP_USER" --arg p "$BOOTSTRAP_PASS" '{username:$u,pass:$p}')" \
+  http://127.0.0.1:8080/api/auth/login | jq '.code, (.data.accessToken | length)'
+
+unset BOOTSTRAP_PASS
+```
+
+Ожидается `20000` и ненулевая длина токена. Сам токен не печатается: это
+действующая сессия администратора.
 
 ## C1. Семантический smoke конфига