@takagaki/cortex-decisions-viewer 0.12.46 → 0.12.48

package/dist/render.js

@@ -966,7 +966,7 @@ function sanitizeRegisteredNow(v) {
  * 写し忘れても赤くならなかったので、突き合わせは viewer/test/state-vocab-parity.test.mjs。
  */
 const STATE_STATUSES = {
-    reachable: ["ok", "not_in_channel", "missing_scope", "no_token", "unreachable", "unknown", "not_in_space", "no_credentials", "no_consent", "transcripts_api_disabled", "no_access_policy", "speaker_attribution_off", "folder_not_granted"],
+    reachable: ["ok", "not_in_channel", "missing_scope", "no_token", "unreachable", "unknown", "not_in_space", "no_credentials", "admin_approval_pending", "no_consent", "transcripts_api_disabled", "no_access_policy", "speaker_attribution_off", "folder_not_granted"],
     ingested: ["ok", "failed", "skipped"],
     // 案件カレンダーは作れたか（tools #427）。行の描画は #428。ここに無いと、中央が報告した
     // 「作成済み」の行が overlay に届く前に落ちて、画面は永久に「作成中」のまま
@@ -1931,7 +1931,7 @@ const BAD_STATE_STATUSES = {
     // 案件カレンダー（tools #427）。**`requested` は中立**（依頼を受けた・作成中）で悪くない。
     // 入れると、押した直後の 15 分が全部⚠️になる
     calendar: ["failed"],
-    reachable: ["not_in_channel", "missing_scope", "no_token", "unreachable", "not_in_space", "no_credentials", "no_consent", "transcripts_api_disabled", "no_access_policy", "speaker_attribution_off", "folder_not_granted"],
+    reachable: ["not_in_channel", "missing_scope", "no_token", "unreachable", "not_in_space", "no_credentials", "admin_approval_pending", "no_consent", "transcripts_api_disabled", "no_access_policy", "speaker_attribution_off", "folder_not_granted"],
 };
 /**
  * 案件カレンダーの ID の形か（#428）。
@@ -3689,6 +3689,19 @@ a.ds-tile:hover { text-decoration: none; }
 .ds-toggle-msg { font-size: 12px; color: var(--muted); }
 .ds-toggle-msg.is-ok { color: #1a7f37; }
 .ds-toggle-msg.is-error { color: #b42318; }
+/* Backlog の同期経路のスイッチ（#516）。role=switch の button に、トラックとつまみを描く。
+   語（.ds-switch-label）は押している間も差し替えない（状態は下の 1 行が言う） */
+.ds-route { margin-top: 10px; }
+.ds-switch { display: inline-flex; align-items: center; gap: 8px; padding: 0; border: 0; background: none; font: inherit; font-size: 13px; color: var(--text); cursor: pointer; text-align: left; }
+.ds-switch:disabled { opacity: .55; cursor: default; }
+.ds-switch.is-busy { cursor: wait; opacity: .75; }
+.ds-switch-track { position: relative; flex: 0 0 auto; width: 34px; height: 20px; border-radius: 999px; background: #c9ced6; transition: background .15s; }
+.ds-switch[aria-checked="true"] .ds-switch-track { background: var(--accent); }
+.ds-switch-knob { position: absolute; top: 2px; left: 2px; width: 16px; height: 16px; border-radius: 50%; background: #fff; box-shadow: 0 1px 2px rgba(0,0,0,.25); transition: left .15s; }
+.ds-switch[aria-checked="true"] .ds-switch-knob { left: 16px; }
+.ds-switch:focus-visible .ds-switch-track { outline: 2px solid var(--accent); outline-offset: 2px; }
+.ds-switch-label { min-width: 0; white-space: normal; overflow-wrap: anywhere; }
+.ds-route-line { margin: 4px 0 0; }
 .badge.ds-notify { background: #eff6ff; color: #1e40af; border: 1px solid #bfdbfe; }
 /* 読み取りを止めてあるリポジトリ（2026-08-21）。**それまではトグルの向きが示していた**ので、
    トグルを撤去したいま、読み取られていないことを示すのはこのバッジだけ。
@@ -3726,6 +3739,12 @@ a.ds-tile:hover { text-decoration: none; }
    （flex: 1 1 100%）——状態バッジの横に押し込むと、いちばん読ませたい一文が
    カード幅に負けて省略される。状態の語より弱く、しかし読める大きさで出す */
 .ds-gate-help { flex: 1 1 100%; margin: 4px 0 0; font-size: 12px; line-height: 1.7; color: #6b7280; }
+/* 管理者への依頼文（#521）。手順が複数行あるので details に畳む——開いたまま出すと、
+   1行のはずの案内（.ds-gate-help / .ds-probe-help）が一覧を占領する */
+.ds-gate-request { margin-top: 4px; }
+.ds-gate-request > summary { cursor: pointer; color: var(--muted); font-size: 12px; }
+.ds-gate-request[open] > summary { margin-bottom: 6px; }
+.ds-gate-request-line { margin: 2px 0; font-size: 12px; line-height: 1.7; color: #6b7280; }
 /* 「接続を確認」を押した結果（2026-08-19）。**必ず自分の行を占める**（flex: 1 1 100%）。
    夜間のスナップショットの状態バッジと**同時に2つの判定を並べない**ため、押したあとは
    状態バッジをこの中の判定へ置き換える（同じ画面で「⚠️」と「接続OK」が並ぶのが、
@@ -6163,6 +6182,30 @@ ${calendarAddUrl.toString()}
       cls: "ds-gate-muted",
       help: "管理者の設定が済むと読み取りが始まります。",
     },
+    // HTTP 403（#521）。アプリはスペースに追加済みだが、**顧客の Google Workspace 管理者**が
+    // Marketplace からの管理者インストールをまだ済ませていない。not_in_space（スペースの
+    // メンバーが直せる）にも no_credentials（艦隊側の鍵が無い＝顧客に打つ手が無い）にも
+    // 寄せない——直せるのが「顧客の管理者」という、どちらとも別の人・別の操作だから。
+    // **機械語（permission_denied）は出さない**（#521 で分類できたので、もう「不明」ではない）。
+    //
+    // 依頼文（手順つき）は長いので details に畳む。**help がそのまま summary の文になる**
+    // （gateHelpNodes・#521）——「帯は症状・行は一手」の1文は details の外に出さなくても
+    // summary は常に見えるので、開かなくても次の一手は読める。行の補足は最大1段の約束
+    // （github-state-reason.test.mjs）を守るため、help と request を別々の要素にしない
+    "admin_approval_pending": {
+      text: "管理者の承認待ち",
+      cls: "ds-gate-warn",
+      help: "貴社の Google Workspace 管理者がこのアプリを承認すると、読み取りが始まります。",
+      request: {
+        lines: [
+          "貴社の Google Workspace 管理者に、次の手順で「Cortex by Classmethod」の利用承認をご依頼ください。",
+          "1. Google 管理コンソール（admin.google.com）を開く",
+          "2. 「アプリ」→「Google Workspace Marketplace アプリ」を開く",
+          "3. 「アプリを追加」から「Cortex by Classmethod」を検索する",
+          "4. 組織全体（または該当の組織部門）へのインストールを選び、データへのアクセスを許可する",
+        ],
+      },
+    },
     // --- ここから Microsoft 365（#335）。**値の正本は infra 側の語彙表**
     // （slack-gate.mjs の SLACK_GATE_VALUES と connection-state-keys.mjs の
     // REACHABLE_STATUSES）で、1対1の一致を infra のテストと
@@ -6446,6 +6489,35 @@ ${calendarAddUrl.toString()}
     if (s.gate == null || s.gate === "") return DS_GATE_PENDING;
     return DS_GATE[s.gate] || DS_GATE["unknown"];
   }
+  /**
+   * dsGateOf が持つ「次の一手」を、**必ず1個の DOM ノード**にする。呼び出しは2箇所
+   * （行の常時表示・「接続を確認」を押した結果）で、gate.help / gate.request が
+   * 正本——ここを通さずに文を書き写すと、片方だけ古くなる（DS_GATE の項と同じ理由）。
+   *
+   * 🔴 **要素を2つに割らない（行の補足は最大1段・github-state-reason.test.mjs
+   * 「行の補足は最大1段」）。** gate.request（依頼文。手順が複数行あるもの）があるときは、
+   * **help の1文を details の summary にする**——summary は開閉と無関係に常に見えるので、
+   * 「帯は症状・行は一手」は畳まなくても読め、依頼文の手順だけが details の中に畳まれる
+   * （#521・オーナー指摘「繰り返さない」）。help だけの p と request だけの details を
+   * 別々に足すと、同じ ds-gate-help が2つ並んで上の番人に落ちる。
+   *
+   * @param cls 呼び出し側の文脈を表す class（行は「ds-gate-help」、押した結果は
+   *   「ds-probe-help」）。**「ds-gate-help」を付けた要素だけが、押した瞬間に隠される**
+   *   （下の probeSection の stale 処理）ので、混同すると二重表示か消え忘れが起きる
+   */
+  function gateHelpNodes(gate, cls) {
+    if (gate.request) {
+      var det = el("details", { class: cls + " ds-gate-request" }, [
+        el("summary", { text: gate.help || "詳しい手順" }),
+      ]);
+      gate.request.lines.forEach(function (line) {
+        det.appendChild(el("p", { class: "ds-gate-request-line", text: line }));
+      });
+      return [det];
+    }
+    if (gate.help) return [el("p", { class: cls, text: gate.help })];
+    return [];
+  }
   /**
    * 一覧・タイルに出す「⚠️ …」の要約。**呼び出しは2箇所（グループの summary と能力タイル）。**
    * 写経すると片方だけ古くなり、同じ画面で語が割れる（この節では実際に起きた）。
@@ -7588,6 +7660,21 @@ ${calendarAddUrl.toString()}
    * 「いつ時点の情報か」の注記がどちらを指すのか説明できなくなる。
    */
   var LIVE_REALTIME = null;
+  /**
+   * Backlog の同期経路（op=state のトップレベル backlogRoute・#516）。
+   *
+   * 値は 4 つ: undefined＝まだ答えが無い／"fixed-ip"＝固定 IP 経由（正本に印がある）／
+   * "runner"＝通常の経路／null＝正本を読めなかった（サーバが null を返した・取得に失敗した・
+   * この値を知らない古い Lambda）。**null では切り替えさせない**（分からないのに書かせない）。
+   * 押した直後は backlog-route-set の応答で先に更新し、次の op=state が追いつく。
+   */
+  var LIVE_BACKLOG_ROUTE = undefined;
+  /**
+   * 固定の送信元 IP（op=state の realtime.fixedEgressIp・backlog-route-set の応答）。
+   * **画面に定数を持たない**——出どころは EIP の資源 → Intake の env の 1 本道で、
+   * 値が変わったときに画面だけ古いままにならない。取れていなければ空文字（IP を書かない）。
+   */
+  var LIVE_FIXED_IP = "";
   /**
    * いま登録ファイルに何が書いてあるか（op=state の registeredNow・段階1）。取得前は null。
    *
@@ -8056,11 +8143,19 @@ ${calendarAddUrl.toString()}
   var KEY_POINTING_CHECKS = { backlog_secrets: "課題管理", figma_token: "デザイン" };
 
   /**
-   * Backlog の固定送信元IP（NAT GatewayのEIP）。IP制限のある顧客スペースは、
-   * この1つの値を許可リストに入れれば固定IP経由で同期できる（艦隊共通1本）。
-   * 出どころ: BacklogSyncFixedIpスタックの出力 FixedEgressIp。値が変わったらそちらを直す。
+   * 鍵の入力欄を出す種別（#516）。
+   *
+   * **投入の口（intake）があるなら Backlog の鍵は必ず出す。** 固定 IP 経由で同期する案件は
+   * かつて CDK が secretKinds から backlog を落としていた（画面から入れても効かなかった頃の
+   * 名残）。いまは固定 IP 案件も同じ棚の鍵を画面から入れられる（#503 設計 v2 §5）ので、
+   * 写し（viewer-config.json）がまだ古い案件でも欄を出す。判定は接続先フォームと同じ線
+   *（backlogTargetsEditable）——2 か所で違う線を引くと、フォームは出るのに鍵だけ無い案件ができる。
    */
-  var BACKLOG_FIXED_EGRESS_IP = "54.238.206.32";
+  function secretKindsShown() {
+    var kinds = (SITE.secretKinds || []).slice();
+    if (SITE.intake && kinds.indexOf("backlog") < 0) kinds.push("backlog");
+    return kinds;
+  }
 
   /**
    * 応答に添えられた接続先の一覧を採ったときの件数（Backlog の adoptTargets）。
@@ -8418,7 +8513,7 @@ ${calendarAddUrl.toString()}
     //          「未対応です」と伝える場所も接続マップのアンカーの受け皿も無くなった
     //
     // 個別に足し続けると次も漏らすので、**この節に出す候補を列挙して判定する**形にする。
-    var hasSecrets = ((SITE.secretKinds || []).filter(function (k) { return SECRET_FORMS[k]; })).length > 0;
+    var hasSecrets = (secretKindsShown().filter(function (k) { return SECRET_FORMS[k]; })).length > 0;
     // **fleet のデータが取れているか、だけを見る（#125②）。** 宣言（tools）は撤去した（⑤）
     var hasCapModel = hasCaps;
     // **投入の口も候補。** fleet-status.json はGitHub Actionsが夜間に生成するので、
@@ -8834,7 +8929,9 @@ ${calendarAddUrl.toString()}
     // **GitHub（「external-sources」）はここに無い。** 読み取りトークンは廃止し、
     // 読み取りは GitHub App に一本化した。**この表に戻すと入力欄が復活する**
     // （対応表そのものは SECRET_CAP。3つの口で共有するので上に置いてある）
-    (SITE.secretKinds || []).forEach(function (k) {
+    // **種別の一覧は secretKindsShown()（#516）。** intake がある案件は写しの secretKinds に
+    // backlog が無くても Backlog の鍵を出す（固定 IP 案件も画面から鍵を入れる）
+    secretKindsShown().forEach(function (k) {
       if (!SECRET_FORMS[k]) return;
       // **意図的にOFFにした能力にだけ、入力欄を出さない（0.4.71）。** 使わないと決めたものに
       // 鍵を求めるのは、設定する必要が無いものに設定を促す偽の警告と同じ。
@@ -9284,7 +9381,7 @@ ${calendarAddUrl.toString()}
       var tokenRelevant = (derived != null ? derived !== "off" : true)
         && keyTargetCount(cap) > 0
         && !(derive && derive.keyMissing);
-      if (tokenRelevant && sk && (SITE.secretKinds || []).indexOf(sk) >= 0 && !secretPresentForTile(sk)) {
+      if (tokenRelevant && sk && secretKindsShown().indexOf(sk) >= 0 && !secretPresentForTile(sk)) {
         body.appendChild(el("div", { class: "ds-tile-note", text: "⚠ トークンが未設定です" }));
       }
       // 🔴 **セットアップの残り（checks）の長文はタイルに出さない（#230・オーナー指摘）。**
@@ -9591,18 +9688,21 @@ ${calendarAddUrl.toString()}
    * 行の常時表示（DS_GATE の 「help」）が既に持っている——写経すると、同じ行の常時表示と
    * 押した結果で語が割れる（この節が何度も直してきた形）。DS_GATE から引いて1文だけ出す。
    *
-   * ⚠ **403（Workspace 管理者の承認待ち）は Phase 0 の採取まで 「unknown」。** その回は
-   * サーバの機械語（「permission_denied」）をそのまま出す。**「時間をおいて」と言わない**
-   * ——待っても直らない（管理者が承認するまで同じ応答が返る）。
+   * ⚠ **403（Workspace 管理者の承認待ち）は #521 で「admin_approval_pending」に分類済み。**
+   * 機械語（「permission_denied」）はもう出さない。**「時間をおいて」とも言わない**
+   * ——待っても直らない（管理者が承認するまで同じ応答が返る）。401 / 429 は依然
+   * Phase 0 未採取で「unknown」のまま、サーバの機械語をそのまま出す。
    */
   function googleChatProbeHelpNodes(s, r) {
-    var p = function (t) { return el("p", { class: "ds-probe-help", text: t }); };
     // 成功。**1行で終わり**（状態の語が既に「接続OK」と出ている）
     if (r.gate === "ok") return [];
-    // not_in_space / no_credentials は行の常時表示と同じ1文（DS_GATE から引く）。
+    // not_in_space / no_credentials / admin_approval_pending は行の常時表示と同じ文面
+    // （DS_GATE から引く。依頼文の details も gateHelpNodes 経由で同じものが出る）。
     // 押した瞬間に行側の 「.ds-gate-help」 は隠れるので、二重には出ない
-    var help = dsGateOf({ type: s.type, gate: r.gate }).help;
-    if (help) return [p(help)];
+    var gate = dsGateOf({ type: s.type, gate: r.gate });
+    var nodes = gateHelpNodes(gate, "ds-probe-help");
+    if (nodes.length) return nodes;
+    var p = function (t) { return el("p", { class: "ds-probe-help", text: t }); };
     if (r.gate === "unreachable") {
       // 帯（「アクセス不可」）が症状を言っている。**ここは一手だけ**
       return [p("時間をおいて、もう一度「接続を確認」を押してください。")];
@@ -10055,14 +10155,140 @@ ${calendarAddUrl.toString()}
    * 立ち上げ直後の案件にも実在する。ミラーで判定すると、**まだ一度も繋いでいない案件＝
    * これから繋ぎたい案件**だけがフォームを出せない（実機で踏んだ）。
    *
-   * 出さないのは、この画面からの投入に対応していない固定IP同期の案件だけ。
-   * **その見分けは SITE.secretKinds に backlog が入っているかで行う。**
-   * 固定IPかどうかを直接示す値は画面に来ておらず（インフラ側の設定にしか無い）、
-   * 鍵の欄を出すかどうかの判定が同じ線で引かれているので、代理として正確に使える。
-   * インフラ側で secretKinds の条件を変えるときは、**ここの意味も一緒に変わる**。
+   * **判定は「投入の口（intake）があるか」（#516・#503 設計 v2 §4）。** それまでは
+   * SITE.secretKinds に backlog があるかで見ていた——固定 IP 経由で同期する案件は
+   * 画面からの投入に対応しておらず、CDK が secretKinds から backlog を落としていたので、
+   * その代理として使えた。いまは固定 IP 案件も同じ正本・同じ棚に画面から書けるので、
+   * 出さない理由は「書き込む口が無い」だけになった。**secretKinds に戻さないこと**——
+   * 写し（viewer-config.json）が古い案件で、接続先も鍵も画面から入れられなくなる。
+   * 鍵の欄の判定（secretKindsShown）も同じ線。
    */
   function backlogTargetsEditable() {
-    return (SITE.secretKinds || []).indexOf("backlog") >= 0;
+    return !!SITE.intake;
+  }
+
+  /**
+   * サーバが返した同期経路を 3 値に畳む（#516）。**知らない語は null（読めない）に倒す**
+   * ——新しい語を「通常」と読むと、印が付いている案件でスイッチが OFF に見える。
+   */
+  function backlogRouteOf(v) {
+    return v === "fixed-ip" || v === "runner" ? v : null;
+  }
+
+  /** スイッチの語（4 状態で変えない。状態は下の 1 行が言う） */
+  var BACKLOG_ROUTE_SWITCH_LABEL = "Backlog に IP 制限がある（固定 IP 経由で同期する）";
+
+  /**
+   * スイッチの下の 1 行（#516・#503 設計 v2 §6 の表と v3 §6 の ON 行）。
+   *
+   * 症状 → 一手の 1〜2 文。**技術語（CodeBuild・Lambda・runner）を出さない。**
+   * @param route      LIVE_BACKLOG_ROUTE（undefined / "fixed-ip" / "runner" / null）
+   * @param ip         固定の送信元 IP（無ければ空文字。**無いときは IP を書かない**——書けば嘘）
+   * @param count      いま画面に出ている接続先の件数
+   * @param keyState   Backlog の鍵の登録状況（"yes" / "no" / "unknown"）。**"no" のときだけ**
+   *                   鍵の登録を一手に出す。分からないときに「登録すると始まる」と言うと、
+   *                   入れてある人に入れ直させる
+   */
+  function backlogRouteLine(route, ip, count, keyState) {
+    if (route === undefined) return "設定を確認しています…";
+    if (route === null) return "設定を読み取れないため、いまは切り替えられません。";
+    if (route !== "fixed-ip") {
+      return count > 0
+        ? "Backlog の IP 制限で同期が失敗する案件は、これを入れてください。"
+        : "先に接続先を登録してください。";
+    }
+    var ipLabel = ip ? "固定の送信元 IP（" + ip + "）" : "固定の送信元 IP";
+    if (keyState === "no") {
+      return "同期は" + ipLabel + "から行います。お客様にこの IP の許可を依頼し、上の「Backlog のAPIキー」を登録すると同期が始まります。";
+    }
+    // 2 文に収める（実装レビューの指摘）。押した直後の帯（サーバの文面）も「許可を依頼」を言うが、
+    // 帯は数秒で読み終える結果で、この行は次に開いたときも残る状態——役目が違うので両方に置く
+    return "同期は" + ipLabel + "から行います。お客様にこの IP の許可を依頼してください（反映は毎晩 21:00 ごろの定期同期と、Webhook の受信から数分後です）。";
+  }
+
+  /**
+   * Backlog の同期経路の切り替えスイッチ（#516・#503 設計 v2 §6 / v3 §6・分類 A4）。
+   *
+   * 置き場は接続先の一覧の下・リアルタイム同期の上。部品はスイッチ 1 つ＋下の 1 行＋結果の帯。
+   *
+   * **確認ダイアログは出さない（A4）。** ON も OFF も同じスイッチで即時に戻せる（可逆）。
+   * 押した記録はサーバの監査に残る。
+   *
+   * **押せないのは 3 つ。** 印を読めない（null）・まだ答えが無い（undefined）・OFF で接続先 0 件
+   *（サーバも 400 で断る）。ON で接続先 0 件は押せる——止める方向を塞がない（T4 の契約）。
+   *
+   * **状態の正本は LIVE_BACKLOG_ROUTE。** 押して成功したら応答の route で先に更新し、
+   * その後の op=state（sendConfig が起こす）が追いつく。**画面の側で「押したから ON」と
+   * 決めない**——断られたときに向きだけ変わる形にしない。
+   *
+   * **結果の帯は差し替えの箱の外に置く。** 応答の文面（「お客様に IP の許可を依頼してください」）は
+   * 次の一手そのもので、数秒後に op=state が届いて箱を描き直した瞬間に消えると、
+   * 一番読ませたい文が読み終える前に消える（接続先の一覧の「結果は一覧の外」と同じ罠）。
+   *
+   * **IP の値は画面に持たない。** op=state（realtime.fixedEgressIp）と切り替えの応答
+   *（fixedEgressIp）から取る。取れていなければ IP を書かない。
+   */
+  function backlogRouteSwitch() {
+    var wrap = el("div", { class: "ds-route" });
+    var msg = el("div", { class: "ds-toggle-msg" });
+    var live = liveList("backlog-route", function () {
+      return JSON.stringify([
+        LIVE_BACKLOG_ROUTE === undefined ? "?" : LIVE_BACKLOG_ROUTE,
+        LIVE_FIXED_IP,
+        keyTargetCount("課題管理"),
+        secretRegisteredAnywhere(LIVE_SECRETS, "backlog"),
+      ]);
+    }, function (box) {
+      var route = LIVE_BACKLOG_ROUTE;
+      var on = route === "fixed-ip";
+      var count = keyTargetCount("課題管理");
+      var keyState = secretRegisteredAnywhere(LIVE_SECRETS, "backlog");
+      var disabled = route === undefined || route === null || (!on && count === 0);
+      var btn = el("button", {
+        class: "ds-switch",
+        type: "button",
+        role: "switch",
+        "aria-checked": on ? "true" : "false",
+      }, [
+        el("span", { class: "ds-switch-track", "aria-hidden": "true" }, [el("span", { class: "ds-switch-knob" })]),
+        el("span", { class: "ds-switch-label", text: BACKLOG_ROUTE_SWITCH_LABEL }),
+      ]);
+      if (disabled) btn.disabled = true;
+      btn.addEventListener("click", async function () {
+        if (btn.disabled) return;
+        var next = !on;
+        // **語は差し替えない**（beginBusy はボタンの語を「処理中…」に変える）。スイッチの語は
+        // 状態を言う 1 行と対なので、押している間だけ消えると何を押したのか読めなくなる。
+        // 押せない見た目にして、帯（msg）の「保存中…」で進んでいることを示す
+        btn.disabled = true;
+        btn.classList.add("is-busy");
+        msg.className = "ds-toggle-msg";
+        msg.textContent = "";
+        // **onDone ではなく hooks.onSaved で受ける（実装レビューの指摘）。** onDone は
+        // changed:false では流れない。正本が既に送った向きだった回（別の人・別のタブが先に
+        // 切り替えていた）はサーバが changed:false・route 無しで返すので、onDone だと
+        // スイッチが古い向きのまま「✓ 変更はありません」が出て、次の取り直しまで直らない。
+        // onSaved は res.ok なら changed を問わず流れる（冪等な op の受け口）
+        await sendConfig({ op: "backlog-route-set", route: next ? "fixed-ip" : "runner" }, msg, null, null, {
+          onSaved: function (j) {
+            // **応答の値を正とする。** 無ければ送った向き（サーバは断らなかった＝正本はその向き）
+            LIVE_BACKLOG_ROUTE = backlogRouteOf(j && j.route) || (next ? "fixed-ip" : "runner");
+            if (j && j.fixedEgressIp) LIVE_FIXED_IP = String(j.fixedEgressIp);
+            live.__rebuild();
+            // changed:false では sendConfig が読み直しを起こさない。正本の値で画面を揃えるために自分で起こす
+            if (j && j.changed === false) loadLiveFleet(true);
+          },
+        });
+        // 断られた・通信に失敗したときはこのボタンが残っている（成功時は描き直されて外れている）
+        btn.disabled = disabled;
+        btn.classList.remove("is-busy");
+      });
+      box.appendChild(el("div", { class: "ds-toggle ds-route-row" }, [btn]));
+      box.appendChild(el("p", { class: "sec-how ds-route-line", text: backlogRouteLine(route, LIVE_FIXED_IP, count, keyState) }));
+    });
+    wrap.appendChild(live);
+    wrap.appendChild(msg);
+    return wrap;
   }
 
   /**
@@ -10426,9 +10652,10 @@ ${calendarAddUrl.toString()}
      */
     function ensureKeySlots() {
       if (!editable) return;
-      // 受け皿を作る経路を通っていない案件（intake が無い・固定IP同期）はここも通さない
+      // 受け皿を作る経路を通っていない案件（intake が無い）はここも通さない
       if (!KEY_SLOTS.backlog || !Object.keys(KEY_SLOTS.backlog).length) return;
-      if ((SITE.secretKinds || []).indexOf("backlog") < 0 || !SECRET_FORMS["backlog"]) return;
+      // 種別の判定は鍵カードを作るループと同じ線（secretKindsShown・#516）
+      if (secretKindsShown().indexOf("backlog") < 0 || !SECRET_FORMS["backlog"]) return;
       var domains = [];
       for (var i = 0; i < targets.length; i++) {
         var dm = String(targets[i].domain || "").toLowerCase();
@@ -10479,9 +10706,9 @@ ${calendarAddUrl.toString()}
     // 呼ぶので、fleet が接続先を持たない案件（同期ミラーのURLから1行だけ作っている案件）では
     // **空を返す**——行は出るのに鍵の欄が1つも付かない、という空振りになる。
     //
-    // **この画面から投入できない案件（固定IP同期）には出さない。** 押しても Lambda が
-    // 「固定IP経由のため対応していません」で断るので、導線そのものを作らない。
-    // 判定は鍵カードを出すループの条件と同じ線（SITE.secretKinds に backlog があるか）。
+    // **固定 IP 経由の案件にも出す（#516）。** かつては Lambda が「固定IP経由のため
+    // 対応していません」で断るので導線を作らなかったが、いまは同じ棚に入る（#503 T4）。
+    // 判定は鍵カードを出すループの条件と同じ線（secretKindsShown＝intake があるか）。
     if (editable && !Object.keys(KEY_SLOTS.backlog).length) {
       // 保存時にスペースを名乗ってよいのは、名簿（fleet の backlogTarget）由来の行だけ。
       // 同期ミラーのURLから作った行で名乗ると、名簿とミラーがずれている案件で
@@ -10687,25 +10914,19 @@ ${calendarAddUrl.toString()}
       // 実在する。同期ミラーの有無で門前払いすると、**新規案件がこの画面から
       // Backlog に繋げない**——設定UIを置いている意味が無くなる
       box.appendChild(backlogTargetsSection(s));
-      if (!backlogTargetsEditable()) {
-        box.appendChild(el("p", { class: "sec-how", text: "この案件の Backlog は別の経路で同期しているため、この画面からは接続先を変更できません。変更が必要なときは cortex の担当者にご連絡ください。" }));
-        used = true;
-      }
+      // **「この画面からは接続先を変更できません」の枝は撤去した（#516）。** ゲートが
+      // 「intake があるか」になり、この関数は intake の無い案件では上で return しているので、
+      // 到達しない枝だった（到達不能な枝は変異検証の網から漏れる）。
+      //
+      // **接続先の下・リアルタイム同期の上に、同期経路のスイッチを置く（#516・設計 v2 §6）。**
+      // #497 の「固定 IP 経由で同期できます（切り替えは運用側）」の案内と画面の IP 定数は
+      // これに置き換わった——切り替えは担当者が自分で押す。
+      box.appendChild(backlogRouteSwitch());
       // **接続先の下に置く。** リアルタイム同期は「どのプロジェクトを見るか」が
       // 決まった後の話で、順序が逆だと、接続先を設定していない案件が先に
       // Webhook を貼りに行く（貼っても届かない）
       var rt = realtimeSyncCard();
       if (rt) box.appendChild(rt);
-      // **モーダルの末尾に固定IP案内を1つだけ足す（#497）。** 固定IP経由の案件
-      // （backlogTargetsEditable()===false）は既に3行上で「この画面からは接続先を
-      // 変更できません」を出して担当者連絡に倒しているので、二重に言わない。
-      if (backlogTargetsEditable()) {
-        box.appendChild(el("p", {
-          class: "sec-how",
-          text: "Backlog に IP 制限がかかっている場合は、固定の送信元 IP（" + BACKLOG_FIXED_EGRESS_IP
-            + "）経由で同期できます。お客様側でこの IP の許可を依頼したうえで、運用担当に連絡してください（切り替えは運用側で行います）。",
-        }));
-      }
       used = true;
     }
 
@@ -12015,7 +12236,7 @@ ${calendarAddUrl.toString()}
     //
     // **ボタンより後ろに置く。** カードは横並びの flex なので、間に挟むと
     // 「登録を解除」が案内文の下の行へ落ちて、既存案件の行の形が変わる
-    if (gate.help) card.appendChild(el("p", { class: "ds-gate-help", text: gate.help }));
+    gateHelpNodes(gate, "ds-gate-help").forEach(function (n) { card.appendChild(n); });
     // **最後に測った理由と直し方を、押す前から出す（#346）。** 「アクセス不可 8時間前に確認」
     // だけでは、押さない人（初見の PM 等）が止まる。表にエントリがある状態は定型の補足
     // （リンク込み）だけ、無い状態は needed → detail のフォールバック。どちらも ds-gate-help
@@ -12398,6 +12619,10 @@ ${calendarAddUrl.toString()}
         // **fleet より先に読む。** fleet-status.json をまだ持たない案件（立ち上げ直後）は
         // 下で throw するが、リアルタイム同期の可否は索引由来なので独立に決まる
         LIVE_REALTIME = (j && j.realtime) || null;
+        // 同期経路と固定 IP（#516）。**サーバが知らない値・返さない回は null（読めない）**
+        // ——undefined のままにすると「確認しています」が永久に残る
+        LIVE_BACKLOG_ROUTE = backlogRouteOf(j && j.backlogRoute);
+        if (LIVE_REALTIME && LIVE_REALTIME.fixedEgressIp) LIVE_FIXED_IP = String(LIVE_REALTIME.fixedEgressIp);
         // 🔴 **registeredNow も fleet より先に読む。** まとめ表をまだ持たない案件
         // （＝立ち上げ直後＝この仕組みが一番効く案件）は下で throw するので、
         // ここより後に置くと**その案件だけ素通り**する
@@ -12448,6 +12673,9 @@ ${calendarAddUrl.toString()}
         liveFleetRequested = false;
         liveAnswered = true;
         MERGED = null;
+        // 同期経路（#516）。**一度も答えが無いまま失敗したら「読めない」に倒す**（切り替えさせない）。
+        // 前の答え（または切り替え直後の応答の値）があるなら、それを捨てない
+        if (LIVE_BACKLOG_ROUTE === undefined) LIVE_BACKLOG_ROUTE = null;
         // 🔴 **確認中に倒した図を焼いた表示へ戻す（#256・設計v2 の3）。** ライブが
         // 取れなかったときのフォールバックはここに残る——戻さないと「確認中…」の
         // ままの図が残り、オフラインでは**何も分からない画面**になる。
@@ -12575,8 +12803,11 @@ ${calendarAddUrl.toString()}
    * **出すのは「手順どおり設定すれば実際に効く案件」だけ。** 判断は Lambda（op=state）が返す
    * realtime に委ねる——画面が持っている静的データからは「ルーティング索引に自分の行が
    * あるか」が分からないし、2箇所で判定すると片方だけがずれる。
-   *   - supported: false … 固定IP経由で同期している案件。**黙って欠けさせず**理由を1行出す
+   *   - via: "fixed-ip"  … 固定 IP 経由で同期する案件（#516・#503 設計 v3 §6）。手順は同じ。
+   *                        反映が「約1分」ではなく「数分」になることだけを言う
    *   - ready: false     … 索引にまだ行が無い。設定しても届かないので手順を出さない
+   *   「supported: false（固定 IP は未対応）」の枝は撤去した——固定 IP 案件でも Webhook を
+   *   受ける（分類 A2）。その値を返す古い Lambda に当たっても、手順を出す側に倒す
    *
    * **URLに載せるトークンは案件別**（SITE.backlogWebhook）。艦隊共通トークンを載せると、
    * この画面を見られる人が全案件ぶんの偽イベントを投げられる（types.ts の backlogWebhook 参照）。
@@ -12587,14 +12818,10 @@ ${calendarAddUrl.toString()}
    */
   function realtimeSyncCard() {
     var rt = LIVE_REALTIME;
-    // **未対応（固定IP経由の同期）だけは、手順ではなく理由を出す。** ここは索引の状態ではなく
-    // 経路の話で、設定しても効かないことが確定している唯一の形。黙って欠けさせない
-    if (rt && rt.supported === false) {
-      return el("p", {
-        class: "sec-how",
-        text: "この案件は固定IP経由でBacklogを同期しているため、リアルタイム同期（Webhook）には未対応です。反映は毎晩の同期のタイミングになります。",
-      });
-    }
+    // 固定 IP 経由か（#516）。**経路の正本は op=state の realtime.via**——スイッチの状態
+    //（LIVE_BACKLOG_ROUTE）から引かない。あちらは押した直後に先に変わるが、受信したイベントを
+    // どちらが同期するかはサーバ側の索引が決めるので、同じ応答の値で言う
+    var viaFixedIp = !!(rt && rt.via === "fixed-ip");
     var wh = SITE.backlogWebhook;
     // **URLが無い案件には出さない。** 貼るものが無い手順は、一番読めない形になる
     if (!wh || !wh.url || !wh.token) return null;
@@ -12666,7 +12893,11 @@ ${calendarAddUrl.toString()}
       msg,
       // **この画面は顧客も見る。** URLに秘密が入っていることと、その扱いを書いておく
       el("p", { class: "sec-note", text: "このURLはこの案件専用です（他の案件には届きません）。秘密のトークンを含むので、貼り付け先は Backlog のこのプロジェクトの設定欄だけにしてください。" }),
-      el("p", { class: "sec-how", text: "反映は受信から約1分後です（1分ごとのミニバッチでまとめて取り込みます）。初回は上の接続先の設定と、夜間同期が一度済んでいることが前提になります。" }),
+      // 固定 IP 経由の案件は反映が「約1分」にならない（1分のまとめ＋固定 IP の同期の起動で数分）。
+      // **同じ行を差し替える**——2 行に分けると「約1分」と「数分」が並んで矛盾する
+      el("p", { class: "sec-how", text: viaFixedIp
+        ? "固定 IP 経由で同期します（反映は受信から数分後です）。初回は上の接続先の設定と、夜間同期が一度済んでいることが前提になります。"
+        : "反映は受信から約1分後です（1分ごとのミニバッチでまとめて取り込みます）。初回は上の接続先の設定と、夜間同期が一度済んでいることが前提になります。" }),
     ];
 
     if (live) {
@@ -12700,7 +12931,10 @@ ${calendarAddUrl.toString()}
           el("span", { class: "rt-live-badge", text: "✓ 稼働中" }),
         ]),
         lines,
-        el("p", { class: "ops-card-desc", text: "Backlog の変更をすぐ取り込んでいます（毎晩の同期を待ちません）。設定は済んでいるので、このままお使いください。" }),
+        // 固定 IP 経由の案件は「すぐ」ではなく「数分」（手順は畳んであるので、ここでも言う）
+        el("p", { class: "ops-card-desc", text: viaFixedIp
+          ? "Backlog の変更を固定 IP 経由で取り込んでいます（反映まで数分・毎晩の同期を待ちません）。設定は済んでいるので、このままお使いください。"
+          : "Backlog の変更をすぐ取り込んでいます（毎晩の同期を待ちません）。設定は済んでいるので、このままお使いください。" }),
         det,
       ]);
     }

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@takagaki/cortex-decisions-viewer",
-  "version": "0.12.46",
+  "version": "0.12.48",
   "description": "Cortexの意思決定記録（Decisions/*.md）を静的サイトにビルドして閲覧する。各レコードに「Edit on GitHub」リンクを付与する。",
   "license": "UNLICENSED",
   "private": false,