release: glchat 0.1.1

Версия — в одном месте: файл VERSION в корне, из него её берут Makefile, deploy/install.sh (IMAGE_TAG) и desktop-обёртка (tauri.conf.json, Cargo.toml). Публикация обновлений (scripts/desktop-release.sh): - манифесты прошлых релизов удаляются: оставшийся <старая версия>.json перекрывал новый релиз — обёртка спрашивает манифест своей версии и видела «обновлений нет»; - mktemp-каталог раскладки получает 755, каталоги на инстансе нормализуются: rsync -a переносил режим 0700 на корень каталога обновлений, и приложение не могло читать манифесты (404 при живых файлах); - --remote работает без TTY и без sudo, если каталог обновлений записываем; опции ssh — в GLCHAT_SSH_OPTS; - предупреждение при публикации версии старше уже опубликованной. Сервер: HEAD /updates/... (chi не выводит его из GET) — размер и тип артефакта без скачивания; тест TestUpdatesAnswersHead. Приёмка на живом канале: 0.1.0 → 0.1.1 на стенде (скачивание, проверка подписи, установка, перезапуск), /Applications/glchat.app = 0.1.1.
fix(cli): не отдавать stdin обёртки командам обслуживания
2026-09-26 20:14:25 +03:00 · 2026-09-26 18:40:46 +03:00 · 2026-09-26 18:32:51 +03:00 · 2026-09-26 18:12:42 +03:00 · 2026-09-26 18:12:38 +03:00 · 2026-09-26 18:12:35 +03:00
28 changed files with 1584 additions and 127 deletions
@@ -3,7 +3,10 @@ SHELL := /usr/bin/env bash

 APP              := glchat
 MODULE           := glchat
-VERSION          ?= $(shell git describe --tags --always --dirty 2>/dev/null || echo dev)
+# Версия релиза — единственный источник правды: файл VERSION в корне (его же
+# читает установщик, а tauri.conf.json/Cargo.toml держат то же значение).
+# Без файла (например, в архиве без него) работает прежнее правило по git.
+VERSION          ?= $(shell cat $(CURDIR)/VERSION 2>/dev/null || git describe --tags --always --dirty 2>/dev/null || echo dev)
 COMMIT           ?= $(shell git rev-parse --short HEAD 2>/dev/null || echo none)
 BUILD_DATE       ?= $(shell date -u +%Y-%m-%dT%H:%M:%SZ)

@@ -191,9 +194,12 @@ web-build: ## Сборка web-клиента в web/dist
 DESKTOP_DIR       := $(ROOT)/desktop
 DESKTOP_TAURI_DIR := $(DESKTOP_DIR)/src-tauri
 DESKTOP_KEY       ?= $(BUILD_DIR)/desktop-keys/glchat-updater.key
-# Бандлы Tauri: `all` — обычная сборка, `app` — только .app (и артефакты
-# обновления) без .dmg: сборка .dmg монтирует образ и требует Finder.
+# Бандлы Tauri: `all` — обычная сборка (значение по умолчанию из tauri.conf.json),
+# `app` — только .app (и артефакты обновления) без .dmg: сборка .dmg монтирует
+# образ и требует Finder. Tauri CLI не принимает `all` в --bundles: при `all`
+# флаг не передаётся вовсе, и список бандлов берётся из bundle.targets.
 DESKTOP_BUNDLES   ?= all
+DESKTOP_BUNDLES_ARG := $(if $(filter-out all,$(DESKTOP_BUNDLES)),--bundles $(DESKTOP_BUNDLES),)
 TAURI_CLI         ?= npx --yes @tauri-apps/cli@^2
 export CARGO_HOME ?= $(CACHE_DIR)/cargo
 export NPM_CONFIG_CACHE ?= $(CACHE_DIR)/npm
@@ -211,11 +217,11 @@ desktop-build: ## Собрать desktop-приложение (бандлы по
 		cd $(DESKTOP_TAURI_DIR) && \
 			TAURI_SIGNING_PRIVATE_KEY="$$(cat $(DESKTOP_KEY))" \
 			TAURI_SIGNING_PRIVATE_KEY_PASSWORD="$${TAURI_SIGNING_PRIVATE_KEY_PASSWORD:-glchat-local-dev}" \
-			$(TAURI_CLI) build --bundles $(DESKTOP_BUNDLES); \
+			$(TAURI_CLI) build $(DESKTOP_BUNDLES_ARG); \
 	else \
 		echo "  ключа $(DESKTOP_KEY) нет: сборка без артефактов автообновления"; \
 		cd $(DESKTOP_TAURI_DIR) && \
-			$(TAURI_CLI) build --bundles $(DESKTOP_BUNDLES) \
+			$(TAURI_CLI) build $(DESKTOP_BUNDLES_ARG) \
 				--config '{"bundle":{"createUpdaterArtifacts":false}}'; \
 	fi

@@ -0,0 +1 @@
+0.1.1
@@ -38,6 +38,8 @@ func runCLI(args []string) int {
 		return cliTOTPReset(args[1:])
 	case "create-user":
 		return cliCreateUser(args[1:])
+	case "delete-user":
+		return cliDeleteUser(args[1:])
 	case "cleanup":
 		return cliCleanup(args[1:])
 	case "reindex":
@@ -278,8 +280,6 @@ func cliSetInstanceAdmin(command string, args []string) int {
 	})
 }

-// cliCleanup запускает чистку вручную: сессии, аудит и файлы без ссылок
-// (AGENT.md 6.4, 10.7).
 // cliCreateUser создаёт аккаунты по команде обслуживания: регистрация на
 // инстансе может быть выключена, а для нагрузочного теста (AGENT.md 11.4)
 // нужны десятки пользователей. Пароль задаёт оператор, аккаунты создаются без
@@ -381,6 +381,51 @@ func cliCreateUser(args []string) int {
 	return 0
 }

+// cliDeleteUser мягко удаляет аккаунт по команде обслуживания — ровно то же,
+// что делает админ-панель инстанса (`DELETE /instance/users/{id}`): запись
+// пользователя остаётся, но он исчезает из серверов, списков и сессий, а
+// сообщения и журнал аудита сохраняются (AGENT.md 6.4). Аккаунт инстанс-админа
+// удалить нельзя: это оставило бы инстанс без администратора — сначала
+// `glchat remove-admin`.
+func cliDeleteUser(args []string) int {
+	flags := flag.NewFlagSet("delete-user", flag.ContinueOnError)
+	email := flags.String("email", "", "email пользователя")
+	yes := flags.Bool("yes", false, "подтверждение удаления (без него команда только показывает, что будет удалено)")
+	positional := flags.Args()
+	if err := flags.Parse(args); err != nil {
+		return 2
+	}
+	if *email == "" && len(positional) > 0 {
+		*email = positional[0]
+	}
+	if *email == "" {
+		fmt.Fprintln(os.Stderr, "glchat delete-user: укажите email")
+		return 2
+	}
+
+	return withServices(func(ctx context.Context, st *store.Store, authService *auth.Service, _ config.Config) error {
+		user, err := authService.UserByEmail(ctx, *email)
+		if err != nil {
+			return fmt.Errorf("пользователь с таким email не найден")
+		}
+		if user.IsInstanceAdmin {
+			return fmt.Errorf("аккаунт %s — администратор инстанса: сначала снимите права командой glchat remove-admin", user.Username)
+		}
+		if !*yes {
+			fmt.Printf("будет удалён аккаунт %s <%s> (id %d): сессии отзываются, участие в серверах снимается,\n"+
+				"сообщения и журнал аудита остаются. Ничего не удалено — повторите с --yes.\n", user.Username, *email, user.ID)
+			return nil
+		}
+		if err := st.SoftDeleteUser(ctx, user.ID); err != nil {
+			return err
+		}
+		fmt.Printf("аккаунт %s <%s> удалён, сессии отозваны\n", user.Username, *email)
+		return nil
+	})
+}
+
+// cliCleanup запускает чистку вручную: сессии, аудит и файлы без ссылок
+// (AGENT.md 6.4, 10.7).
 func cliCleanup(args []string) int {
 	flags := flag.NewFlagSet("cleanup", flag.ContinueOnError)
 	auditDays := flags.Int("audit-days", -1, "сколько дней хранить журнал аудита (по умолчанию из конфигурации)")
@@ -38,12 +38,12 @@ func main() {
 		os.Exit(healthcheck())
 	}
 	// Подкоманды обслуживания (AGENT.md 10.7): bootstrap-admin, reset-password,
-	// make-admin, remove-admin, totp-setup, totp-reset, cleanup, reindex.
-	// Остальные команды реализует shell-обёртка glchat.
+	// make-admin, remove-admin, totp-setup, totp-reset, create-user, delete-user,
+	// cleanup, reindex. Остальные команды реализует shell-обёртка glchat.
 	if len(os.Args) > 1 {
 		switch os.Args[1] {
 		case "bootstrap-admin", "reset-password", "make-admin", "remove-admin", "totp-setup", "totp-reset",
-			"create-user", "cleanup", "reindex", "vapid-keys":
+			"create-user", "delete-user", "cleanup", "reindex", "vapid-keys":
 			os.Exit(runCLI(os.Args[1:]))
 		}
 	}
@@ -36,9 +36,12 @@ glchat — управление инстансом
  glchat restore <файл>         восстановление из бэкапа
  glchat verify-backup <файл>   проверить бэкап, не трогая данные
  glchat update [--channel X]   обновление (бэкап → pull → up → smoke)
-  glchat reset-password <email> сброс пароля пользователя (фаза 1)
-  glchat make-admin <email>     выдать права инстанс-админа (фаза 1)
-  glchat remove-admin <email>   снять права инстанс-админа (фаза 1)
+  glchat reset-password <email> сброс пароля пользователя; --password <пароль>
+  glchat make-admin <email>     выдать права инстанс-админа
+  glchat remove-admin <email>   снять права инстанс-админа
+  glchat totp-setup <email>     включить 2FA и напечатать секрет с резервными кодами
+  glchat totp-reset <email>     удалить секрет 2FA (потеря устройства и кодов)
+  glchat delete-user <email>    мягко удалить аккаунт (нужен --yes)
  glchat unban <ip>             снять бан fail2ban (jail'ы этого хоста;
                                на внешнем прокси — fail2ban-client там)
  glchat fail2ban-status        статус jails и забаненных IP
@@ -223,32 +226,46 @@ cmd_verify_backup() {
    GLCHAT_ETC_DIR="${GLCHAT_ETC_DIR}" bash "${GLCHAT_ETC_DIR}/verify-backup.sh" "$@"
 }

-cmd_reindex() {
+# app_cli выполняет подкоманду обслуживания внутри контейнера приложения
+# (AGENT.md 10.7): команды, которым нужна БД, живут в Go-бинарнике, а shell-обёртка
+# доставляет их с хоста. `</dev/null` обязателен: `docker compose exec -T`
+# подключает stdin и без этого съедает его у вызывающего скрипта — а обёртку
+# часто зовут из скрипта, поданного на stdin (`ssh … bash -s`), и он обрывался
+# после первой же команды.
+app_cli() {
    require_stack
-    ${COMPOSE} exec -T app glchat reindex
+    ${COMPOSE} exec -T app glchat "$@" </dev/null
+}
+
+# cmd_reindex пересобирает индекс полнотекстового поиска (AGENT.md 10.7).
+cmd_reindex() {
+    app_cli reindex
 }

 # cmd_vapid_keys печатает новую пару VAPID-ключей (Фаза 7): строки из вывода
 # добавляются в .env инстанса вручную — смена ключа отзывает все подписки,
 # поэтому автоматически её никто не делает.
 cmd_vapid_keys() {
-    require_stack
-    ${COMPOSE} exec -T app glchat vapid-keys "$@"
+    app_cli vapid-keys "$@"
 }

 # cmd_cleanup запускает чистку данных вручную: те же правила, что у
 # периодического обслуживания (AGENT.md 6.4).
 cmd_cleanup() {
-    require_stack
-    ${COMPOSE} exec -T app glchat cleanup "$@"
+    app_cli cleanup "$@"
 }

 # cmd_create_user создаёт аккаунты командой обслуживания: регистрация может
 # быть выключена, а для нагрузочного теста нужны десятки пользователей
 # (AGENT.md 10.7, 11.4). Флаг --sessions сразу выдаёт сессии для генератора.
 cmd_create_user() {
-    require_stack
-    ${COMPOSE} exec -T app glchat create-user "$@"
+    app_cli create-user "$@"
+}
+
+# cmd_account обслуживает аккаунт: сброс пароля, права инстанс-админа, 2FA и
+# мягкое удаление (AGENT.md 10.7) — тонкая обёртка над подкомандами бинарника.
+cmd_account() {
+    app_cli "$@"
 }

 main() {
@@ -261,9 +278,10 @@ main() {
        backup) cmd_backup "$@" ;;
        restore) cmd_restore "$@" ;;
        update) cmd_update "$@" ;;
-        reset-password | make-admin | remove-admin)
-            echo "glchat ${cmd}: команда появится в фазе 1 (аккаунты и инстанс)." >&2
-            exit 1
+        reset-password | make-admin | remove-admin | totp-setup | totp-reset | delete-user)
+            # Команды аккаунтов живут в Go-бинарнике (AGENT.md 10.7): обёртка
+            # только доставляет их в контейнер приложения.
+            cmd_account "$cmd" "$@"
            ;;
        unban) cmd_unban "$@" ;;
        fail2ban-status) cmd_fail2ban_status "$@" ;;
@@ -105,7 +105,11 @@ ENABLE_UFW="${ENABLE_UFW:-true}"
 ENABLE_NFTABLES="${ENABLE_NFTABLES:-true}"
 ENABLE_SSH_HARDENING="${ENABLE_SSH_HARDENING:-true}"
 APP_IMAGE="${APP_IMAGE:-glchat:local}"
-IMAGE_TAG="${IMAGE_TAG:-v0.1.0}"
+# Версия образа: файл VERSION в корне репозитория (тот же, что читает Makefile и
+# держит desktop-обёртка), с запасным значением для установки без репозитория.
+SCRIPT_VERSION="$(cat "${REPO_DIR}/VERSION" 2>/dev/null || true)"
+SCRIPT_VERSION="${SCRIPT_VERSION:-0.1.0}"
+IMAGE_TAG="${IMAGE_TAG:-v${SCRIPT_VERSION#v}}"
 # Тег + digest: реестр может перезаписать тег, digest фиксирует содержимое
 # (AGENT.md 11.3). Обновление — заменить digest после проверки образа.
 CADDY_IMAGE_TAG="${CADDY_IMAGE_TAG:-2.10-alpine@sha256:4c6e91c6ed0e2fa03efd5b44747b625fec79bc9cd06ac5235a779726618e530d}"
@@ -1734,7 +1738,7 @@ start_stack() {
 bootstrap_admin() {
    info "bootstrap инстанса (админ, главный сервер, роли)"
    if [ -z "$ADMIN_EMAIL" ]; then
-        warn "админ не задан (--admin): bootstrap будет выполнен вручную в фазе 1"
+        warn "админ не задан (--admin): bootstrap пропущен — создайте администратора командой glchat bootstrap-admin --email <email>"
        return 0
    fi
    if [ "$DRY_RUN" = "1" ]; then
@@ -1746,7 +1750,7 @@ bootstrap_admin() {
        --instance-name "$INSTANCE_NAME" --main-guild "$MAIN_GUILD_NAME" >/dev/null 2>&1; then
        ok "инстанс-админ создан"
    else
-        warn "bootstrap-admin недоступен в этой версии образа (появится в фазе 1); данные сохранены в .env"
+        warn "bootstrap-admin не выполнился: посмотрите 'docker logs glchat-app' и повторите вручную — glchat bootstrap-admin --email <email>; данные сохранены в .env"
    fi
    # 2FA обязательна для инстанс-админов (AGENT.md 7.19): секрет и резервные
    # коды печатает команда totp-setup. По умолчанию не выполняем её, чтобы
@@ -32,6 +32,12 @@ open desktop/src-tauri/target/release/bundle/macos/glchat.app
 Finder через AppleScript, поэтому из песочницы агента и из headless-окружения он
 падает (см. «Что не сделано»).

+`open --args` из песочницы агента аргументы не доставляет (проверено на
+macOS 27: и на бандле glchat, и на системном TextEdit — процесс запускается без
+них; из обычного терминала то же самое работает). Поэтому `make desktop-run
+ARGS='--minimized'` и замер свёрнутого окна в `scripts/desktop-perf.py` надо
+запускать из обычного терминала, а не из песочницы.
+
 Сборка релиза с артефактами автообновления использует ключ подписи:

 ```bash
@@ -53,6 +59,7 @@ make desktop-build
 | `--minimized` | запуск свёрнутым в трей (используется автозапуском) |
 | `--settings` | сразу открыть страницу настроек обёртки |
 | `--autostart on\|off` | включить или выключить автозапуск при установке скриптом |
+| `--update-now` | сразу проверить обновление и поставить его без диалога (тихое обновление) |

 ## Настройки

@@ -87,6 +94,33 @@ make desktop-build
 `GET {instance}/updates/{target}/{arch}/{current_version}` (target:
 `darwin`/`windows`/`linux`, arch: `aarch64`/`x86_64`; см. `src/updates.rs`).

+Найденное обновление показывается в интерфейсе, установка спрашивается
+отдельным диалогом («во время звонка перезапуск без согласия недопустим»).
+Для управляемых машин есть тихий режим — флаг `--update-now`:
+
+```bash
+open -a /Applications/glchat.app --args --update-now   # из обычного терминала
+```
+
+С этим флагом обёртка проверяет обновление сразу при старте (не через 30 секунд)
+и ставит найденное без вопросов, после чего перезапускается; диалогов нет вовсе,
+а если обновления нет — приложение просто работает дальше. По умолчанию флаг
+выключен, поведение обычного запуска не меняется. Подпись артефакта проверяется
+в обоих режимах: флаг убирает только вопрос пользователю, но не проверку
+(docs/DECISIONS.md, D-077).
+
+В журнале (`~/Library/Logs/su.mhspx.glchat/glchat.log`) видны и версия запущенной
+сборки, и ход обновления:
+
+```
+обёртка запущена: версия=0.1.0, адрес=https://gl.mhspx.su, окно=видимо, автозапуск=true
+тихое обновление по флагу --update-now: проверка сразу при старте
+доступно обновление 0.1.1
+тихое обновление по флагу: 0.1.0 → 0.1.1
+обновление 0.1.1 установлено, перезапуск
+обёртка запущена: версия=0.1.1, …
+```
+
 Манифест отдаёт сам инстанс (`internal/server/updates.go`), отдельная статика в
 Caddy не нужна: и встроенный Caddy профиля, и внешний прокси стенда проксируют
 весь домен на приложение, поэтому `/updates/...` доходит до него без правок
@@ -100,25 +134,68 @@ Caddy не нужна: и встроенный Caddy профиля, и внеш
 └── darwin/aarch64/
    ├── glchat.app.tar.gz         # артефакт релиза (создаёт tauri build)
    ├── glchat.app.tar.gz.sig     # подпись ed25519 (формат minisign)
-    ├── 0.1.0.json                # манифест версии
+    ├── 0.1.1.json                # манифест текущего релиза
    └── latest.json               # манифест последнего релиза — его и отдаёт инстанс
 ```

-Публикация релиза:
+Манифестов прошлых релизов в каталоге быть не должно: обёртка спрашивает
+`/updates/{target}/{arch}/{своя версия}`, и оставшийся `<старая версия>.json`
+перекрыл бы новый релиз — клиент со старой версией получил бы «обновлений нет».
+Публикующий скрипт сам убирает такие файлы (см. ниже).

-```bash
-make desktop-build                              # собрать бандл (.app/.dmg) и артефакты обновления
-sudo make desktop-release                       # разложить в /opt/glchat/updates + создать манифест
-make desktop-release-upload HOST=user@server    # то же, но по SSH (sudo спросит пароль в терминале)
-make desktop-release ARGS='--dry-run'           # посмотреть план, ничего не записывая
-```
+## Выпуск релиза
+
+Версия живёт в одном месте — файл `VERSION` в корне репозитория; из него её
+берут `Makefile` (версия сервера и образов), `deploy/install.sh` (`IMAGE_TAG`)
+и desktop-обёртка (`desktop/src-tauri/tauri.conf.json` + `Cargo.toml` — их
+значения должны совпадать с `VERSION`).
+
+1. Поднять версию:
+
+   ```bash
+   echo 0.1.2 > VERSION                       # версия сервера и обёртки
+   # те же значения — в desktop/src-tauri/tauri.conf.json, Cargo.toml, Cargo.lock
+   make web-build && make build               # сервер собирается с новой версией
+   ```
+
+2. Проверки и сборка бандла:
+
+   ```bash
+   make go-lint && go test -tags sqlite_fts5 -race -count=1 ./internal/...
+   cd web && npm run check && npm run lint && npm test && cd ..
+   make desktop-check                         # fmt, clippy, cargo test
+   make desktop-build                         # .app + .dmg + артефакты обновления
+   ```
+
+3. Зафиксировать и пометить релиз:
+
+   ```bash
+   git add VERSION Makefile deploy/install.sh desktop/src-tauri scripts/desktop-release.sh
+   git commit -m "release: 0.1.2"
+   git tag -a v0.1.2 -m "glchat 0.1.2" && git push origin main --tags
+   ```
+
+4. Опубликовать обновление на инстансе:
+
+   ```bash
+   sudo make desktop-release                                   # локальный инстанс
+   make desktop-release-upload HOST=user@server                # по SSH (sudo спросит пароль)
+   make desktop-release-upload HOST=user@server \
+     GLCHAT_SSH_OPTS="-i ~/.ssh/key -o IdentitiesOnly=yes"     # свой ключ, без TTY (CI)
+   make desktop-release ARGS='--dry-run'                       # посмотреть план
+   ```
+
+5. Проверить канал и живьём обновиться со старой версии — см. следующий раздел.

 Скрипт `scripts/desktop-release.sh` берёт версию из `tauri.conf.json`, сам
 определяет target/arch по имени артефакта, копирует артефакт и `.sig`, собирает
-манифест (`version`, `notes`, `pub_date`, `platforms.<target>-<arch>.signature/url`)
-и кладёт его и как `<version>.json`, и как `latest.json`. Несколько платформ
-одной версии (macOS + Windows + Linux) складываются в один манифест: запускайте
-скрипт по разу на артефакт.
+манифест (`version`, `notes`, `pub_date`, `platforms.<target>-<arch>.signature/url`),
+кладёт его и как `<version>.json`, и как `latest.json`, а манифесты прошлых
+релизов убирает. Несколько платформ одной версии (macOS + Windows + Linux)
+складываются в один манифест: запускайте скрипт по разу на артефакт. Каталог
+обновлений на инстансе обычно принадлежит root — тогда rsync идёт через sudo;
+если каталог записываем (стенд), sudo не нужен и загрузка работает без
+терминала.

 `latest.json` нужен потому, что обёртка приходит со **своей установленной**
 версией: «новее ли релиз» решает клиент сравнением semver
@@ -135,7 +212,8 @@ catch-all `handle` и доходит до приложения (так же, к
 Проверка (стенд):

 ```bash
-curl -s https://gl.mhspx.su/updates/darwin/aarch64/0.1.0 | jq .
+curl -s https://gl.mhspx.su/updates/darwin/aarch64/0.1.0 | jq .   # манифест для старой версии
+curl -sI https://gl.mhspx.su/updates/darwin/aarch64/glchat.app.tar.gz | head -3  # 200 + размер
 # в логе обёртки (~/Library/Logs/su.mhspx.glchat/glchat.log) —
 # «обновлений нет» (манифест разобран) вместо
 # «проверка обновлений не удалась: … 404»
@@ -145,6 +223,80 @@ curl -s https://gl.mhspx.su/updates/darwin/aarch64/0.1.0 | jq .
 подтверждение в диалоге (во время звонка перезапуск без согласия не делается) →
 подпись проверяется до установки, downgrade отклоняется.

+### Приёмка релиза на живом инстансе (26.09.2026, 0.1.0 → 0.1.1)
+
+Проверено на боевом канале стенда, без локальных заглушек:
+
+- манифест опубликован `scripts/desktop-release.sh --remote`, артефакт
+  `glchat.app.tar.gz` (3 204 953 Б) и подпись лежат в
+  `/opt/glchat/updates/darwin/aarch64/`;
+- обёртка 0.1.0, запущенная с `--update-now`, в журнале (UTC) показала:
+  `доступно обновление 0.1.1` → `тихое обновление по флагу: 0.1.0 → 0.1.1` →
+  `обновление 0.1.1 установлено, перезапуск` → `обёртка запущена: версия=0.1.1` →
+  `обновлений нет` (17:08:23–17:08:25Z);
+- запрос старой версии `GET /updates/darwin/aarch64/0.1.0` отдаёт манифест
+  **0.1.1** — это и есть та точка, где раньше мешал оставшийся `0.1.0.json`;
+- `/Applications/glchat.app` после установки — 0.1.1, ярлык на рабочем столе
+  (`~/Desktop/glchat.app`) указывает на него.
+
+**Важно про место установки.** `tauri-plugin-updater` распаковывает обновление
+во временный каталог и переносит бандл `rename(2)`. Если приложение лежит на
+другом томе, чем временный каталог (например, на внешнем диске
+`/Volumes/…`, а `TMPDIR` — на загрузочном), установка падает с
+`установка обновления не удалась: Cross-device link (os error 18)`, хотя
+скачивание и проверка подписи проходят. Поэтому приложение для автообновления
+надо держать на загрузочном томе — так делает `.dmg` (ставит в `/Applications`);
+ярлык на рабочем столе лучше вести на `/Applications/glchat.app`, а не на
+сборку в репозитории.
+
+### Локальная проверка «поверх старой версии» (без стенда)
+
+Установка обновления проверена локально на настоящем сервере инстанса: сборка
+0.1.0 → манифест 0.1.1 → скачивание → проверка подписи → установка → перезапуск
+на 0.1.1. Порядок действий (все данные — в каталоге репозитория, стенд не
+затрагивается):
+
+```bash
+# 1. артефакт текущей версии и приложение 0.1.0 (с ключом подписи)
+make desktop-build-app
+# 2. версия 0.1.1 в desktop/src-tauri/tauri.conf.json и Cargo.toml, затем:
+make desktop-build-app
+# 3. раскладка манифеста в свой каталог, ссылки — на локальный сервер
+bash scripts/desktop-release.sh --artifact \
+  desktop/src-tauri/target/release/bundle/macos/glchat.app.tar.gz \
+  --version 0.1.1 --base-url http://127.0.0.1:8100 --dir /tmp/updates
+# 4. настоящий сервер инстанса со своим каталогом обновлений и клиентом
+LISTEN_ADDR=127.0.0.1:8099 DATA_DIR=/tmp/glchat-e2e/data WEB_ROOT=$PWD/web/dist \
+  UPDATES_DIR=/tmp/updates DOMAIN=127.0.0.1:8099 TLS_ENABLED=false \
+  APP_VERSION=0.1.0-local SESSION_PEPPER=… MASTER_KEY=… TOTP_ENCRYPTION_KEY=… \
+  ./build/glchat
+# 5. запуск 0.1.0 с тихим обновлением (адрес инстанса — локальный)
+/Applications/glchat.app/Contents/MacOS/glchat-desktop \
+  --instance http://127.0.0.1:8099 --update-now
+```
+
+Что нужно знать, повторяя это:
+
+- **локальный стенд — http, а `tauri-plugin-updater` по умолчанию требует
+  `https`** («The configured updater endpoint must use a secure protocol»), для
+  проверки сборку делают с временным флагом
+  `tauri build --config '{"plugins":{"updater":{"dangerousInsecureTransportProtocol":true}}}'`.
+  В релизной сборке этого флага быть не должно: боевой адрес — `https://`;
+- **приложение должно лежать на пути без символических ссылок**: macOS-проверка
+  `tauri-utils` отвергает `current_exe()` с symlink-компонентом, поэтому
+  `/tmp/glchat-e2e/…` не годится (`/tmp` — ссылка на `/private/tmp`), а
+  `/private/tmp/glchat-e2e/…` годится. Тот же смысл у требования ставить
+  приложение в `/Applications`, а не запускать через ссылку;
+- **`--update-now` обязателен**: без него установку спрашивают диалогом, а
+  кликнуть в headless-прогоне некому;
+- диагностика в логе: `GET /updates/darwin/aarch64/0.1.0` в журнале сервера,
+  затем `доступно обновление 0.1.1` → `тихое обновление по флагу: 0.1.0 → 0.1.1`
+  → `обновление 0.1.1 установлено, перезапуск` → строка запуска с
+  `версия=0.1.1` и запрос манифеста уже для `0.1.1`;
+- проверка подписи проверяется и «от обратного»: если испортить байт в
+  артефакте, установка обязана упасть с `The signature verification failed`,
+  а версия на диске — остаться прежней.
+
 ## Уведомления и переход в канал

 Решение «показывать ли уведомление» принимает веб-клиент (упоминания и личные
@@ -196,16 +348,21 @@ python3 scripts/desktop-perf.py --runs 3     # 3 холодных старта +

 ## Что не сделано (открытые пункты Фазы 6)

- **Автообновление end-to-end не проверено на реальном релизе**: манифест
-  отдаётся и разбирается (проверено на стенде), но установка «поверх старой
-  версии» требует публикации версии с бо́льшим номером — это действие оператора
-  (см. «Публикация релиза» выше).
+- **Автообновление проверено локально «поверх старой версии»** (2026-09-26):
+  0.1.0 → манифест 0.1.1 → скачивание → проверка подписи → установка →
+  перезапуск на 0.1.1, подробности и команды — «Локальная проверка» выше.
+  Открытым остаётся публикация реального релиза на стенде (номер версии
+  поднимает оператор) и то, что локальная проверка шла по http с временным
+  флагом `dangerousInsecureTransportProtocol` — на стенде канал https.
 - **Аватары в уведомлениях** (thumb/буква) и группировка — сейчас иконка приложения.
 - **Захват экрана и микрофон**: разрешения macOS выдаёт webview, отдельных
  экранов-инструкций у обёртки нет.
 - **Developer ID и нотаризация** macOS, EV/Trusted Signing для Windows — только
  в CI с платными сертификатами (ниже — точные команды).
- **`.dmg`**: собирается только из обычного терминала (Finder/AppleScript).
+- **`.dmg`**: собирается из обычного терминала (Finder/AppleScript для раскладки
+  окна); в песочнице агента `hdiutil create` и AppleScript запрещены, но образ
+  **без оформления окна** собирается флагом `--sandbox-safe` к `bundle_dmg.sh`
+  (проверено 2026-09-26, см. ниже).
 - **Windows/Linux-бандлы**: конфигурация кросс-платформенная, но собирались и
  проверялись только macOS-arm64.

@@ -213,9 +370,10 @@ python3 scripts/desktop-perf.py --runs 3     # 3 холодных старта +

 ### macOS: `.dmg`

-`bundle_dmg.sh` монтирует образ (`hdiutil`) и управляет Finder через AppleScript,
-поэтому из песочницы агента и из headless-сессии он падает. Из обычного
-терминала на macOS:
+`bundle_dmg.sh` создаёт образ через `hdiutil create` и раскладывает иконки через
+AppleScript/Finder. Из песочницы агента и из headless-сессии обе операции
+запрещены (`hdiutil create` → «Операция не разрешена», AppleScript → -10004).
+Из обычного терминала на macOS:

 ```bash
 cd /Volumes/Samsung/projects/glchat
@@ -223,6 +381,26 @@ make desktop-build                 # .app + .dmg + артефакты обнов
 ls -lh desktop/src-tauri/target/release/bundle/dmg/
 ```

+Если терминала с графической сессией нет (CI, headless), тот же образ
+собирается без оформления окна — тем же скриптом Tauri с флагом
+`--sandbox-safe` (он пропускает AppleScript и `hdiutil create`):
+
+```bash
+cd /Volumes/Samsung/projects/glchat
+make desktop-build-app             # .app и артефакты обновления
+rm -rf /tmp/dmg-stage && mkdir -p /tmp/dmg-stage
+cp -R desktop/src-tauri/target/release/bundle/macos/glchat.app /tmp/dmg-stage/
+cd desktop/src-tauri/target/release/bundle/dmg
+bash bundle_dmg.sh --volname glchat --volicon icon.icns \
+  --icon glchat.app 180 170 --app-drop-link 480 170 --hide-extension glchat.app \
+  --sandbox-safe glchat_0.1.0_aarch64.dmg /tmp/dmg-stage
+hdiutil verify glchat_0.1.0_aarch64.dmg
+```
+
+Такой `.dmg` монтируется и содержит `glchat.app` и ссылку `Applications`, но без
+красивой раскладки иконок — для локальных проверок и CI этого достаточно, для
+публикации лучше собрать обычным `make desktop-build`.
+
 Артефакты без `.dmg` (для автообновления) собираются где угодно:
 `make desktop-build-app`.

@@ -1474,7 +1474,7 @@ dependencies = [

 [[package]]
 name = "glchat-desktop"
-version = "0.1.0"
+version = "0.1.1"
 dependencies = [
 "log",
 "serde",
@@ -1,6 +1,6 @@
 [package]
 name = "glchat-desktop"
-version = "0.1.0"
+version = "0.1.1"
 description = "glchat — desktop-обёртка вокруг веб-клиента (Tauri 2)"
 authors = ["glchat"]
 license = "AGPL-3.0-or-later"
@@ -120,7 +120,7 @@ pub fn desktop_reload<R: Runtime>(app: AppHandle<R>) -> Result<(), String> {
 /// Проверяет обновления (кнопка на странице настроек).
 #[tauri::command]
 pub async fn desktop_check_updates<R: Runtime>(app: AppHandle<R>) {
-    updates::check(app, true).await;
+    updates::check(app, true, false).await;
 }

 /// Открывает ссылку в системном браузере.
@@ -44,6 +44,9 @@ struct Cli {
    settings: bool,
    /// Принудительно включить или выключить автозапуск (установка скриптом).
    autostart: Option<bool>,
+    /// Проверить обновление сразу при старте и установить его без диалога
+    /// (тихое обновление управляемых машин; по умолчанию выключено).
+    update_now: bool,
 }

 impl Cli {
@@ -60,6 +63,7 @@ impl Cli {
                "--instance" => cli.instance = args.next(),
                "--minimized" => cli.minimized = true,
                "--settings" => cli.settings = true,
+                "--update-now" => cli.update_now = true,
                "--autostart" => cli.autostart = args.next().as_deref().and_then(parse_switch),
                other => {
                    if let Some(value) = other.strip_prefix("--instance=") {
@@ -250,8 +254,11 @@ fn setup(app: &tauri::AppHandle, cli: &Cli) {

    deeplink::install(app);

+    // Версия в журнале: после автообновления это единственный след того, какая
+    // сборка реально запустилась (проверка обновления сама версию не печатает).
    log::info!(
-        "обёртка запущена: адрес={}, окно={}, автозапуск={}",
+        "обёртка запущена: версия={}, адрес={}, окно={}, автозапуск={}",
+        app.package_info().version,
        current.instance_url,
        if cli.minimized {
            "свёрнуто"
@@ -267,16 +274,27 @@ fn setup(app: &tauri::AppHandle, cli: &Cli) {
        }
    }

-    spawn_update_check(app.clone());
+    spawn_update_check(app.clone(), cli.update_now);
    spawn_autostart_prompt(app.clone());
 }

-/// Фоновая проверка обновлений при старте (без диалогов).
-fn spawn_update_check(app: tauri::AppHandle) {
+/// Проверка обновлений при старте.
+///
+/// Обычный режим — фоновая проверка через [`UPDATE_CHECK_DELAY`], найденное
+/// обновление ставится только после подтверждения пользователя. С флагом
+/// `--update-now` проверка идёт сразу, а установка — без диалога: это режим
+/// управляемых машин, где обновление ставит оператор, а не пользователь
+/// (desktop/README.md, «Автообновление»). Подпись проверяется в обоих режимах:
+/// флаг убирает только вопрос, а не проверку артефакта.
+fn spawn_update_check(app: tauri::AppHandle, update_now: bool) {
    std::thread::spawn(move || {
+        if update_now {
+            log::info!("тихое обновление по флагу --update-now: проверка сразу при старте");
+        } else {
            std::thread::sleep(UPDATE_CHECK_DELAY);
+        }
        tauri::async_runtime::spawn(async move {
-            updates::check(app, false).await;
+            updates::check(app, false, update_now).await;
        });
    });
 }
@@ -332,6 +350,9 @@ mod tests {
        assert!(cli.minimized);
        assert!(cli.settings);
        assert_eq!(cli.autostart, None);
+        // Тихая установка обновления включается только явным флагом.
+        assert!(!cli.update_now);
+        assert!(parse(&["--update-now"]).update_now);
    }

    #[test]
@@ -121,7 +121,7 @@ fn on_menu_event<R: Runtime>(app: &AppHandle<R>, event: tauri::menu::MenuEvent)
        "updates" => {
            let handle = app.clone();
            tauri::async_runtime::spawn(async move {
-                updates::check(handle, true).await;
+                updates::check(handle, true, false).await;
            });
        }
        // Выход из трея — такой же выход, как закрытие окна: если в клиенте
@@ -28,7 +28,9 @@ const UPDATE_PATH: &str = "/updates/{{target}}/{{arch}}/{{current_version}}";

 /// Проверяет обновления. `interactive` — вызов из меню трея или настроек,
 /// тогда пользователь видит результат в диалоге; фоновая проверка молчит.
-pub async fn check<R: Runtime>(app: AppHandle<R>, interactive: bool) {
+/// `auto_install` — тихий режим (`--update-now`): найденное обновление ставится
+/// без вопроса, диалогов нет вовсе.
+pub async fn check<R: Runtime>(app: AppHandle<R>, interactive: bool, auto_install: bool) {
    if UPDATER_PUBKEY.is_empty() {
        log::info!("автообновление не настроено: в сборке нет публичного ключа подписи");
        if interactive {
@@ -82,7 +84,7 @@ pub async fn check<R: Runtime>(app: AppHandle<R>, interactive: bool) {
                    version: version.clone(),
                },
            );
-            prompt_install(app, update, version).await;
+            prompt_install(app, update, version, auto_install).await;
        }
        Ok(None) => {
            log::info!("обновлений нет");
@@ -108,13 +110,22 @@ pub async fn check<R: Runtime>(app: AppHandle<R>, interactive: bool) {
    }
 }

-/// Спрашивает согласие и устанавливает обновление.
+/// Спрашивает согласие и устанавливает обновление (в тихом режиме — сразу).
 async fn prompt_install<R: Runtime>(
    app: AppHandle<R>,
    update: tauri_plugin_updater::Update,
    version: String,
+    auto_install: bool,
 ) {
    let handle = app.clone();
+    if auto_install {
+        // Тихая установка: подпись артефакта проверяет плагин до распаковки —
+        // флаг убирает вопрос пользователю, но не проверку релиза.
+        log::info!(
+            "тихое обновление по флагу: {} → {version}",
+            app.package_info().version
+        );
+    } else {
        let question = format!(
            "Доступна версия {version}. Скачать и установить сейчас? Приложение будет перезапущено, \
             активный голосовой звонок прервётся."
@@ -135,6 +146,7 @@ async fn prompt_install<R: Runtime>(
        if !confirmed {
            return;
        }
+    }

    match update
        .download_and_install(|_chunk, _total| {}, || {})
@@ -146,6 +158,7 @@ async fn prompt_install<R: Runtime>(
        }
        Err(error) => {
            log::error!("установка обновления не удалась: {error}");
+            if !auto_install {
                app.dialog()
                    .message(format!(
                        "Обновление не установлено: {error}. Скачать установщик вручную можно на \
@@ -156,6 +169,7 @@ async fn prompt_install<R: Runtime>(
                    .show(|_| {});
            }
        }
+    }
 }

 #[cfg(test)]
@@ -1,7 +1,7 @@
 {
  "$schema": "https://schema.tauri.app/config/2",
  "productName": "glchat",
-  "version": "0.1.0",
+  "version": "0.1.1",
  "identifier": "su.mhspx.glchat",
  "build": {
    "frontendDist": "./ui"
@@ -291,9 +291,13 @@ func (s *Server) registerRoutes(router chi.Router) {
 	// Манифест автообновления desktop-обёртки (docs/client-tauri.md §4): обычная
 	// статика без сессии — обёртка проверяет обновления до входа в аккаунт.
 	// Обработчик берётся через поле, а не значением метода: каталог обновлений
-	// задаётся конфигом и в тестах подменяется до первого запроса.
+	// задаётся конфигом и в тестах подменяется до первого запроса. HEAD
+	// регистрируется отдельно (chi не выводит его из GET): по нему удобно
+	// проверять размер и тип артефакта, не скачивая его.
 	router.Get("/updates/*", func(w http.ResponseWriter, r *http.Request) { s.updates.serve(w, r) })
 	router.Get("/updates", func(w http.ResponseWriter, r *http.Request) { s.updates.serve(w, r) })
+	router.Head("/updates/*", func(w http.ResponseWriter, r *http.Request) { s.updates.serve(w, r) })
+	router.Head("/updates", func(w http.ResponseWriter, r *http.Request) { s.updates.serve(w, r) })

 	router.NotFound(s.handleFallback)
 	router.MethodNotAllowed(func(w http.ResponseWriter, _ *http.Request) {
@@ -108,6 +108,27 @@ func TestUpdatesServesArtifactAndSignature(t *testing.T) {
 	}
 }

+// TestUpdatesAnswersHead: HEAD отдаёт заголовки файла без тела — по нему
+// удобно проверять размер и тип артефакта, не скачивая его (chi не выводит
+// HEAD из GET, маршрут регистрируется отдельно).
+func TestUpdatesAnswersHead(t *testing.T) {
+	srv, _ := updatesFixture(t)
+
+	rec := httptest.NewRecorder()
+	srv.Handler().ServeHTTP(rec,
+		httptest.NewRequestWithContext(context.Background(), http.MethodHead,
+			"/updates/darwin/aarch64/glchat_0.2.0_aarch64.app.tar.gz", nil))
+	if rec.Code != http.StatusOK {
+		t.Fatalf("status = %d, want 200", rec.Code)
+	}
+	if rec.Body.Len() != 0 {
+		t.Errorf("тело ответа на HEAD = %q, want пусто", rec.Body.String())
+	}
+	if rec.Header().Get("Content-Length") == "" {
+		t.Error("HEAD без Content-Length: размер артефакта не узнать")
+	}
+}
+
 // TestUpdatesMissingManifestIsNotFound: неизвестная версия — честный 404, а не
 // SPA-заглушка: иначе обёртка получила бы HTML вместо манифеста.
 func TestUpdatesMissingManifestIsNotFound(t *testing.T) {
@@ -10,7 +10,13 @@
 #   3. пишет манифест <каталог>/<target>/<arch>/<version>.json и его копию
 #      latest.json — её инстанс отдаёт в ответ на
 #      GET /updates/{target}/{arch}/{current_version} (обёртка приходит со
-#      своей установленной версией, а «новее ли релиз» решает клиент).
+#      своей установленной версией, а «новее ли релиз» решает клиент);
+#   4. убирает манифесты прошлых релизов (`<старая версия>.json`): обёртка
+#      спрашивает манифест своей версии, и оставшийся файл перекрыл бы новый
+#      релиз — клиент со старой версией не увидел бы обновления вовсе.
+#
+# Версия релиза берётся из desktop/src-tauri/tauri.conf.json, а та — из файла
+# VERSION в корне репозитория (единый источник версии, см. desktop/README.md).
 #
 # Приватный ключ подписи не нужен: подпись уже лежит рядом с артефактом (её
 # делает `make desktop-build`), сервер только отдаёт файлы, а проверяет
@@ -67,7 +73,8 @@ desktop-release.sh — раскладка артефактов обновлен
  --dir DIR         каталог обновлений (по умолчанию $GLCHAT_UPDATES_DIR или /opt/glchat/updates)
  --base-url URL    публичный адрес инстанса для ссылок (по умолчанию https://gl.mhspx.su)
  --notes TEXT      текст «что нового» в манифесте
-  --remote HOST     разложить в --dir на удалённом хосте: rsync через sudo по SSH
+  --remote HOST     разложить в --dir на удалённом хосте: rsync по SSH (через
+                    sudo, если каталог не записываем; опции ssh — GLCHAT_SSH_OPTS)
  --dry-run         показать план, ничего не записывать
  -h, --help        эта справка
 EOF
@@ -128,6 +135,27 @@ have() { command -v "$1" >/dev/null 2>&1; }
 have jq || die "нужен jq (генерация манифеста)"
 BASE_URL="${BASE_URL%/}"

+# newer_version <a> <b> → true, если a новее b. Сравниваем по числам (0.1.10
+# новее 0.1.9 — обычное сравнение строк тут ошибается), недостающие части
+# считаем нулями.
+newer_version() {
+    jq -n --arg a "$1" --arg b "$2" '
+        def parts: split(".") | map(tonumber? // 0) | . + [0, 0, 0] | .[0:3];
+        (($a | parts) > ($b | parts))'
+}
+
+# drop_stale_manifests <каталог> — убирает манифесты прошлых релизов, оставляя
+# только манифест публикуемой версии и latest.json.
+#
+# Зачем: обёртка спрашивает `/updates/{target}/{arch}/{своя_версия}`, сервер
+# отдаёт `<версия>.json`, а если его нет — latest.json. Файл прошлого релиза
+# (например 0.1.0.json) перекрывал бы новый: клиент со старой версией получал бы
+# «обновлений нет» и автообновление не приходило бы никому.
+drop_stale_manifests() {
+    find "$1" -maxdepth 1 -type f -name '*.json' \
+        ! -name "${VERSION}.json" ! -name latest.json -print -delete
+}
+
 # --- сбор артефактов ------------------------------------------------------

 # Версия релиза: единственный источник правды — tauri.conf.json
@@ -183,6 +211,11 @@ arch_from_name() {
 # и тем же кодом.
 STAGE="$(mktemp -d)"
 trap 'rm -rf "$STAGE"' EXIT
+# mktemp создаёт каталог с режимом 0700, а rsync -a переносит атрибуты корня
+# источника на корень назначения: каталог обновлений на инстансе становился
+# 0700 и приложение (другой пользователь) переставало читать манифесты —
+# /updates/… отвечал 404, хотя файлы лежали на месте.
+chmod 755 "$STAGE"
 : >"${STAGE}/layout.txt"
 PLATFORMS_FILE="${STAGE}/platforms.json"
 printf '{}' >"$PLATFORMS_FILE"
@@ -251,6 +284,15 @@ if [ -z "$REMOTE" ]; then
    while read -r target arch artifact_name; do
        install_dir="${UPDATES_DIR}/${target}/${arch}"
        mkdir -p "$install_dir"
+        # Понижение версии ничего не сломает (клиент отвергает даунгрейд), но
+        # публиковать его бессмысленно — предупреждаем.
+        if [ -f "${install_dir}/latest.json" ]; then
+            published="$(jq -r '.version // empty' "${install_dir}/latest.json" 2>/dev/null || true)"
+            if [ -n "$published" ] && [ "$published" != "$VERSION" ] &&
+                [ "$(newer_version "$published" "$VERSION")" = "true" ]; then
+                warn "в ${install_dir} уже опубликована версия ${published} — она новее ${VERSION}: обёртки её не увидят"
+            fi
+        fi
        cp -f "${STAGE}/${target}/${arch}/${artifact_name}" "${install_dir}/${artifact_name}"
        cp -f "${STAGE}/${target}/${arch}/${artifact_name}.sig" "${install_dir}/${artifact_name}.sig"
        # Манифест этой версии мог уже существовать (другая платформа той же
@@ -264,8 +306,14 @@ if [ -z "$REMOTE" ]; then
        # latest.json указывает на последнюю опубликованную версию для этой
        # платформы: именно её отдаёт инстанс на запрос обёртки.
        cp -f "$PLATFORMS_FILE" "${install_dir}/latest.json"
+        drop_stale_manifests "$install_dir" | while read -r stale; do
+            info "убран манифест прошлого релиза: ${stale}"
+        done
        chmod 644 "${install_dir}/${artifact_name}" "${install_dir}/${artifact_name}.sig" \
            "${install_dir}/${VERSION}.json" "${install_dir}/latest.json"
+        # Каталоги — 755: приложение читает их под другим пользователем, а
+        # манифест прошлого релиза мог прийти с чужого стенда с режимом 700.
+        find "$install_dir" -type d -exec chmod 755 {} +
        ok "разложено в ${install_dir}"
    done <"${STAGE}/layout.txt"

@@ -282,13 +330,40 @@ fi

 # --- доставка на удалённый инстанс ---------------------------------------

-# Каталог обновлений принадлежит root (его создаёт установщик), поэтому на
-# удалённой стороне rsync запускается через sudo: пароль спросит ssh -t.
+# Каталог обновлений обычно принадлежит root (его создаёт установщик) — тогда
+# rsync на удалённой стороне идёт через sudo и пароль спрашивает ssh -t. Но
+# каталог может быть и пользовательским (например, на стенде): если он
+# записываем, sudo не нужен вовсе, и загрузка работает без терминала (CI,
+# `ssh` без TTY). Дополнительные опции ssh — в GLCHAT_SSH_OPTS.
 have rsync || die "нужен rsync для --remote"
-info "загружаем на ${REMOTE}:${UPDATES_DIR} (sudo спросит пароль)"
-rsync -az --rsync-path="sudo rsync" -e "ssh -t" "${STAGE}/" "${REMOTE}:${UPDATES_DIR}/" ||
+# Опции ssh задаются строкой (её разбиение по словам здесь намеренное) — так
+# скрипт работает и на bash 3.2 из macOS, где пустой массив под `set -u` падает.
+# shellcheck disable=SC2086
+SSH_EXTRA="${GLCHAT_SSH_OPTS:-}"
+
+if ssh ${SSH_EXTRA} -o BatchMode=yes "$REMOTE" "test -w '${UPDATES_DIR}'" >/dev/null 2>&1; then
+    info "загружаем на ${REMOTE}:${UPDATES_DIR} (каталог записываем — без sudo)"
+    # shellcheck disable=SC2086
+    rsync -az -e "ssh ${SSH_EXTRA}" "${STAGE}/" "${REMOTE}:${UPDATES_DIR}/" ||
        die "не удалось загрузить артефакты на ${REMOTE}"
-ssh -t "$REMOTE" "sudo find '${UPDATES_DIR}' -type f -exec chmod 644 {} +"
+    # shellcheck disable=SC2086
+    ssh ${SSH_EXTRA} "$REMOTE" "find '${UPDATES_DIR}' -type d -exec chmod 755 {} +"
+    ssh ${SSH_EXTRA} "$REMOTE" "find '${UPDATES_DIR}' -type f -exec chmod 644 {} +"
+    # shellcheck disable=SC2086
+    ssh ${SSH_EXTRA} "$REMOTE" "find '${UPDATES_DIR}' -type f -name '*.json' ! -name '${VERSION}.json' ! -name latest.json -print -delete"
+else
+    info "загружаем на ${REMOTE}:${UPDATES_DIR} (sudo спросит пароль)"
+    # shellcheck disable=SC2086
+    rsync -az --rsync-path="sudo rsync" -e "ssh -t ${SSH_EXTRA}" "${STAGE}/" "${REMOTE}:${UPDATES_DIR}/" ||
+        die "не удалось загрузить артефакты на ${REMOTE}"
+    # shellcheck disable=SC2086
+    ssh -t ${SSH_EXTRA} "$REMOTE" "sudo find '${UPDATES_DIR}' -type d -exec chmod 755 {} +"
+    ssh -t ${SSH_EXTRA} "$REMOTE" "sudo find '${UPDATES_DIR}' -type f -exec chmod 644 {} +"
+    # Манифесты прошлых релизов на удалённой стороне убираются по тому же
+    # правилу, что и локально: иначе старый <версия>.json перекрывает новый релиз.
+    # shellcheck disable=SC2086
+    ssh -t ${SSH_EXTRA} "$REMOTE" "sudo find '${UPDATES_DIR}' -type f -name '*.json' ! -name '${VERSION}.json' ! -name latest.json -print -delete"
+fi
 ok "обновления на ${REMOTE}:${UPDATES_DIR}"
 cat <<EOF

@@ -137,6 +137,14 @@ docker exec "$CONTAINER" bash -lc '
  fail2ban-client status
  echo "--- glchat CLI ---"
  glchat version
+  # Команды аккаунтов живут в Go-бинарнике: в обёртке не должно остаться
+  # заглушек «появится в фазе 1», а справка обязана их перечислять.
+  grep -q "delete-user" /usr/local/bin/glchat && echo "CLI: команды аккаунтов: ok"
+  glchat help | grep -q "reset-password" && echo "CLI: справка аккаунтов: ok"
+  if grep -q "появится в фазе 1" /usr/local/bin/glchat; then
+    echo "CLI: в обёртке осталась заглушка фазы 1" >&2
+    exit 1
+  fi
  echo "--- конфиги валидны ---"
  docker compose -f /opt/glchat/compose.yaml config -q && echo "compose config: valid"
 '
@@ -0,0 +1,118 @@
+import { expect, test } from '@playwright/test';
+
+import {
+  apiAs,
+  createGuild,
+  displayName,
+  dropStaleGuilds,
+  ensureProbe,
+  openApp,
+  openGuild,
+  stepUp,
+  type Account,
+  type ProbeLogin,
+  type Session,
+} from './support';
+
+/**
+ * Лимит частоты API (AGENT.md 8.6): запрос, получивший 429, клиент повторяет
+ * сам, выждав паузу `retry_after_ms` из ответа сервера. До этой правки раздел
+ * «Участники» под нагрузкой оставался пустым с кнопкой «Повторить» — именно
+ * так падал пункт 3 матрицы 11.6 в финальном прогоне 26.09.
+ *
+ * Проверка живая: запрос участников перехватывается в браузере и дважды
+ * получает 429 с настоящим конвертом ошибки, после чего уходит на стенд.
+ * Раздел обязан показать участника без действий пользователя.
+ *
+ *   GLCHAT_E2E_REALTIME=1 GLCHAT_URL=https://gl.mhspx.su \
+ *   PLAYWRIGHT_BROWSERS_PATH=../.cache/ms-playwright \
+ *   npx playwright test e2e/query-retry.spec.ts
+ */
+const enabled = process.env.GLCHAT_E2E_REALTIME === '1';
+const API = '/api/v1';
+const PREFIX = 'Retry E2E ';
+const OWNER_LOGIN: ProbeLogin = { username: 'rtprobe', password: 'Rt-Probe-Owner-9x' };
+
+let owner: Account;
+
+test.describe('лимит частоты: клиент повторяет запрос без действий пользователя', () => {
+  test.skip(!enabled, 'нужен развёрнутый инстанс: GLCHAT_E2E_REALTIME=1');
+
+  test.beforeAll(async ({ playwright }) => {
+    const ownerApi = await playwright.request.newContext({ baseURL: process.env.GLCHAT_URL });
+    try {
+      const probe = await ensureProbe(ownerApi, OWNER_LOGIN.username, OWNER_LOGIN.password);
+      const name = await displayName(ownerApi);
+      await stepUp(ownerApi, OWNER_LOGIN.password);
+      await dropStaleGuilds(ownerApi, PREFIX);
+      owner = {
+        ...probe,
+        displayName: name,
+        state: await ownerApi.storageState(),
+        browserState: await ownerApi.storageState(),
+      };
+    } finally {
+      await ownerApi.dispose();
+    }
+  });
+
+  test('429 на списке участников: раздел заполняется сам', async ({ browser, playwright }) => {
+    const ownerApi = await apiAs(playwright, owner.state);
+    let session: Session | null = null;
+    let guildId = '';
+
+    try {
+      const guild = await createGuild(ownerApi, `${PREFIX}${String(Date.now() % 100_000)}`);
+      guildId = guild.id;
+      session = await openApp(browser, owner.browserState);
+      const page = session.page;
+
+      // Перехват ставим до первого запроса участников: его делает уже список
+      // участников в ленте сервера, и без перехвата данные легли бы в кэш
+      // раньше проверки. Запрос обязан получить 429 дважды и уйти на стенд
+      // только с третьей попытки.
+      let blocked = 0;
+      await page.route('**/api/v1/guilds/*/members*', async (route) => {
+        if (blocked >= 2) {
+          await route.continue();
+          return;
+        }
+        blocked += 1;
+        await route.fulfill({
+          status: 429,
+          contentType: 'application/json',
+          body: JSON.stringify({
+            error: {
+              code: 'rate_limited',
+              message: 'Слишком много запросов. Подождите немного.',
+              retry_after_ms: 400,
+            },
+          }),
+        });
+      });
+
+      // Открываем настройки сервера так же, как пользователь: выбрать сервер в
+      // рейке и нажать ⚙. Адресный переход `/settings/servers/<id>` здесь не
+      // годится: он на мгновение монтирует вкладку «Мои серверы», та заводит
+      // запрос участников по тому же ключу и, размонтируясь, обрывает его
+      // повтор — запрос остаётся в состоянии ошибки.
+      await openGuild(page, guild.name);
+      await page.getByRole('button', { name: 'Настройки сервера' }).click();
+      await expect(page.getByTestId('settings-content')).toBeVisible({ timeout: 30_000 });
+
+      // Кнопка «Повторить» не нажимается: строку даёт автоматический повтор.
+      const row = page
+        .getByTestId('guild-members')
+        .locator('li', { hasText: `@${owner.username}` });
+      await expect(row).toContainText(owner.displayName, { timeout: 30_000 });
+      expect(blocked, 'оба ответа 429 были отданы перехватчиком').toBe(2);
+    } finally {
+      await session?.context.close();
+      if (guildId !== '') {
+        await stepUp(ownerApi, OWNER_LOGIN.password).catch(() => undefined);
+        await ownerApi.delete(`${API}/guilds/${guildId}`).catch(() => undefined);
+      }
+      await ownerApi.dispose();
+    }
+  });
+});
@@ -0,0 +1,379 @@
+import { expect, test, type APIRequestContext, type Page } from '@playwright/test';
+
+import {
+  apiAs,
+  createChannel,
+  createGuild,
+  createRole,
+  displayName,
+  dropStaleGuilds,
+  ensureProbe,
+  listChannels,
+  listRoles,
+  openApp,
+  openGuild,
+  pngBytes,
+  postWithRetry,
+  repeat429,
+  signIn,
+  stepUp,
+  trackLoads,
+  type Account,
+  type ProbeLogin,
+  type Session,
+} from './support';
+
+/**
+ * Realtime-матрица AGENT.md 11.6 для остатка Фазы 7: иконка и имя групповой
+ * беседы (D-070, D-075) и личные шаблоны серверов (7.3). Действие A видно
+ * второму браузеру без F5 и повторного входа — за прогон ни одной полной
+ * загрузки документа (`trackLoads` = 0). Запуск только по флагу, тест требует
+ * стенда:
+ *
+ *   GLCHAT_E2E_REALTIME=1 GLCHAT_URL=https://gl.mhspx.su \
+ *   PLAYWRIGHT_BROWSERS_PATH=../.cache/ms-playwright \
+ *   npx playwright test e2e/realtime-phase7.spec.ts
+ */
+const enabled = process.env.GLCHAT_E2E_REALTIME === '1';
+const API = '/api/v1';
+const BASE_URL = process.env.GLCHAT_URL ?? 'https://gl.mhspx.su';
+/** Префикс тестовых данных: по нему убираются серверы, шаблоны и группы прошлых прогонов. */
+const PREFIX = 'Realtime E2E ';
+/** Постоянные пробные аккаунты: A — владелец, B — второй браузер, C — третий участник. */
+const OWNER_LOGIN: ProbeLogin = { username: 'rtprobe', password: 'Rt-Probe-Owner-9x' };
+const MEMBER_LOGIN: ProbeLogin = { username: 'rtprobe2', password: 'Rt-Probe-Member-9x' };
+const THIRD_LOGIN: ProbeLogin = { username: 'rtprobe3', password: 'Rt-Probe-Third-9x' };
+
+let owner: Account;
+let member: Account;
+let third: Account;
+
+test.describe('realtime: иконка и имя групповой беседы, личные шаблоны (Фаза 7)', () => {
+  test.skip(!enabled, 'нужен развёрнутый инстанс: GLCHAT_E2E_REALTIME=1');
+
+  // Лимит API — 120 запросов в минуту на сессию (AGENT.md 8.6): пауза между
+  // тестами даёт ведру лимита наполниться, иначе интерфейс получает 429.
+  test.afterEach(async () => {
+    await new Promise((resolve) => setTimeout(resolve, 4_000));
+  });
+
+  test.beforeAll(async ({ playwright }) => {
+    const ownerApi = await playwright.request.newContext({ baseURL: BASE_URL });
+    const memberApi = await playwright.request.newContext({ baseURL: BASE_URL });
+    const thirdApi = await playwright.request.newContext({ baseURL: BASE_URL });
+    try {
+      // Лимит входов — 5 в минуту на IP (AGENT.md 8.6): входы разносим по времени.
+      const ownerProbe = await ensureProbe(ownerApi, OWNER_LOGIN.username, OWNER_LOGIN.password);
+      await new Promise((resolve) => setTimeout(resolve, 2_000));
+      const memberProbe = await ensureProbe(
+        memberApi,
+        MEMBER_LOGIN.username,
+        MEMBER_LOGIN.password,
+      );
+      await new Promise((resolve) => setTimeout(resolve, 2_000));
+      const thirdProbe = await ensureProbe(thirdApi, THIRD_LOGIN.username, THIRD_LOGIN.password);
+      const ownerName = await displayName(ownerApi);
+      const memberName = await displayName(memberApi);
+      const thirdName = await displayName(thirdApi);
+      // Уборка данных прошлых прогонов: удаление серверов требует свежий step-up.
+      await stepUp(ownerApi, OWNER_LOGIN.password);
+      await dropStaleGuilds(ownerApi, PREFIX);
+      await dropStaleTemplates(ownerApi, PREFIX);
+      await dropStaleGroups(ownerApi, PREFIX, ownerProbe.id);
+      await stepUp(memberApi, MEMBER_LOGIN.password);
+      await dropStaleGuilds(memberApi, PREFIX);
+      // Браузерные сессии берём из тех же api-контекстов: лишние входы не
+      // тратятся, а наблюдатель входит формой уже внутри теста.
+      owner = {
+        ...ownerProbe,
+        displayName: ownerName,
+        state: await ownerApi.storageState(),
+        browserState: await ownerApi.storageState(),
+      };
+      member = {
+        ...memberProbe,
+        displayName: memberName,
+        state: await memberApi.storageState(),
+        browserState: await memberApi.storageState(),
+      };
+      third = {
+        ...thirdProbe,
+        displayName: thirdName,
+        state: await thirdApi.storageState(),
+        browserState: await thirdApi.storageState(),
+      };
+    } finally {
+      await ownerApi.dispose();
+      await memberApi.dispose();
+      await thirdApi.dispose();
+    }
+  });
+
+  test('26. Иконка и имя групповой беседы: у наблюдателя без перезагрузки', async ({
+    browser,
+    playwright,
+  }) => {
+    const ownerApi = await apiAs(playwright, owner.state);
+    const sessions: Session[] = [];
+    let groupId = '';
+
+    try {
+      // Группа — это минимум три человека (AGENT.md 7.8): владелец и два гостя.
+      const created = await postWithRetry(ownerApi, `${API}/users/@me/channels/group`, {
+        name: `${PREFIX}группа`,
+        recipient_ids: [member.id, third.id],
+      });
+      expect(created.ok(), `групповая беседа: ${await created.text()}`).toBeTruthy();
+      groupId = ((await created.json()) as { channel: { id: string } }).channel.id;
+
+      // Владелец — на подготовленной сессии, наблюдатель входит формой: пути разные.
+      sessions.push(await openApp(browser, owner.browserState));
+      sessions.push(await signIn(browser, { email: member.email, password: member.password }));
+      const [actor, observer] = sessions as [Session, Session];
+      await openGroupConversation(actor.page, groupId);
+      await openGroupConversation(observer.page, groupId);
+
+      // Считаем полные загрузки документа: F5 в сценарии быть не должно.
+      const loads = trackLoads(observer.page);
+      loads.reset();
+
+      // Владелец ставит иконку беседы через меню в шапке.
+      await actor.page.getByTestId('dm-owner-menu').click();
+      await actor.page.getByTestId('dm-icon-upload').click();
+      await actor.page.getByTestId('dm-icon-input').setInputFiles({
+        name: 'group-icon.png',
+        mimeType: 'image/png',
+        buffer: pngBytes(64, 64, [30, 110, 210]),
+      });
+      const actorHeader = actor.page.getByTestId('dm-group-header');
+      await expect(actorHeader.locator('img')).toHaveAttribute('src', /\/files\/\d+/u, {
+        timeout: 30_000,
+      });
+
+      // Наблюдатель: иконка приходит событием DM_CHANNEL_UPDATE в шапку и список.
+      const observerHeader = observer.page.getByTestId('dm-group-header');
+      await expect(observerHeader.locator('img')).toHaveAttribute('src', /\/files\/\d+/u, {
+        timeout: 20_000,
+      });
+      await expect(observer.page.getByTestId(`dm-link-${groupId}`).locator('img')).toHaveAttribute(
+        'src',
+        /\/files\/\d+/u,
+        { timeout: 20_000 },
+      );
+      // Участник-не-владелец меню владельца не получает: права проверяет сервер.
+      await expect(observer.page.getByTestId('dm-owner-menu')).toHaveCount(0);
+
+      // Переименование: владелец через диалог, наблюдатель видит новое имя.
+      const renamed = `${PREFIX}кино ${Date.now()}`;
+      await actor.page.getByTestId('dm-owner-menu').click();
+      await actor.page.getByTestId('dm-group-rename').click();
+      const dialog = actor.page.getByRole('dialog', { name: 'Переименовать беседу' });
+      await expect(dialog).toBeVisible({ timeout: 20_000 });
+      // Поле открывается с текущим именем — его и правит владелец.
+      await expect(dialog.getByLabel('Название группы')).toHaveValue(`${PREFIX}группа`);
+      await dialog.getByLabel('Название группы').fill(renamed);
+      await dialog.getByRole('button', { name: 'Сохранить' }).click();
+      await expect(dialog).toBeHidden({ timeout: 20_000 });
+      await expect(actorHeader).toContainText(renamed, { timeout: 20_000 });
+      await expect(observerHeader).toContainText(renamed, { timeout: 20_000 });
+      await expect(observer.page.getByTestId(`dm-link-${groupId}`)).toContainText(renamed, {
+        timeout: 20_000,
+      });
+
+      // Имя сохранено на сервере, а не только нарисовано в браузере владельца.
+      const list = await repeat429(() => ownerApi.get(`${API}/users/@me/channels`));
+      expect(list.ok(), `список бесед: ${await list.text()}`).toBeTruthy();
+      const channels = ((await list.json()) as { channels: { id: string; name: string }[] })
+        .channels;
+      expect(channels.find((channel) => channel.id === groupId)?.name).toBe(renamed);
+
+      // Ни один шаг матрицы не потребовал перезагрузки страницы.
+      expect(loads.count(), 'наблюдатель обновлялся без полной загрузки документа').toBe(0);
+    } finally {
+      for (const session of sessions) {
+        await session.context.close();
+      }
+      if (groupId !== '') {
+        await dropGroup(ownerApi, { id: groupId, member_ids: [member.id, third.id] }, owner.id);
+      }
+      await ownerApi.dispose();
+    }
+  });
+
+  test('27. Личные шаблоны: сервер по шаблону на другом устройстве без перезагрузки', async ({
+    browser,
+    playwright,
+  }) => {
+    const ownerApi = await apiAs(playwright, owner.state);
+    const sessions: Session[] = [];
+    const stamp = Date.now();
+    const sourceName = `${PREFIX}источник ${stamp}`;
+    const templateName = `${PREFIX}шаблон ${stamp}`;
+    const roomName = `tpl-room-${stamp}`;
+    const roleName = `tpl-role-${stamp}`;
+    const createdName = `${PREFIX}по шаблону ${stamp}`;
+    let sourceGuildId = '';
+    let createdGuildId = '';
+    let templateId = '';
+
+    try {
+      // Исходный сервер с отличимой структурой: по ней видно, что новый сервер
+      // собран именно из личного шаблона.
+      const source = await createGuild(ownerApi, sourceName);
+      sourceGuildId = source.id;
+      await createChannel(ownerApi, sourceGuildId, { name: roomName, type: 'text' });
+      await createRole(ownerApi, sourceGuildId, {
+        name: roleName,
+        permissions: 'VIEW_CHANNEL|SEND_MESSAGES',
+      });
+
+      // Первое устройство: сохраняем структуру личным шаблоном в настройках.
+      const device1 = await openApp(browser, owner.browserState);
+      sessions.push(device1);
+      await openGuild(device1.page, sourceName);
+      await device1.page.getByLabel('Настройки сервера').click();
+      const form = device1.page.getByTestId('guild-templates-form');
+      await expect(form).toBeVisible({ timeout: 30_000 });
+      await form.getByLabel('Название шаблона').fill(templateName);
+      await form.getByRole('button', { name: 'Сохранить шаблон' }).click();
+      await expect(device1.page.getByText('Шаблон сохранён.')).toBeVisible({ timeout: 20_000 });
+
+      // id шаблона берём по REST: им же наблюдатель выберет его в окне создания.
+      const mine = await repeat429(() => ownerApi.get(`${API}/guild-templates/mine`));
+      expect(mine.ok(), `свои шаблоны: ${await mine.text()}`).toBeTruthy();
+      const templates = ((await mine.json()) as { templates: { id: string; name: string }[] })
+        .templates;
+      templateId = templates.find((template) => template.name === templateName)?.id ?? '';
+      expect(templateId, 'шаблон сохранён на сервере').not.toBe('');
+
+      // Второе устройство того же пользователя: свой вход формой.
+      const device2 = await signIn(browser, { email: owner.email, password: owner.password });
+      sessions.push(device2);
+      const loads = trackLoads(device2.page);
+      loads.reset();
+
+      // Свои шаблоны видны в окне создания сервера: список читается при
+      // открытии, страницу перезагружать не нужно (у личных шаблонов нет
+      // отдельного события шлюза — они приватны владельцу).
+      await device2.page.getByLabel('Создать сервер').click();
+      const createDialog = device2.page.getByRole('dialog', { name: 'Создать сервер' });
+      const option = createDialog.getByTestId(`guild-template-personal-${templateId}`);
+      await expect(option).toBeVisible({ timeout: 20_000 });
+      await option.getByRole('radio').click();
+      await createDialog.getByLabel('Название сервера').fill(createdName);
+      await createDialog.getByRole('button', { name: 'Создать' }).click();
+      await expect(device2.page.getByTestId('guild-header')).toContainText(createdName, {
+        timeout: 30_000,
+      });
+      createdGuildId = device2.page.url().split('/app/')[1]?.split('/')[0] ?? '';
+      expect(createdGuildId, 'новый сервер открылся в приложении').not.toBe('');
+
+      // Структура нового сервера совпала с шаблоном: комната и роль на месте.
+      const createdChannels = await listChannels(ownerApi, createdGuildId);
+      expect(createdChannels.map((channel) => channel.name)).toContain(roomName);
+      const createdRoles = await listRoles(ownerApi, createdGuildId);
+      expect(createdRoles.map((role) => role.name)).toContain(roleName);
+
+      expect(loads.count(), 'окно создания сервера открылось без полной загрузки документа').toBe(
+        0,
+      );
+    } finally {
+      for (const session of sessions) {
+        await session.context.close();
+      }
+      await stepUp(ownerApi, OWNER_LOGIN.password).catch(() => undefined);
+      for (const guildId of [createdGuildId, sourceGuildId]) {
+        if (guildId !== '') {
+          await repeat429(() => ownerApi.delete(`${API}/guilds/${guildId}`)).catch(() => undefined);
+        }
+      }
+      if (templateId !== '') {
+        await repeat429(() => ownerApi.delete(`${API}/guild-templates/${templateId}`)).catch(
+          () => undefined,
+        );
+      }
+      await ownerApi.dispose();
+    }
+  });
+});
+
+/** Открывает раздел «Друзья» и переходит в беседу по ссылке сайдбара. */
+async function openGroupConversation(page: Page, channelId: string): Promise<void> {
+  await page.getByRole('link', { name: 'Друзья' }).click();
+  const link = page.getByTestId(`dm-link-${channelId}`);
+  await expect(link).toBeVisible({ timeout: 30_000 });
+  await link.click();
+  await expect(page.getByTestId('dm-group-header')).toBeVisible({ timeout: 30_000 });
+}
+
+/** Беседа в списке `/users/@me/channels`: для уборки нужны её участники. */
+interface DmChannelRef {
+  id: string;
+  name?: string;
+  is_group?: boolean;
+  member_ids?: string[];
+  recipients?: { user_id: string; is_self?: boolean }[];
+}
+
+/**
+ * dropGroup убирает тестовую группу: иконку снимаем до роспуска (иначе файл
+ * останется сиротой), участников удаляет владелец, а беседа без участников
+ * удаляется на сервере целиком.
+ */
+async function dropGroup(
+  api: APIRequestContext,
+  channel: DmChannelRef,
+  ownerId: string,
+): Promise<void> {
+  await repeat429(() => api.delete(`${API}/channels/${channel.id}/icon`)).catch(() => undefined);
+  const others =
+    channel.member_ids ??
+    (channel.recipients ?? [])
+      .map((recipient) => recipient.user_id)
+      .filter((userId) => userId !== ownerId);
+  for (const userId of others) {
+    if (userId === ownerId) {
+      continue;
+    }
+    await repeat429(() => api.delete(`${API}/channels/${channel.id}/recipients/${userId}`)).catch(
+      () => undefined,
+    );
+  }
+  await repeat429(() => api.delete(`${API}/channels/${channel.id}/recipients/${ownerId}`)).catch(
+    () => undefined,
+  );
+}
+
+/** dropStaleGroups убирает группы прошлых прогонов: их имена начинаются с префикса. */
+async function dropStaleGroups(
+  api: APIRequestContext,
+  prefix: string,
+  ownerId: string,
+): Promise<void> {
+  const response = await repeat429(() => api.get(`${API}/users/@me/channels`));
+  if (!response.ok()) {
+    return;
+  }
+  const { channels } = (await response.json()) as { channels: DmChannelRef[] };
+  for (const channel of channels) {
+    if (channel.is_group === true && (channel.name ?? '').startsWith(prefix)) {
+      await dropGroup(api, channel, ownerId);
+    }
+  }
+}
+
+/** dropStaleTemplates убирает личные шаблоны прошлых прогонов (лимит — 20). */
+async function dropStaleTemplates(api: APIRequestContext, prefix: string): Promise<void> {
+  const response = await repeat429(() => api.get(`${API}/guild-templates/mine`));
+  if (!response.ok()) {
+    return;
+  }
+  const { templates } = (await response.json()) as { templates: { id: string; name: string }[] };
+  for (const template of templates) {
+    if (template.name.startsWith(prefix)) {
+      await repeat429(() => api.delete(`${API}/guild-templates/${template.id}`)).catch(
+        () => undefined,
+      );
+    }
+  }
+}
@@ -12,6 +12,7 @@ import { useAuthorDirectory } from '@/components/chat/useAuthorDirectory';
 import { DmCallHistoryPanel } from '@/components/friends/DmCallHistoryPanel';
 import { DmCallMenu } from '@/components/friends/DmCallMenu';
 import { DmCallPanel } from '@/components/friends/DmCallPanel';
+import { GroupRenameDialog } from '@/components/friends/GroupRenameDialog';
 import { Avatar } from '@/components/ui/Avatar';
 import { ErrorNotice } from '@/components/ui/ErrorNotice';
 import { Menu, MenuItem } from '@/components/ui/Menu';
@@ -40,18 +41,19 @@ export function DirectMessageView({ channelId }: { channelId: string }) {
  const upsertDmChannel = useSessionStore((state) => state.upsertDmChannel);
  const currentUser = useCurrentUser();

-  // Иконку групповой беседы меняет только владелец (D-070): у 1:1 своей
-  // иконки нет — там показывается аватар собеседника.
+  // Иконку и имя групповой беседы меняет только владелец (D-070, D-075): у 1:1
+  // своей иконки нет — там показывается аватар собеседника.
  const isOwner = channel?.is_group === true && channel.owner_id === currentUser.data?.id;
-  const [iconMenuOpen, setIconMenuOpen] = useState(false);
+  const [ownerMenuOpen, setOwnerMenuOpen] = useState(false);
+  const [renameOpen, setRenameOpen] = useState(false);
  const [iconError, setIconError] = useState<unknown>(null);
-  const iconMenuRef = useRef<HTMLButtonElement | null>(null);
+  const ownerMenuRef = useRef<HTMLButtonElement | null>(null);
  const iconInput = useRef<HTMLInputElement | null>(null);

-  // Ответ сервера кладём в стор бесед: иконка появляется сразу и у владельца,
-  // а остальным участникам приходит DM_CHANNEL_UPDATE (AGENT.md 11.6). Список
-  // перечитываем ещё и запросом: снятая иконка приходит пустым полем, а
-  // слияние в сторе пустое поле не затирает.
+  // Ответ сервера кладём в стор бесед: новое имя или иконка появляются сразу и
+  // у владельца, а остальным участникам приходит DM_CHANNEL_UPDATE (AGENT.md
+  // 11.6). Список перечитываем ещё и запросом: снятая иконка приходит пустым
+  // полем, а слияние в сторе пустое поле не затирает.
  const applyUpdated = (updated: Channel): void => {
    setIconError(null);
    upsertDmChannel(updated);
@@ -178,17 +180,17 @@ export function DirectMessageView({ channelId }: { channelId: string }) {
          {isOwner ? (
            <>
              <button
-                ref={iconMenuRef}
+                ref={ownerMenuRef}
                type="button"
                aria-haspopup="menu"
-                aria-expanded={iconMenuOpen}
-                aria-label={t('friends.group.icon.menu')}
-                title={t('friends.group.icon.menu')}
-                data-testid="dm-icon-menu"
+                aria-expanded={ownerMenuOpen}
+                aria-label={t('friends.group.menu')}
+                title={t('friends.group.menu')}
+                data-testid="dm-owner-menu"
                className="rounded-[var(--radius-sm)] px-1.5 text-base leading-none text-fg-muted transition-[color,background-color,transform] duration-[var(--duration-fast)] hover:bg-surface-3 hover:text-fg active:scale-95"
-                onClick={() => setIconMenuOpen((open) => !open)}
+                onClick={() => setOwnerMenuOpen((open) => !open)}
              >
-                🖼
+                ⋯
              </button>
              <input
                ref={iconInput}
@@ -231,19 +233,29 @@ export function DirectMessageView({ channelId }: { channelId: string }) {

      {isOwner ? (
        <Menu
-          open={iconMenuOpen}
-          label={t('friends.group.icon.menu')}
-          anchorRef={iconMenuRef}
+          open={ownerMenuOpen}
+          label={t('friends.group.menu')}
+          anchorRef={ownerMenuRef}
          placement="bottom"
          align="right"
-          onClose={() => setIconMenuOpen(false)}
+          onClose={() => setOwnerMenuOpen(false)}
        >
+          <MenuItem
+            icon="✏️"
+            data-testid="dm-group-rename"
+            onClick={() => {
+              setOwnerMenuOpen(false);
+              setRenameOpen(true);
+            }}
+          >
+            {t('friends.group.rename')}
+          </MenuItem>
          <MenuItem
            icon="🖼"
            data-testid="dm-icon-upload"
            disabled={uploadIcon.isPending}
            onClick={() => {
-              setIconMenuOpen(false);
+              setOwnerMenuOpen(false);
              iconInput.current?.click();
            }}
          >
@@ -256,7 +268,7 @@ export function DirectMessageView({ channelId }: { channelId: string }) {
              data-testid="dm-icon-remove"
              disabled={removeIcon.isPending}
              onClick={() => {
-                setIconMenuOpen(false);
+                setOwnerMenuOpen(false);
                removeIcon.mutate();
              }}
            >
@@ -266,6 +278,15 @@ export function DirectMessageView({ channelId }: { channelId: string }) {
        </Menu>
      ) : null}

+      {isOwner ? (
+        <GroupRenameDialog
+          channel={channel}
+          open={renameOpen}
+          onClose={() => setRenameOpen(false)}
+          onRenamed={applyUpdated}
+        />
+      ) : null}
+
      {iconError === null ? null : (
        <div className="px-4 pt-2">
          <ErrorNotice error={iconError} />
@@ -0,0 +1,111 @@
+import { useEffect, useRef, useState } from 'react';
+import { useMutation } from '@tanstack/react-query';
+import { useTranslation } from 'react-i18next';
+
+import { renameGroupDirectChannel } from '@/api/friends';
+import type { Channel } from '@/api/types';
+import { ErrorNotice } from '@/components/ui/ErrorNotice';
+import { Field } from '@/components/ui/Field';
+import { Modal } from '@/components/ui/Modal';
+import { Button } from '@/components/ui/primitives';
+
+/**
+ * Переименование групповой беседы (AGENT.md 7.8, Фаза 7): имя задаёт владелец
+ * через `PATCH /channels/{id}`, остальным участникам его приносит
+ * `DM_CHANNEL_UPDATE`. Сервер требует 1–64 символа, поэтому пустое имя
+ * отправить нельзя — кнопка сохранения заблокирована.
+ */
+export function GroupRenameDialog({
+  channel,
+  open,
+  onClose,
+  onRenamed,
+}: {
+  channel: Channel;
+  open: boolean;
+  onClose: () => void;
+  /** Ответ сервера: беседа с новым именем — кладём в стор и список бесед. */
+  onRenamed: (updated: Channel) => void;
+}) {
+  const { t } = useTranslation();
+  const [name, setName] = useState(channel.name);
+  const formRef = useRef<HTMLFormElement | null>(null);
+
+  const rename = useMutation({
+    mutationFn: (value: string) => renameGroupDirectChannel(channel.id, value),
+    onSuccess: (updated) => {
+      onRenamed(updated);
+      onClose();
+    },
+  });
+  const { reset } = rename;
+
+  // Каждое открытие начинается с текущего имени: подстройка состояния под
+  // изменившийся проп во время рендера (тот же приём, что в `Modal`), эффект
+  // дал бы лишний кадр со старым черновиком.
+  const [wasOpen, setWasOpen] = useState(open);
+  if (wasOpen !== open) {
+    setWasOpen(open);
+    if (open) {
+      setName(channel.name);
+    }
+  }
+
+  // Фокус ставим в поле: окно открывают ровно за тем, чтобы набрать имя.
+  useEffect(() => {
+    if (open) {
+      formRef.current?.querySelector('input')?.focus();
+    }
+  }, [open]);
+
+  const trimmed = name.trim();
+
+  /** Закрытие гасит отказ прошлой попытки: он не должен встречать при открытии. */
+  const close = (): void => {
+    reset();
+    onClose();
+  };
+
+  const submit = (): void => {
+    if (trimmed !== '' && !rename.isPending) {
+      rename.mutate(trimmed);
+    }
+  };
+
+  return (
+    <Modal
+      open={open}
+      title={t('friends.group.renameTitle')}
+      onClose={close}
+      footer={
+        <>
+          <Button variant="ghost" onClick={close}>
+            {t('common.cancel')}
+          </Button>
+          <Button onClick={submit} disabled={trimmed === '' || rename.isPending}>
+            {t(rename.isPending ? 'common.saving' : 'common.save')}
+          </Button>
+        </>
+      }
+    >
+      <form
+        ref={formRef}
+        data-testid="dm-rename-form"
+        onSubmit={(event) => {
+          event.preventDefault();
+          submit();
+        }}
+      >
+        <Field
+          label={t('friends.group.name')}
+          name="group_name"
+          value={name}
+          maxLength={64}
+          placeholder={t('friends.group.namePlaceholder')}
+          onChange={(event) => setName(event.target.value)}
+        />
+        {rename.isError ? <ErrorNotice className="mt-3" error={rename.error} /> : null}
+      </form>
+    </Modal>
+  );
+}
@@ -445,8 +445,10 @@
      "create": "Create",
      "members": "Members: {{count}}",
      "open": "Open the group “{{name}}”, members: {{count}}",
+      "menu": "Conversation menu",
+      "rename": "Rename",
+      "renameTitle": "Rename conversation",
      "icon": {
-        "menu": "Conversation icon",
        "upload": "Upload icon",
        "remove": "Remove icon"
      }
@@ -445,8 +445,10 @@
      "create": "Создать",
      "members": "Участников: {{count}}",
      "open": "Открыть группу «{{name}}», участников: {{count}}",
+      "menu": "Меню беседы",
+      "rename": "Переименовать",
+      "renameTitle": "Переименовать беседу",
      "icon": {
-        "menu": "Иконка беседы",
        "upload": "Загрузить иконку",
        "remove": "Удалить иконку"
      }
@@ -1,18 +1,97 @@
 import { QueryClient } from '@tanstack/react-query';

+import { ApiError, apiErrorField } from '@/api/client';
+
 /**
 * Единый QueryClient приложения. Живёт в модуле (а не в main.tsx), чтобы
 * не-React код — например стор шлюза — мог инвалидировать кэш REST-запросов.
 */
 let client: QueryClient | null = null;

+/**
+ * Сколько раз повторять запрос, упёршийся в лимит частоты (429). Сервер вместе
+ * с ошибкой присылает `retry_after_ms`, поэтому повтор не «долбит» лимит, а
+ * ждёт назначенную паузу: под нагрузкой матрицы 11.6 списки (участники, звуки,
+ * эмодзи) иначе остаются пустыми до ручного «Повторить».
+ */
+const RATE_LIMIT_RETRIES = 2;
+
+/**
+ * Предел паузы, которую имеет смысл выждать внутри запроса. Если сервер просит
+ * больше (например, минутный лимит загрузок), повтор не делаем: пользователю
+ * полезнее сразу увидеть понятную ошибку с кнопкой «Повторить», чем ждать.
+ */
+const MAX_RATE_LIMIT_WAIT_MS = 5_000;
+
+/** Запас к паузе сервера: часы клиента и сервера расходятся, окно скользящее. */
+const RATE_LIMIT_MARGIN_MS = 250;
+
+/** Повторы «обычных» сбоев (сеть, 5xx) — как было: одна попытка. */
+const TRANSIENT_RETRIES = 1;
+
+function errorStatus(error: unknown): number | null {
+  if (error instanceof ApiError) {
+    return error.status;
+  }
+  const status = (error as { status?: unknown } | null)?.status;
+  return typeof status === 'number' ? status : null;
+}
+
+function isAbort(error: unknown): boolean {
+  return error instanceof DOMException && error.name === 'AbortError';
+}
+
+/**
+ * Пауза из ответа 429 (`retry_after_ms`) плюс небольшой запас. `null` — сервер
+ * паузу не назвал: тогда работает обычная выдержка с удвоением.
+ */
+function rateLimitWaitMs(error: unknown): number | null {
+  const value = apiErrorField(error, 'retry_after_ms');
+  if (typeof value !== 'number' || !Number.isFinite(value) || value <= 0) {
+    return null;
+  }
+  return Math.round(value) + RATE_LIMIT_MARGIN_MS;
+}
+
+/**
+ * Политика повторов для запросов: 4xx (кроме 429) повторять бессмысленно —
+ * ответ не изменится; 429 повторяем с паузой сервера; сеть и 5xx — один раз.
+ */
+export function shouldRetryQuery(failureCount: number, error: unknown): boolean {
+  if (isAbort(error)) {
+    return false;
+  }
+  const status = errorStatus(error);
+  if (status === 429) {
+    if (failureCount >= RATE_LIMIT_RETRIES) {
+      return false;
+    }
+    const wait = rateLimitWaitMs(error);
+    return wait === null || wait <= MAX_RATE_LIMIT_WAIT_MS;
+  }
+  if (status !== null && status < 500) {
+    return false;
+  }
+  return failureCount < TRANSIENT_RETRIES;
+}
+
+/** Задержка перед повтором: пауза сервера для 429, иначе удвоение с потолком. */
+export function queryRetryDelay(failureCount: number, error: unknown): number {
+  const wait = rateLimitWaitMs(error);
+  if (wait !== null) {
+    return Math.min(wait, MAX_RATE_LIMIT_WAIT_MS);
+  }
+  return Math.min(1_000 * 2 ** failureCount, 8_000);
+}
+
 export function getQueryClient(): QueryClient {
  client ??= new QueryClient({
    defaultOptions: {
      queries: {
        staleTime: 30_000,
        refetchOnWindowFocus: false,
-        retry: 1,
+        retry: shouldRetryQuery,
+        retryDelay: queryRetryDelay,
      },
    },
  });
@@ -154,25 +154,25 @@ describe('иконка групповой беседы', () => {
    );
  });

-  it('меню иконки есть у владельца и отсутствует у участника', async () => {
+  it('меню владельца с иконкой есть у владельца и отсутствует у участника', async () => {
    const channels = [groupChannel({ iconFileId: '777' })];
    installFetch(dmRoutes(() => channels));
    await openGroup();

-    const menu = await screen.findByTestId('dm-icon-menu');
+    const menu = await screen.findByTestId('dm-owner-menu');
    await userEvent.click(menu);
    expect(await screen.findByTestId('dm-icon-upload')).toBeVisible();
    // Иконка уже есть: пункт удаления тоже доступен владельцу.
    expect(screen.getByTestId('dm-icon-remove')).toBeVisible();
  });

-  it('участник-не-владелец не видит меню иконки, но видит саму иконку', async () => {
+  it('участник-не-владелец не видит меню владельца, но видит саму иконку', async () => {
    // Владелец беседы — Боб, текущий пользователь (Alice) только участник.
    const channels = [groupChannel({ ownerId: 'user-2', iconFileId: '777' })];
    installFetch(dmRoutes(() => channels));
    await openGroup();

-    expect(screen.queryByTestId('dm-icon-menu')).toBeNull();
+    expect(screen.queryByTestId('dm-owner-menu')).toBeNull();
    expect(screen.getByTestId('dm-group-header').querySelector('img')).toHaveAttribute(
      'src',
      '/files/777',
@@ -203,7 +203,7 @@ describe('иконка групповой беседы', () => {
    const link = await screen.findByTestId('dm-link-dm-group-1');
    expect(link.querySelector('img')).toBeNull();

-    await userEvent.click(await screen.findByTestId('dm-icon-menu'));
+    await userEvent.click(await screen.findByTestId('dm-owner-menu'));
    await userEvent.click(screen.getByTestId('dm-icon-upload'));
    // Диалог выбора файла в jsdom не открывается: файл кладём в поле напрямую.
    await userEvent.upload(screen.getByTestId('dm-icon-input'), imageFile());
@@ -255,7 +255,7 @@ describe('иконка групповой беседы', () => {
      expect(link.querySelector('img')).toHaveAttribute('src', '/files/777');
    });

-    await userEvent.click(await screen.findByTestId('dm-icon-menu'));
+    await userEvent.click(await screen.findByTestId('dm-owner-menu'));
    await userEvent.click(screen.getByTestId('dm-icon-remove'));

    await waitFor(() => {
@@ -0,0 +1,254 @@
+import { describe, expect, it } from 'vitest';
+import { screen, waitFor, within } from '@testing-library/react';
+import userEvent from '@testing-library/user-event';
+
+import type { Relationships } from '@/api/friends';
+import {
+  apiError,
+  bodyOf,
+  findRequest,
+  installFetch,
+  installGatewaySocket,
+  json,
+  makeReadySnapshot,
+  makeUser,
+  recordedRequests,
+  renderApp,
+  type FetchRoute,
+} from './helpers';
+
+/**
+ * Переименование групповой беседы (AGENT.md 7.8, D-075): пункт «Переименовать»
+ * в меню владельца, диалог с текущим именем и `PATCH /channels/{id}`. У
+ * остальных участников имя обновляется событием `DM_CHANNEL_UPDATE` — без
+ * перезагрузки и повторного входа (AGENT.md 11.6).
+ */
+
+const user = makeUser();
+
+const instance = {
+  instance: {
+    name: 'glchat-test',
+    registration_enabled: true,
+    allow_guild_creation: true,
+    max_guilds_per_user: 5,
+    main_guild_id: 'g-main',
+  },
+};
+
+const friends: Relationships = { friends: [], incoming: [], outgoing: [], blocked: [] };
+
+/** Групповая беседа в REST-форме: владелец настраивается. */
+function groupChannel(options: { ownerId?: string; name?: string } = {}) {
+  return {
+    id: 'dm-group-1',
+    type: 'dm',
+    is_group: true,
+    name: options.name ?? 'Игровая',
+    member_count: 3,
+    owner_id: options.ownerId ?? user.id,
+    can_send: true,
+    can_view: true,
+    recipients: [
+      {
+        user_id: user.id,
+        username: 'alice',
+        display_name: 'Alice',
+        status: 'online',
+        visible_status: 'online',
+        is_owner: options.ownerId === undefined,
+        is_self: true,
+      },
+      {
+        user_id: 'user-2',
+        username: 'bob',
+        display_name: 'Боб',
+        status: 'online',
+        visible_status: 'online',
+        is_owner: false,
+        is_self: false,
+      },
+      {
+        user_id: 'user-3',
+        username: 'carol',
+        display_name: 'Кэрол',
+        status: 'offline',
+        visible_status: 'offline',
+        is_owner: false,
+        is_self: false,
+      },
+    ],
+  };
+}
+
+/**
+ * Маршруты приложения: список бесед отдаётся из изменяемого состояния — так
+ * тест видит, что сервер уже принял новое имя.
+ */
+function dmRoutes(current: () => unknown[], extra: FetchRoute[] = []): FetchRoute[] {
+  return [
+    ...extra,
+    { match: '/api/v1/users/@me/relationships', response: () => json(friends) },
+    { match: '/api/v1/users/@me/guilds', response: () => json({ guilds: [] }) },
+    { match: '/api/v1/channels/dm-group-1/messages', response: () => json({ messages: [] }) },
+    { match: '/api/v1/channels/dm-group-1/pins', response: () => json({ messages: [] }) },
+    {
+      match: '/api/v1/channels/dm-group-1/ack',
+      method: 'POST',
+      response: () => json({ ok: true }),
+    },
+    { match: '/api/v1/users/@me/channels', response: () => json({ channels: current() }) },
+    { match: '/api/v1/users/@me', response: () => json({ user }) },
+    { match: '/api/v1/instance', response: () => json(instance) },
+  ];
+}
+
+/** Открывает беседу и ждёт её отрисовки в сайдбаре. */
+async function openGroup() {
+  renderApp('/app/friends/dm-group-1');
+  const gateway = installGatewaySocket(makeReadySnapshot());
+  await gateway.greet();
+  await screen.findByTestId('dm-group-header');
+  return gateway;
+}
+
+/** Открывает диалог переименования из меню владельца. */
+async function openRenameDialog() {
+  await userEvent.click(await screen.findByTestId('dm-owner-menu'));
+  await userEvent.click(await screen.findByTestId('dm-group-rename'));
+  return screen.findByRole('dialog', { name: 'Переименовать беседу' });
+}
+
+describe('переименование групповой беседы', () => {
+  it('владелец переименовывает беседу: имя меняется в шапке и в списке', async () => {
+    let channels = [groupChannel()];
+    const fetchMock = installFetch(
+      dmRoutes(
+        () => channels,
+        [
+          {
+            match: '/api/v1/channels/dm-group-1',
+            method: 'PATCH',
+            response: () => {
+              const updated = groupChannel({ name: 'Кино по пятницам' });
+              channels = [updated];
+              return json({ channel: updated });
+            },
+          },
+        ],
+      ),
+    );
+    await openGroup();
+
+    const dialog = await openRenameDialog();
+    // Поле уже заполнено текущим именем: переименование начинается с правки.
+    const field = within(dialog).getByLabelText('Название группы');
+    expect(field).toHaveValue('Игровая');
+    await userEvent.clear(field);
+    await userEvent.type(field, 'Кино по пятницам');
+    await userEvent.click(within(dialog).getByRole('button', { name: 'Сохранить' }));
+
+    await waitFor(() => {
+      expect(
+        bodyOf(findRequest(fetchMock, { url: '/channels/dm-group-1', method: 'PATCH' })),
+      ).toEqual({ name: 'Кино по пятницам' });
+    });
+    // Диалог закрылся, а новое имя видно и в шапке, и в списке бесед.
+    await waitFor(() => {
+      expect(screen.queryByRole('dialog', { name: 'Переименовать беседу' })).toBeNull();
+    });
+    expect(screen.getByTestId('dm-group-header')).toHaveTextContent('Кино по пятницам');
+    expect(await screen.findByTestId('dm-link-dm-group-1')).toHaveTextContent('Кино по пятницам');
+  });
+
+  it('пустое имя отправить нельзя: кнопка сохранения заблокирована', async () => {
+    const fetchMock = installFetch(dmRoutes(() => [groupChannel()]));
+    await openGroup();
+
+    const dialog = await openRenameDialog();
+    await userEvent.clear(within(dialog).getByLabelText('Название группы'));
+
+    expect(within(dialog).getByRole('button', { name: 'Сохранить' })).toBeDisabled();
+    // Пробелы именем не считаются: сервер обрезает их и отвечает отказом.
+    await userEvent.type(within(dialog).getByLabelText('Название группы'), '   ');
+    expect(within(dialog).getByRole('button', { name: 'Сохранить' })).toBeDisabled();
+    expect(
+      findRequest(fetchMock, { url: '/channels/dm-group-1', method: 'PATCH' }),
+    ).toBeUndefined();
+  });
+
+  it('отмена закрывает диалог без запроса и не запоминает черновик', async () => {
+    const fetchMock = installFetch(dmRoutes(() => [groupChannel()]));
+    await openGroup();
+
+    const dialog = await openRenameDialog();
+    await userEvent.clear(within(dialog).getByLabelText('Название группы'));
+    await userEvent.type(within(dialog).getByLabelText('Название группы'), 'Черновик');
+    await userEvent.click(within(dialog).getByRole('button', { name: 'Отмена' }));
+
+    await waitFor(() => {
+      expect(screen.queryByRole('dialog', { name: 'Переименовать беседу' })).toBeNull();
+    });
+    expect(
+      findRequest(fetchMock, { url: '/channels/dm-group-1', method: 'PATCH' }),
+    ).toBeUndefined();
+    expect(screen.getByTestId('dm-group-header')).toHaveTextContent('Игровая');
+
+    // Второе открытие снова показывает текущее имя сервера, а не черновик.
+    const reopened = await openRenameDialog();
+    expect(within(reopened).getByLabelText('Название группы')).toHaveValue('Игровая');
+  });
+
+  it('отказ сервера показывается в диалоге, имя остаётся прежним', async () => {
+    installFetch(
+      dmRoutes(
+        () => [groupChannel()],
+        [
+          {
+            match: '/api/v1/channels/dm-group-1',
+            method: 'PATCH',
+            response: () =>
+              apiError('validation.failed', 422, 'group name must be 1-64 characters'),
+          },
+        ],
+      ),
+    );
+    await openGroup();
+
+    const dialog = await openRenameDialog();
+    const field = within(dialog).getByLabelText('Название группы');
+    await userEvent.clear(field);
+    await userEvent.type(field, 'Слишком длинное имя');
+    await userEvent.click(within(dialog).getByRole('button', { name: 'Сохранить' }));
+
+    // Окно не закрывается: пользователь видит причину и может исправить имя.
+    expect(await within(dialog).findByRole('alert')).toBeVisible();
+    expect(screen.getByTestId('dm-group-header')).toHaveTextContent('Игровая');
+  });
+
+  it('участнику-не-владельцу пункт переименования недоступен', async () => {
+    installFetch(dmRoutes(() => [groupChannel({ ownerId: 'user-2' })]));
+    await openGroup();
+
+    expect(screen.queryByTestId('dm-group-rename')).toBeNull();
+    expect(screen.queryByTestId('dm-owner-menu')).toBeNull();
+  });
+
+  it('событие DM_CHANNEL_UPDATE доносит новое имя без перезагрузки', async () => {
+    let channels = [groupChannel()];
+    const fetchMock = installFetch(dmRoutes(() => channels));
+    const gateway = await openGroup();
+
+    // Беседу переименовал владелец (возможно, с другого устройства): сервер
+    // сообщает об изменении события, а список перечитывается по REST.
+    channels = [groupChannel({ name: 'Новое имя' })];
+    gateway.dispatch('DM_CHANNEL_UPDATE', { channel_id: 'dm-group-1' });
+
+    await waitFor(() => {
+      expect(screen.getByTestId('dm-group-header')).toHaveTextContent('Новое имя');
+    });
+    expect(await screen.findByTestId('dm-link-dm-group-1')).toHaveTextContent('Новое имя');
+    // Имя пришло событием: своих PATCH-запросов тест не делал.
+    expect(recordedRequests(fetchMock).filter((request) => request.method === 'PATCH')).toEqual([]);
+  });
+});
@@ -0,0 +1,96 @@
+import { QueryClient } from '@tanstack/react-query';
+import { describe, expect, it, vi } from 'vitest';
+
+import { ApiError } from '@/api/client';
+import {
+  getQueryClient,
+  queryRetryDelay,
+  setQueryClient,
+  shouldRetryQuery,
+} from '@/lib/queryClient';
+
+/** Ошибка лимита частоты в том виде, в каком её отдаёт `request()`. */
+function rateLimited(retryAfterMs: number): ApiError {
+  const error = new ApiError(429, 'rate_limited', 'too many requests');
+  Object.defineProperty(error, 'apiError', {
+    value: { code: 'rate_limited', message: 'too many requests', retry_after_ms: retryAfterMs },
+    enumerable: false,
+  });
+  return error;
+}
+
+describe('повторы запросов при лимите частоты', () => {
+  it('повторяет 429 с паузой из ответа сервера', () => {
+    const error = rateLimited(1_200);
+    expect(shouldRetryQuery(0, error)).toBe(true);
+    expect(shouldRetryQuery(1, error)).toBe(true);
+    expect(queryRetryDelay(0, error)).toBe(1_450);
+  });
+
+  it('после двух повторов сдаётся: ошибку видит пользователь', () => {
+    expect(shouldRetryQuery(2, rateLimited(500))).toBe(false);
+  });
+
+  it('не ждёт паузу длиннее предела — сразу показывает ошибку', () => {
+    // Минутный лимит загрузок: ждать внутри запроса бессмысленно.
+    expect(shouldRetryQuery(0, rateLimited(60_000))).toBe(false);
+    expect(queryRetryDelay(0, rateLimited(60_000))).toBe(5_000);
+  });
+
+  it('429 без retry_after_ms повторяет с обычной выдержкой', () => {
+    const error = new ApiError(429, 'rate_limited', 'too many requests');
+    expect(shouldRetryQuery(0, error)).toBe(true);
+    expect(queryRetryDelay(0, error)).toBe(1_000);
+    expect(queryRetryDelay(1, error)).toBe(2_000);
+  });
+
+  it('не повторяет отказы, которые не изменятся: 403, 404, 422', () => {
+    for (const status of [400, 403, 404, 422]) {
+      const error = new ApiError(status, 'validation.failed', 'no');
+      expect(shouldRetryQuery(0, error)).toBe(false);
+    }
+  });
+
+  it('повторяет сетевые сбои и 5xx по одному разу', () => {
+    expect(shouldRetryQuery(0, new TypeError('Failed to fetch'))).toBe(true);
+    expect(shouldRetryQuery(1, new TypeError('Failed to fetch'))).toBe(false);
+    expect(shouldRetryQuery(0, new ApiError(503, 'internal.error', 'later'))).toBe(true);
+    expect(shouldRetryQuery(1, new ApiError(503, 'internal.error', 'later'))).toBe(false);
+  });
+
+  it('не повторяет отменённый запрос', () => {
+    expect(shouldRetryQuery(0, new DOMException('aborted', 'AbortError'))).toBe(false);
+  });
+
+  it('общий клиент приложения использует эту политику', () => {
+    const options = getQueryClient().getDefaultOptions().queries;
+    expect(options?.retry).toBe(shouldRetryQuery);
+    expect(options?.retryDelay).toBe(queryRetryDelay);
+  });
+
+  it('запрос действительно переживает 429 и отдаёт данные', async () => {
+    const queryClient = new QueryClient({
+      defaultOptions: {
+        queries: { retry: shouldRetryQuery, retryDelay: () => 1 },
+      },
+    });
+    setQueryClient(queryClient);
+    const loader = vi
+      .fn<() => Promise<string>>()
+      .mockRejectedValueOnce(rateLimited(1))
+      .mockRejectedValueOnce(rateLimited(1))
+      .mockResolvedValue('участники');
+
+    await expect(
+      queryClient.fetchQuery({ queryKey: ['members-ok'], queryFn: loader }),
+    ).resolves.toBe('участники');
+    expect(loader).toHaveBeenCalledTimes(3);
+
+    // Третьего повтора нет: следующий 429 доходит до вызывающего кода.
+    const failing = vi.fn<() => Promise<string>>().mockRejectedValue(rateLimited(1));
+    await expect(
+      queryClient.fetchQuery({ queryKey: ['members-fail'], queryFn: failing }),
+    ).rejects.toThrow('too many requests');
+    expect(failing).toHaveBeenCalledTimes(3);
+  });
+});
Author	SHA1	Message	Date
grendervill	8814fe7cf4	release: glchat 0.1.1 Версия — в одном месте: файл VERSION в корне, из него её берут Makefile, deploy/install.sh (IMAGE_TAG) и desktop-обёртка (tauri.conf.json, Cargo.toml). Публикация обновлений (scripts/desktop-release.sh): - манифесты прошлых релизов удаляются: оставшийся <старая версия>.json перекрывал новый релиз — обёртка спрашивает манифест своей версии и видела «обновлений нет»; - mktemp-каталог раскладки получает 755, каталоги на инстансе нормализуются: rsync -a переносил режим 0700 на корень каталога обновлений, и приложение не могло читать манифесты (404 при живых файлах); - --remote работает без TTY и без sudo, если каталог обновлений записываем; опции ssh — в GLCHAT_SSH_OPTS; - предупреждение при публикации версии старше уже опубликованной. Сервер: HEAD /updates/... (chi не выводит его из GET) — размер и тип артефакта без скачивания; тест TestUpdatesAnswersHead. Приёмка на живом канале: 0.1.0 → 0.1.1 на стенде (скачивание, проверка подписи, установка, перезапуск), /Applications/glchat.app = 0.1.1.	2026-09-26 20:14:25 +03:00
grendervill	8cf6bedf58	fix(cli): не отдавать stdin обёртки командам обслуживания docker compose exec -T подключает stdin и съедал его у скрипта, поданного на stdin (ssh … bash -s): обёртка обрывала такой скрипт после первой команды. Найдено живой проверкой build/cli-live-check.sh (create-user выполнялся, дальше скрипт молча заканчивался). Командам обслуживания stdin не нужен: </dev/null. Плюс e2e web/e2e/query-retry.spec.ts: живая проверка повтора при 429 — запрос участников дважды получает 429 с retry_after_ms и проходит с третьей попытки, раздел «Участники» заполняется без кнопки «Повторить».	2026-09-26 18:40:46 +03:00
grendervill	b9d458e133	fix(cli,web): команды аккаунтов в CLI и повтор запросов при 429 - deploy/glchat-cli.sh: reset-password/make-admin/remove-admin больше не заглушки «появится в фазе 1» (AGENT.md 10.7), добавлены totp-setup, totp-reset и delete-user; подкоманды обслуживания идут через общий app_cli - cmd/glchat: команда delete-user (мягкое удаление как в админ-панели, защита от удаления инстанс-админа и подтверждение --yes), исправлен потерянный комментарий cliCleanup - deploy/install.sh: убраны устаревшие формулировки про фазу 1 - web: политика повторов запросов — 429 повторяется с паузой retry_after_ms (до двух раз, не дольше 5 с), 4xx не повторяются; тесты web/tests/queryRetry.test.ts - scripts/test-install.sh: проверка, что заглушек в CLI не осталось	2026-09-26 18:32:51 +03:00
grendervill	e7c9c93443	docs(desktop): приёмка автообновления, .dmg в песочнице и открытые пункты - `--update-now` в таблице аргументов и в разделе «Автообновление»: что делает, как запускать, что подпись проверяется так же, пример записей в журнале; - «Локальная проверка «поверх старой версии»»: пошаговый рецепт прогона 0.1.0 → 0.1.1 на локальном сервере инстанса и три грабли — http-эндпоинт требует временного `dangerousInsecureTransportProtocol`, путь приложения не должен содержать символических ссылок (`/tmp` → `/private/tmp`), в headless нужен `--update-now`; - `.dmg`: точные команды — обычным терминалом (`make desktop-build`, с оформлением окна) и без графической сессии (`bundle_dmg.sh --sandbox-safe`, проверено: образ монтируется, `hdiutil verify` — VALID); - «Что не сделано»: автообновление end-to-end проверено локально, открытым остаётся публикация реального релиза; добавлено наблюдение, что `open --args` из песочницы агента аргументы не доставляет (проверено на macOS 27).	2026-09-26 18:12:42 +03:00
grendervill	2d013df0bb	fix(make): не передавать Tauri CLI недопустимый --bundles all `make desktop-build` не запускался вовсе: Tauri CLI отвергает `--bundles all` («possible values: ios, app, dmg»), а значение по умолчанию в Makefile было именно `all`. Теперь при `all` флаг не передаётся, и список бандлов берётся из `bundle.targets` в tauri.conf.json — то есть собирается всё, что положено для текущей ОС. `make desktop-build-app` (`--bundles app`) работает как раньше. Обнаружено при попытке собрать `.dmg` (make desktop-build).	2026-09-26 18:12:38 +03:00
grendervill	b53cf9d6e7	feat(desktop): тихая установка обновления по флагу --update-now Установка обновления всегда спрашивала согласие диалогом, поэтому сквозная проверка «поверх старой версии» не автоматизировалась (в headless-прогоне кликнуть некому), а на управляемых машинах обновление ставит оператор, а не пользователь. С флагом `--update-now` обёртка проверяет обновление сразу при старте (не через 30 секунд) и ставит найденное без диалога, после чего перезапускается; при отсутствии обновления работает как обычно. По умолчанию флаг выключен — трей, страница настроек и фоновая проверка по-прежнему спрашивают согласие. Подпись артефакта проверяется в обоих режимах: флаг убирает вопрос, но не проверку. Ход тихого обновления виден в журнале, а в строку запуска добавлена версия сборки — иначе после перезапуска не понять, какая версия работает. Решение — D-077, приёмка — desktop/README.md («Локальная проверка»).	2026-09-26 18:12:35 +03:00
grendervill	7512857363	test(e2e): матрица 11.6 для иконки беседы и личных шаблонов (Фаза 7) Две проверки на стенде двумя браузерами, без F5 (trackLoads = 0): * группа из трёх пробных аккаунтов: владелец ставит иконку и переименовывает беседу через меню в шапке, наблюдатель-участник видит иконку в шапке и в списке бесед, новое имя — там же, событием DM_CHANNEL_UPDATE; участнику меню владельца недоступно; * личные шаблоны: первое устройство сохраняет структуру сервера шаблоном, второе (свой вход формой) открывает окно создания сервера, видит шаблон в «Моих шаблонах» и создаёт по нему сервер — комната и роль из шаблона на месте. У личных шаблонов нет события шлюза: список читается при открытии окна, перезагрузка страницы не нужна. Имя беседы сверяется ещё и по REST, тестовые данные убираются (группа распускается вместе с иконкой, серверы и шаблон удаляются, данные прошлых прогонов подчищаются в beforeAll).	2026-09-26 17:38:28 +03:00
grendervill	c0137007ce	feat(web): переименование групповой беседы кнопкой (Фаза 7) Пункт «Переименовать» в меню владельца в шапке групповой беседы и диалог с текущим именем: `PATCH /channels/{id}` (D-075) уже был, интерфейса не было. Ответ сервера кладём в стор бесед — имя меняется и в шапке, и в списке; при отказе окно остаётся открытым с причиной, пустое имя отправить нельзя. Меню владельца было меню иконки: теперь это общее меню беседы (⋯) с переименованием, загрузкой и снятием иконки — прежние testid иконки смотрят на те же пункты, поэтому обновлены только ссылки на само меню. i18n ru/en, Vitest: `web/tests/dmRename.test.tsx` (переименование, пустое имя, отмена и черновик, отказ сервера, права участника, DM_CHANNEL_UPDATE без перезагрузки) и обновлённые ссылки в `web/tests/dmIcon.test.tsx`.	2026-09-26 17:33:06 +03:00