@pachca/cli 2026.8.0 → 2026.8.2

package/CHANGELOG.md

@@ -1,5 +1,34 @@
 # Changelog
 
+## 2026.8.2  (12 августа 2026)
+
+- **Добавлено** (chats list-company): Новая команда — все беседы и каналы пространства, включая закрытые, где вы не состоите. Флаг `--activity` со значением `active` или `archived` оставляет одно состояние, по умолчанию отдаются оба. Нужна роль владельца пространства, тариф «Корпорация» и право `company_chats:read`
+- **Добавлено** (bots list-company): Новая команда — все боты пространства, включая недоступные вам для редактирования. У таких ботов заполнены только имя и никнейм, остальные настройки приходят пустыми. Фильтр по имени — флаг `--query`. Нужна роль владельца пространства, тариф «Корпорация» и право `company_bots:read`
+- **Добавлено** (tasks list): Флаги `--status`, `--chat-ids`, `--performer-ids` и `--author-id` для фильтрации напоминаний. С `--chat-ids` выдача расширяется до всех напоминаний указанных чатов, а не только ваших
+- **Добавлено** (security list): Фильтр `--event-key` принимает `company_chats_accessed` и `company_bots_accessed`
+- **Исправлено**: Недостающий скоуп в ошибке `insufficient_scope` берётся из заголовка `WWW-Authenticate` — раньше его вытаскивали регуляркой из текста сообщения, и он терялся при любой смене формулировки. Разбор текста остался запасным путём
+
+## 2026.8.1  (7 августа 2026)
+
+- **Добавлено** (auth login): Вход через браузер — без ручной вставки токена. CLI показывает адрес и код, открывает браузер и ждёт подтверждения. Токен такого входа живёт час и продлевается сам перед каждой командой; при параллельных процессах обновляет только один, остальные ждут результат. Флаг `--no-browser` печатает адрес и код, не открывая браузер. `--token` и `PACHCA_TOKEN` работают как раньше — это путь для CI и агентов
+- **Добавлено** (auth login): Токен хранится в хранилище ключей ОС — Keychain на macOS, Secret Service на Linux, Диспетчер учётных данных на Windows; в файле конфигурации остаются только имя, почта и права. Где хранилища нет (headless-машина, контейнер), CLI сохраняет токен в файл и сообщает об этом при входе. Отказаться от хранилища: флаг `--insecure-storage` или переменная `PACHCA_SECRET_STORE=file`
+- **Добавлено** (auth status): Показывает способ входа, срок жизни токена, выданные права и где хранится токен — с этого стоит начинать разбор внезапного `403`
+- **Добавлено** (auth list): Колонки `auth` и `expires_at` — видно, какой профиль вошёл через браузер, а какой держит готовый токен
+- **Изменено** (auth logout): Токен входа через браузер гасится на сервере — доступ закрывается в момент выхода, а не по истечении срока. Если отозвать не удалось, CLI об этом говорит и не выдаёт удаление профиля за закрытый доступ. Готовый токен продолжает работать: отозвать его можно только в интерфейсе
+- **Изменено**: Отказ по правам разбирается отдельно от прочих `403`: CLI называет недостающее право и объясняет причину. В JSON-выводе — тип `PACHCA_SCOPE_ERROR` и поле `scope`
+- **Изменено**: В подсказке «токен не найден» появилась переменная окружения `PACHCA_TOKEN` — раньше предлагался только флаг `--token`, хотя переменная работает и без входа
+- **Добавлено** (auth status): Флаг `--remote` — спросить права у сервера вместо сохранённых при входе. Набор прав фиксируется в момент входа, и после смены роли локальный список устаревает; при расхождении CLI говорит об этом и обновляет сохранённый
+- **Добавлено** (auth login): `--token -` читает токен из потока ввода: `echo $TOKEN | pachca auth login --token -` не оставляет секрет в истории оболочки и в списке процессов. Передача значением работает как раньше
+- **Добавлено** (auth switch): Сразу после переключения сообщает, если секрет профиля не читается или срок токена истёк — раньше ошибка всплывала на следующей команде
+- **Изменено** (doctor): Проверяет хранилище ключей ОС отдельным пунктом и не выдаёт заблокированную связку за недействительный токен. Показывает способ входа и срок жизни токена. Права файла конфигурации проверяются только когда токен действительно лежит в файле
+- **Исправлено** (doctor): Проверяет тот адрес API, с которым работает CLI, а не всегда `api.pachca.com` — при изменённом адресе сервера команда рапортовала о доступности чужого хоста
+- **Исправлено** (doctor): Истёкший, но обновляемый токен больше не выдаётся за недействительный: команда говорит, что он обновится при следующем вызове, вместо совета войти заново
+- **Добавлено** (chats list): Флаг `--archived` — вернуть архивные чаты вместе с активными. Отличить их можно по полю `archived` в выдаче
+- **Добавлено** (security list): Фильтр `--event-key` принимает `bot_oauth_client_updated`, `oauth_authorization_granted` и `oauth_authorization_revoked`
+- **Добавлено** (security list): Фильтр `--event-key` принимает `bot_oauth_client_updated`, `oauth_authorization_granted` и `oauth_authorization_revoked`
+- **Исправлено**: Подсказка «токен не найден» вела на несуществующую страницу `/guides/authorization` — теперь на `/api/authorization`
+- **Добавлено**: `pachca --help` заканчивается ссылкой на документацию и на `pachca guide` — из терминала стало видно, куда идти за сценариями
+
 ## 2026.8.0  (1 августа 2026)
 
 - **Изменено** (api): `api POST /messages --spec` и `--docs`: у поля `files[].name` описано требование к расширению — оно должно совпадать с расширением файла в `key`
@@ -8,20 +37,20 @@
 
 ## 2026.7.2  (27 июля 2026)
 
-- **Удалено** (files direct-url): Файл теперь добавляется в форму последним — S3 игнорирует поля после файла, из-за чего загрузка отклонялась с 400
-- **Удалено**: Явный `--profile` больше не перебивается переменной `PACHCA_TOKEN` — команда с указанным профилем не уйдёт в чужое пространство
-- **Удалено**: Запись (`POST`/`DELETE`/`PATCH`) больше не повторяется автоматически при 503 — повтор мог создать дубль сообщения
-- **Удалено**: `Retry-After` в формате даты больше не игнорируется, значение ограничено разумным пределом
-- **Удалено** (chats download-export): Имя файла из `Content-Disposition` больше не может увести запись за пределы указанной папки
-- **Удалено**: Вывод `-o csv`: ячейки, начинающиеся с `=`, `+`, `-` или `@`, экранируются; объекты и массивы выводятся как JSON, а не `[object Object]`
-- **Удалено**: `--timeout` меньше 1 отклоняется, а не приводит к мгновенной отмене запроса
-- **Удалено**: Примеры в `--help` подписаны шагом сценария, а не общим заголовком (`reactions remove` больше не подписан «Добавить реакцию»)
-- **Удалено** (files direct-url): Команда больше не падает с TypeError при успешной загрузке: S3 отвечает 204 с пустым телом, а команда пыталась прочитать из него поле
+- **Исправлено** (files direct-url): Файл теперь добавляется в форму последним — S3 игнорирует поля после файла, из-за чего загрузка отклонялась с 400
+- **Исправлено**: Явный `--profile` больше не перебивается переменной `PACHCA_TOKEN` — команда с указанным профилем не уйдёт в чужое пространство
+- **Исправлено**: Запись (`POST`/`DELETE`/`PATCH`) больше не повторяется автоматически при 503 — повтор мог создать дубль сообщения
+- **Исправлено**: `Retry-After` в формате даты больше не игнорируется, значение ограничено разумным пределом
+- **Исправлено** (chats download-export): Имя файла из `Content-Disposition` больше не может увести запись за пределы указанной папки
+- **Исправлено**: Вывод `-o csv`: ячейки, начинающиеся с `=`, `+`, `-` или `@`, экранируются; объекты и массивы выводятся как JSON, а не `[object Object]`
+- **Исправлено**: `--timeout` меньше 1 отклоняется, а не приводит к мгновенной отмене запроса
+- **Исправлено**: Примеры в `--help` подписаны шагом сценария, а не общим заголовком (`reactions remove` больше не подписан «Добавить реакцию»)
+- **Исправлено** (files direct-url): Команда больше не падает с TypeError при успешной загрузке: S3 отвечает 204 с пустым телом, а команда пыталась прочитать из него поле
 
 ## 2026.7.1  (24 июля 2026)
 
 - **Добавлено** (threads create): Новая команда — создание самостоятельного треда без привязки к сообщению
-- **Удалено**: Примеры в `--help` больше не смешиваются между командами с общим путём (например, create и list одного ресурса показывали примеры друг друга)
+- **Исправлено**: Примеры в `--help` больше не смешиваются между командами с общим путём (например, create и list одного ресурса показывали примеры друг друга)
 
 ## 2026.7.0  (7 июля 2026)
 
@@ -107,13 +136,13 @@
 
 - **Изменено** (all): Убрана клиентская валидация скоупов — проверка разрешений теперь только на стороне API (403)
 - **Изменено** (auth login): Профиль больше не сохраняет список скоупов — только тип, имя и email
-- **Удалено** (auth refresh): Команда удалена — кеширование скоупов больше не используется
+- **Исправлено** (auth refresh): Команда удалена — кеширование скоупов больше не используется
 
 ## 2026.3.8  (17 марта 2026)
 
 - **Добавлено** (upgrade): Команда pachca upgrade — обновление CLI до последней версии
-- **Удалено** (init hook): Ошибки авторизации теперь выводятся в JSON при -o json (раньше формат игнорировался)
-- **Удалено** (update banner): Баннер обновления теперь показывается даже при ошибках команд
+- **Исправлено** (init hook): Ошибки авторизации теперь выводятся в JSON при -o json (раньше формат игнорировался)
+- **Исправлено** (update banner): Баннер обновления теперь показывается даже при ошибках команд
 
 ## 2026.3.7  (16 марта 2026)
 

package/README.md

@@ -86,6 +86,7 @@ pachca guide            # список всех сценариев
 | `pachca bots update` | Редактирование бота |
 | `pachca bots delete` | Удаление бота |
 | `pachca bots recreate-token` | Ротация токена бота |
+| `pachca bots list-company` | Список ботов пространства |
 | `pachca bots list-events` | История событий |
 | `pachca bots remove-event` | Удаление события |
 
@@ -101,6 +102,7 @@ pachca guide            # список всех сценариев
 | `pachca chats update` | Редактирование чата |
 | `pachca chats archive` | Архивация чата |
 | `pachca chats unarchive` | Разархивация чата |
+| `pachca chats list-company` | Список чатов пространства |
 
 ### members
 

package/dist/base-command.js

@@ -1,5 +1,5 @@
 import { Command, Flags } from '@oclif/core';
-import { resolveToken, TokenNotFoundError, ProfileNotFoundError, getDefaults, } from './profiles.js';
+import { resolveToken, TokenNotFoundError, ProfileNotFoundError, getAuthMethod, getDefaults, } from './profiles.js';
 import { ApiError, getExitCode, formatDryRun, request } from './client.js';
 import { outputData, outputError, outputSuccess } from './output.js';
 import { defaultOutputFormat, isInteractive } from './utils.js';
@@ -219,10 +219,66 @@ export class BaseCommand extends Command {
         }
         outputSuccess(message, this.parsedFlags.quiet);
     }
+    /**
+     * Explain a scope refusal instead of printing a bare 403.
+     *
+     * An agent cannot walk through a consent screen — the most useful thing it can
+     * do is hand control back to a human with the reason spelled out. The reason
+     * differs by how the profile was authorised: an OAuth login already asks for
+     * every scope, so a refusal there can only come from the role.
+     */
+    reportScopeError(err) {
+        const format = this.getOutputFormat();
+        const scope = typeof err.details.scope === 'string' ? err.details.scope : undefined;
+        if (format === 'json' || !process.stderr.isTTY) {
+            outputError(err.details, format);
+            this.exit(3);
+        }
+        let profile;
+        try {
+            ({ profile } = resolveToken({
+                token: this.parsedFlags.token,
+                profile: this.parsedFlags.profile,
+            }));
+        }
+        catch {
+            // no profile resolved — the token came in from a flag or the environment
+        }
+        // Two different causes, and the fix differs. Either the scope is not in the
+        // token, or it is there but the role no longer allows it — the API checks
+        // both on every call. Which one it is shows in the token's own scope list.
+        //
+        // Naming the cause needs the scope itself, and that comes from parsing the
+        // server's message. When it cannot be identified, fall back to the generic
+        // wording: guessing a branch here would send people to fix the wrong thing.
+        const granted = scope ? profile?.scopes : undefined;
+        const hasScope = !!scope && !!granted && granted.includes(scope);
+        process.stderr.write(`✗ Не хватает права${scope ? ` ${scope}` : ''}.\n`);
+        if (granted && hasScope) {
+            process.stderr.write(`  Право у токена есть, но его не даёт текущая роль.\n`);
+            process.stderr.write(`  Обратитесь к администратору пространства.\n`);
+        }
+        else if (granted) {
+            process.stderr.write(`  У токена этого права нет.\n`);
+            process.stderr.write(getAuthMethod(profile) === 'oauth'
+                ? `  Права выдаются по роли в момент входа — если роль с тех пор изменилась, войдите заново: pachca auth login\n`
+                : `  Выпустите токен с этим правом в интерфейсе Пачки.\n`);
+        }
+        else {
+            process.stderr.write(`  Либо этого права нет у токена, либо его не даёт ваша роль.\n`);
+            process.stderr.write(profile
+                ? `  Проверить права токена: pachca auth status\n`
+                : `  Проверить права токена: pachca api GET /oauth/token/info\n`);
+        }
+        this.exit(3);
+    }
     /**
      * Handle errors with structured output.
      */
     async catch(err) {
+        if (err instanceof ApiError && err.details.type === 'PACHCA_SCOPE_ERROR') {
+            this.reportScopeError(err);
+        }
         if (err instanceof ApiError) {
             outputError(err.details, this.getOutputFormat());
             this.exit(getExitCode(err));
@@ -230,15 +286,16 @@ export class BaseCommand extends Command {
         if (err instanceof TokenNotFoundError) {
             const format = this.getOutputFormat();
             if (format === 'json' || !process.stderr.isTTY) {
-                outputError({ error: 'Token not found', type: 'PACHCA_AUTH_ERROR', code: null, hint: 'pachca auth login --token <your-token>' }, format);
+                outputError({ error: 'Token not found', type: 'PACHCA_AUTH_ERROR', code: null, hint: 'pachca auth login, or set PACHCA_TOKEN' }, format);
             }
             else {
                 process.stderr.write(`✗ Токен не найден. Войдите в аккаунт:\n\n`);
-                process.stderr.write(`  Интерактивно (человек):\n`);
+                process.stderr.write(`  Вход через браузер:\n`);
                 process.stderr.write(`    pachca auth login\n\n`);
-                process.stderr.write(`  Неинтерактивно (агент, CI):\n`);
-                process.stderr.write(`    pachca auth login --token <ваш токен>\n\n`);
-                process.stderr.write(`  Получить токен: https://dev.pachca.com/guides/authorization\n`);
+                process.stderr.write(`  Готовым токеном (агент, CI):\n`);
+                process.stderr.write(`    pachca auth login --token <ваш токен>\n`);
+                process.stderr.write(`    либо переменная окружения PACHCA_TOKEN — без входа вообще\n\n`);
+                process.stderr.write(`  Получить токен: https://dev.pachca.com/api/authorization\n`);
             }
             this.exit(3);
         }

package/dist/client.js

@@ -6,7 +6,7 @@ import { spinner } from '@clack/prompts';
 import ansis from 'ansis';
 import { isInteractive } from './utils.js';
 const DEFAULT_BASE_URL = 'https://api.pachca.com/api/shared/v1';
-function getBaseUrl() {
+export function getBaseUrl() {
     const envUrl = process.env.PACHCA_API_URL;
     if (!envUrl)
         return DEFAULT_BASE_URL;
@@ -120,7 +120,7 @@ export async function request(opts, clientFlags) {
     }
     const showSpinner = isInteractive() && !clientFlags?.quiet && !clientFlags?.['dry-run'];
     const s = showSpinner ? spinner() : null;
-    s?.start('Загрузка...');
+    s?.start('Загрузка…');
     if (clientFlags?.verbose) {
         process.stderr.write(`${ansis.dim(`→ ${opts.method} ${url}`)}\n`);
     }
@@ -195,7 +195,8 @@ export async function request(opts, clientFlags) {
             if (!response.ok) {
                 s?.stop('');
                 const requestId = response.headers.get('x-request-id') || undefined;
-                throw createApiError(response.status, data, requestId);
+                const authenticate = response.headers.get('www-authenticate') || undefined;
+                throw createApiError(response.status, data, requestId, authenticate);
             }
             s?.stop('');
             return { data, status: response.status, headers: response.headers };
@@ -228,7 +229,31 @@ export async function request(opts, clientFlags) {
         message: lastError?.message || 'Failed to connect to server',
     });
 }
-function createApiError(status, body, requestId) {
+// Недостающий скоуп по RFC 6750 приходит в параметре scope заголовка
+// WWW-Authenticate: Bearer error="insufficient_scope", …, scope="profile:read"
+function scopeFromChallenge(header) {
+    if (!header)
+        return undefined;
+    return /(?:^|[\s,])scope="([^"]*)"/.exec(header)?.[1] || undefined;
+}
+function createApiError(status, body, requestId, authenticate) {
+    // Scope refusal is a distinct case from "token is bad": the token works, it
+    // just may not do this. Pull the missing scope out so the command can name it.
+    if (isRecord(body) && body.error === 'insufficient_scope') {
+        const description = typeof body.error_description === 'string' ? body.error_description : '';
+        // Заголовок — источник по умолчанию: там скоуп лежит отдельным параметром.
+        // Разбор error_description оставлен запасным путём для версий API без заголовка.
+        const scope = scopeFromChallenge(authenticate) || /Required:\s*([\w:]+)/.exec(description)?.[1];
+        return new ApiError({
+            error: description || 'Insufficient scope',
+            code: status,
+            type: 'PACHCA_SCOPE_ERROR',
+            message: 'insufficient_scope',
+            ...(scope ? { scope } : {}),
+            request_id: requestId,
+            hint: 'pachca auth status',
+        });
+    }
     // OAuthError format: {error: string, error_description: string}
     if (isRecord(body) && typeof body.error === 'string' && typeof body.error_description === 'string') {
         const type = 'PACHCA_AUTH_ERROR';
@@ -284,8 +309,11 @@ function createApiError(status, body, requestId) {
     });
 }
 export function getExitCode(error) {
-    if (error.details.type === 'PACHCA_AUTH_ERROR' || error.details.type === 'PACHCA_AUTH_LOGIN_ERROR')
+    if (error.details.type === 'PACHCA_AUTH_ERROR' ||
+        error.details.type === 'PACHCA_AUTH_LOGIN_ERROR' ||
+        error.details.type === 'PACHCA_SCOPE_ERROR') {
         return 3;
+    }
     if (error.details.code === 404)
         return 4;
     if (error.details.type === 'PACHCA_VALIDATION_ERROR' || error.details.type === 'PACHCA_USAGE_ERROR')

package/dist/commands/auth/list.js

@@ -1,5 +1,5 @@
 import { BaseCommand } from '../../base-command.js';
-import { listProfiles, getActiveProfile } from '../../profiles.js';
+import { listProfiles, getActiveProfile, getAuthMethod } from '../../profiles.js';
 export default class AuthList extends BaseCommand {
     static description = 'Список сохранённых профилей';
     static examples = [
@@ -20,6 +20,8 @@ export default class AuthList extends BaseCommand {
             type: profile.type,
             user: profile.user,
             email: profile.email || null,
+            auth: getAuthMethod(profile),
+            expires_at: profile.expires_at || null,
             active: name === activeProfile,
         }));
         if (entries.length === 0) {

package/dist/commands/auth/login.js

@@ -1,11 +1,12 @@
 import { Flags } from '@oclif/core';
-import * as clack from '@clack/prompts';
 import { BaseCommand } from '../../base-command.js';
-import { setProfile, setActiveProfile, getActiveProfile } from '../../profiles.js';
+import { setProfile, setActiveProfile, getActiveProfile, getProfile, getSecretStorage, expiresAtFromNow, } from '../../profiles.js';
+import { isSecretStoreAvailable } from '../../secret-store.js';
 import { ApiError, request } from '../../client.js';
 import { outputError } from '../../output.js';
+import { OAuthError, copyToClipboard, openBrowser, pollForToken, requestDeviceCode, } from '../../oauth.js';
 export default class AuthLogin extends BaseCommand {
-    static description = 'Авторизация и сохранение токена';
+    static description = 'Вход в аккаунт и сохранение профиля';
     static examples = [
         '<%= config.bin %> auth login',
         '<%= config.bin %> auth login --profile personal',
@@ -19,62 +20,171 @@ export default class AuthLogin extends BaseCommand {
             default: 'default',
         }),
         token: Flags.string({
-            description: 'Токен для сохранения (без интерактивного ввода)',
+            description: 'Войти готовым токеном вместо входа через браузер. Значение `-` читает токен из потока ввода, не оставляя его в истории оболочки',
+        }),
+        'no-browser': Flags.boolean({
+            description: 'Не открывать браузер — только напечатать адрес и код',
+            default: false,
+        }),
+        'insecure-storage': Flags.boolean({
+            description: 'Хранить токен в файле конфигурации, а не в хранилище ключей ОС',
+            default: false,
         }),
     };
     async run() {
         const { flags } = await this.parse(AuthLogin);
         this.parsedFlags = flags;
         const profileName = flags.profile ?? 'default';
-        let token = flags.token;
-        // Interactive token prompt
-        if (!token) {
-            if (!this.isInteractive()) {
-                outputError({ error: 'Token required in non-interactive mode. Use --token flag.', type: 'PACHCA_USAGE_ERROR', code: null }, this.getOutputFormat());
-                this.exit(2);
-            }
-            const result = await clack.password({
-                message: 'Вставьте API токен:',
-            });
-            if (clack.isCancel(result)) {
-                process.stderr.write('Отменено.\n');
-                this.exit(0);
-            }
-            token = result;
+        // `--token -` reads the value from stdin. A secret passed as an argument
+        // lands in the shell history and is visible in the process list to everyone
+        // on the machine — and this is the CI path, where the token is long-lived.
+        // Reading a terminal instead of a pipe would just hang with no output until
+        // the person guesses to press Ctrl-D. Say what was expected instead.
+        if (flags.token === '-' && process.stdin.isTTY) {
+            outputError({
+                error: 'Option --token - reads the token from stdin. Pipe it in: echo "$TOKEN" | pachca auth login --token -',
+                type: 'PACHCA_USAGE_ERROR',
+                code: null,
+            }, this.getOutputFormat());
+            this.exit(2);
+        }
+        const token = flags.token === '-' ? await readTokenFromStdin() : flags.token;
+        if (flags.token === '-' && !token) {
+            outputError({ error: 'No token on stdin', type: 'PACHCA_USAGE_ERROR', code: null }, this.getOutputFormat());
+            this.exit(2);
         }
-        if (!token) {
-            outputError({ error: 'Token is required', type: 'PACHCA_USAGE_ERROR', code: null }, this.getOutputFormat());
+        flags.token = token;
+        // Confirmation happens in a browser, so without a person at the terminal
+        // there is nobody to confirm. CI and scripts pass a ready token instead.
+        if (!flags.token && !this.isInteractive()) {
+            outputError({
+                error: 'Token required in non-interactive mode. Use --token flag or PACHCA_TOKEN.',
+                type: 'PACHCA_USAGE_ERROR',
+                code: null,
+            }, this.getOutputFormat());
             this.exit(2);
         }
-        // Validate token via GET /oauth/token/info
-        let tokenInfo;
+        const grant = flags.token
+            ? { access_token: flags.token }
+            : await this.deviceLogin(!flags['no-browser'], flags.quiet);
+        const tokenInfo = await this.verifyToken(grant.access_token);
+        const identity = await this.fetchIdentity(grant.access_token, tokenInfo.user_id);
+        const scopes = grant.scope ? grant.scope.split(' ').filter(Boolean) : tokenInfo.scopes;
+        const profile = {
+            type: identity.isBot ? 'bot' : 'user',
+            token: grant.access_token,
+            user: identity.isBot ? `${identity.name} (бот)` : identity.name,
+            email: identity.email,
+            ...(flags.token
+                ? { auth: 'token' }
+                : {
+                    auth: 'oauth',
+                    refresh_token: grant.refresh_token,
+                    expires_at: grant.expires_in ? expiresAtFromNow(grant.expires_in) : undefined,
+                }),
+            ...(scopes?.length ? { scopes } : {}),
+            // Probed rather than assumed: on Linux the module loads even with no
+            // Secret Service running, and a profile marked `keyring` that cannot be
+            // read back would lock the user out of the session they just created.
+            storage: !flags['insecure-storage'] && isSecretStoreAvailable()
+                ? 'keyring'
+                : 'file',
+        };
+        setProfile(profileName, profile);
+        if (!getActiveProfile())
+            setActiveProfile(profileName);
+        // setProfile downgrades to the file if the write failed, so report what was
+        // actually stored, not what was asked for.
+        const saved = getProfile(profileName) ?? profile;
+        this.report(profileName, saved, scopes);
+    }
+    /**
+     * Device authorization grant: the user confirms in a browser, we poll.
+     *
+     * The address and the code are printed separately and the ready-made link with
+     * the code baked in is never shown — a link like that works as phishing when it
+     * is forwarded to someone else's device.
+     */
+    async deviceLogin(useBrowser, quiet) {
+        let grant;
+        try {
+            grant = await requestDeviceCode();
+        }
+        catch (error) {
+            this.failOAuth(error, 'Не удалось начать вход');
+        }
+        if (!quiet) {
+            const copied = copyToClipboard(grant.user_code);
+            process.stderr.write(`\n  Откройте ${grant.verification_uri}\n`);
+            process.stderr.write(`  и введите код: ${grant.user_code}\n`);
+            if (copied)
+                process.stderr.write(`  (код скопирован в буфер обмена)\n`);
+            process.stderr.write(`\n  Ожидаю подтверждения…\n`);
+        }
+        if (useBrowser)
+            openBrowser(grant.verification_uri);
         try {
-            const response = await request({ method: 'GET', path: '/oauth/token/info', token }, { quiet: flags.quiet });
-            const wrapper = response.data;
-            tokenInfo = wrapper.data;
+            return await pollForToken(grant);
+        }
+        catch (error) {
+            this.failOAuth(error, 'Вход не завершён');
+        }
+    }
+    failOAuth(error, summary) {
+        if (!(error instanceof OAuthError))
+            throw error;
+        const explanations = {
+            access_denied: 'Вход отклонён в браузере',
+            expired_token: 'Код истёк — запустите вход заново',
+            network_error: 'Не удалось подключиться к серверу',
+        };
+        const message = explanations[error.code] ?? error.description ?? error.code;
+        outputError({
+            error: summary,
+            code: error.status ?? null,
+            type: 'PACHCA_AUTH_LOGIN_ERROR',
+            message,
+            oauth_error: error.code,
+        }, this.getOutputFormat());
+        this.exit(3);
+    }
+    async verifyToken(token) {
+        try {
+            const response = await request({ method: 'GET', path: '/oauth/token/info', token }, { quiet: this.parsedFlags.quiet });
+            return response.data.data;
         }
         catch (error) {
             if (error instanceof ApiError) {
                 if (error.details.code === 401) {
                     const format = this.getOutputFormat();
                     if (format === 'json' || !process.stderr.isTTY) {
-                        outputError({ error: 'Invalid token', code: 401, type: 'PACHCA_AUTH_LOGIN_ERROR', message: 'Токен недействителен — сохранение отменено' }, format);
+                        outputError({
+                            error: 'Invalid token',
+                            code: 401,
+                            type: 'PACHCA_AUTH_LOGIN_ERROR',
+                            message: 'Токен недействителен — сохранение отменено',
+                        }, format);
                     }
                     else {
-                        process.stderr.write(`✗ Токен недействителен — сохранение отменено\n\n`);
+                        process.stderr.write(`✗ Токен недействителен — сохранение отменено.\n\n`);
                         process.stderr.write(`  Проверьте токен и попробуйте снова:\n`);
                         process.stderr.write(`    pachca auth login --token <ваш токен>\n\n`);
-                        process.stderr.write(`  Документация: https://dev.pachca.com/guides/authorization\n`);
+                        process.stderr.write(`  Документация: https://dev.pachca.com/api/authorization\n`);
                     }
                     this.exit(3);
                 }
                 if (error.details.type === 'PACHCA_NETWORK_ERROR') {
                     const format = this.getOutputFormat();
                     if (format === 'json' || !process.stderr.isTTY) {
-                        outputError({ error: 'Network error', code: null, type: 'PACHCA_NETWORK_ERROR', message: 'Не удалось подключиться к серверу — сохранение отменено' }, format);
+                        outputError({
+                            error: 'Network error',
+                            code: null,
+                            type: 'PACHCA_NETWORK_ERROR',
+                            message: 'Не удалось подключиться к серверу — сохранение отменено',
+                        }, format);
                     }
                     else {
-                        process.stderr.write(`✗ Не удалось подключиться к серверу — сохранение отменено\n\n`);
+                        process.stderr.write(`✗ Не удалось подключиться к серверу — сохранение отменено.\n\n`);
                         process.stderr.write(`  Проверьте подключение к интернету и попробуйте снова:\n`);
                         process.stderr.write(`    pachca auth login\n`);
                     }
@@ -83,49 +193,60 @@ export default class AuthLogin extends BaseCommand {
             }
             throw error;
         }
-        // Get user info
-        let userName = `User #${tokenInfo.user_id}`;
-        let userEmail = null;
-        let isBot = false;
+    }
+    async fetchIdentity(token, userId) {
         try {
-            const profileResponse = await request({ method: 'GET', path: '/profile', token }, { quiet: true });
-            const profileData = profileResponse.data.data;
-            const firstName = profileData.first_name || '';
-            const lastName = profileData.last_name || '';
-            userName = `${firstName} ${lastName}`.trim() || userName;
-            userEmail = profileData.email || null;
-            isBot = profileData.bot || false;
+            const response = await request({ method: 'GET', path: '/profile', token }, { quiet: true });
+            const data = response.data.data;
+            const name = `${data.first_name || ''} ${data.last_name || ''}`.trim();
+            return {
+                name: name || `User #${userId}`,
+                email: data.email || null,
+                isBot: data.bot || false,
+            };
         }
         catch {
-            // profile:read scope not available — use user_id from token info
-        }
-        const profileType = isBot ? 'bot' : 'user';
-        // Save profile
-        const profile = {
-            type: profileType,
-            token,
-            user: isBot ? `${userName} (бот)` : userName,
-            email: userEmail,
-        };
-        setProfile(profileName, profile);
-        // Set as active if no active profile
-        if (!getActiveProfile()) {
-            setActiveProfile(profileName);
+            // profile:read scope not available — user_id from token info is enough
+            return { name: `User #${userId}`, email: null, isBot: false };
         }
+    }
+    report(profileName, profile, scopes) {
         const format = this.getOutputFormat();
         if (format === 'json') {
             this.output({
                 profile: profileName,
-                type: profileType,
+                type: profile.type,
                 user: profile.user,
-                email: userEmail,
+                email: profile.email ?? null,
+                auth: profile.auth ?? 'token',
+                expires_at: profile.expires_at ?? null,
+                scopes: scopes ?? null,
+                storage: getSecretStorage(profile),
             });
+            return;
         }
-        else if (!flags.quiet) {
-            const typeLabel = profileType === 'bot' ? 'bot' : 'user';
-            const emailStr = userEmail ? ` (${userEmail})` : '';
-            process.stderr.write(`✔ Подключён как: ${profile.user}${emailStr}  [${typeLabel}]\n`);
-            process.stderr.write(`  Профиль сохранён [${profileName}]\n`);
+        if (this.parsedFlags.quiet)
+            return;
+        const emailStr = profile.email ? ` (${profile.email})` : '';
+        process.stderr.write(`✔ Подключён как: ${profile.user}${emailStr}  [${profile.type}]\n`);
+        process.stderr.write(`  Профиль сохранён [${profileName}]\n`);
+        if (scopes?.length)
+            process.stderr.write(`  Права: ${scopes.length}\n`);
+        // Where the token landed is a security fact the user cannot check any other
+        // way, so it is said at login and not left to `auth status`.
+        if (getSecretStorage(profile) === 'keyring') {
+            process.stderr.write(`  Токен в хранилище ключей ОС\n`);
         }
+        else {
+            process.stderr.write(`  Токен в файле конфигурации (хранилище ключей недоступно)\n`);
+        }
+        process.stderr.write(`  Состояние входа: pachca auth status\n`);
     }
 }
+/** Read a token piped into the command, so it never appears in the shell history. */
+async function readTokenFromStdin() {
+    const chunks = [];
+    for await (const chunk of process.stdin)
+        chunks.push(chunk);
+    return Buffer.concat(chunks).toString('utf8').trim();
+}