@andrey4emk/npm-app-back-b24 3.9.0 → 4.0.0

package/README.md

@@ -17,6 +17,7 @@
     -   [Логирование](#логирование)
     -   [fetchRetry и таймауты](#fetchretry-и-таймауты)
 -   [Переменные окружения](#переменные-окружения)
+-   [Миграция на 4.0.0](#миграция-на-400)
 -   [Скрипты](#скрипты)
 -   [Лицензия](#лицензия)
 
@@ -26,6 +27,15 @@
 npm install @andrey4emk/npm-app-back-b24
 ```
 
+`nodemailer` — **опциональная peer-зависимость**: её ставит потребитель, и только если пользуется классом `Email`. Всем остальным она не нужна и не приезжает.
+
+```bash
+# Только тем, кто шлёт почту
+npm install nodemailer@9.0.5
+```
+
+Типы (`@types/node`, `@types/luxon` и прочие) пакет **не транслирует** — с 4.0.0 они лежат в его `devDependencies`. Потребителю, который гоняет `tsc`, нужны свои: подробности в разделе [Миграция на 4.0.0](#миграция-на-400).
+
 ### Точки входа
 
 | Импорт                                        | Что отдаёт                    | Поднимает OAuth-модуль |
@@ -33,6 +43,7 @@ npm install @andrey4emk/npm-app-back-b24
 | `@andrey4emk/npm-app-back-b24`                | всё                           | да                     |
 | `@andrey4emk/npm-app-back-b24/logs`           | `logs`                        | нет                    |
 | `@andrey4emk/npm-app-back-b24/fetchRetry`     | `fetchRetry`, `fetchWithTimeout`, `isNetworkError`, `isPreConnectionError`, `isTimeoutError`, `isAbortError`, `maskUrl`, `FETCH_TIMEOUTS`, `DEFAULT_FETCH_TIMEOUT_MS` | нет |
+| `@andrey4emk/npm-app-back-b24/email`          | `Email`                       | нет                    |
 
 Корневой импорт — barrel: он тянет модуль OAuth, который при загрузке читает `authB24.json` и, если приложение авторизовано, запускает таймер проактивного обновления токена. Проектам, которые ходят в B24 по **входящему вебхуку** или берут из пакета только логгер и `fetchRetry`, удобнее импортировать по подпутям — тогда OAuth-модуль не загружается вообще.
 
@@ -42,6 +53,13 @@ import { logs } from "@andrey4emk/npm-app-back-b24/logs";
 import { fetchRetry, maskUrl } from "@andrey4emk/npm-app-back-b24/fetchRetry";
 ```
 
+Подпуть `./email` стоит особняком: `Email` вынесен из barrel'а не ради экономии импорта, а ради зависимости. Он единственный тянет `nodemailer`, и пока класс лежал в barrel'е, почтовая библиотека приезжала во все восемь проектов — включая те шесть, что почту не шлют.
+
+```js
+// Почту шлём — ставим nodemailer и берём Email из подпути
+import { Email } from "@andrey4emk/npm-app-back-b24/email";
+```
+
 Корневой импорт при этом остаётся безопасным: если `APP_B24_CLIENT_ID` и `APP_B24_CLIENT_SECRET` не заданы, пакет считает, что OAuth в проекте не используется, молча выставляет `$b24 = null` и пишет об этом только в `debug`.
 
 ### Строгость типов
@@ -101,7 +119,6 @@ import {
     Event,
     ChatApp,
     Smsgold,
-    Email,
     Wappi,
     logs,
     fetchRetry,
@@ -112,6 +129,9 @@ import {
     FETCH_TIMEOUTS,
 } from "@andrey4emk/npm-app-back-b24";
 
+// Email живёт в подпути: он единственный тянет optional peer nodemailer
+import { Email } from "@andrey4emk/npm-app-back-b24/email";
+
 // $b24 — готовый экземпляр B24OAuth (или null, если токены не настроены)
 if ($b24) {
     const result = await $b24.callMethod("crm.contact.list", { limit: 5 });
@@ -704,7 +724,7 @@ const sent = await fetchWithTimeout("https://api.example.com/send", { method: "P
 -   **`Email`** — класс для отправки email через SMTP Яндекса. Экземпляр нужно создать самостоятельно.
 
     ```js
-    import { Email } from "@andrey4emk/npm-app-back-b24";
+    import { Email } from "@andrey4emk/npm-app-back-b24/email";
 
     const emailClient = new Email({
         user: "your-email@yandex.ru",
@@ -743,7 +763,9 @@ const sent = await fetchWithTimeout("https://api.example.com/send", { method: "P
         -   **Отвергнутый получатель — это ошибка.** Ответ транспорта разбирается: адрес ищется в `accepted` и `rejected`, элементы принимаются и строкой, и объектом `{ name, address }`. Текст ошибки несёт адрес и ответ сервера. Сверка идёт по **нормализованному** адресу: снимается регистр, снимаются угловые скобки, домен приводится к punycode. Иначе живой адрес объявлялся бы недоставленным — почтовый сервер возвращает адреса из конверта, а не в том виде, как их передали: `ivan@пример.рф` приходит обратно как `ivan@xn--e1afmkfd.xn--p1ai`, а `<a@b.ru>` — как `a@b.ru`. Если транспорт не сообщил ни `accepted`, ни `rejected`, результат считается успешным и в лог уходит одна строка `warn`: объявить доставленное письмо ошибкой было бы хуже исходного дефекта.
         -   **Входной объект не мутируется.** Прежняя реализация записывала вложения обратно в переданный `dataMail`, затирая `attachments` вызывающего.
         -   **Второй аргумент конструктора — подмена транспорта.** `new Email(auth, transport)` принимает любой объект с методом `sendMail(options)` (тип `MailTransport`). Нужен тестам и потребителю со своим SMTP; без него класс поднимает транспорт Яндекса сам.
-        -   Транспорт — `nodemailer` `^9` (диапазон, а не точная версия: иначе патч безопасности нельзя было бы применить на стороне потребителя).
+        -   **Класс живёт в подпути `@andrey4emk/npm-app-back-b24/email`, а не в корне.** Из barrel'а он убран в 4.0.0.
+        -   Транспорт — `nodemailer`, **опциональная peer-зависимость** с диапазоном `^9.0.5 || ^10.0.0`. Ставит его потребитель. Нижняя граница — CVE (GHSA-p6gq-j5cr-w38f, уязвимы версии `<= 9.0.0`), верхняя — проверенная совместимость с десяткой.
+        -   `@types/nodemailer` нужен **только на девятке**. У `nodemailer` 10 типы свои, и TypeScript предпочтёт их; отдельный пакет типов там лишний.
         -   Вложения передаются готовым `Buffer` — файл по `fileUrl` пакет скачивает сам. Поля `path` и `href` намеренно не поддерживаются: nodemailer не должен ходить по URL. Скачивание идёт через `fetchWithTimeout` с бюджетом 60 секунд.
         -   Таймауты SMTP-транспорта переопределены: соединение 15 с, приветствие 10 с, сокет 120 с. Дефолты nodemailer (2 мин / 30 с / 10 мин) слишком щедры — письмо на Яндекс уходит за секунды, а 10 минут молчания сокета блокируют вызывающую очередь.
 
@@ -999,6 +1021,79 @@ CHATAPP_PASS=your-password
 CHATAPP_APP_ID=your-app-id
 ```
 
+## Миграция на 4.0.0
+
+Выпуск ломающий. Правок у потребителя четыре, все механические.
+
+### 1. `Email` переехал в подпуть
+
+Из общего импорта его убрать, добавить отдельной строкой:
+
+```diff
+-import { $b24, logs, Email } from "@andrey4emk/npm-app-back-b24";
++import { $b24, logs } from "@andrey4emk/npm-app-back-b24";
++import { Email } from "@andrey4emk/npm-app-back-b24/email";
+```
+
+Затрагивает два проекта: `b24_conector/server/api/sendMessage.ts` и `b24_desktop/server/api/sendMessage.js` (первая строка в обоих). Больше `Email` из пакета никто не импортирует.
+
+### 2. `nodemailer` — теперь зависимость потребителя
+
+Кто пользуется `Email`, ставит его себе: `pnpm add nodemailer@9.0.5` (оба проекта на pnpm). Диапазон peer — `^9.0.5 || ^10.0.0`. Тем же двум проектам `@types/nodemailer` в `devDependencies`, если остаются на девятке; на десятке типы приходят с самим пакетом.
+
+Шаг обязателен обоим, но по разным причинам:
+
+-   **`b24_conector`** — `nodemailer` в его `package.json` отсутствует вовсе, библиотека приезжала транзитивно из наших `dependencies`. После 4.0.0 не приедет, и первый же импорт `server/api/sendMessage.ts` упадёт с `ERR_MODULE_NOT_FOUND`. Вместе с почтой встанут `ChatApp`, `Wappi` и SemySMS — они живут в том же модуле. Пропустить шаг нельзя;
+-   **`b24_desktop`** — зависимость уже прописана в его `package.json`, поставленная версия `9.0.5` подходит под диапазон. Здесь достаточно сверки.
+
+Под pnpm несовпадение опционального peer не блокирует установку: менеджер пишет `WARN` и завершает работу с нулевым кодом. Кому нужен жёсткий блок — `strict-peer-dependencies=true` в своём `.npmrc`.
+
+Остальным шести проектам делать нечего — почтовая библиотека к ним больше не приезжает.
+
+### 3. `@types/*` больше не приезжают из пакета
+
+Они переехали в `devDependencies` и потребителю не транслируются. Кто гоняет `tsc`, держит свои:
+
+-   `@types/node` — всем;
+-   `@types/luxon` — всем, кто импортирует корень (`errTaskB24.ts` тянет `luxon` в рантайме);
+-   `@types/express` — **больше не нужен из-за нас никому**: пакет типы `express` не импортирует вовсе.
+
+Без `@types/luxon` тайпчек упадёт с `TS7016` на `bitrix24/errTaskB24.ts`. Семь из восьми живых потребителей его уже держат.
+
+### 4. Изменённые публичные типы
+
+`any` в поверхности пакета заменён на `unknown` — читающий поле напрямую добавляет приведение.
+
+| Что                                            | Было    | Стало                       |
+| ---------------------------------------------- | ------- | --------------------------- |
+| `data` у `event.get()` и `event.clear()`       | `any`   | `unknown`                   |
+| `ConnectorMessage.file`                        | `any[] \| null` | `TelegramFile[] \| null`          |
+| `ConnectorMessage.attachments`                 | `any[] \| null` | `unknown[] \| null`               |
+| `ConnectorMessage.im`                          | `any \| null`   | `Record<string, unknown> \| null` |
+| `data` у методов `Wappi`                       | `any`   | `unknown`                   |
+| `data` у `errorB24()`                          | `any`   | `unknown`                   |
+
+```diff
+-const { data } = await event.get("ONCRMDEALUPDATE");
+-for (const id of data.entitysId) { /* ... */ }
++const { data } = await event.get("ONCRMDEALUPDATE");
++const events = data as EntityEvents;
++for (const id of events.entitysId) { /* ... */ }
+```
+
+Тип `TelegramFile` экспортируется из пакета — своё объявление в `b24_conector` можно убрать, но замена не drop-in: у них поле объявлено `name?: string`, в пакете оно `name: string`. Разбор пакета всегда отдаёт строку (на битом элементе — пустую), поэтому чтение вида `fileInfo.name || fallback` продолжит работать. Сверки потребуют их собственные места, где `TelegramFile` создаётся, — в том числе очередь ретраев `confB24Outbox.ts`: объект без `name` в наш тип не ляжет и упадёт тайпчеком.
+
+`saveAuthB24Handler` больше не типизирован типами `express`, но по-прежнему принимает `Request`/`Response` без правок: `app.post("/saveAuthB24", saveAuthB24Handler)` работает как раньше.
+
+Дефолты дженериков `callMethod`, `callBatch`, `fetchListMethod` и `getResultData` остались `any` намеренно — код вида `chunk.forEach((x) => x.ID)` продолжает компилироваться.
+
+### Что изменилось само, правок не требует
+
+-   Вместе с `Email` из барреля уехали и его типы — `MailTransport` и `SendMailInfo`. Теперь они в подпути `@andrey4emk/npm-app-back-b24/email`. Из потребителей их никто не импортирует.
+-   `saveAuthB24Handler` на запрос **без тела** отвечает `400 Не заполнены обязательные поля.` вместо прежних `500`. Раньше разбор пустого тела падал и уходил в общий `catch`.
+-   Он же отвечает `400` на **нестроковые поля** тела: объект в `access_token`, число в `member_id`, нечисловой `expires_in`. Раньше такой запрос давал `500` — а в 4.0.0 до этой правки успевал затереть рабочий `config/authB24.json` строкой `"[object Object]"` и ответить `201`. Файл токенов в этом случае не трогается.
+-   `expires_in`, пришедший строкой (`"3600"`), считается правильно. Раньше склейка строк в расчёте `expires` давала абсурдную дату.
+
 ## Скрипты
 
 -   `npm run test` — прогон юнит-тестов из `tests/` через встроенный `node --test`. Дополнительных зависимостей не нужно: `.ts` запускаются на нативном стирании типов Node, поэтому прогону нужен Node 22.6+ (`engines: ">=20.3.0"` — это требование к потребителю пакета, а не к разработке). Сети тесты не касаются, в тарбол папка не попадает.

package/bitrix24/b24/facade.ts

@@ -31,6 +31,11 @@ export const FETCH_LIST_MAX_PAGES = 20000;
  * Функция превращает такой ответ в понятную ошибку вместо падения на undefined.
  * Также отсекает случай, когда запрос успешен, но result пустой (null/undefined).
  *
+ * Дефолт дженерика — `any`, и это осознанно: потребители пишут
+ * `getResultData(response, "tasks.task.add").task.id` без параметра типа.
+ * Замена дефолта на `unknown` сломала бы каждое такое обращение, ничего не дав
+ * взамен: узкий тип задаётся на месте вызова — `getResultData<Deal>(response, method)`.
+ *
  * @param response — результат $b24.callMethod()
  * @param methodName — имя метода B24, попадёт в текст ошибки
  */
@@ -82,8 +87,16 @@ export function readV2Envelope(response: AjaxResult, method: string): V2Envelope
  * идемпотентности (`getRetryBlockReason`) видит те же аргументы, что и раньше,
  * — retry оборачивает фасад снаружи, а преобразование в объект опций
  * происходит уже внутри.
+ *
+ * `any` в сигнатурах ниже (`callMethod<T = any>`, `params?: any`, `AsyncGenerator<any[]>`,
+ * `Array<any>`, а также `call.make<any>` внутри `fetchListMethod` — тип страницы
+ * задаёт вызывающий) оставлен НАМЕРЕННО и снятию по T-53 не подлежит. Это дефолты дженериков
+ * публичной поверхности, дословно повторяющие `AbstractB24`: на них стоит код потребителей
+ * (`for await (const chunk of $b24.fetchListMethod(...)) chunk.forEach((x) => x.ID)`).
+ * `unknown` в дефолте уронил бы каждое такое место, не дав взамен ничего — узкий тип
+ * задаётся параметром типа на месте вызова (`callMethod<Deal>(...)`).
  */
-export function createFacade(target: B24OAuth): Record<string, (...args: any[]) => any> {
+export function createFacade(target: B24OAuth): FacadeMethods {
     // Геттер actions при каждом обращении проверяет инициализацию экземпляра —
     // читаем его в момент вызова, а не один раз при создании фасада
     const v2 = () => target.actions.v2;

package/bitrix24/b24/proxy.ts

@@ -1,21 +1,61 @@
 import type { B24OAuth } from "@bitrix24/b24jssdk";
 import { createFacade } from "./facade.ts";
 import { withRetry } from "./retry.ts";
-import type { B24Client } from "./types.ts";
+import type { AsyncFn } from "./retry.ts";
+import type { B24Client, FacadeMethods } from "./types.ts";
 
-// ==================== Константы ====================
+// ==================== Константы и типы ====================
+
+/** Имя метода, который Proxy резолвит в реализацию пакета */
+type FacadeMethodName = keyof FacadeMethods;
 
 /** Методы фасада, оборачиваемые retry-логикой (fetchListMethod — async-генератор, его оборачивать нельзя) */
-export const RETRYABLE_METHODS = new Set(["callMethod", "callListMethod", "callBatch"]);
+const RETRYABLE_METHOD_NAMES = ["callMethod", "callListMethod", "callBatch"] as const;
 
 /**
  * Имена, которые Proxy резолвит в собственную реализацию пакета поверх `actions.v2.*`.
  *
- * Шире, чем RETRYABLE_METHODS: `fetchListMethod` и `callBatchByChunk` мы реализуем,
+ * Шире, чем RETRYABLE_METHOD_NAMES: `fetchListMethod` и `callBatchByChunk` мы реализуем,
  * но не ретраим. `callBatchByChunk` в наборе обязателен — пока хоть один deprecated-метод
  * SDK достижим через `$b24`, он будет писать предупреждение об устаревании.
+ *
+ * `satisfies` ловит опечатку и переименование: имя, которого нет среди методов фасада,
+ * уронит тайпчек здесь, а не молча уедет мимо Proxy в SDK.
+ */
+const FACADE_METHOD_NAMES = ["callMethod", "callListMethod", "fetchListMethod", "callBatch", "callBatchByChunk"] as const satisfies readonly FacadeMethodName[];
+
+/**
+ * Обратная страховка к `satisfies` выше: ловит НЕдостачу.
+ * Забыли имя — `Exclude` перестанет быть `never`, и тип станет `never`,
+ * а `true` в него не присвоится. Значение нигде не используется
  */
-export const FACADE_METHODS = new Set(["callMethod", "callListMethod", "fetchListMethod", "callBatch", "callBatchByChunk"]);
+const _facadeNamesAreExhaustive: Exclude<FacadeMethodName, (typeof FACADE_METHOD_NAMES)[number]> extends never ? true : never = true;
+void _facadeNamesAreExhaustive;
+
+/**
+ * Имя метода фасада, который дополнительно оборачивается retry.
+ *
+ * Уже, чем `FacadeMethodName`: `fetchListMethod` — async-генератор, он возвращает
+ * не `Promise`, под `AsyncFn` не подходит и в `withRetry` не попадает даже по типу.
+ * Тип выведен из самого списка, поэтому список и тип разойтись не могут
+ */
+type RetryableMethodName = (typeof RETRYABLE_METHOD_NAMES)[number];
+
+/** Тип `ReadonlySet<string>`, а не `Set<RetryableMethodName>`: `has()` вызывается с произвольным ключом Proxy */
+export const RETRYABLE_METHODS: ReadonlySet<string> = new Set<string>(RETRYABLE_METHOD_NAMES);
+
+/** См. FACADE_METHOD_NAMES */
+export const FACADE_METHODS: ReadonlySet<string> = new Set<string>(FACADE_METHOD_NAMES);
+
+/** Метод резолвится в реализацию пакета, а не SDK */
+function isFacadeMethod(prop: string): prop is FacadeMethodName {
+    return FACADE_METHODS.has(prop);
+}
+
+/** Метод фасада оборачивается retry-логикой */
+function isRetryableMethod(prop: string): prop is RetryableMethodName {
+    return RETRYABLE_METHODS.has(prop);
+}
 
 // ==================== Proxy-обёртка ====================
 
@@ -40,10 +80,12 @@ export function wrapB24WithRetry(b24: B24OAuth): B24Client {
         get(target, prop) {
             // Имена фасада проверяем до Reflect.get: пока SDK ещё объявляет свои
             // deprecated-методы, иначе мы отдавали бы их, а не свои
-            if (typeof prop === "string" && FACADE_METHODS.has(prop)) {
+            if (typeof prop === "string" && isFacadeMethod(prop)) {
                 if (!methodCache.has(prop)) {
-                    const impl = facade[prop]!;
-                    methodCache.set(prop, RETRYABLE_METHODS.has(prop) ? withRetry(impl, target, prop) : impl);
+                    // Индексируем внутри ветки: после сужения prop до RetryableMethodName
+                    // из типа facade[prop] уходит fetchListMethod, и withRetry принимает
+                    // остаток без приведения
+                    methodCache.set(prop, isRetryableMethod(prop) ? withRetry(facade[prop], target, prop) : facade[prop]);
                 }
 
                 return methodCache.get(prop);
@@ -59,7 +101,7 @@ export function wrapB24WithRetry(b24: B24OAuth): B24Client {
 
             if (!methodCache.has(prop)) {
                 const wrapped = RETRYABLE_METHODS.has(prop)
-                    ? withRetry(value as (...args: any[]) => Promise<any>, target, prop)
+                    ? withRetry(value as AsyncFn, target, prop)
                     : value.bind(target);
                 methodCache.set(prop, wrapped);
             }

package/bitrix24/b24/retry.ts

@@ -2,6 +2,18 @@ import { AjaxError, RefreshTokenError, SdkError } from "@bitrix24/b24jssdk";
 import { logs } from "../../logs/logs.ts";
 import { isNetworkError, isPreConnectionError } from "../../utils/fetchRetry.ts";
 
+// ==================== Типы ====================
+
+/**
+ * Любая асинхронная функция.
+ *
+ * `never[]` в параметрах делает тип надмножеством всех сигнатур: `never`
+ * присваивается чему угодно, поэтому под ограничение подходит и `callMethod`,
+ * и `callBatch`. Возврат `Promise<unknown>` отсекает `fetchListMethod` —
+ * это async-генератор, и оборачивать его retry-обёрткой нельзя (`for await` ломается).
+ */
+export type AsyncFn = (...args: never[]) => Promise<unknown>;
+
 // ==================== Константы ====================
 
 /** Количество попыток при сетевых ошибках */
@@ -302,7 +314,7 @@ function joinReasons(creating: string[], reserving: string[]): string | null {
  * не удалось, вызов считается создающим. Ошибиться в сторону лишней осторожности
  * дешевле — потребитель получит ошибку вместо тихого дубликата.
  */
-export function getRetryBlockReason(sdkMethod: string, args: any[]): string | null {
+export function getRetryBlockReason(sdkMethod: string, args: readonly unknown[]): string | null {
     const first = args[0];
 
     // callMethod(method, params) и callListMethod(method, params, ...)
@@ -430,10 +442,10 @@ export async function runWithRetry<T>(fn: () => Promise<T>, label: string, block
 }
 
 /** Оборачивает async-функцию retry-логикой при сетевых ошибках */
-export function withRetry<T extends (...args: any[]) => Promise<any>>(fn: T, context: any, methodName: string): T {
-    return (async (...args: any[]) => {
+export function withRetry<T extends AsyncFn>(fn: T, context: object, methodName: string): T {
+    return (async (...args: Parameters<T>) => {
         // Состав вызова между попытками не меняется — разбираем один раз
-        const blockReason = getRetryBlockReason(methodName, args);
+        const blockReason = getRetryBlockReason(methodName, args as readonly unknown[]);
         return runWithRetry(() => fn.apply(context, args), `$b24.${methodName}`, blockReason);
     }) as T;
 }

package/bitrix24/b24/tokens.ts

@@ -64,9 +64,10 @@ export function saveTokens(authData: AuthData): SaveResult {
         confAuthB24.set(APP_ENV, { ...authData, domain: cleanDomain(authData.domain) });
         logs.add("Токены Bitrix24 сохранены", "debug");
         return { error: false, message: "Токены сохранены." };
-    } catch (error: any) {
-        logs.add(`Ошибка сохранения токенов: ${error.message}`, "error");
-        return { error: true, message: error.message };
+    } catch (error: unknown) {
+        const message = error instanceof Error ? error.message : String(error);
+        logs.add(`Ошибка сохранения токенов: ${message}`, "error");
+        return { error: true, message };
     }
 }
 
@@ -234,9 +235,10 @@ export async function refreshAndSaveTokens(): Promise<SaveResult> {
     try {
         const authData = await refreshAuthWithMutex();
         return saveTokens(authData);
-    } catch (error: any) {
-        logs.add(`Ошибка обновления токенов: ${error.message}`, "error");
-        return { error: true, message: error.message };
+    } catch (error: unknown) {
+        const message = error instanceof Error ? error.message : String(error);
+        logs.add(`Ошибка обновления токенов: ${message}`, "error");
+        return { error: true, message };
     }
 }
 

package/bitrix24/b24/types.ts

@@ -8,6 +8,26 @@ export interface SaveResult {
     message: string;
 }
 
+/**
+ * Минимальный контракт HTTP-запроса, который читает `saveAuthB24Handler`.
+ *
+ * Своя структура вместо `Request` из `@types/express`: три потребителя
+ * (`b24_rnp`, `b24_ai`, `marketing_vk_ads`) `express` не ставят вовсе и жили
+ * на нашей копии типов, приезжавшей транзитивно. С 4.0.0 `@types/*` в
+ * `devDependencies`, поэтому такой копии больше нет.
+ *
+ * Express подставляет сюда свой `Request` без правок у потребителя:
+ * параметры контравариантны, и `Request.body: any` подходит под `body: unknown`.
+ */
+export interface AuthSaveRequest {
+    body: unknown;
+}
+
+/** Минимальный контракт HTTP-ответа, который пишет `saveAuthB24Handler` */
+export interface AuthSaveResponse {
+    status(code: number): { json(body: unknown): unknown };
+}
+
 /**
  * `B24OAuth` плюс пять методов, которые пакет реализует сам поверх `actions.v2.*`.
  *
@@ -24,6 +44,13 @@ export interface SaveResult {
  * SDK 2.2.0 останется зелёным, то есть пропажа обнаружится только у потребителя.
  * Страховка от «уборки дублей» — `tests/client-type.test.ts`: он читает текст этого
  * файла и падает, если хоть одно объявление отсюда исчезло.
+ *
+ * `any` в сигнатурах оставлен НАМЕРЕННО и снятию по T-53 не подлежит: это дефолты
+ * дженериков публичной поверхности, дословно повторяющие `AbstractB24`. На них стоит
+ * код потребителей — `for await (const chunk of $b24.fetchListMethod(...))
+ * chunk.forEach((x) => x.ID)` и `callBatch([["crm.deal.get", { id }]])`. `unknown`
+ * в дефолте уронил бы каждое такое место, ничего не дав взамен: узкий тип задаётся
+ * параметром типа на месте вызова (`callMethod<Deal>(...)`).
  */
 export interface B24Client extends B24OAuth {
     callMethod<T = any>(method: string, params?: object, start?: number): Promise<AjaxResult<T>>;

package/bitrix24/b24.ts

@@ -1,12 +1,11 @@
 import type { B24OAuth } from "@bitrix24/b24jssdk";
-import type { Request, Response } from "express";
 import { logs } from "../logs/logs.ts";
 
 import { createB24Instance } from "./b24/instance.ts";
 import { wrapB24WithRetry } from "./b24/proxy.ts";
 import { $b24, setB24Instance } from "./b24/state.ts";
 import { refreshAndSaveTokens, resetRefreshMutex, saveTokens, startProactiveRefresh, stopProactiveRefresh } from "./b24/tokens.ts";
-import type { SaveResult } from "./b24/types.ts";
+import type { AuthSaveRequest, AuthSaveResponse, SaveResult } from "./b24/types.ts";
 
 // ==================== Реэкспорт публичного API ====================
 
@@ -62,12 +61,43 @@ export async function reinitializeB24(): Promise<SaveResult> {
     return refreshResult;
 }
 
-/** HTTP-обработчик для сохранения токенов с фронта */
-export async function saveAuthB24Handler(req: Request, res: Response): Promise<void> {
-    try {
-        const { access_token, refresh_token, domain, expires_in, member_id } = req.body;
+/** Непустая строка — единственная форма, пригодная для поля токена */
+function isFilledString(value: unknown): value is string {
+    return typeof value === "string" && value.length > 0;
+}
 
-        if (!access_token || !refresh_token || !domain || !expires_in || !member_id) {
+/**
+ * HTTP-обработчик для сохранения токенов с фронта.
+ *
+ * Типы запроса и ответа — собственные структурные (`AuthSaveRequest`/`AuthSaveResponse`),
+ * а не `Request`/`Response` из `@types/express`: пакет больше не тянет типы express
+ * потребителю. Express подставляет свои объекты сюда без правок на его стороне
+ */
+export async function saveAuthB24Handler(req: AuthSaveRequest, res: AuthSaveResponse): Promise<void> {
+    try {
+        // req.body теперь unknown — разбираем явно, деструктуризация по нему не пройдёт
+        const body = (req.body ?? {}) as Record<string, unknown>;
+        const access_token = body["access_token"];
+        const refresh_token = body["refresh_token"];
+        const domain = body["domain"];
+        const expires_in = body["expires_in"];
+        const member_id = body["member_id"];
+
+        // expires_in участвует и в самом объекте токенов, и в расчёте expires —
+        // приводим один раз в отдельную переменную
+        const expiresIn = Number(expires_in);
+
+        // Проверяем именно тип, а не «истинность» после String(): приведение объекта
+        // дало бы непустую строку "[object Object]", она прошла бы валидацию
+        // в saveTokens и затёрла рабочие токены в authB24.json
+        if (
+            !isFilledString(access_token) ||
+            !isFilledString(refresh_token) ||
+            !isFilledString(domain) ||
+            !isFilledString(member_id) ||
+            !Number.isFinite(expiresIn) ||
+            expiresIn <= 0
+        ) {
             res.status(400).json({ status: "error", message: "Не заполнены обязательные поля." });
             return;
         }
@@ -76,9 +106,9 @@ export async function saveAuthB24Handler(req: Request, res: Response): Promise<v
             access_token,
             refresh_token,
             domain,
-            expires_in,
+            expires_in: expiresIn,
             member_id,
-            expires: Math.floor(Date.now() / 1000) + expires_in,
+            expires: Math.floor(Date.now() / 1000) + expiresIn,
         });
 
         if (result.error) {
@@ -100,9 +130,10 @@ export async function saveAuthB24Handler(req: Request, res: Response): Promise<v
         } else {
             res.status(201).json({ status: "ok", message: "Токены сохранены и применены." });
         }
-    } catch (error: any) {
-        logs.add(`Ошибка в saveAuthB24Handler: ${error.message}`, "error");
-        res.status(500).json({ status: "error", message: error.message });
+    } catch (error: unknown) {
+        const message = error instanceof Error ? error.message : String(error);
+        logs.add(`Ошибка в saveAuthB24Handler: ${message}`, "error");
+        res.status(500).json({ status: "error", message });
     }
 }
 

package/bitrix24/errTaskB24.ts

@@ -27,7 +27,8 @@ export interface ErrorTaskData {
 interface ErrorB24Result {
     error: boolean;
     message: string;
-    data?: any;
+    /** Ответ портала на tasks.task.add как есть — форму задаёт сам портал, поэтому unknown */
+    data?: unknown;
 }
 
 /** Задача из Bitrix24 */
@@ -65,8 +66,9 @@ export async function checkB24Scope(): Promise<void> {
         if (missingScopes.length > 0) {
             logs.add(`Отсутствуют скоупы: ${missingScopes.join(", ")}`, "error");
         }
-    } catch (error: any) {
-        logs.add(`Ошибка при получении скоупов: ${error.message}`, "error");
+    } catch (error: unknown) {
+        const message = error instanceof Error ? error.message : String(error);
+        logs.add(`Ошибка при получении скоупов: ${message}`, "error");
     }
 }
 
@@ -133,10 +135,11 @@ export async function errorB24(dataTask: ErrorTaskData): Promise<ErrorB24Result>
             message: "Задача создана в Битрикс24.",
             data: createdTask,
         };
-    } catch (error: any) {
+    } catch (error: unknown) {
+        const message = error instanceof Error ? error.message : String(error);
         return {
             error: true,
-            message: `Не удалось создать задачу в Битрикс24: ${error.message}`,
+            message: `Не удалось создать задачу в Битрикс24: ${message}`,
         };
     }
 }

package/bitrix24/eventB24.ts

@@ -20,9 +20,21 @@ export interface ConnectorMessage {
     lineId: string;
     chatId: string;
     text: string | null;
-    file: any[] | null;
-    attachments: any[] | null;
-    im: any | null;
+    file: TelegramFile[] | null;
+    attachments: unknown[] | null;
+    im: Record<string, unknown> | null;
+}
+
+/**
+ * Файл сообщения, приведённый к формату Telegram.
+ *
+ * Раньше метод отдавал `any[]`, и единственный потребитель (`b24_conector`)
+ * объявлял такую же структуру у себя. Тип экспортируется, чтобы объявление было одно
+ */
+export interface TelegramFile {
+    type: "image" | "video" | "file" | "document";
+    downloadLink: string;
+    name: string;
 }
 
 /** События коннектора */
@@ -48,7 +60,12 @@ export interface EntityEvents {
 interface StandardResult {
     error: boolean;
     message: string;
-    data: any;
+    /**
+     * `ConnectorEvents`, `EntityEvents` либо `null` — какой именно, зависит от имени
+     * события, переданного в `get()`. Разобрать это типом нельзя, поэтому `unknown`:
+     * потребитель приводит результат сам, как и делал до 4.0.0
+     */
+    data: unknown;
 }
 
 /** Офлайн-событие Bitrix24 */
@@ -56,7 +73,7 @@ interface OfflineEvent {
     ID: string;
     MESSAGE_ID: string;
     EVENT_NAME: string;
-    EVENT_DATA: any;
+    EVENT_DATA: unknown;
     EVENT_ADDITIONAL: {
         user_id: string;
     };
@@ -105,7 +122,7 @@ const SYSTEM_USER_ID = "138";
  * внутри записи: защита только одной из них читалась бы как решение «здесь
  * нормализация не нужна», а словарь на месте списка ронял бы весь вызов.
  */
-function normalizeCollection(value: unknown): any[] {
+function normalizeCollection(value: unknown): unknown[] {
     if (Array.isArray(value)) return value;
     if (value && typeof value === "object") return Object.values(value);
     return [];
@@ -234,15 +251,23 @@ export class Event {
     /**
      * Преобразует файлы из формата Bitrix24 в формат TelegramFile
      */
-    private convertB24FilesToTelegramFormat(b24Files: any[] | null | undefined): any[] | null {
+    private convertB24FilesToTelegramFormat(b24Files: unknown[] | null | undefined): TelegramFile[] | null {
         if (!b24Files || !Array.isArray(b24Files) || b24Files.length === 0) {
             return null;
         }
 
-        return b24Files.map((f: any) => {
-            const fileName = f.name || "";
-            const link = f.link || f.url || "";
-            const fileType = this.detectFileType(fileName, f.type);
+        return b24Files.map((rawFile) => {
+            // Элемент приходит как unknown: сужаем через asRecord, как и запись очереди.
+            // Битый элемент (null, строка) даёт пустые имя и ссылку — по той же причине,
+            // по которой устойчив разбор записи: исключение здесь остановило бы очередь
+            const file = asRecord(rawFile) ?? {};
+
+            // Проверка типа, а не приведение: нестроковое `name` уронило бы
+            // detectFileType на toLowerCase(), get() вернул бы ошибку — и очередь встала
+            const fileName = typeof file["name"] === "string" ? file["name"] : "";
+            const link = typeof file["link"] === "string" ? file["link"] : typeof file["url"] === "string" ? file["url"] : "";
+            const rawType = file["type"];
+            const fileType = this.detectFileType(fileName, typeof rawType === "string" ? rawType : undefined);
 
             return {
                 type: fileType,
@@ -348,24 +373,33 @@ export class Event {
                     // здесь означало бы, что get() вернёт ошибку, потребитель не вызовет
                     // clear(), и те же события придут следующим опросом — очередь встала бы
                     // навсегда на одном кривом сообщении
-                    data.message = allEvents.flatMap((event) => {
-                        const eventData = event.EVENT_DATA ?? {};
-
-                        return normalizeCollection(eventData.MESSAGES)
-                            .filter((messageData) => messageData?.chat && messageData?.message)
-                            .map((messageData) => ({
-                                // Портал отдаёт идентификаторы то строкой, то числом —
-                                // приводим, чтобы тип `string` не врал
-                                messageId: String(event.MESSAGE_ID ?? ""),
-                                eventId: String(event.ID ?? ""),
-                                connectorId: eventData.CONNECTOR,
-                                lineId: eventData.LINE,
-                                chatId: messageData.chat.id,
-                                text: messageData.message.text || null,
-                                file: this.convertB24FilesToTelegramFormat(messageData.message.files),
-                                attachments: messageData.message.attachments || null,
-                                im: messageData.im || null,
-                            }));
+                    data.message = allEvents.flatMap((rawEvent) => {
+                        // Запись очереди приходит из normalizeCollection как unknown —
+                        // сужаем через asRecord, тем же способом, что и classifyEntityEvent
+                        const record = asRecord(rawEvent) ?? {};
+                        const eventData = asRecord(record["EVENT_DATA"]) ?? {};
+
+                        return normalizeCollection(eventData["MESSAGES"])
+                            .map((rawMessage) => asRecord(rawMessage))
+                            .filter((messageData): messageData is Record<string, unknown> => Boolean(messageData?.["chat"] && messageData?.["message"]))
+                            .map((messageData) => {
+                                const chat = asRecord(messageData["chat"]) ?? {};
+                                const message = asRecord(messageData["message"]) ?? {};
+
+                                return {
+                                    // Портал отдаёт идентификаторы то строкой, то числом —
+                                    // приводим, чтобы тип `string` не врал
+                                    messageId: String(record["MESSAGE_ID"] ?? ""),
+                                    eventId: String(record["ID"] ?? ""),
+                                    connectorId: readId(eventData["CONNECTOR"]) ?? "",
+                                    lineId: readId(eventData["LINE"]) ?? "",
+                                    chatId: readId(chat["id"]) ?? "",
+                                    text: (message["text"] as string | undefined) || null,
+                                    file: this.convertB24FilesToTelegramFormat(message["files"] as unknown[] | undefined),
+                                    attachments: (message["attachments"] as unknown[] | undefined) || null,
+                                    im: (messageData["im"] as Record<string, unknown> | undefined) || null,
+                                };
+                            });
                     });
                 }
 
@@ -382,7 +416,7 @@ export class Event {
             // Тип OfflineEvent описывает то, что портал обещает, а не то, что присылает:
             // EVENT_ADDITIONAL и EVENT_DATA приходили и без обязательных полей (T-50).
             // Параметр колбэка объявлен unknown намеренно — так классификация видит запись
-            // такой, какая она есть. Глобальная зачистка `any` в этом файле — отдельная задача T-53
+            // такой, какая она есть
             const verdicts = allEvents.map((raw: unknown) => classifyEntityEvent(raw, eventName));
 
             // Битую запись обработать нечем, и о её пропаже иначе не узнает никто:
@@ -479,10 +513,11 @@ export class Event {
             }
 
             return { error: false, message: "События получены", data };
-        } catch (error: any) {
+        } catch (error: unknown) {
+            const message = error instanceof Error ? error.message : String(error);
             return {
                 error: true,
-                message: `Не удалось получить события. ${error.message}`,
+                message: `Не удалось получить события. ${message}`,
                 data: null,
             };
         }
@@ -502,7 +537,7 @@ export class Event {
                 return { error: false, message: "Список записей пуст, очищать нечего", data: null };
             }
 
-            const params: any = { process_id: processId };
+            const params: Record<string, unknown> = { process_id: processId };
             if (messageId) {
                 params.message_id = messageId;
             }
@@ -518,10 +553,11 @@ export class Event {
             }
 
             return { error: false, message: "События очищены", data: null };
-        } catch (error: any) {
+        } catch (error: unknown) {
+            const message = error instanceof Error ? error.message : String(error);
             return {
                 error: true,
-                message: `Не удалось очистить события. ${error.message}`,
+                message: `Не удалось очистить события. ${message}`,
                 data: null,
             };
         }

package/index.ts

@@ -6,9 +6,12 @@ export * from "./bitrix24/errTaskB24.ts";
 export * from "./bitrix24/eventB24.ts";
 
 // Мессенджеры и уведомления
+// `Email` здесь намеренно отсутствует: с 4.0.0 он живёт в подпуте
+// `@andrey4emk/npm-app-back-b24/email`, чтобы optional peer `nodemailer`
+// не требовался проектам, которые почту не шлют. Возврат `export *` сюда
+// вернёт зависимость в баррель — это ловит tests/public-api.test.ts
 export * from "./sendMessage/chatApp.ts";
 export * from "./sendMessage/smsgold.ts";
-export * from "./sendMessage/email.ts";
 export * from "./sendMessage/wappi.ts";
 
 // Логирование

package/package.json

@@ -1,13 +1,14 @@
 {
     "name": "@andrey4emk/npm-app-back-b24",
-    "version": "3.9.0",
+    "version": "4.0.0",
     "description": "Bitrix24 OAuth helpers for Node.js projects",
     "main": "index.ts",
     "type": "module",
     "exports": {
         ".": "./index.ts",
         "./logs": "./logs/logs.ts",
-        "./fetchRetry": "./utils/fetchRetry.ts"
+        "./fetchRetry": "./utils/fetchRetry.ts",
+        "./email": "./sendMessage/email.ts"
     },
     "scripts": {
         "test": "DOTENV_CONFIG_QUIET=true node --test --test-timeout=30000 \"tests/**/*.test.ts\"",
@@ -49,13 +50,23 @@
     ],
     "dependencies": {
         "@bitrix24/b24jssdk": "2.2.0",
+        "conf": "15.1.0",
+        "dotenv": "17.4.2",
+        "luxon": "3.7.2"
+    },
+    "devDependencies": {
         "@types/express": "5.0.6",
         "@types/luxon": "3.7.4",
         "@types/node": "25.9.5",
         "@types/nodemailer": "8.0.1",
-        "conf": "15.1.0",
-        "dotenv": "17.4.2",
-        "luxon": "3.7.2",
-        "nodemailer": "^9.0.5"
+        "nodemailer": "9.0.5"
+    },
+    "peerDependencies": {
+        "nodemailer": "^9.0.5 || ^10.0.0"
+    },
+    "peerDependenciesMeta": {
+        "nodemailer": {
+            "optional": true
+        }
     }
 }

package/sendMessage/chatApp.ts

@@ -45,6 +45,63 @@ interface FileMessageData extends MessageData {
     fileName: string;
 }
 
+/**
+ * Ответ ChatApp в той части, которую разбирает класс.
+ *
+ * Описан по фактически читаемым полям, а не по всему API: остальное уезжает
+ * потребителю в `data` как есть и типом не сужается
+ */
+interface ChatAppResponse {
+    success?: boolean;
+    /** Полезная нагрузка ответа. Форму задаёт сам ChatApp, разбираем на месте */
+    data?: unknown;
+    /** Дописывается классом в phoneCheckChatApp. В ответе ChatApp этого поля нет */
+    check?: unknown;
+}
+
+/**
+ * Комплект токенов ChatApp — то, что сервис обещает в ответе на выдачу и обновление.
+ *
+ * Поля необязательные намеренно: обязательность в чужом JSON ничем не подкреплена,
+ * а усечённый ответ клал бы `undefined` под типом `string`. Комплект проверяется
+ * на месте разбора
+ */
+interface ChatAppTokens {
+    accessToken?: string;
+    accessTokenEndTime?: string;
+    refreshToken?: string;
+    refreshTokenEndTime?: string;
+}
+
+/** Ответ на выдачу или обновление токена */
+interface ChatAppTokenResponse {
+    success?: boolean;
+    data?: ChatAppTokens;
+}
+
+/**
+ * Проверяет, что в ответе пришёл весь комплект токенов.
+ *
+ * Частичный ответ до этой проверки клал `undefined` в `this.auth` под типом `string`:
+ * метод отчитывался успехом, а следующее обновление уходило с пустым refresh-токеном
+ * и не восстанавливалось до перезапуска процесса
+ */
+function isFullTokenSet(tokens: ChatAppTokens | undefined): tokens is ChatAppAuthParam {
+    return !!(
+        tokens &&
+        typeof tokens.accessToken === "string" && tokens.accessToken.length > 0 &&
+        typeof tokens.accessTokenEndTime === "string" &&
+        typeof tokens.refreshToken === "string" && tokens.refreshToken.length > 0 &&
+        typeof tokens.refreshTokenEndTime === "string"
+    );
+}
+
+/** Ответ на запрос списка лицензий */
+interface ChatAppLicensesResponse {
+    success?: boolean;
+    licenses?: unknown;
+}
+
 /** Стандартный результат операции */
 interface ChatAppResult {
     error: boolean;
@@ -136,7 +193,7 @@ export class ChatApp {
 
         const url = `${baseUrl}/chats/${phone}/messages/text`;
 
-        let data: any;
+        let data: ChatAppResponse;
         try {
             const res = await fetchWithTimeout(
                 url,
@@ -152,7 +209,7 @@ export class ChatApp {
                 },
                 FETCH_TIMEOUTS.send
             );
-            data = await res.json();
+            data = (await res.json()) as ChatAppResponse;
         } catch (error: unknown) {
             // Метод исторически без try/catch — перехватываем только таймаут, который сами
             // и вводим. Остальные ошибки летят наружу как раньше
@@ -210,7 +267,7 @@ export class ChatApp {
 
         const url = `${baseUrl}/chats/${phone}/messages/file`;
 
-        let data: any;
+        let data: ChatAppResponse;
         try {
             // Файл по ссылке забирает сам ChatApp, поэтому ответа можно ждать дольше — бюджет transfer
             const res = await fetchWithTimeout(
@@ -227,7 +284,7 @@ export class ChatApp {
                 },
                 FETCH_TIMEOUTS.transfer
             );
-            data = await res.json();
+            data = (await res.json()) as ChatAppResponse;
         } catch (error: unknown) {
             // Перехватываем только таймаут, остальные ошибки ведут себя как раньше
             if (!isTimeoutError(error)) throw error;
@@ -280,7 +337,7 @@ export class ChatApp {
 
         const url = `${baseUrl}/phones/${phone}/check`;
 
-        let data: any;
+        let data: ChatAppResponse;
         try {
             const res = await fetchWithTimeout(
                 url,
@@ -294,7 +351,7 @@ export class ChatApp {
                 },
                 FETCH_TIMEOUTS.api
             );
-            data = await res.json();
+            data = (await res.json()) as ChatAppResponse;
         } catch (error: unknown) {
             // Перехватываем только таймаут, остальные ошибки ведут себя как раньше
             if (!isTimeoutError(error)) throw error;
@@ -315,13 +372,14 @@ export class ChatApp {
             newAuth = this.auth;
             this.updateToken = false;
         }
-        // Ответ разбирается как any — noUncheckedIndexedAccess здесь ничего не ловит,
-        // а обращение к data.data.exist без проверки давало TypeError мимо всякого try/catch
-        if (typeof data.data !== "object" || data.data === null) {
+        // Полезная нагрузка ответа объявлена unknown: обращение к data.data.exist
+        // без проверки давало TypeError мимо всякого try/catch
+        const payload = data.data;
+        if (typeof payload !== "object" || payload === null) {
             return { error: true, message: `Ответ ChatApp без поля data при проверке телефона через ${messangerType}`, data, auth: newAuth };
         }
 
-        data.check = data.data.exist;
+        data.check = (payload as Record<string, unknown>)["exist"];
         return { error: false, message: `Телефон успешно проверен в ChatApp через ${messangerType}`, data, auth: newAuth };
     }
 
@@ -340,9 +398,14 @@ export class ChatApp {
                 FETCH_TIMEOUTS.quick
             );
 
-            const data: any = await response.json();
+            const data = (await response.json()) as ChatAppResponse;
             if (!data.success) {
-                await this.refreshTokenChatApp();
+                // Результат обновления не проглатываем: раньше «Токен обновлен» уходило
+                // и когда обновление провалилось, а мёртвый токен доезжал до отправки
+                const refreshResult = await this.refreshTokenChatApp();
+                if (refreshResult.error) {
+                    return { error: true, message: `Не удалось обновить токен ChatApp: ${refreshResult.message ?? ""}`, data: null };
+                }
                 return { error: false, message: "Токен обновлен" };
             }
             return { error: false, message: "Токен действителен" };
@@ -353,7 +416,6 @@ export class ChatApp {
     }
 
     async makeTokenChatApp(): Promise<{ error: boolean; message?: string; data?: unknown }> {
-        console.warn("makeTokenChatApp called");
         try {
             const response = await fetchWithTimeout(
                 "https://api.chatapp.online/v1/tokens",
@@ -373,15 +435,24 @@ export class ChatApp {
                 FETCH_TIMEOUTS.quick
             );
 
-            const data: any = await response.json();
+            const data = (await response.json()) as ChatAppTokenResponse;
             if (!data.success) {
                 return { error: true, message: "Не удалось получить токен ChatApp", data };
             }
 
-            this.auth.accessToken = data.data.accessToken;
-            this.auth.accessTokenEndTime = data.data.accessTokenEndTime;
-            this.auth.refreshToken = data.data.refreshToken;
-            this.auth.refreshTokenEndTime = data.data.refreshTokenEndTime;
+            // Успех без комплекта токенов раньше давал TypeError на undefined и уходил
+            // в catch общим сообщением. Отказ явный, флаг ошибки тот же.
+            // Проверяем весь комплект, а не наличие контейнера: усечённый ответ клал бы
+            // undefined в this.auth, и обновление токена не восстановилось бы до перезапуска
+            const tokens = data.data;
+            if (!isFullTokenSet(tokens)) {
+                return { error: true, message: "ChatApp: в ответе нет данных токена", data };
+            }
+
+            this.auth.accessToken = tokens.accessToken;
+            this.auth.accessTokenEndTime = tokens.accessTokenEndTime;
+            this.auth.refreshToken = tokens.refreshToken;
+            this.auth.refreshTokenEndTime = tokens.refreshTokenEndTime;
             this.updateToken = true;
             return { error: false };
         } catch (error: unknown) {
@@ -406,7 +477,7 @@ export class ChatApp {
                 FETCH_TIMEOUTS.quick
             );
 
-            const data: any = await response.json();
+            const data = (await response.json()) as ChatAppTokenResponse;
             if (!data.success) {
                 const resMakeToken = await this.makeTokenChatApp();
                 if (resMakeToken.error) {
@@ -415,10 +486,16 @@ export class ChatApp {
                 return { error: false };
             }
 
-            this.auth.accessToken = data.data.accessToken;
-            this.auth.accessTokenEndTime = data.data.accessTokenEndTime;
-            this.auth.refreshToken = data.data.refreshToken;
-            this.auth.refreshTokenEndTime = data.data.refreshTokenEndTime;
+            // Тот же явный отказ, что и в makeTokenChatApp: успех без комплекта токенов
+            const tokens = data.data;
+            if (!isFullTokenSet(tokens)) {
+                return { error: true, message: "ChatApp: в ответе нет данных токена", data };
+            }
+
+            this.auth.accessToken = tokens.accessToken;
+            this.auth.accessTokenEndTime = tokens.accessTokenEndTime;
+            this.auth.refreshToken = tokens.refreshToken;
+            this.auth.refreshTokenEndTime = tokens.refreshTokenEndTime;
             this.updateToken = true;
             return { error: false };
         } catch (error: unknown) {
@@ -441,7 +518,7 @@ export class ChatApp {
                 },
                 FETCH_TIMEOUTS.api
             );
-            const data: any = await response.json();
+            const data = (await response.json()) as ChatAppLicensesResponse;
 
             if (!data.success) {
                 return { error: true, message: "Не удалось получить лицензии ChatApp", data: null };

package/sendMessage/smsgold.ts

@@ -27,6 +27,15 @@ interface SmsMessageData {
  */
 const DEFAULT_UPLOAD_FOLDER_ID = 2792881;
 
+/**
+ * Файл, загруженный на диск Bitrix24 — то, что классу нужно от ответа
+ * `disk.folder.uploadfile`. Идентификатор портал отдаёт то строкой, то числом,
+ * и класс лишь передаёт его дальше в `disk.file.getExternalLink`
+ */
+interface UploadedFile {
+    ID: string | number;
+}
+
 /** Результат отправки SMS */
 interface SmsResult {
     error: boolean;
@@ -175,7 +184,7 @@ export class Smsgold {
     }
 
     /** Загружает файл в папку Битрикс24 через метод disk.folder.uploadfile */
-    private async uploadFileInFolderB24(fileBuffer: Buffer, fileName: string): Promise<{ error: boolean; message?: string; data?: any }> {
+    private async uploadFileInFolderB24(fileBuffer: Buffer, fileName: string): Promise<{ error: boolean; message?: string; data?: UploadedFile }> {
         try {
             const base64File = fileBuffer.toString("base64");
 
@@ -185,7 +194,7 @@ export class Smsgold {
                 data: { NAME: fileName },
                 fileContent: [fileName, base64File],
             });
-            const data = getResultData(res, "disk.folder.uploadfile");
+            const data = getResultData<UploadedFile>(res, "disk.folder.uploadfile");
             return { error: false, data };
         } catch (error: unknown) {
             const errMsg = error instanceof Error ? error.message : String(error);

package/sendMessage/wappi.ts

@@ -25,11 +25,31 @@ interface WappiFileMessageData extends WappiMessageData {
     fileName: string;
 }
 
+/**
+ * Ответ Wappi в той части, которую разбирает класс.
+ *
+ * Описан по фактически читаемым полям, а не по всему API. Поля `check` и `haveContact`
+ * в ответе Wappi отсутствуют — их дописывает сам класс в объект ответа, поэтому
+ * в интерфейсе они обязаны быть, иначе присваивание не пройдёт тайпчек
+ */
+interface WappiResponse {
+    status?: string;
+    detail?: string;
+    on_max?: boolean;
+    on_whatsapp?: boolean;
+    contact?: unknown;
+    /** Дописывается классом: номер пригоден для отправки */
+    check?: boolean;
+    /** Дописывается классом: контакт найден или создан */
+    haveContact?: boolean;
+}
+
 /** Стандартный результат операции */
 interface WappiResult {
     error: boolean;
     message: string;
-    data: any;
+    /** Ответ Wappi как есть — форму задаёт сервис, потребитель приводит сам */
+    data: unknown;
     /**
      * Ответа не дождались. Отличает «проверка сказала нет» от «проверки не было»:
      * без этого признака вызывающий код принимает таймаут за отрицательный ответ.
@@ -93,7 +113,7 @@ export class Wappi {
             url = `https://wappi.pro/maxapi/sync/message/send?${sendOpenLine}profile_id=${profile_id}`;
         }
 
-        let data: any;
+        let data: WappiResponse;
         try {
             const res = await fetchWithTimeout(
                 url!,
@@ -110,7 +130,7 @@ export class Wappi {
                 },
                 FETCH_TIMEOUTS.send
             );
-            data = await res.json();
+            data = (await res.json()) as WappiResponse;
         } catch (error: unknown) {
             // Метод исторически без try/catch — перехватываем только таймаут, который сами
             // и вводим, чтобы не появился новый путь исключений там, где его сегодня нет.
@@ -202,7 +222,7 @@ export class Wappi {
             url = `https://wappi.pro/maxapi/async/message/file/url/send?${sendOpenLine}profile_id=${profile_id}`;
         }
 
-        let data: any;
+        let data: WappiResponse;
         try {
             // В теле уходит base64 файла — бюджет transfer, а не send
             const res = await fetchWithTimeout(
@@ -223,7 +243,7 @@ export class Wappi {
                 },
                 FETCH_TIMEOUTS.transfer
             );
-            data = await res.json();
+            data = (await res.json()) as WappiResponse;
         } catch (error: unknown) {
             // Перехватываем только таймаут, остальные ошибки ведут себя как раньше
             if (!isTimeoutError(error)) throw error;
@@ -265,9 +285,14 @@ export class Wappi {
             const contactCheck = await this.getContactTelegramWappi(phone);
 
             // 2 Если существует, то номер в телеге есть, можем отправлять сообщение
-            if (!contactCheck.error && contactCheck.data.haveContact) {
-                contactCheck.data.check = true;
-                return { error: false, message: `Номер ${phone} проверен для мессенджера ${messangerType}`, data: contactCheck.data };
+            // Приведение, а не проверка: `data` объявлен unknown только в публичном типе,
+            // внутри класса это всегда разобранный ответ Wappi. На ошибке там null,
+            // но до чтения поля не доходит — первым проверяется `!contactCheck.error`,
+            // порядок вычисления тот же, что и до 4.0.0
+            const contactData = contactCheck.data as WappiResponse;
+            if (!contactCheck.error && contactData.haveContact) {
+                contactData.check = true;
+                return { error: false, message: `Номер ${phone} проверен для мессенджера ${messangerType}`, data: contactData };
             }
 
             // Ответа не дождались — это не «контакта нет». Создавать контакт вслепую нельзя:
@@ -280,14 +305,15 @@ export class Wappi {
 
             // 3 Если не существует, то номера в телеге нет, пробуем создать
             const addContactResult = await this.addContactTelegramWappi(phone);
+            const addedData = addContactResult.data as WappiResponse;
 
             if (!addContactResult.error) {
                 // Если получается создать, отправляем информацию
-                addContactResult.data.check = true;
-                return { error: false, message: `Номер ${phone} успешно добавлен и проверен для мессенджера ${messangerType}`, data: addContactResult.data };
+                addedData.check = true;
+                return { error: false, message: `Номер ${phone} успешно добавлен и проверен для мессенджера ${messangerType}`, data: addedData };
             }
             // Если не получается, то отправляем информацию об ошибке
-            return { error: true, message: `Не удалось проверить и добавить номер ${phone} в Telegram: ${addContactResult.message}`, data: addContactResult.data };
+            return { error: true, message: `Не удалось проверить и добавить номер ${phone} в Telegram: ${addContactResult.message}`, data: addedData };
         }
         if (messangerType === "max") {
             token = this.maxAuth.token;
@@ -295,7 +321,7 @@ export class Wappi {
             url = `https://wappi.pro/maxapi/sync/contact/check?profile_id=${profile_id}&phone=${phone}`;
         }
 
-        let data: any;
+        let data: WappiResponse;
         try {
             const res = await fetchWithTimeout(
                 url!,
@@ -308,7 +334,7 @@ export class Wappi {
                 },
                 FETCH_TIMEOUTS.api
             );
-            data = await res.json();
+            data = (await res.json()) as WappiResponse;
         } catch (error: unknown) {
             // Перехватываем только таймаут, остальные ошибки ведут себя как раньше
             if (!isTimeoutError(error)) throw error;
@@ -353,7 +379,7 @@ export class Wappi {
                 FETCH_TIMEOUTS.api
             );
 
-            const data: any = await res.json();
+            const data = (await res.json()) as WappiResponse;
 
             if (data.status !== "done") {
                 return { error: true, message: `Ошибка получения контакта ${phone} из Telegram`, data };
@@ -405,7 +431,7 @@ export class Wappi {
                 FETCH_TIMEOUTS.send
             );
 
-            const data: any = await res.json();
+            const data = (await res.json()) as WappiResponse;
             if (data.status !== "done") {
                 return { error: true, message: `Ошибка создания контакта ${phone} в Telegram`, data };
             }