@axon-assistant/core 2026.8.26 → 2026.8.28

package/dist/Daemon.d.ts.map

@@ -1 +1 @@
-{"version":3,"file":"Daemon.d.ts","sourceRoot":"","sources":["../src/Daemon.ts"],"names":[],"mappings":"AAMA,OAAO,KAAK,EAAE,UAAU,EAAE,OAAO,EAAE,MAAM,YAAY,CAAC;AAKtD,OAAO,EAML,OAAO,EAER,MAAM,gBAAgB,CAAC;AAKxB,eAAO,MAAM,cAAc,QAC4C,CAAC;AAIxE,MAAM,WAAW,aAAa;IAC5B,MAAM,CAAC,EAAE,OAAO,CAAC,UAAU,CAAC,CAAC;IAC7B,IAAI,CAAC,EAAE,MAAM,CAAC;IACd,IAAI,CAAC,EAAE,MAAM,CAAC;IACd,0EAA0E;IAC1E,IAAI,CAAC,EAAE,UAAU,GAAG,YAAY,CAAC;CAClC;AAED,MAAM,WAAW,aAAa;IAC5B,IAAI,EAAE,MAAM,CAAC;IACb,IAAI,EAAE,MAAM,CAAC;IACb;;;;;;;OAOG;IACH,GAAG,EAAE,MAAM,CAAC;IACZ,0EAA0E;IAC1E,SAAS,EAAE,MAAM,EAAE,CAAC;CACrB;AAoCD;;;;;;;;;;GAUG;AACH,qBAAa,MAAM;IA8BL,OAAO,CAAC,QAAQ,CAAC,OAAO;IA7BpC,QAAQ,CAAC,OAAO,EAAE,OAAO,CAAC;IAC1B,OAAO,CAAC,QAAQ,CAAC,QAAQ,CAAwB;IACjD,OAAO,CAAC,QAAQ,CAAC,OAAO,CAAiB;IACzC,OAAO,CAAC,QAAQ,CAAC,WAAW,CAAgB;IAC5C,OAAO,CAAC,QAAQ,CAAC,MAAM,CAAc;IACrC,OAAO,CAAC,QAAQ,CAAC,GAAG,CAAkB;IACtC,OAAO,CAAC,OAAO,CAA8B;IAC7C,OAAO,CAAC,QAAQ,CAAgC;IAChD,gFAAgF;IAChF,QAAQ,CAAC,OAAO,EAAE,OAAO,CAAC;IAC1B,uEAAuE;IACvE,OAAO,CAAC,IAAI,CAA4B;IACxC;;;;;;;OAOG;IACH,OAAO,CAAC,QAAQ,CAAC,eAAe,CAAuC;IACvE;;;OAGG;IACH,OAAO,CAAC,QAAQ,CAAC,YAAY,CAA0C;IACvE,sEAAsE;IACtE,YAAY,EAAE,OAAO,CAAC,IAAI,CAAC,CAAqB;gBAEnB,OAAO,GAAE,aAAkB;IAsClD,KAAK,IAAI,OAAO,CAAC;QAAE,OAAO,EAAE,aAAa,CAAC;QAAC,aAAa,EAAE,MAAM,GAAG,IAAI,CAAA;KAAE,CAAC;IAqDhF;;;;;;;OAOG;YACW,YAAY;IAmC1B;;;;;OAKG;YACW,WAAW;IAkBzB;;;;;OAKG;IACG,aAAa,CAAC,IAAI,EAAE,OAAO,GAAG,MAAM,GAAG,UAAU,GAAG,QAAQ,EAAE,KAAK,EAAE,MAAM;;;;;;;;;;;;;;;;;IAoC3E,cAAc,IAAI,OAAO,CAAC,IAAI,CAAC;IAKrC,cAAc;;;;IAOd;;;;;;;OAOG;IACH,OAAO,CAAC,WAAW;IAInB;;;OAGG;IACH,OAAO,CAAC,iBAAiB;IAKzB,0EAA0E;IAC1E,OAAO,CAAC,cAAc;IAQtB,OAAO,CAAC,QAAQ;IAmBhB,OAAO,CAAC,QAAQ;IAIV,IAAI,IAAI,OAAO,CAAC,IAAI,CAAC;IAoB3B,IAAI,GAAG,IAAI,MAAM,CAGhB;IAED,4EAA4E;IAC5E,OAAO,CAAC,WAAW;YAWL,SAAS;IAgGvB,OAAO,CAAC,QAAQ;IAiBhB,OAAO,CAAC,SAAS;CA+BlB"}
+{"version":3,"file":"Daemon.d.ts","sourceRoot":"","sources":["../src/Daemon.ts"],"names":[],"mappings":"AAMA,OAAO,KAAK,EAAE,UAAU,EAAE,OAAO,EAAE,MAAM,YAAY,CAAC;AAMtD,OAAO,EAML,OAAO,EAER,MAAM,gBAAgB,CAAC;AAKxB,eAAO,MAAM,cAAc,QAC4C,CAAC;AAOxE,MAAM,WAAW,aAAa;IAC5B,MAAM,CAAC,EAAE,OAAO,CAAC,UAAU,CAAC,CAAC;IAC7B,IAAI,CAAC,EAAE,MAAM,CAAC;IACd,IAAI,CAAC,EAAE,MAAM,CAAC;IACd,0EAA0E;IAC1E,IAAI,CAAC,EAAE,UAAU,GAAG,YAAY,CAAC;CAClC;AAED,MAAM,WAAW,aAAa;IAC5B,IAAI,EAAE,MAAM,CAAC;IACb,IAAI,EAAE,MAAM,CAAC;IACb;;;;;;;OAOG;IACH,GAAG,EAAE,MAAM,CAAC;IACZ,0EAA0E;IAC1E,SAAS,EAAE,MAAM,EAAE,CAAC;CACrB;AAoCD;;;;;;;;;;GAUG;AACH,qBAAa,MAAM;IA8BL,OAAO,CAAC,QAAQ,CAAC,OAAO;IA7BpC,QAAQ,CAAC,OAAO,EAAE,OAAO,CAAC;IAC1B,OAAO,CAAC,QAAQ,CAAC,QAAQ,CAAwB;IACjD,OAAO,CAAC,QAAQ,CAAC,OAAO,CAAiB;IACzC,OAAO,CAAC,QAAQ,CAAC,WAAW,CAAgB;IAC5C,OAAO,CAAC,QAAQ,CAAC,MAAM,CAAc;IACrC,OAAO,CAAC,QAAQ,CAAC,GAAG,CAAkB;IACtC,OAAO,CAAC,OAAO,CAA8B;IAC7C,OAAO,CAAC,QAAQ,CAAgC;IAChD,gFAAgF;IAChF,QAAQ,CAAC,OAAO,EAAE,OAAO,CAAC;IAC1B,uEAAuE;IACvE,OAAO,CAAC,IAAI,CAA4B;IACxC;;;;;;;OAOG;IACH,OAAO,CAAC,QAAQ,CAAC,eAAe,CAAuC;IACvE;;;OAGG;IACH,OAAO,CAAC,QAAQ,CAAC,YAAY,CAA0C;IACvE,sEAAsE;IACtE,YAAY,EAAE,OAAO,CAAC,IAAI,CAAC,CAAqB;gBAEnB,OAAO,GAAE,aAAkB;IAsClD,KAAK,IAAI,OAAO,CAAC;QAAE,OAAO,EAAE,aAAa,CAAC;QAAC,aAAa,EAAE,MAAM,GAAG,IAAI,CAAA;KAAE,CAAC;IAqDhF;;;;;;;OAOG;YACW,YAAY;IAmC1B;;;;;OAKG;YACW,WAAW;IAkBzB;;;;;OAKG;IACG,aAAa,CAAC,IAAI,EAAE,OAAO,GAAG,MAAM,GAAG,UAAU,GAAG,QAAQ,EAAE,KAAK,EAAE,MAAM;;;;;;;;;;;;;;;;;IAoC3E,cAAc,IAAI,OAAO,CAAC,IAAI,CAAC;IAKrC,cAAc;;;;IAOd;;;;;;;OAOG;IACH,OAAO,CAAC,WAAW;IAInB;;;OAGG;IACH,OAAO,CAAC,iBAAiB;IAKzB,0EAA0E;IAC1E,OAAO,CAAC,cAAc;IAQtB,OAAO,CAAC,QAAQ;IAmBhB,OAAO,CAAC,QAAQ;IAIV,IAAI,IAAI,OAAO,CAAC,IAAI,CAAC;IAoB3B,IAAI,GAAG,IAAI,MAAM,CAGhB;IAED,4EAA4E;IAC5E,OAAO,CAAC,WAAW;YAWL,SAAS;IAmIvB,OAAO,CAAC,QAAQ;IAiBhB,OAAO,CAAC,SAAS;CA+BlB"}

package/dist/auth.d.ts

@@ -38,7 +38,7 @@ export declare class PairingService {
         expiresInSeconds: number;
     };
     /** Обменять код на токен. Код одноразовый. */
-    complete(code: string, deviceName?: string): {
+    complete(code: string, deviceName?: string, platform?: DevicePlatform): {
         device: Device;
         token: string;
     } | null;

package/dist/auth.d.ts.map

@@ -1 +1 @@
-{"version":3,"file":"auth.d.ts","sourceRoot":"","sources":["../src/auth.ts"],"names":[],"mappings":"AAGA,OAAO,KAAK,EAAE,MAAM,EAAE,cAAc,EAAE,KAAK,EAAE,MAAM,gBAAgB,CAAC;AACpE,OAAO,KAAK,EAAE,OAAO,EAAE,MAAM,YAAY,CAAC;AAE1C;;;GAGG;AACH,wBAAgB,SAAS,CAAC,KAAK,EAAE,MAAM,GAAG,MAAM,CAE/C;AAED,wBAAgB,aAAa,IAAI,MAAM,CAEtC;AAED,MAAM,WAAW,cAAc;IAC7B,IAAI,EAAE,MAAM,CAAC;IACb,QAAQ,EAAE,cAAc,CAAC;IACzB,MAAM,EAAE,KAAK,EAAE,CAAC;IAChB,SAAS,EAAE,MAAM,CAAC;CACnB;AAED;;;;;;;;GAQG;AACH,qBAAa,cAAc;IAIvB,OAAO,CAAC,QAAQ,CAAC,OAAO;IACxB,OAAO,CAAC,QAAQ,CAAC,aAAa;IAJhC,OAAO,CAAC,QAAQ,CAAC,OAAO,CAAqC;gBAG1C,OAAO,EAAE,OAAO,EAChB,aAAa,EAAE,MAAM;IAGxC,qEAAqE;IACrE,mBAAmB,IAAI,MAAM,GAAG,IAAI;IA8BpC,KAAK,CAAC,KAAK,EAAE;QACX,IAAI,EAAE,MAAM,CAAC;QACb,QAAQ,EAAE,cAAc,CAAC;QACzB,MAAM,EAAE,KAAK,EAAE,CAAC;QAChB,UAAU,EAAE,MAAM,CAAC;KACpB,GAAG;QAAE,IAAI,EAAE,MAAM,CAAC;QAAC,gBAAgB,EAAE,MAAM,CAAA;KAAE;IAW9C,8CAA8C;IAC9C,QAAQ,CAAC,IAAI,EAAE,MAAM,EAAE,UAAU,CAAC,EAAE,MAAM,GAAG;QAAE,MAAM,EAAE,MAAM,CAAC;QAAC,KAAK,EAAE,MAAM,CAAA;KAAE,GAAG,IAAI;IAoBrF,OAAO,CAAC,KAAK;CAMd;AAcD,iDAAiD;AACjD,wBAAgB,YAAY,CAAC,OAAO,EAAE,OAAO,EAAE,KAAK,EAAE,MAAM,GAAG,IAAI,GAAG,MAAM,GAAG,IAAI,CAGlF"}
+{"version":3,"file":"auth.d.ts","sourceRoot":"","sources":["../src/auth.ts"],"names":[],"mappings":"AAGA,OAAO,KAAK,EAAE,MAAM,EAAE,cAAc,EAAE,KAAK,EAAE,MAAM,gBAAgB,CAAC;AACpE,OAAO,KAAK,EAAE,OAAO,EAAE,MAAM,YAAY,CAAC;AAE1C;;;GAGG;AACH,wBAAgB,SAAS,CAAC,KAAK,EAAE,MAAM,GAAG,MAAM,CAE/C;AAED,wBAAgB,aAAa,IAAI,MAAM,CAEtC;AAED,MAAM,WAAW,cAAc;IAC7B,IAAI,EAAE,MAAM,CAAC;IACb,QAAQ,EAAE,cAAc,CAAC;IACzB,MAAM,EAAE,KAAK,EAAE,CAAC;IAChB,SAAS,EAAE,MAAM,CAAC;CACnB;AAED;;;;;;;;GAQG;AACH,qBAAa,cAAc;IAIvB,OAAO,CAAC,QAAQ,CAAC,OAAO;IACxB,OAAO,CAAC,QAAQ,CAAC,aAAa;IAJhC,OAAO,CAAC,QAAQ,CAAC,OAAO,CAAqC;gBAG1C,OAAO,EAAE,OAAO,EAChB,aAAa,EAAE,MAAM;IAGxC,qEAAqE;IACrE,mBAAmB,IAAI,MAAM,GAAG,IAAI;IA8BpC,KAAK,CAAC,KAAK,EAAE;QACX,IAAI,EAAE,MAAM,CAAC;QACb,QAAQ,EAAE,cAAc,CAAC;QACzB,MAAM,EAAE,KAAK,EAAE,CAAC;QAChB,UAAU,EAAE,MAAM,CAAC;KACpB,GAAG;QAAE,IAAI,EAAE,MAAM,CAAC;QAAC,gBAAgB,EAAE,MAAM,CAAA;KAAE;IAW9C,8CAA8C;IAC9C,QAAQ,CACN,IAAI,EAAE,MAAM,EACZ,UAAU,CAAC,EAAE,MAAM,EACnB,QAAQ,CAAC,EAAE,cAAc,GACxB;QAAE,MAAM,EAAE,MAAM,CAAC;QAAC,KAAK,EAAE,MAAM,CAAA;KAAE,GAAG,IAAI;IAoB3C,OAAO,CAAC,KAAK;CAMd;AAcD,iDAAiD;AACjD,wBAAgB,YAAY,CAAC,OAAO,EAAE,OAAO,EAAE,KAAK,EAAE,MAAM,GAAG,IAAI,GAAG,MAAM,GAAG,IAAI,CAGlF"}

package/dist/cli.js

@@ -680,10 +680,33 @@ var SecretStore = class {
     const row = this.db.prepare(`SELECT * FROM secrets WHERE key = ?`).get(key);
     if (!row)
       return null;
+    return this.decrypt(row);
+  }
+  /**
+   * Расшифровать строку. Бросает, если значение не сходится с ключом.
+   *
+   * GCM проверяет подпись, поэтому чужой ключ шифрования — это не мусор на
+   * выходе, а честный отказ. Ловить его здесь нельзя: молча вернуть `null`
+   * значит превратить «ключ не читается» в «ключа нет», а лечатся они
+   * по-разному.
+   */
+  decrypt(row) {
     const decipher = crypto.createDecipheriv(ALGORITHM, this.masterKey(), row.iv);
     decipher.setAuthTag(row.tag);
     return Buffer.concat([decipher.update(row.ciphertext), decipher.final()]).toString("utf8");
   }
+  /** Читается ли значение здешним ключом шифрования. */
+  readable(key) {
+    const row = this.db.prepare(`SELECT * FROM secrets WHERE key = ?`).get(key);
+    if (!row)
+      return false;
+    try {
+      this.decrypt(row);
+      return true;
+    } catch {
+      return false;
+    }
+  }
   delete(key) {
     this.db.prepare(`DELETE FROM secrets WHERE key = ?`).run(key);
   }
@@ -704,7 +727,12 @@ var SecretStore = class {
         key,
         set: true,
         ...row.hint ? { hint: row.hint } : {},
-        updatedAt: row.updated_at
+        updatedAt: row.updated_at,
+        // Наличие строки в базе — ещё не рабочий секрет: база могла приехать
+        // с другой машины, а ключ шифрования остаться там. «Ключ на месте» в
+        // таком случае врало, и человек искал причину в чём угодно, кроме
+        // переноса.
+        ...this.readable(key) ? {} : { unreadable: true }
       };
     });
   }
@@ -1861,7 +1889,7 @@ import fs15 from "node:fs";
 // ../protocol/dist/primitives.js
 import { z } from "zod";
 var PROTOCOL_VERSION = 1;
-var PROTOCOL_REVISION = 10;
+var PROTOCOL_REVISION = 11;
 var zTimestamp = z.string().datetime();
 var zId = z.string().uuid();
 var zExternalId = z.string().min(1).max(256);
@@ -2907,7 +2935,15 @@ var zSecretStatus = z10.object({
   set: z10.boolean(),
   /** Последние символы значения. Присутствует, только если секрет задан. */
   hint: z10.string().max(8).optional(),
-  updatedAt: zTimestamp.optional()
+  updatedAt: zTimestamp.optional(),
+  /**
+   * Значение лежит, но расшифровать его нечем.
+   *
+   * Так бывает после переноса: база приехала, а ключ шифрования рядом с ней —
+   * нет (`axon backup` не кладёт его в архив без спроса). Снаружи это выглядело
+   * как «ключ на месте», хотя ни один запрос с ним не проходит.
+   */
+  unreadable: z10.boolean().optional()
 });
 var zSettingsGetReq = z10.object({
   /** Какие ключи вернуть. Пусто — все, к которым у устройства есть доступ. */
@@ -10161,7 +10197,7 @@ var PairingService = class {
     return { code: code3, expiresInSeconds: input.ttlSeconds };
   }
   /** Обменять код на токен. Код одноразовый. */
-  complete(code3, deviceName) {
+  complete(code3, deviceName, platform) {
     this.sweep();
     const pending = this.pending.get(code3);
     if (!pending) return null;
@@ -10169,7 +10205,7 @@ var PairingService = class {
     const token = generateToken();
     const device = this.runtime.store.pairDevice({
       name: deviceName || pending.name,
-      platform: pending.platform,
+      platform: platform ?? pending.platform,
       scopes: pending.scopes,
       tokenHash: hashToken(token)
     });
@@ -11690,7 +11726,8 @@ var WsSession = class {
 };
 
 // src/Daemon.ts
-var DAEMON_VERSION = true ? "2026.8.26" : "0.0.0-dev";
+var DAEMON_VERSION = true ? "2026.8.28" : "0.0.0-dev";
+var CORS_PATHS = /* @__PURE__ */ new Set(["/health", "/v1/pair"]);
 var MAX_UPLOAD_BYTES = 64 * 1024 * 1024;
 function isWildcard(host) {
   return host === "0.0.0.0" || host === "::" || host === "";
@@ -11979,6 +12016,17 @@ var Daemon = class {
   // ─── HTTP ─────────────────────────────────────────────────────────────────
   async onRequest(req, res) {
     const url = new URL(req.url ?? "/", "http://localhost");
+    if (url.pathname.startsWith("/v1/blobs") || CORS_PATHS.has(url.pathname)) {
+      res.setHeader("Access-Control-Allow-Origin", "*");
+      res.setHeader("Access-Control-Allow-Headers", "authorization, content-type");
+      res.setHeader("Access-Control-Allow-Methods", "GET, POST, OPTIONS");
+      res.setHeader("Access-Control-Max-Age", "86400");
+      if (req.method === "OPTIONS") {
+        res.writeHead(204);
+        res.end();
+        return;
+      }
+    }
     if (req.method === "GET" && url.pathname === "/health") {
       return respond(res, 200, {
         ok: true,
@@ -12016,7 +12064,12 @@ var Daemon = class {
       const body = await readJson(req);
       const code3 = typeof body?.["code"] === "string" ? body["code"] : "";
       const name = typeof body?.["name"] === "string" ? body["name"] : void 0;
-      const paired = this.pairing.complete(code3.trim().toUpperCase(), name);
+      const platform = zDevicePlatform.safeParse(body?.["platform"]);
+      const paired = this.pairing.complete(
+        code3.trim().toUpperCase(),
+        name,
+        platform.success ? platform.data : void 0
+      );
       if (!paired) return respond(res, 403, { error: "invalid_code" });
       return respond(res, 200, {
         token: paired.token,

package/dist/index.js

@@ -681,10 +681,33 @@ var SecretStore = class {
     const row = this.db.prepare(`SELECT * FROM secrets WHERE key = ?`).get(key);
     if (!row)
       return null;
+    return this.decrypt(row);
+  }
+  /**
+   * Расшифровать строку. Бросает, если значение не сходится с ключом.
+   *
+   * GCM проверяет подпись, поэтому чужой ключ шифрования — это не мусор на
+   * выходе, а честный отказ. Ловить его здесь нельзя: молча вернуть `null`
+   * значит превратить «ключ не читается» в «ключа нет», а лечатся они
+   * по-разному.
+   */
+  decrypt(row) {
     const decipher = crypto.createDecipheriv(ALGORITHM, this.masterKey(), row.iv);
     decipher.setAuthTag(row.tag);
     return Buffer.concat([decipher.update(row.ciphertext), decipher.final()]).toString("utf8");
   }
+  /** Читается ли значение здешним ключом шифрования. */
+  readable(key) {
+    const row = this.db.prepare(`SELECT * FROM secrets WHERE key = ?`).get(key);
+    if (!row)
+      return false;
+    try {
+      this.decrypt(row);
+      return true;
+    } catch {
+      return false;
+    }
+  }
   delete(key) {
     this.db.prepare(`DELETE FROM secrets WHERE key = ?`).run(key);
   }
@@ -705,7 +728,12 @@ var SecretStore = class {
         key,
         set: true,
         ...row.hint ? { hint: row.hint } : {},
-        updatedAt: row.updated_at
+        updatedAt: row.updated_at,
+        // Наличие строки в базе — ещё не рабочий секрет: база могла приехать
+        // с другой машины, а ключ шифрования остаться там. «Ключ на месте» в
+        // таком случае врало, и человек искал причину в чём угодно, кроме
+        // переноса.
+        ...this.readable(key) ? {} : { unreadable: true }
       };
     });
   }
@@ -1725,7 +1753,7 @@ import fs14 from "node:fs";
 // ../protocol/dist/primitives.js
 import { z } from "zod";
 var PROTOCOL_VERSION = 1;
-var PROTOCOL_REVISION = 10;
+var PROTOCOL_REVISION = 11;
 var zTimestamp = z.string().datetime();
 var zId = z.string().uuid();
 var zExternalId = z.string().min(1).max(256);
@@ -2699,7 +2727,15 @@ var zSecretStatus = z10.object({
   set: z10.boolean(),
   /** Последние символы значения. Присутствует, только если секрет задан. */
   hint: z10.string().max(8).optional(),
-  updatedAt: zTimestamp.optional()
+  updatedAt: zTimestamp.optional(),
+  /**
+   * Значение лежит, но расшифровать его нечем.
+   *
+   * Так бывает после переноса: база приехала, а ключ шифрования рядом с ней —
+   * нет (`axon backup` не кладёт его в архив без спроса). Снаружи это выглядело
+   * как «ключ на месте», хотя ни один запрос с ним не проходит.
+   */
+  unreadable: z10.boolean().optional()
 });
 var zSettingsGetReq = z10.object({
   /** Какие ключи вернуть. Пусто — все, к которым у устройства есть доступ. */
@@ -9824,7 +9860,7 @@ var PairingService = class {
     return { code, expiresInSeconds: input.ttlSeconds };
   }
   /** Обменять код на токен. Код одноразовый. */
-  complete(code, deviceName) {
+  complete(code, deviceName, platform) {
     this.sweep();
     const pending = this.pending.get(code);
     if (!pending) return null;
@@ -9832,7 +9868,7 @@ var PairingService = class {
     const token = generateToken();
     const device = this.runtime.store.pairDevice({
       name: deviceName || pending.name,
-      platform: pending.platform,
+      platform: platform ?? pending.platform,
       scopes: pending.scopes,
       tokenHash: hashToken(token)
     });
@@ -11353,7 +11389,8 @@ var WsSession = class {
 };
 
 // src/Daemon.ts
-var DAEMON_VERSION = true ? "2026.8.26" : "0.0.0-dev";
+var DAEMON_VERSION = true ? "2026.8.28" : "0.0.0-dev";
+var CORS_PATHS = /* @__PURE__ */ new Set(["/health", "/v1/pair"]);
 var MAX_UPLOAD_BYTES = 64 * 1024 * 1024;
 function isWildcard(host) {
   return host === "0.0.0.0" || host === "::" || host === "";
@@ -11642,6 +11679,17 @@ var Daemon = class {
   // ─── HTTP ─────────────────────────────────────────────────────────────────
   async onRequest(req, res) {
     const url = new URL(req.url ?? "/", "http://localhost");
+    if (url.pathname.startsWith("/v1/blobs") || CORS_PATHS.has(url.pathname)) {
+      res.setHeader("Access-Control-Allow-Origin", "*");
+      res.setHeader("Access-Control-Allow-Headers", "authorization, content-type");
+      res.setHeader("Access-Control-Allow-Methods", "GET, POST, OPTIONS");
+      res.setHeader("Access-Control-Max-Age", "86400");
+      if (req.method === "OPTIONS") {
+        res.writeHead(204);
+        res.end();
+        return;
+      }
+    }
     if (req.method === "GET" && url.pathname === "/health") {
       return respond(res, 200, {
         ok: true,
@@ -11679,7 +11727,12 @@ var Daemon = class {
       const body = await readJson(req);
       const code = typeof body?.["code"] === "string" ? body["code"] : "";
       const name = typeof body?.["name"] === "string" ? body["name"] : void 0;
-      const paired = this.pairing.complete(code.trim().toUpperCase(), name);
+      const platform = zDevicePlatform.safeParse(body?.["platform"]);
+      const paired = this.pairing.complete(
+        code.trim().toUpperCase(),
+        name,
+        platform.success ? platform.data : void 0
+      );
       if (!paired) return respond(res, 403, { error: "invalid_code" });
       return respond(res, 200, {
         token: paired.token,

package/dist/plugin-host.js

@@ -986,7 +986,15 @@ var zSecretStatus = z10.object({
   set: z10.boolean(),
   /** Последние символы значения. Присутствует, только если секрет задан. */
   hint: z10.string().max(8).optional(),
-  updatedAt: zTimestamp.optional()
+  updatedAt: zTimestamp.optional(),
+  /**
+   * Значение лежит, но расшифровать его нечем.
+   *
+   * Так бывает после переноса: база приехала, а ключ шифрования рядом с ней —
+   * нет (`axon backup` не кладёт его в архив без спроса). Снаружи это выглядело
+   * как «ключ на месте», хотя ни один запрос с ним не проходит.
+   */
+  unreadable: z10.boolean().optional()
 });
 var zSettingsGetReq = z10.object({
   /** Какие ключи вернуть. Пусто — все, к которым у устройства есть доступ. */

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@axon-assistant/core",
-  "version": "2026.8.26",
+  "version": "2026.8.28",
   "comment:version": "Заглушка. Настоящий номер проставляется из git-тега при публикации: см. scripts/release-npm.mjs. Версия, которую правят руками, рано или поздно расходится с тем, что опубликовано.",
   "description": "Ядро Axon: персональный AI-агент, который живёт на вашей машине",
   "keywords": [