@pachca/cli 2026.11.1 → 2026.11.2

package/CHANGELOG.md

@@ -1,5 +1,10 @@
 # Changelog
 
+## 2026.11.2  (10 ноября 2026)
+
+- **Добавлено** (bots listen-events): События бота в реальном времени без публичного адреса: JSONL в терминале или пересылка на локальный обработчик, как исходящий вебхук, с подписью, свежим `webhook_timestamp` и ответом на отправку формы. Запись удаляется из истории после ответа 2xx.
+- **Изменено**: Для запуска CLI требуется Node.js 20.3.0 или новее
+
 ## 2026.11.1  (9 ноября 2026)
 
 - **Изменено** (auth status): Показывает токен, с которым работают команды, в том числе из `--token` и `PACHCA_TOKEN`. Владельца, права и срок жизни такого токена команда спрашивает у сервера и называет сохранённый профиль, который не используется, пока задан `PACHCA_TOKEN`.

package/README.md

@@ -4,6 +4,8 @@
 
 ## Установка
 
+Требуется Node.js 20.3.0 или новее.
+
 ```
 npm install -g @pachca/cli
 
@@ -292,6 +294,24 @@ cat data.csv | pachca upload - --name data.csv
 
 Команда `upload` автоматически получает подпись (`POST /uploads`) и загружает файл на S3. Возвращает `key` — используйте его в `--files` при создании сообщений. Расширение `name` в файле сообщения должно совпадать с расширением имени в `key`.
 
+## События бота
+
+```bash
+PACHCA_TOKEN=$PACHCA_BOT_TOKEN pachca bots listen-events
+PACHCA_TOKEN=$PACHCA_BOT_TOKEN PACHCA_SIGNING_SECRET=$PACHCA_SIGNING_SECRET \
+  pachca bots listen-events --forward-to http://localhost:3000/webhook
+```
+
+Нужен токен бота с правом `webhooks:events:read` и включённая настройка «Сохранять историю событий». Команда подключается к потоку событий, дожидается подтверждения подписки, дочитывает историю от старых событий к новым и меняет ссылку до истечения срока.
+
+Без `--forward-to` каждая запись истории (`id`, `event_type`, `payload`, `created_at`) выводится строкой JSONL и остаётся в истории. При запуске печатается вся накопленная история, после переподключения только новые записи.
+
+С `--forward-to` команда отправляет `payload` запросом POST, как исходящий вебхук, и удаляет запись из истории после ответа 2xx. Для этого нужно право `webhooks:events:delete`. Если задан `PACHCA_SIGNING_SECRET`, тело подписано заголовком `Pachca-Signature`. В `webhook_timestamp` стоит время пересылки, а в `Idempotency-Key` приходит `id` записи. Ответ обработчика на отправку формы (2xx, либо 400 или 422 с `errors`) команда передаёт в Пачку, для этого нужно право `views:write`. Пачка принимает ответ на форму в течение 5 секунд с отправки. Отправку формы старше 10 секунд команда обработчику не пересылает и удаляет из истории: сотрудник к этому времени уже видел ошибку и мог отправить форму снова. Другой ответ, ошибка или таймаут останавливают команду, а запись остаётся в истории. Редиректы не выполняются. Запись, которую обработчик не может принять, удалите тем же токеном бота командой `PACHCA_TOKEN=$PACHCA_BOT_TOKEN pachca bots remove-event <id> --force`: `id` есть в сообщении об ошибке.
+
+`--forward-to` рассчитан на бота без адреса вебхука. Запускайте для бота одну такую команду: история у слушателей общая.
+
+`--timeout` задаёт таймаут запросов к API и к обработчику и ожидания подтверждения подписки в секундах (по умолчанию `defaults.timeout`, `PACHCA_TIMEOUT` или 30). `--no-retry` отключает переподключение, а отдельные запросы к API по-прежнему повторяются при 429 и 5xx. `--verbose` не печатает HTTP-диагностику этой команды, чтобы подписанная ссылка не попала в логи. Ctrl+C завершает команду.
+
 ## Пагинация
 
 ```

package/README.template.md

@@ -4,6 +4,8 @@
 
 ## Установка
 
+Требуется Node.js 20.3.0 или новее.
+
 ```
 npm install -g @pachca/cli
 
@@ -74,6 +76,24 @@ cat data.csv | pachca upload - --name data.csv
 
 Команда `upload` автоматически получает подпись (`POST /uploads`) и загружает файл на S3. Возвращает `key` — используйте его в `--files` при создании сообщений. Расширение `name` в файле сообщения должно совпадать с расширением имени в `key`.
 
+## События бота
+
+```bash
+PACHCA_TOKEN=$PACHCA_BOT_TOKEN pachca bots listen-events
+PACHCA_TOKEN=$PACHCA_BOT_TOKEN PACHCA_SIGNING_SECRET=$PACHCA_SIGNING_SECRET \
+  pachca bots listen-events --forward-to http://localhost:3000/webhook
+```
+
+Нужен токен бота с правом `webhooks:events:read` и включённая настройка «Сохранять историю событий». Команда подключается к потоку событий, дожидается подтверждения подписки, дочитывает историю от старых событий к новым и меняет ссылку до истечения срока.
+
+Без `--forward-to` каждая запись истории (`id`, `event_type`, `payload`, `created_at`) выводится строкой JSONL и остаётся в истории. При запуске печатается вся накопленная история, после переподключения только новые записи.
+
+С `--forward-to` команда отправляет `payload` запросом POST, как исходящий вебхук, и удаляет запись из истории после ответа 2xx. Для этого нужно право `webhooks:events:delete`. Если задан `PACHCA_SIGNING_SECRET`, тело подписано заголовком `Pachca-Signature`. В `webhook_timestamp` стоит время пересылки, а в `Idempotency-Key` приходит `id` записи. Ответ обработчика на отправку формы (2xx, либо 400 или 422 с `errors`) команда передаёт в Пачку, для этого нужно право `views:write`. Пачка принимает ответ на форму в течение 5 секунд с отправки. Отправку формы старше 10 секунд команда обработчику не пересылает и удаляет из истории: сотрудник к этому времени уже видел ошибку и мог отправить форму снова. Другой ответ, ошибка или таймаут останавливают команду, а запись остаётся в истории. Редиректы не выполняются. Запись, которую обработчик не может принять, удалите тем же токеном бота командой `PACHCA_TOKEN=$PACHCA_BOT_TOKEN pachca bots remove-event <id> --force`: `id` есть в сообщении об ошибке.
+
+`--forward-to` рассчитан на бота без адреса вебхука. Запускайте для бота одну такую команду: история у слушателей общая.
+
+`--timeout` задаёт таймаут запросов к API и к обработчику и ожидания подтверждения подписки в секундах (по умолчанию `defaults.timeout`, `PACHCA_TIMEOUT` или 30). `--no-retry` отключает переподключение, а отдельные запросы к API по-прежнему повторяются при 429 и 5xx. `--verbose` не печатает HTTP-диагностику этой команды, чтобы подписанная ссылка не попала в логи. Ctrl+C завершает команду.
+
 ## Пагинация
 
 ```

package/dist/base-command.js

@@ -246,29 +246,38 @@ export class BaseCommand extends Command {
     reportScopeError(err) {
         const format = this.getOutputFormat();
         const scope = typeof err.details.scope === 'string' ? err.details.scope : undefined;
-        // `auth status` checks the token every command uses. A bare run finds PACHCA_TOKEN
-        // and the active profile by itself; a token or profile named on this command has
-        // to be named again. The token value is never echoed back.
+        // `auth status` checks the token every command uses. A bare run reads the active
+        // profile; a token or profile named on this command, by a flag or by a variable that
+        // may have been set for this one command, has to be named again. The token value is
+        // never echoed back.
         const source = tokenSource({ token: this.parsedFlags.token, profile: this.parsedFlags.profile });
         const human = format !== 'json' && process.stderr.isTTY;
         const again = source.kind === 'flag'
             ? human ? ' --token <токен>' : ' --token <token>'
-            : source.kind === 'profile' && source.via === '--profile'
+            : source.kind === 'profile' && source.via !== 'active_profile'
                 ? ` --profile ${source.profileName}`
                 : '';
+        // A token from the environment may have been set for this one command
+        // (`PACHCA_TOKEN=… pachca …`): a bare `auth status` would then read another one.
+        const check = source.kind === 'env'
+            ? `PACHCA_TOKEN=${human ? '<токен>' : '<token>'} pachca auth status`
+            : 'pachca auth status';
         if (!human) {
             // A saved profile keeps the scope list from login, which may still name the
             // scope just refused: only the server's answer settles it.
             const remote = source.kind === 'profile' ? ' --remote' : '';
-            outputError({ ...err.details, hint: `pachca auth status${remote}${again}` }, format);
+            outputError({ ...err.details, hint: `${check}${remote}${again}` }, format);
             this.exit(3);
         }
         const resolved = this.tryResolveProfile();
         const profile = resolved?.profile;
         process.stderr.write(`✗ Не хватает права${scope ? ` ${scope}` : ''}.\n`);
+        // A command's own check before any request (no HTTP status) says why it needs the right.
+        if (err.details.code === null)
+            process.stderr.write(`  ${err.details.error}.\n`);
         if (!profile) {
             process.stderr.write(`  У токена ${scope ? 'этого' : 'нужного'} права нет.\n`);
-            process.stderr.write(`  Проверить токен и его права: pachca auth status${again}\n`);
+            process.stderr.write(`  Проверить токен и его права: ${check}${again}\n`);
             this.exit(3);
         }
         // The scope list in the profile is a copy taken at login. When it still names

package/dist/client.js

@@ -98,14 +98,20 @@ function parseRetryAfter(header) {
         return null;
     return Math.max(ms, 0);
 }
-export async function request(opts, clientFlags) {
-    const url = buildUrl(opts.path, opts.query);
+/**
+ * Seconds to wait: the value asked for (a flag or `defaults.timeout`), else PACHCA_TIMEOUT, else 30.
+ * A value that is not a positive number means 30: a timeout of 0 would abort on the next tick,
+ * which is never what anyone means by `--timeout 0`. Timers take at most 2^31 - 1 ms.
+ */
+export function resolveTimeoutSeconds(requested) {
     const rawEnvTimeout = process.env.PACHCA_TIMEOUT ? Number(process.env.PACHCA_TIMEOUT) : undefined;
     const envTimeout = rawEnvTimeout && !Number.isNaN(rawEnvTimeout) ? rawEnvTimeout : undefined;
-    const requestedTimeout = opts.timeout ?? clientFlags?.timeout ?? envTimeout ?? DEFAULT_TIMEOUT;
-    // A non-positive timeout aborts on the next tick, which is never what anyone
-    // means by `--timeout 0`. The env var already ignored 0; make the flag agree.
-    const timeoutSeconds = requestedTimeout > 0 ? requestedTimeout : DEFAULT_TIMEOUT;
+    const value = Number(requested ?? envTimeout ?? DEFAULT_TIMEOUT);
+    return Number.isFinite(value) && value > 0 ? Math.min(value, 2_147_483) : DEFAULT_TIMEOUT;
+}
+export async function request(opts, clientFlags) {
+    const url = buildUrl(opts.path, opts.query);
+    const timeoutSeconds = resolveTimeoutSeconds(opts.timeout ?? clientFlags?.timeout);
     const noRetry = opts.noRetry ?? clientFlags?.['no-retry'] ?? false;
     const method = opts.method.toUpperCase();
     // The same set is retried after a 5xx and after a network error. A repeated

package/dist/commands/bots/listen-events.js

@@ -0,0 +1,248 @@
+import { createHmac } from 'node:crypto';
+import { Flags } from '@oclif/core';
+import { BaseCommand } from '../../base-command.js';
+import { ApiError, resolveTimeoutSeconds } from '../../client.js';
+import { listenWebhookEvents } from '../../webhook-listener.js';
+/** A `view_submit` payload carries what the answer to the form needs. */
+function formSubmit(payload) {
+    const p = payload;
+    if (!p || p.type !== 'view' || p.event !== 'submit')
+        return undefined;
+    if (typeof p.view_id !== 'string' || typeof p.submit_id !== 'string')
+        return undefined;
+    return { view_id: p.view_id, submit_id: p.submit_id };
+}
+/** Pachca stamps every delivery attempt anew, so a record replayed from the history gets the time of forwarding. */
+function withFreshTimestamp(payload) {
+    const p = payload;
+    if (!p || typeof p !== 'object' || Array.isArray(p) || typeof p.webhook_timestamp !== 'number')
+        return payload;
+    return { ...p, webhook_timestamp: Math.floor(Date.now() / 1000) };
+}
+// Pachca takes the answer to a form for 5 seconds and then shows the employee a sending error.
+// A submission older than this is one the employee saw fail. The age is measured on Pachca's clock,
+// from the Date header of the last API response: 10 s leave room for its whole seconds and transit.
+const FORM_STALE_MS = 10_000;
+// With no Date header the local clock may differ from Pachca's, so the margin is wider.
+const FORM_STALE_LOCAL_MS = 60_000;
+export default class BotsListenEvents extends BaseCommand {
+    static summary = 'Слушать события бота в реальном времени';
+    static description = `Слушать события бота: JSONL в stdout или пересылка на локальный HTTP-обработчик.
+
+Нужен токен бота с webhooks:events:read и включённая история событий.
+Без --forward-to записи остаются в истории. С --forward-to запись удаляется из истории после ответа 2xx.
+Для этого нужно право webhooks:events:delete. Если задан PACHCA_SIGNING_SECRET, запрос подписан им, как вебхук.
+Ответ обработчика на отправку формы CLI передаёт в Пачку, для этого нужно право views:write.
+Ошибка обработчика останавливает команду. После перезапуска событие может прийти снова.`;
+    static scope = 'webhooks:events:read';
+    static examples = [
+        'PACHCA_TOKEN=$PACHCA_BOT_TOKEN <%= config.bin %> bots listen-events',
+        'PACHCA_TOKEN=$PACHCA_BOT_TOKEN PACHCA_SIGNING_SECRET=$PACHCA_SIGNING_SECRET <%= config.bin %> bots listen-events --forward-to http://localhost:3000/webhook',
+    ];
+    static flags = {
+        ...BaseCommand.baseFlags,
+        'forward-to': Flags.string({ description: 'HTTP(S)-адрес обработчика: событие уходит POST, запись удаляется из истории после 2xx' }),
+        'no-retry': Flags.boolean({
+            description: 'Не переподключаться к потоку после обрыва. Запросы к API по-прежнему повторяются при 429 и 5xx',
+            default: false,
+        }),
+    };
+    /** Without views:write the answer to a form cannot reach Pachca, and trying would fail the record. */
+    answerForms = true;
+    /** Pachca's clock minus the local one, from the Date header of the last API response, with the local stamps it was taken at. */
+    serverClock;
+    // The stream response contains a capability URL: suppress HTTP body diagnostics for this command.
+    // --no-retry here means «do not reconnect»: single API calls keep their retries on 429 and 5xx.
+    getClientFlags() {
+        return { ...super.getClientFlags(), verbose: false, quiet: true, 'no-retry': false };
+    }
+    async run() {
+        const { flags } = await this.parse(BotsListenEvents);
+        this.parsedFlags = flags;
+        let target;
+        if (flags['forward-to']) {
+            try {
+                target = new URL(flags['forward-to']);
+            }
+            catch { /* validation below */ }
+            if (!target || !['http:', 'https:'].includes(target.protocol) || target.username || target.password) {
+                this.validationError([{ message: 'Нужен HTTP(S)-адрес без логина и пароля', flag: 'forward-to' }]);
+            }
+        }
+        if ((flags.output && flags.output !== 'json') || flags.plain || flags.columns || flags.quiet) {
+            this.validationError([{ message: 'События выводятся в JSONL; форматирование и --quiet не поддерживаются' }]);
+        }
+        if (flags['dry-run']) {
+            await this.apiRequest({ method: 'GET', path: '/webhooks/events/stream' });
+            return;
+        }
+        if (target)
+            await this.checkForwardingScopes();
+        // The same rule as API calls: --timeout, defaults.timeout, PACHCA_TIMEOUT, 30 seconds.
+        const timeoutMs = Math.ceil(resolveTimeoutSeconds(this.getClientFlags().timeout) * 1_000);
+        const secret = process.env.PACHCA_SIGNING_SECRET || undefined;
+        if (target && !secret) {
+            process.stderr.write('PACHCA_SIGNING_SECRET не задан: события уходят без заголовка Pachca-Signature\n');
+        }
+        const controller = new AbortController();
+        let interrupted = false;
+        const stop = () => { interrupted = true; controller.abort(); };
+        process.once('SIGINT', stop);
+        process.once('SIGTERM', stop);
+        try {
+            await listenWebhookEvents({
+                signal: controller.signal,
+                retry: !flags['no-retry'],
+                timeoutMs,
+                acknowledge: !!target,
+                request: async (opts) => {
+                    const response = await this.apiRequest(opts);
+                    const date = Date.parse(response.headers?.get('date') ?? '');
+                    if (Number.isFinite(date)) {
+                        const wall = Date.now();
+                        this.serverClock = { offset: date - wall, wall, mono: performance.now() };
+                    }
+                    return response.data;
+                },
+                onReconnect: () => { process.stderr.write('Переподключение к потоку событий…\n'); },
+                onEvent: async (event) => {
+                    if (!target) {
+                        await new Promise((resolve, reject) => {
+                            process.stdout.write(JSON.stringify(event) + '\n', (error) => error ? reject(error) : resolve());
+                        });
+                        return;
+                    }
+                    await this.forward(event, target, secret, controller.signal, timeoutMs);
+                },
+            });
+        }
+        finally {
+            controller.abort();
+            process.removeListener('SIGINT', stop);
+            process.removeListener('SIGTERM', stop);
+        }
+        if (interrupted) {
+            // An API call in flight would keep the process alive until its timeout and retries end.
+            // A JSONL line may still wait in the pipe: let it out, but do not wait on a stuck reader.
+            await Promise.race([
+                new Promise((resolve) => { process.stdout.write('', () => resolve()); }),
+                new Promise((resolve) => { setTimeout(resolve, 1_000); }),
+            ]);
+            process.exit(0);
+        }
+    }
+    /** Without webhooks:events:delete every forwarded event would come again on the next run. */
+    async checkForwardingScopes() {
+        const body = (await this.apiRequest({ method: 'GET', path: '/oauth/token/info' })).data;
+        const scopes = body?.data?.scopes ?? [];
+        const has = (scope) => scopes.includes(scope) || scopes.includes('all');
+        if (!has('webhooks:events:delete')) {
+            throw new ApiError({
+                error: 'Для --forward-to токену нужно право webhooks:events:delete: без него события придут снова при каждом запуске',
+                code: null,
+                type: 'PACHCA_SCOPE_ERROR',
+                scope: 'webhooks:events:delete',
+            });
+        }
+        this.answerForms = has('views:write');
+        if (!this.answerForms) {
+            process.stderr.write('У токена нет права views:write: ответ обработчика на отправку формы не дойдёт до Пачки, и сотрудник увидит ошибку отправки\n');
+        }
+    }
+    async forward(event, target, secret, signal, timeoutMs) {
+        const name = `${event.id} (${event.event_type})`;
+        const form = formSubmit(event.payload);
+        const clock = this.serverClock;
+        // A local clock that jumped (time sync, a virtual machine catching up, a manual change) or a machine
+        // that slept since the stamp breaks the offset: the wider margin on the local clock applies then.
+        const offset = clock && Math.abs((Date.now() - clock.wall) - (performance.now() - clock.mono)) <= 1_000
+            ? clock.offset : undefined;
+        const age = Date.now() + (offset ?? 0) - Date.parse(event.created_at);
+        if (form && age > (offset === undefined ? FORM_STALE_LOCAL_MS : FORM_STALE_MS)) {
+            // The record is acknowledged: no answer reaches Pachca now, and the employee may have sent the form again.
+            process.stderr.write(`Отправка формы ${name} пропущена: срок ответа вышел, сотрудник уже видел ошибку отправки\n`);
+            return;
+        }
+        const payload = withFreshTimestamp(event.payload);
+        const body = JSON.stringify(payload);
+        // The record id stays the same for every attempt and every run, like the key of one webhook delivery.
+        const headers = { 'content-type': 'application/json', 'idempotency-key': event.id };
+        if (secret)
+            headers['pachca-signature'] = createHmac('sha256', secret).update(body).digest('hex');
+        let response;
+        try {
+            response = await fetch(target, {
+                method: 'POST', headers, body, redirect: 'manual',
+                signal: AbortSignal.any([signal, AbortSignal.timeout(timeoutMs)]),
+            });
+        }
+        catch {
+            if (signal.aborted)
+                return;
+            throw new Error(`Не удалось переслать событие ${name}, запись сохранена в истории`);
+        }
+        if (form && (response.status === 400 || response.status === 422)) {
+            const errors = await this.formErrors(response);
+            if (!errors)
+                throw new Error(`Обработчик ответил HTTP ${response.status} на форму ${name} без объекта errors, запись сохранена в истории`);
+            await this.answerForm(form, errors);
+            return;
+        }
+        await response.body?.cancel();
+        if (!response.ok)
+            throw new Error(`Обработчик ответил HTTP ${response.status} на событие ${name}, запись сохранена в истории`);
+        if (form)
+            await this.answerForm(form);
+    }
+    /** `errors` from a 400 or 422 reply: field name to the text shown under that field. */
+    async formErrors(response) {
+        try {
+            const body = await response.json();
+            const errors = body?.errors;
+            if (!errors || typeof errors !== 'object' || Array.isArray(errors))
+                return undefined;
+            const entries = Object.entries(errors);
+            if (!entries.length || !entries.every(([, value]) => typeof value === 'string'))
+                return undefined;
+            return Object.fromEntries(entries);
+        }
+        catch {
+            return undefined;
+        }
+    }
+    /**
+     * A bot without a webhook URL closes the form with a method: the reply a handler gives to a
+     * webhook goes on to Pachca the same way, closing the form or showing errors under its fields.
+     * The handler has already acted on the submission, and the 5 seconds for an answer do not come
+     * back, so a refused answer is reported and the record is still acknowledged.
+     */
+    async answerForm(form, errors) {
+        if (!this.answerForms)
+            return;
+        // 503: Pachca kept the submission open, so the same call a moment later can still close the form.
+        // Repeating is safe: an answer already taken, or one past the 5 seconds, gets 410.
+        for (let attempt = 0;; attempt++) {
+            try {
+                await this.apiRequest({
+                    method: 'POST',
+                    path: `/views/${encodeURIComponent(form.view_id)}/submit_response`,
+                    body: { submit_id: form.submit_id, ...(errors ? { errors } : {}) },
+                });
+                return;
+            }
+            catch (error) {
+                if (!(error instanceof ApiError))
+                    throw error;
+                if (error.details.code === 503 && attempt < 2) {
+                    await new Promise((resolve) => setTimeout(resolve, 500));
+                    continue;
+                }
+                const reason = error.details.code === 410
+                    ? 'время вышло или ответ уже отправлен'
+                    : `HTTP ${error.details.code ?? 'без ответа'}: ${error.details.error}`;
+                process.stderr.write(`Ответ на форму ${form.submit_id} не передан в Пачку: ${reason}\n`);
+                return;
+            }
+        }
+    }
+}

package/dist/commands/doctor.js

@@ -22,14 +22,14 @@ export default class Doctor extends BaseCommand {
         let networkOk = false;
         // 1. Node.js version
         const nodeVersion = process.version.replace('v', '');
-        const nodeMajor = Number.parseInt(nodeVersion.split('.')[0], 10);
-        if (nodeMajor >= 20) {
-            checks.push({ name: 'node', status: 'ok', version: nodeVersion, required: '>=20' });
-            this.printCheck('ok', `Node.js        v${nodeVersion} (требуется >=20)`, format);
+        // AbortSignal.any (bots listen-events --forward-to) arrived in Node 20.3.0.
+        if (semver.satisfies(nodeVersion, '>=20.3.0')) {
+            checks.push({ name: 'node', status: 'ok', version: nodeVersion, required: '>=20.3.0' });
+            this.printCheck('ok', `Node.js        v${nodeVersion} (требуется >=20.3.0)`, format);
         }
         else {
-            checks.push({ name: 'node', status: 'error', version: nodeVersion, required: '>=20' });
-            this.printCheck('error', `Node.js        v${nodeVersion} — требуется >=20`, format);
+            checks.push({ name: 'node', status: 'error', version: nodeVersion, required: '>=20.3.0' });
+            this.printCheck('error', `Node.js        v${nodeVersion} — требуется >=20.3.0`, format);
         }
         // 2. Network. Check the host the CLI actually talks to: on-premise installs
         // point elsewhere, and probing the cloud there reports a healthy network

package/dist/data/changelog.json

@@ -1,4 +1,19 @@
 [
+    {
+        "version": "2026.11.2",
+        "date": "10 ноября 2026",
+        "changes": [
+            {
+                "type": "+",
+                "command": "bots listen-events",
+                "description": "События бота в реальном времени без публичного адреса: JSONL в терминале или пересылка на локальный обработчик, как исходящий вебхук, с подписью, свежим `webhook_timestamp` и ответом на отправку формы. Запись удаляется из истории после ответа 2xx."
+            },
+            {
+                "type": "~",
+                "description": "Для запуска CLI требуется Node.js 20.3.0 или новее"
+            }
+        ]
+    },
     {
         "version": "2026.11.1",
         "date": "9 ноября 2026",