fix(v1): разблокировать сборку, починить жизненный цикл cron и закрыть каналы утечки

Сборка не собиралась: два контракта приёмки роняли её на корректном коде.

verify_api_namespace_contract искал возвращение legacy-пространства имён
через grep по '/hui' и находил router_test.go, который ПЕРЕЧИСЛЯЕТ этот
префикс, чтобы доказать отсутствие маршрута, и сам versions.sh, где строка
стоит в тексте проверки. Падение приходило шестым шагом из четырнадцати, до
резолва Hysteria. За ним прятался второй такой же: проверка транзакционности
импорта пиров брала файл от начала applyPeerImportEntry и до конца, захватывая
объявленные ниже ExistPeerName и UpdatePeerLastConnectionAt.

Обе проверки теперь смотрят на код, а не на упоминания: добавлены помощники
code_without_comments и code_mentions_in, а отсутствие legacy-маршрута
доказывает тест на таблице маршрутов собранного роутера.

Планировщик стал собственностью процесса. InitCron вызывался из runServer и
на каждом вызове создавал новый cron.New(), не сохраняя ссылку; cron.Stop()
не вызывался нигде. Смена RESET_TRAFFIC_CRON выполняла StopServer(), точка
входа крутила for { runServer() } — и каждая правка добавляла целый
дублирующий набор джоб, а старое расписание сброса продолжало работать.
Фиксированные джобы регистрируются один раз, расписание переносится на месте
по EntryID, HTTP-сервер не трогается. Добавлено штатное завершение по SIGTERM.

Выражение проверяется до записи в базу тем же парсером (cron.ParseStandard),
которым его разбирает планировщик: раньше невалидная строка сохранялась, API
отвечал успехом, а сброс трафика молча исчезал.

updateConfigs стал атомарным: полная проверка партии, одна транзакция,
применение к рантайму. Прежний тест ставил запрещённый ключ первым и не
смотрел в базу — поймать частичное применение он был неспособен.

Удалены четыре ключа таблицы config без единого потребителя: HYSTERIA2_ENABLE,
HYSTERIA2_CONFIG (второй источник истины, читался первым), HYSTERIA2_TRAFFIC_TIME
и HYSTERIA2_CONFIG_REMARK. Имя профиля в share URI выводится из имени пира.

Безопасность:
- bootstrap-пароль администратора больше не генерируется и не пишется в журнал,
  который отдаётся кнопкой выгрузки; отсутствие env — отказ старта;
- собственный журнал админки санитизируется наравне с чужим;
- golang-jwt/jwt v3 -> v5: GO-2025-3553 не имеет исправленной версии в v3 и
  достижима с неаутентифицированного запроса; набор алгоритмов подписи
  зафиксирован через WithValidMethods;
- удалён вход по несолёному SHA-224 из предыдущего поколения;
- убран modulo bias в util.RandomString — единственном генераторе секретов;
- пир установщика защищён во всех путях записи, а не только в импорте;
- удалена латентная паника в service.GetToken и недостижимая ветка GetAdminInfo,
  проверявшая меньше, чем middleware.

Toolchain: Go 1.21.13 -> 1.26.7, Node 20.19.0 (EOL) -> 24.20.0. На прежнем
графе govulncheck находил 21 вызываемую уязвимость, 17 из них в stdlib,
попадающей в production-бинарь. Сейчас — ноль. Добавлен обязательный шаг
проверки зависимостей (govulncheck + pnpm audit) с записью результата в
metadata пакета.

docs/02-build-layer-and-package.md

@@ -59,16 +59,19 @@ HY2XS_TARGET_OS=debian
 HY2XS_TARGET_OS_VERSION=13
 HY2XS_TARGET_ARCH=amd64
 
-GO_VERSION=1.21.13
+GO_VERSION=1.26.7
 GO_LINUX_AMD64_SHA256=<sha256>
 BUN_VERSION=1.3.13
 BUN_LINUX_X64_SHA256=<sha256>
 BUN_LINUX_X64_BASELINE_SHA256=<sha256>
-NODE_VERSION=20.19.0
+NODE_VERSION=24.20.0
 NODE_LINUX_X64_SHA256=<sha256>
 PNPM_VERSION=9.15.9
 
 HYSTERIA_CHANNEL=stable
+
+GOVULNCHECK_VERSION=v1.7.0
+PNPM_AUDIT_LEVEL=high
 ```
 
 Чего в нём **нет** и быть не должно:
@@ -86,6 +89,47 @@ HYSTERIA_CHANNEL=stable
 выбирает `bun-linux-x64` или `bun-linux-x64-baseline` по наличию AVX2, поэтому
 одной контрольной суммы архитектурно недостаточно.
 
+### Почему версии toolchain — это вопрос безопасности, а не удобства
+
+Go здесь не просто сборщик: им компилируется `hy2xs-admin`, и его stdlib целиком
+попадает в production-бинарь. Поэтому версия выбирается по политике поддержки Go
+(major поддерживается, пока не вышли две более новые), а не по тому, на чём
+собиралось раньше.
+
+Цифры, ради которых это записано. На `GO_VERSION=1.21.13` — линия, давно вне
+поддержки — `govulncheck ./...` находил **21 вызываемую уязвимость**, из них 17 в
+одной только stdlib. После перехода на 1.26.7 и обновления графа зависимостей —
+**ноль**.
+
+Node живёт только на build-хосте и в артефакт не попадает, но 20.x достигла EOL,
+то есть перестала получать security-обновления, а собирает она код, который
+уезжает в production. Отсюда LTS-линия 24.
+
+Bun обновляется отдельно от остальных: оркестратор собирается через
+`bun build --compile`, то есть Bun runtime физически входит в исполняемый файл.
+Смена его minor-версии — это смена рантайма внутри артефакта, и она требует
+полного прохода `bun test → tsc → compile → приёмка на Debian`, а не строки в
+общем патче.
+
+### Проверка зависимостей на уязвимости
+
+`tools/build/lib/security.sh` — обязательный шаг сборки между тестами админки и
+записью metadata:
+
+| Проверка | Что покрывает | Порог |
+| --- | --- | --- |
+| `govulncheck ./...` | Go-граф **и stdlib**, с анализом достижимости: уязвимость считается только при наличии пути вызова из нашего кода | любая вызываемая |
+| `pnpm audit --prod` | production-зависимости frontend, без анализа достижимости | `PNPM_AUDIT_LEVEL` |
+
+Версия `govulncheck` пиньтся в `versions.env`, а база уязвимостей подтягивается
+на каждом запуске: пин инструмента не должен превращаться в пин знаний о мире.
+
+Аварийный выход — `ALLOW_VULNERABLE_DEPENDENCIES=true`, по той же логике, что и
+`ALLOW_DIRTY_BUILD`: выпустить релиз, зная об уязвимости, можно, но это решение
+человека, а не поведение по умолчанию. Результат шага уезжает в
+`metadata/package.env` полем `dependency_security_gate`, так что по готовому
+tarball видно, проверялся он или собран с пропущенной проверкой.
+
 ### Проверка, а не генерация
 
 `profile.ts`, `package/config/hy2xs.env` и `packageManager` в двух `package.json`

docs/04-admin-panel.md

@@ -133,6 +133,16 @@ Hysteria обращается к машинному endpoint'у как
 сохраняет host, port и path — диагностика от него не страдает. Тот же проход
 применяется к `journal-*.log` внутри diagnostics-бандла оркестратора.
 
+**Собственный журнал админки проходит тот же санитайз.** Раньше не проходил: он
+отдавался сырым файлом через `c.File(constant.SystemLogPath)` и показывался во
+вкладке без обработки. Асимметрия «чужому журналу не доверяем, своему доверяем»
+ничем не обоснована — файл в обоих случаях покидает сервер и пересылается в
+переписке, — и цена у неё была известна поимённо: пока bootstrap-пароль
+администратора печатался в лог warning'ом, обычная кнопка выгрузки отдавала его
+открытым текстом. Сам warning убран (см. ниже), но защита стоит и на выходе:
+следующий неосторожный `logrus.Warnf("token=%s", …)` не превратит выгрузку
+журнала в канал утечки.
+
 ## Импорт и экспорт
 
 | Операция | Статус |
@@ -165,10 +175,8 @@ API: `getConfig` и `listConfig` принимали произвольный к
 
 | Ключ | Чтение | Запись |
 | --- | --- | --- |
-| `HYSTERIA2_TRAFFIC_TIME` | да | да |
 | `RESET_TRAFFIC_CRON` | да | да |
-| `HYSTERIA2_CONFIG_REMARK` | да | нет |
-| `HYSTERIA2_ENABLE`, `HYSTERIA2_CONFIG`, `HYSTERIA2_TRAFFIC_STATS_SECRET` | нет | нет, владелец — оркестратор |
+| `HYSTERIA2_TRAFFIC_STATS_SECRET` | нет | нет, владелец — оркестратор |
 | `JWT_SECRET`, `PEER_SECRET_KEY`, `PEER_SECRET_ENCRYPTION_KEY` | нет | нет |
 | любой другой | нет | нет |
 
@@ -178,8 +186,53 @@ Denylist требует, чтобы автор каждого нового кл
 по умолчанию не зависит от внимательности.
 
 Маршрут `GET /api/config/getConfig` **удалён целиком**: потребителей у него не
-было ни одного, а фильтр на неиспользуемой двери — это по-прежнему дверь. Право
-записи `HYSTERIA2_CONFIG_REMARK` тоже убрано: панель его только отображает.
+было ни одного, а фильтр на неиспользуемой двери — это по-прежнему дверь.
+
+### Мёртвое состояние в таблице `config` удалено
+
+Четыре ключа предыдущего поколения к v1 перестали чем-либо управлять и удалены
+вместе со строками в базе (миграция `006_drop_dead_config_keys`):
+
+| Ключ | Что с ним было не так |
+| --- | --- |
+| `HYSTERIA2_ENABLE` | жизненным циклом Hysteria владеет systemd; единственным потребителем ключа была строка в журнале |
+| `HYSTERIA2_CONFIG` | второй источник истины рядом с `/etc/hysteria/config.yaml`, причём читался **первым**: значение, попавшее в базу в обход продукта, молча становилось тем, что панель показывает и из чего генерирует ссылки |
+| `HYSTERIA2_TRAFFIC_TIME` | настройка «период учёта трафика» без единого потребителя в рантайме: интервал сбора метрик задан в коде |
+| `HYSTERIA2_CONFIG_REMARK` | пустая read-only строка, которую никто никогда не записывал |
+
+Настоящую замену получил только последний: имя профиля в клиентской ссылке
+теперь выводится из **имени пира**, а при его отсутствии — из публичного хоста.
+Это то различие, которое пользователю и нужно видеть в списке серверов, и оно не
+требует ни одной дополнительной настройки.
+
+После очистки панель владеет ровно одной настройкой — `RESET_TRAFFIC_CRON`, — а
+всё остальное в таблице является внутренними секретами.
+
+### Расписание сброса трафика: планировщик принадлежит процессу
+
+Смена `RESET_TRAFFIC_CRON` **не перезапускает** HTTP-сервер.
+
+Раньше перезапускала: обработчик вызывал `StopServer()`, точка входа крутила
+`for { runServer() }` и поднимала сервис заново, чтобы новый планировщик прочитал
+настройку из базы. При этом `InitCron()` на каждом вызове создавал новый
+`cron.New()` и нигде не сохранял ссылку, а `cron.Stop()` не вызывался нигде.
+Итог: каждая правка расписания добавляла **целый дублирующий набор джоб**, а
+старое расписание сброса продолжало работать. После двух правок на процессе
+висели три планировщика и три разных расписания одновременно.
+
+Теперь фиксированные джобы регистрируются один раз за жизнь процесса, а
+расписание сброса переносится на месте по своему `EntryID`.
+
+Выражение проверяется **до записи в базу** тем же парсером
+(`cron.ParseStandard`), которым его потом разбирает планировщик. Невалидное
+значение — отказ `4xx`, база не меняется. Раньше строка сохранялась, API отвечал
+успехом, а сброс трафика молча исчезал до следующего чтения журнала.
+
+Пустое значение легально и означает «автоматический сброс выключен».
+
+Сервис завершается штатно по `SIGTERM`: сначала останавливается планировщик и
+дожидаются запущенные джобы, затем закрывается SQLite. Обратный порядок означал
+бы работу джоб с уже закрытым соединением при каждом `systemctl restart`.
 
 Ключи оркестратора отклоняются отдельным сообщением, называющим владельца, —
 «этим значением владеет оркестратор» это другой ответ, чем «такого ключа нет»,
@@ -191,6 +244,23 @@ Denylist требует, чтобы автор каждого нового кл
 секреты пиров на диске, накапливающиеся с каждым нажатием кнопки. Каталога
 `export/` больше не существует.
 
+### Партия настроек применяется целиком или не применяется вовсе
+
+`POST /api/config/updateConfigs` выполняется в три прохода:
+
+1. проверка партии целиком — права на ключ, дубликаты ключей, значения;
+2. одна транзакция базы;
+3. применение к рантайму.
+
+Раньше проходов не было: цикл проверял очередной элемент и тут же его записывал.
+Партия «разрешённый ключ + запрещённый» применяла первый и возвращала ошибку на
+втором — оператор получал отказ на запрос, который систему уже изменил.
+
+Тест на этот случай существовал, но ставил запрещённый ключ **первым** и не
+смотрел в базу — поймать частичное применение он был неспособен по построению.
+Сейчас разрешённый ключ идёт первым, запрещённый вторым, а состояние базы
+проверяется явно: `TestUpdateConfigsRefusesWholeBatchWhenLaterKeyIsForbidden`.
+
 ### Экспорт пиров: два режима, а не флаг
 
 | Кнопка | Запрос | Что внутри |
@@ -380,6 +450,72 @@ upstream выберет для нового секрета. Список мар
 - `HY2XS_ADMIN_DATA_DIR`
 - `HY2XS_ADMIN_LOG_DIR`
 
+## Учётные данные и аутентификация
+
+### Bootstrap-учётные данные приходят от оркестратора
+
+Первая учётная запись администратора создаётся из `HY2XS_ADMIN_INITIAL_PASSWORD`,
+пир установщика — из `HY2XS_ADMIN_CON_PASS`. Оба значения задаёт оркестратор
+через `/etc/hy2xs/hy2xs.env`, а копию кладёт в
+`/etc/hy2xs/bootstrap-admin.secret`.
+
+Если переменной нет, а создавать учётную запись нужно, админка **отказывает в
+старте** с сообщением, называющим причину и способ починки.
+
+Раньше она в этом случае придумывала пароль сама и печатала его двумя
+`logrus.Warnf` — открытым текстом в `/var/log/hy2xs/hy2xs-admin.log`, то есть в
+файл, который отдаётся кнопкой выгрузки и попадает в diagnostics-бандл. Помимо
+утечки, у такого пароля была вторая проблема: его не знал никто, кроме журнала.
+Попадание в эту ветку означает не «нужно что-то придумать», а повреждённый
+контракт запуска, и реакция на него должна быть громкой.
+
+Для пира установщика цена ошибки ещё конкретнее: его секрет продублирован в
+`bootstrap-admin.secret`, откуда его читает проверка machine-auth в smoke
+оркестратора. Придуманный админкой секрет разошёлся бы с файлом, и проверка
+подключения провалилась бы на корректном во всём остальном сервере.
+
+Порядок проверок при этом такой: сначала выясняется, нужно ли вообще создавать
+запись, и только потом требуется переменная. Перезапуск уже установленного
+сервиса без неё работает штатно.
+
+### Пир установщика защищён во всех путях записи
+
+`bootstrap-admin-peer` нельзя переименовать, переподписать или занять его имя
+чужим пиром — ни импортом, ни через обычные формы панели. Раньше проверка стояла
+только в импорте, то есть ровно то, ради чего она существует, делалось через
+интерфейс.
+
+Удаление и отключение при этом **разрешены**: после установки это обычный
+действующий доступ, секрет которого лежит ещё и в файле на диске, и оператор
+обязан иметь возможность его отозвать. В отличие от смены секрета, удаление не
+создаёт расхождения между базой и файлом — пира просто нет, и это видно в списке.
+
+### Токены и пароли
+
+Токены выписываются и проверяются `golang-jwt/jwt/v5`. Переход с v3 —
+не косметика: у `github.com/golang-jwt/jwt` v3.2.2 есть GO-2025-3553, у которой
+**нет исправленной версии в ветке v3** (`Fixed in: N/A`), а уязвимый код
+достигается из разбора токена, то есть с неаутентифицированного запроса.
+Обновлять было нечего — лечится только сменой мажорной ветки.
+
+Заодно закрыт тихий недостаток прежней реализации: `keyfunc` возвращал ключ,
+**не проверяя алгоритм подписи**, то есть набор допустимых алгоритмов
+фактически задавал сам токен. Сейчас разбор ограничен `jwt.WithValidMethods`,
+проверяются `issuer` и обязательное наличие срока жизни, а пустой `JWT_SECRET`
+считается повреждённым состоянием, а не ключом нулевой длины.
+
+Пароли администратора хранятся ровно в одном формате — bcrypt. Ветка сравнения
+с несолёным SHA-224 (формат предыдущего поколения) удалена: в v1 такой хеш не
+может появиться — миграции таблицы `account` удалены, установка возможна только
+на чистый хост, а конфигурация 0.x отклоняется по `HY2XS_CONFIG_SCHEMA_VERSION`.
+Compatibility-ветка пережила слой совместимости, ради которого существовала, и
+осталась запасным путём проверки пароля слабым алгоритмом в обработчике логина.
+
+Все секреты продукта генерируются одним примитивом `util.RandomString` с
+отбраковкой (rejection sampling): прежняя реализация брала остаток байта от
+деления на длину алфавита, из-за чего первые восемь символов алфавита выпадали
+примерно на четверть чаще остальных.
+
 ## Инварианты
 
 Схема считается корректной, если:
@@ -394,3 +530,10 @@ upstream выберет для нового секрета. Список мар
 8. экспорт конфига сохраняет неизвестные upstream-поля
 9. экспорт конфига не содержит секретов
 10. сгенерированная `hysteria2://` ссылка содержит фактический тип обфускации, и совместимый клиент подключается по ней напрямую
+11. планировщик существует в единственном экземпляре на процесс, а смена расписания не перезапускает HTTP-сервер
+12. значение настройки проверяется до записи в базу тем же кодом, который его потом исполняет
+13. партия настроек применяется целиком или не применяется вовсе
+14. в таблице `config` нет ключей без потребителя
+15. bootstrap-учётные данные приходят от оркестратора и никогда не генерируются и не логируются админкой
+16. любой журнал, покидающий сервер, проходит санитайз
+17. пароль администратора хранится ровно в одном формате — bcrypt

docs/11-testing-and-acceptance.md

@@ -293,7 +293,81 @@ wildcard-маршрутом фронтенда или дублирующая р
 - отказ наступает **до** обращения к базе (тест работает без SQLite — сам факт,
   что обработчик не падает, это и доказывает);
 - ключи оркестратора отклоняются с указанием владельца, а не общим «нет такого
-  ключа»: оператор должен быть отправлен к `hy2xs-orchestrator reconfigure`.
+  ключа»: оператор должен быть отправлен к `hy2xs-orchestrator reconfigure`;
+- удалённые ключи (`HYSTERIA2_ENABLE`, `HYSTERIA2_CONFIG`,
+  `HYSTERIA2_TRAFFIC_TIME`, `HYSTERIA2_CONFIG_REMARK`) отклоняются как
+  неизвестные — проверка идёт по строковым литералам, потому что соответствующих
+  констант в коде уже нет и появиться они не должны.
+
+Атомарность партии проверяется на **настоящей** SQLite: без базы утверждение
+«партия не применилась частично» бессмысленно, поскольку предметом утверждения
+является именно состояние базы.
+
+- разрешённый ключ первым, запрещённый вторым → запрос отклонён, значение
+  первого ключа в базе **не изменилось**;
+- невалидное cron-выражение → отказ, значение в базе не изменилось;
+- один ключ дважды в партии → отказ (какое из двух значений считать намерением
+  оператора, определить нельзя);
+- корректная партия → значение сохранено, расписание применено к планировщику,
+  число его записей не выросло.
+
+Порядок в первом тесте принципиален. Предыдущая версия ставила запрещённый ключ
+**первым** и до второго элемента не доходила, поэтому проходила и на реализации,
+которая проверяла и записывала настройки в одном цикле.
+
+## A9b. Планировщик (unit)
+
+`apps/service/cron_scheduler_test.go` — планировщик как собственность процесса:
+
+- четыре последовательные смены расписания **не увеличивают** число записей
+  планировщика (главная регрессия: раньше каждая смена добавляла целый
+  дублирующий набор джоб, а старое расписание продолжало работать);
+- пустое выражение снимает джобу сброса, непустое возвращает её — без
+  перезапуска процесса;
+- невалидное выражение не меняет планировщик и не снимает действующую джобу;
+- набор валидных и невалидных выражений проверяется тем же парсером, что и
+  runtime: то, что `cron` умеет, обязано приниматься, остальное — отклоняться;
+- невалидное значение в базе **не роняет старт**: на панели висит
+  `/internal/hysteria/auth`, и отказ старта из-за строки расписания положил бы
+  подключения пользователей. Фиксированные джобы поднимаются, сброс отключён,
+  в журнале ERROR, и настройка чинится через API без перезапуска;
+- второй `InitCron` поверх работающего отклоняется;
+- `StopCron` идемпотентен и оставляет планировщик пустым.
+
+## A9c. Токены и пароли (unit)
+
+`apps/service/jwt_test.go`:
+
+- round-trip: claims, включая `token_version`, переживают выписку и разбор;
+- токен, подписанный **другим** HMAC-алгоритмом тем же ключом, отклоняется
+  (прежний `keyfunc` не смотрел на `token.Method` вовсе);
+- токен без `exp` отклоняется, истёкший отклоняется отдельным сообщением;
+- токен с чужим `issuer` отклоняется даже при совпадении ключа;
+- пустой `JWT_SECRET` — отказ и на выписку, и на разбор, а не подпись ключом
+  нулевой длины.
+
+`apps/util/encrypt_test.go`:
+
+- `HashPassword` выдаёт bcrypt и солит: два хеша одного пароля различаются;
+- вход по несолёному SHA-224 (формат предыдущего поколения) **невозможен**;
+- любая не-bcrypt строка в поле хеша отклоняется.
+
+`apps/util/rand_test.go` — отсутствие modulo bias: на выборке 200 000 символов
+частоты первых восьми символов алфавита не отличаются от остальных более чем на
+5%. Прежняя реализация давала здесь отношение 1.25.
+
+## A9d. Пир установщика (unit)
+
+`apps/service/peer_bootstrap_guard_test.go` — защита действует во всех путях
+записи, а не только в импорте:
+
+- смена секрета и переименование `bootstrap-admin-peer` отклоняются, состояние
+  в базе не меняется;
+- переименование обычного пира в зарезервированное имя отклоняется;
+- создание пира с зарезервированным именем отклоняется;
+- отключение и изменение квоты **разрешены**;
+- удаление **разрешено**: это осознанное действие оператора, и расхождения
+  между базой и `bootstrap-admin.secret` оно не создаёт.
 
 ## A10. Импорт пиров (unit)
 
@@ -349,6 +423,43 @@ metadata пакета и версией, которую сообщает соб
 `hysteria-linux-amd64-avx`, форма `sha256:<hex>`, верхний регистр,
 противоречивые записи, отсутствие нужной строки.
 
+## A11. Проверка зависимостей на уязвимости (build)
+
+`tools/build/lib/security.sh` — обязательный шаг между тестами админки и записью
+metadata. Подробности в [docs/02](02-build-layer-and-package.md); здесь важно
+поведение при отказе:
+
+| Код `govulncheck` | Трактовка |
+| --- | --- |
+| `0` | чисто |
+| `3` | найдены **вызываемые** уязвимости → сборка падает |
+| иное | отказ самого инструмента → сборка падает отдельным сообщением |
+
+Последняя строка существенна: ненулевой код неизвестной природы нельзя
+трактовать как «уязвимостей нет». По той же причине недоступность реестра npm
+для `pnpm audit` — это отказ проверки, а не её отрицательный результат.
+
+## A12. Приёмка проверяет код, а не упоминания
+
+Два контракта приёмки на снимке до этого патча **гарантированно роняли сборку на
+корректном коде**, и оба — по одной причине: они искали подстроку там, где
+подстрока обязана присутствовать.
+
+| Проверка | Что ловила на самом деле |
+| --- | --- |
+| `verify_api_namespace_contract` | `grep -rlF '/hui'` возвращал `apps/router/router_test.go` (регрессионный тест, который ПЕРЕЧИСЛЯЕТ legacy-префикс, чтобы доказать его отсутствие) и сам `versions.sh`, где эта строка стоит в тексте проверки |
+| «peer import не выходит за транзакцию» | `source.slice(start)` брал файл от начала `applyPeerImportEntry` **и до конца**, захватывая `ExistPeerName` и `UpdatePeerLastConnectionAt` — обычные операции вне импорта, которым глобальное соединение положено |
+
+Первая падала на шаге versions contract — шестым из четырнадцати, до резолва
+Hysteria. Вторая не была замечена только потому, что сборка до неё не доходила.
+
+Отсюда правило и помощники `code_without_comments` / `code_mentions_in` в
+`acceptance.sh`: проверка смотрит на код, а комментарий, объясняющий, почему
+чего-то больше нет, обязан называть это по имени и не должен ломать сборку.
+Отсутствие legacy-маршрута доказывает не `grep` по исходникам, а
+`TestRouterHasNoLegacyNamespace` на таблице маршрутов собранного роутера —
+и существование этого теста само проверяется контрактом.
+
 ## B. Target install tests
 
 ### На чистом Debian 13 проверяем
@@ -384,9 +495,13 @@ metadata пакета и версией, которую сообщает соб
 17. `nft -c -f /etc/nftables.conf` проходит после apply
 18. пароль admin и `con_pass` не перезаписываются при рестарте `hy2xs-admin`
 19. остановка/рестарт UI не останавливает `hysteria-server`
-20. traffic accounting/kick ориентируются на systemd status, а не на SQLite `HYSTERIA2_ENABLE`
+20. traffic accounting/kick ориентируются на systemd status; ключа `HYSTERIA2_ENABLE` в базе больше нет
 21. `/etc/hysteria/config.yaml` имеет `0640 hysteria:hy2xs-admin`
 22. `hy2xs-admin` может читать `/etc/hysteria/config.yaml`, но не может писать
+23. смена расписания сброса трафика применяется **без** перезапуска `hy2xs-admin`, и число джоб планировщика не растёт
+24. невалидное cron-выражение отклоняется API, а значение в базе не меняется
+25. `systemctl restart hy2xs-admin` завершает сервис штатно: планировщик остановлен до закрытия SQLite, в журнале нет `database is closed`
+26. `govulncheck ./...` на графе релиза не находит вызываемых уязвимостей
 
 ## C1. Семантический smoke конфига
 

docs/12-operations-and-troubleshooting.md

@@ -280,6 +280,66 @@ Update the DNS A record before using this server.
 `HY2XS_ADMIN_INITIAL_PASSWORD` и `HY2XS_ADMIN_CON_PASS` используются только как bootstrap-данные при первичной установке.
 Для ротации существующих credentials нужен отдельный flow на уровне account-management.
 
+### `hy2xs-admin` не стартует: «HY2XS_ADMIN_INITIAL_PASSWORD не задан»
+
+Означает, что учётной записи администратора в базе нет, а переменной, из которой
+её положено создать, — тоже.
+
+Придумывать пароль самостоятельно админка не будет: такой пароль не знал бы
+никто, кроме журнала, а раньше именно он туда и попадал открытым текстом.
+Сообщение говорит о повреждённом контракте запуска.
+
+Что проверять:
+
+```bash
+systemctl cat hy2xs-admin | grep EnvironmentFile
+grep -c '^HY2XS_ADMIN_INITIAL_PASSWORD=' /etc/hy2xs/hy2xs.env
+grep -c '^ADMIN_INITIAL_PASSWORD=' /etc/hy2xs/bootstrap-admin.secret
+```
+
+Починка — `hy2xs-orchestrator repair --allow-partial-state`: значения принадлежат
+оркестратору, он же приводит `hy2xs.env` и `bootstrap-admin.secret` в
+согласованное состояние.
+
+Аналогичное сообщение про `HY2XS_ADMIN_CON_PASS` относится к пиру установщика.
+Его секрет продублирован в `bootstrap-admin.secret`, откуда его читает проверка
+machine-auth, поэтому придуманный секрет разошёлся бы с файлом и первая же
+проверка подключения провалилась бы.
+
+### Забыт пароль администратора
+
+```bash
+systemctl stop hy2xs-admin
+set -a; . /etc/hy2xs/hy2xs.env; set +a
+"$HY2XS_INSTALL_DIR/hy2xs-admin" reset-admin
+systemctl start hy2xs-admin
+```
+
+Runtime env подключается намеренно: из него берутся пути к базе и журналу
+(`HY2XS_DATA_DIR`, `HY2XS_LOG_DIR`) — те же, с которыми работает юнит.
+
+Команда печатает новые логин и пароль в консоль и требует смены пароля при
+первом входе. Работает поверх существующей установки; на машине без базы она
+осмысленно откажет — это инструмент восстановления, а не установки.
+
+### Автоматический сброс трафика не срабатывает
+
+Проверьте сохранённое расписание:
+
+```bash
+journalctl -u hy2xs-admin | grep RESET_TRAFFIC_CRON
+```
+
+Невалидное выражение теперь отклоняется API до записи в базу, поэтому попасть в
+это состояние можно только правкой базы в обход продукта. Планировщик в таком
+случае поднимается без джобы сброса и пишет ERROR — старт сервиса при этом не
+прерывается намеренно: на панели висит `/internal/hysteria/auth`, и её отказ
+положил бы подключения пользователей.
+
+Починка — сохранить корректное значение в разделе настроек панели; оно
+применяется сразу, без перезапуска сервиса. Пустое значение — легальное и
+означает «автоматический сброс выключен».
+
 ## Правила эксплуатации
 
 1. Не править сервер как будто на нём есть builder.