dsh-desktop-kit 0.0.0-stage → 1.0.0

package/skills/seo/references/technical-seo.md

@@ -0,0 +1,294 @@
+# Техническое SEO — краулинг, индексация, URL, скорость
+
+> Справочник по технической части. Всё, что здесь есть, проверяется **в коде и в инструментах**, а не «на глаз».
+> Первоисточники — в конце файла. Данные проверены на **04.11.2026**; спорные/меняющиеся места помечены
+> «проверить на актуальной версии».
+
+## 1. Как поисковик проходит путь до выдачи (и где всё ломается)
+
+`обнаружение → обход (crawl) → рендеринг → индексация → ранжирование → показ сниппета`
+
+| Этап | Что решает | Типовые поломки |
+|---|---|---|
+| Обнаружение | внутренние ссылки, sitemap, внешние ссылки | сироты, ссылки только в JS-меню, `nofollow` на всём, sitemap не отправлен |
+| Обход | robots.txt, статус-коды, скорость ответа, crawl budget | 5xx, таймауты, бесконечные фасеты, цепочки редиректов, закрытые CSS/JS |
+| Рендеринг | SSR/SSG vs клиентский JS | контент/мета только после JS, `noindex` в JS, «мягкие 404» |
+| Индексация | canonical, дубли, качество, `noindex` | canonical на чужой URL, дубли www/http, тысячи мусорных URL |
+| Показ | title/description, разметка, CWV | шаблонные title, нет `og:image`, CLS, медленный LCP |
+
+**Правило:** если страница не индексируется — не оптимизируй её контент. Сначала P0: 200 + indexable + canonical.
+
+## 2. Статус-коды: что делает Google и Яндекс
+
+| Код | Значение для SEO | Что делать |
+|---|---|---|
+| 200 | страница живёт | норма |
+| 301 | постоянный переезд, вес передаётся | смена URL, http→https, www→без www, склейка дублей |
+| 302 / 307 | временно, вес **не** передаётся как постоянный | только реально временные (A/B, обслуживание) |
+| 304 | не изменилось | норма (кеш) |
+| 404 | не найдено, URL постепенно выпадает | удалённые без замены; лучше сразу убрать из sitemap и внутренних ссылок |
+| **410** | удалено навсегда, выпадает быстрее 404 | осознанное удаление страниц (не «спасибо»-страницы) |
+| 403 / 401 | запрещено | только для реально закрытого; для скрытия от поиска — `noindex`, а не 403 |
+| 429 | слишком много запросов | антибот; Google/Яндекс снижают скорость обхода. Не отдавай 429 роботам |
+| 5xx | ошибка сервера | **URL остаётся в индексе**, обход замедляется. Мониторь 5xx в логах и GSC |
+
+Правила:
+- **Один прыжок.** `A → B → C` — плохо, `A → C` — хорошо. Цепочки режут передачу веса и замедляют обход.
+- **Никаких редиректов на главную вместо 404** — это «мягкий 404» и потеря релевантности.
+- **«Мягкий 404»**: страница отдаёт 200, но контент «не найдено». Google считает soft 404, Яндекс — «малоценной».
+  Отдавай честный 404.
+- Удалённую страницу с трафиком не удаляй «в ноль»: 301 на ближайшую релевантную или 410, если замены нет.
+
+## 3. robots.txt
+
+Назначение — **управление обходом**, не индексацией. Чтобы убрать из индекса — `noindex` (и не закрывать
+страницу в robots.txt, иначе робот не увидит `noindex`).
+
+```
+# https://example.ru/robots.txt
+User-agent: *
+Disallow: /bitrix/
+Disallow: /local/
+Disallow: /search/
+Disallow: /*?sort=
+Disallow: /*?print=
+Allow: /bitrix/components/
+Allow: /bitrix/templates/
+Allow: /bitrix/js/
+Allow: /bitrix/css/
+Clean-param: utm_source&utm_medium&utm_campaign&utm_content&utm_term&yclid&gclid&from /  # Яндекс
+Sitemap: https://example.ru/sitemap.xml
+Host: example.ru   # УСТАРЕЛО: Яндекс не использует Host с 2018 года, не пиши
+```
+
+Обязательно:
+- **Не закрывай** CSS, JS, картинки, шрифты — иначе робот не отрисует страницу и не увидит контент.
+- Не закрывай разделы, которые должны ранжироваться (услуги, врачи, статьи, цены).
+- `Sitemap:` — абсолютный URL, можно несколько строк.
+- Лимит Google: **500 КБ** на файл; длиннее — игнорируется (проверить на актуальной версии).
+- Директивы: Google поддерживает `User-agent`, `Disallow`, `Allow`, `Sitemap` (+ группы по user-agent);
+  всё остальное (`Crawl-delay`, `Host`, `Clean-param`) Google **игнорирует**. `Clean-param` понимает Яндекс.
+- Проверка: GSC «Проверка URL»/отчёт robots.txt, Яндекс Вебмастер «Инструменты → Анализ robots.txt».
+- Если сайт на поддомене/в подкаталоге — robots.txt только в корне домена.
+
+Частая ошибка: `Disallow: /` на тестовом домене, скопированный в прод. Проверяй после каждого деплоя.
+
+## 4. sitemap.xml
+
+Формат: XML, `<urlset xmlns="http://www.sitemaps.org/schemas/sitemap/0.9">`. Обязателен `<loc>`; `<lastmod>`,
+`<changefreq>`, `<priority>` — подсказки (changefreq/priority Google игнорирует, Яндекс учитывает слабо;
+не «оптимизируй» ими).
+
+Лимиты (проверить на актуальной версии перед большим сайтом):
+- 1 файл: **≤50 000 URL** и **≤50 МБ** (несжатый). Больше — sitemap-индекс (≤50 000 sitemap-файлов).
+- Только URL, отдающие **200 + indexable**. Никаких 301, 404, `noindex`, закрытых в robots.txt.
+- `<lastmod>` — реальная дата изменения контента в W3C-формате (`2026-11-04` или с временем и `+03:00`).
+  Ставить «сегодня» всем URL — вред: поисковик перестанет верить lastmod.
+- Региональные/языковые версии — через `xhtml:link hreflang` (если реально есть).
+- Sitemap-индекс для сайта с разделами: `sitemap-pages.xml`, `sitemap-uslugi.xml`, `sitemap-vrachi.xml`,
+  `sitemap-news.xml`, `sitemap-docs.xml`.
+
+```xml
+<?xml version="1.0" encoding="UTF-8"?>
+<urlset xmlns="http://www.sitemaps.org/schemas/sitemap/0.9">
+  <url>
+    <loc>https://example.org/uslugi/mrt-golovy/</loc>
+    <lastmod>2026-10-28</lastmod>
+  </url>
+  <url>
+    <loc>https://example.org/vrachi/ivanov-ivan-ivanovich/</loc>
+    <lastmod>2026-09-12</lastmod>
+  </url>
+</urlset>
+```
+
+Отправка:
+- Google: GSC → «Файлы Sitemap»; пинг-эндпоинт sitemap **устарел** (Google отключил ping в 2023) — не используй.
+- Яндекс: Вебмастер → «Индексирование → Файлы Sitemap»; для быстрых изменений — «Переобход страниц» / API.
+- IndexNow (Bing, Яндекс) — для оперативного уведомления об изменениях; **проверить актуальную поддержку**.
+
+## 5. Canonical
+
+```html
+<link rel="canonical" href="https://example.org/uslugi/mrt-golovy/">
+```
+
+Правила:
+- **Абсолютный** URL, тот же протокол и хост, что в sitemap и внутренних ссылках.
+- Один canonical на страницу. Self-referencing — норма (страница ссылается на себя).
+- Canonical — **подсказка**, а не приказ: поисковики могут выбрать другой URL, если сигналы противоречат
+  (внутренние ссылки, sitemap, редиректы, hreflang).
+- Не ставь canonical с параметрами на «чистый» URL и наоборот непоследовательно.
+- Пагинация: canonical на **саму страницу пагинации** (`?page=2` → само на себя). Canonical всех страниц
+  пагинации на первую — ошибка: страницы 2…N выпадут из индекса.
+- Фасеты: «ценные» фильтры (например, `/uslugi/mrt/?price=do-5000`) — можно индексировать; «мусорные»
+  (сортировки, `print`, `view=list`) — `noindex,follow` или `Clean-param` (Яндекс). Не блокируй обход
+  фасетов в robots.txt — робот не увидит `noindex`.
+- Дубли www/без-www, http/https, слэш/без слэша, `index.php` — склеивай 301 + canonical.
+- Если контент проиндексирован по «не тому» URL — исправляй сигналы (внутренние ссылки, sitemap), а не только
+  canonical. Отчет GSC «Страницы → Альтернативная страница с корректным каноническим тегом» это показывает.
+
+## 6. Дубли и «тонкие» страницы
+
+Виды дублей: параметры URL, сортировки, `print`/`amp`-версии, www/http, слеш, КАПС, `?utm_*`, копии контента
+между разделами, одинаковые карточки врачей в нескольких отделениях.
+
+Антидубль-набор:
+1. 301 на канонический URL (www/http/слэш) — на уровне сервера.
+2. `canonical` на канонический URL — на уровне HTML.
+3. Один URL в sitemap и внутренних ссылках.
+4. UTM-метки не должны создавать индексируемые копии: `Clean-param` (Яндекс), `noindex` на страницах с
+   «кампанейскими» параметрами, canonical на чистый URL.
+5. Уникальные title/description/H1 на каждой значимой странице (шаблон + данные).
+
+«Тонкие» страницы (мало контента, нет уникальной ценности): карточка врача из 2 строк, услуга-заглушка,
+тег с одним постом, страница «спасибо». Решение: обогатить (фото, образование, цены, показания, FAQ) или
+`noindex,follow` и убрать из sitemap. Массовые «пустые» URL — прямой путь к фильтру «малоценных страниц»
+(Яндекс) и снижению качества сайта в целом.
+
+## 7. Пагинация
+
+- Страницы пагинации — **индексируемые**, canonical self-referencing, уникальные title
+  (`Раздел — страница 2`), ссылки `?page=N` обычными `<a href>`.
+- `rel="next"/"prev"` Google **не использует** с 2019 — можно не ставить (не вредит).
+- `noindex` на пагинацию — только если это чисто навигационные страницы без самостоятельной ценности и
+  есть альтернативный доступ к контенту (категории/фильтры).
+- Бесконечный скролл: обеспечь реальные URL для «следующих» страниц (иначе контент не проиндексируется).
+- «View all» — допустимо как отдельный URL с canonical на себя, если страница не слишком тяжёлая.
+
+## 8. hreflang (только при реальной мультиязычности/мультирегиональности)
+
+```html
+<link rel="alternate" hreflang="ru-RU" href="https://example.ru/">
+<link rel="alternate" hreflang="en" href="https://example.com/">
+<link rel="alternate" hreflang="x-default" href="https://example.ru/">
+```
+
+- Ссылки **взаимные**: каждая версия ссылается на все остальные и на себя (self-referencing обязателен).
+- `x-default` — для страницы выбора языка/региона.
+- Не путай с `lang="ru"` на `<html>` — это разные вещи (hreflang про альтернативные URL).
+- Ошибки видны в GSC (отчёт «Международные цели») — проверяй.
+- Для example.org (один язык, один регион) hreflang **не нужен** — не добавляй «на всякий случай».
+
+## 9. Мобильный и Core Web Vitals
+
+Индексирование mobile-first: робот в основном смотрит мобильную версию. Значит мобильная версия должна
+содержать тот же контент и мета, что десктопная.
+
+### Пороговые значения CWV (75-й перцентиль, отдельно mobile/desktop)
+
+| Метрика | Хорошо | Требует улучшения | Плохо | Что оптимизировать |
+|---|---|---|---|---|
+| **LCP** (загрузка) | ≤ 2,5 с | 2,5–4,0 с | > 4,0 с | сервер/TTFB, размер LCP-картинки, preload, `fetchpriority="high"`, критический CSS |
+| **INP** (отзывчивость) | ≤ 200 мс | 200–500 мс | > 500 мс | длинные JS-задачи, разбиение, `requestIdleCallback`, меньше сторонних скриптов |
+| **CLS** (сдвиги) | ≤ 0,1 | 0,1–0,25 | > 0,25 | размеры у img/iframe/video, `font-display`, место под баннеры, без вставок над контентом |
+
+Источник: `web.dev/articles/vitals` (обновлено 31.10.2024; INP заменил FID в марте 2024).
+
+Быстрые победы:
+- LCP-изображение — не `loading="lazy"`, наоборот `fetchpriority="high"` + `preload`; WebP/AVIF; правильные размеры;
+  CDN или кеш; TTFB < 0,8 с (цель).
+- Шрифты: `font-display: swap`, `preload` для основного, `size-adjust`/фолбэк с похожими метриками.
+- CLS: всегда `width`/`height` или `aspect-ratio`; не вставляй рекламу/баннер над контентом; не подменяй шрифт
+  с другими метриками без `size-adjust`.
+- JS: минимум сторонних скриптов; счётчики — async/defer; тяжёлые виджеты (карты, чаты) — lazy после
+  взаимодействия.
+- Проверка: PageSpeed Insights (поле + лаборатория), GSC «Основные интернет-показатели», Lighthouse,
+  Chrome UX Report (CrUX). Лабораторные данные ≠ полевые: сдавай по полевым (CrUX) или по плану улучшения.
+
+## 10. JavaScript / SPA
+
+Google умеет рендерить JS, но:
+- Рендеринг **отложенный** и не гарантирован для каждого URL; `noindex` в JS может не сработать — только в HTML.
+- Контент, ссылки, мета должны быть в **исходном HTML** (SSR/SSG/prerender). Проверка: `curl -A "Googlebot" URL`
+  и `view-source:` — в ответе должны быть title/description/H1/текст/ссылки.
+- После 2025 Google уточнял: страницы с не-200 кодом могут **не** отправляться на рендеринг — не отдавай
+  контент с 404/500 «для красоты».
+- Ссылки — настоящие `<a href>`, а не `onclick`/`div`.
+- Canonical — в исходном HTML, соответствующий серверному URL. Canonical, добавленный только через JS,
+  Google может проигнорировать (проверить на актуальной версии).
+- SPA-роутинг: каждый маршрут должен иметь серверный ответ 200 с уникальным HTML (SSR/SSG), иначе будет
+  один индексируемый URL и пустые остальные.
+- Dynamic rendering — **не рекомендуется** (временный костыль), лучше SSR/SSG.
+
+Стек-решения: `stack-recipes.md`.
+
+## 11. Лог-анализ и crawl budget (для больших сайтов)
+
+Когда делать: > 10 000 URL, тысячи фасетов, медленная индексация, скачки 5xx.
+- Возьми access-логи за 7–30 дней, отфильтруй по `Googlebot`/`YandexBot` user-agent + проверь **обратный DNS**
+  (user-agent легко подделать).
+- Что смотреть: доля 5xx/404 у робота, самые обходимые URL (не мусор ли), глубина обхода, скорость ответа
+  роботу, сколько уникальных URL обошёл за период, какие разделы робот не заходит вообще.
+- Цель: робот тратит бюджет на деньги-страницы, а не на `?sort=price_asc&page=17`.
+- Яндекс: «Индексирование → Обход сайта» в Вебмастере; Google: GSC → «Настройки → Статистика обхода»
+  (в 2025 часть отчётов переехала — проверить расположение на актуальной версии).
+- Инструмент: `seo-audit.mjs` умеет считать распределение статусов по логам, если передать access.log.
+
+## 12. Миграции URL и переезды (самый опасный жанр)
+
+Чек-лист миграции (переезд, смена ЧПУ, редизайн, смена CMS):
+1. **Инвентаризация:** выгрузи все индексируемые URL (sitemap + GSC/Вебмастер + краул), зафиксируй трафик
+   по URL за 3 месяца (baseline).
+2. **Карта редиректов** «старый → новый», 1:1, без цепочек. Для групп — правила, но проверь каждую.
+3. **301** на новые URL (не 302), на уровне сервера/`.htaccess`/nginx, до приложения.
+4. **Внутренние ссылки** — обнови на новые URL (иначе робот ходит по старым через редирект).
+5. **sitemap** — только новые URL; отправь в GSC и Вебмастер.
+6. **Canonical/OG/hreflang** — обнови.
+7. **Мониторинг 2–4 недели:** 404 и 5xx в GSC/Вебмастере и логах; «Страницы» — не растёт ли «Не найдено».
+8. **Инструмент смены адреса:** GSC «Изменение адреса» (для смены домена), Яндекс Вебмастер — «Переезд сайта».
+   Для смены структуры внутри домена — только редиректы + новые sitemap.
+9. Не выкатывай редизайн и смену URL одновременно с крупным релизом — не сможешь отделить причину просадки.
+
+Правило отката: карта редиректов и старые шаблоны мета хранятся в git, откат — за один деплой.
+
+## 13. Безопасность и служебные зоны
+
+- Служебные разделы (`/admin`, `/bitrix/`, `/local/`, личные кабинеты, поиск, корзина) — `noindex` или
+  `Disallow` + `noindex`; лучше `noindex,follow`, чтобы не плодить «скрытые» URL в индексе.
+- Тестовые домены/стейджи — **HTTP Basic Auth** или `noindex` + robots, иначе копии контента конкурируют.
+- `noindex` на страницах пагинации/фильтров — только осознанно (см. §7).
+- Не отдавай 200 на несуществующие страницы (soft 404) и не прячь ошибки PHP за «красивой» страницей.
+- `X-Robots-Tag` в заголовках — для не-HTML (PDF, изображения) и для закрытия целых групп на сервере.
+
+## 14. Частые технические ошибки (топ-20)
+
+1. `noindex` на услугах/деньгах после «правок безопасности».
+2. Canonical с параметрами (`?utm=`) или на главную со всех страниц.
+3. Дубли www/http/слэш без 301.
+4. Шаблонные title/description на сотнях страниц.
+5. Sitemap с 404/редиректами/`noindex`.
+6. `lastmod` = сегодня у всех URL.
+7. Закрытые в robots.txt CSS/JS → робот не видит контент.
+8. Цепочки редиректов и редирект на главную вместо 404.
+9. Контент только после JS без SSR.
+10. Lazy-load на LCP-картинке.
+11. Нет `width/height` у изображений → CLS.
+12. Бесконечные фасеты в индексе.
+13. Нет мобильной версии/мобильная версия без контента десктопа.
+14. Битые внутренние ссылки и 404 в меню.
+15. Дубли контента между разделами без canonical.
+16. Разные URL для одного раздела (меню/крошки/хлебные крошки ведут на разные варианты).
+17. Пагинация с canonical на первую страницу.
+18. Скрытый текст/ссылки «для SEO» (риск санкций).
+19. Отсутствие 404-страницы с навигацией (пользователь уходит).
+20. Не настроен регион в Яндексе для локального бизнеса.
+
+## 15. Первоисточники (проверять при сомнениях)
+
+- Технические требования Google: https://developers.google.com/search/docs/essentials
+- Обход и индексация: https://developers.google.com/search/docs/crawling-indexing
+- robots.txt: https://developers.google.com/search/docs/crawling-indexing/robots/intro
+- Sitemap: https://developers.google.com/search/docs/crawling-indexing/sitemaps/build-sitemap
+- Canonical/дубли: https://developers.google.com/search/docs/crawling-indexing/consolidate-duplicate-urls
+- URL-структура: https://developers.google.com/search/docs/crawling-indexing/url-structure
+- 301-редиректы: https://developers.google.com/search/docs/crawling-indexing/301-redirects
+- HTTP-коды и сети: https://developers.google.com/search/docs/crawling-indexing/http-network-errors
+- JavaScript SEO: https://developers.google.com/search/docs/crawling-indexing/javascript/javascript-seo-basics
+- hreflang: https://developers.google.com/search/docs/specialty/international/localized-versions
+- Спам-политики: https://developers.google.com/search/docs/essentials/spam-policies
+- CWV: https://web.dev/articles/vitals · LCP: https://web.dev/articles/lcp · INP: https://web.dev/articles/inp ·
+  CLS: https://web.dev/articles/cls
+- PageSpeed Insights: https://pagespeed.web.dev
+- Яндекс Вебмастер (справка): https://yandex.ru/support/webmaster/ru/
+- Обновления документации Google (хронология): https://developers.google.com/search/updates

package/skills/service-desk-conventions/SKILL.md

@@ -0,0 +1,40 @@
+---
+name: service-desk-conventions
+description: "Соглашения и инварианты проекта Service Desk организация — где что лежит, как устроены модули, темы и RBAC, что нельзя ломать."
+whenToUse: "Любая задача по проекту Service Desk (заявки, активы, склад, отчёты, справочник, AD/LDAP, UI) — читать перед правками."
+user-invocable: true
+---
+
+# Service Desk организация — соглашения проекта
+
+## Где что
+- Рабочая копия (1.39.0): `%USERPROFILE%\OneDrive\Документы\deepseek-harness\default-workspace\src\service-desk-1.38.1`
+- Досье проекта: `%USERPROFILE%\.dsh\memory\projects\service-desk.md`
+- Приватный архив (аудит/тесты/релизы/скриншоты): `%USERPROFILE%\.dsh\memory\projects\service-desk\`
+- Реальный сервер: `app-server`, `/var/www/service-desk`, PostgreSQL `servicedesk`, сайт `http://127.0.0.1:8000`.
+
+## Архитектура (коротко)
+- Laravel 13 / PHP 8.5 / PostgreSQL / Blade + Vite + SCSS.
+- Модули: `modules/{Tickets,Assets,Inventory,Reports,DirectorySync}`; регистрация — явно `config/modules.php` → `app/Providers/ModuleServiceProvider.php`; провайдер = `loadViewsFrom` + `loadMigrationsFrom` + `Route::middleware('web')->group(routes/web.php)`.
+- Маршруты модулей **без `auth`** — только `permission:*`; добавляя маршрут, ставь `auth` (или осознанно) и `permission:*`; не переименовывай route names.
+- RBAC: `CheckPermission` (`permission:`), `EnsureAdmin` (`admin`), `RoleGate` (ALLOWED/DENIED по именам). Админ-роль `admin` даёт все права.
+- Темы: каркас `themes/default/views/layouts/app.blade.php` (один на все палитры); страницы — `themes/default/views/*`, `resources/views`, `modules/*/resources/views` (namespace `tickets::` и т.п.).
+- UI-стили: `resources/scss/app.scss` → `_tokens.scss`, `_ui-refresh.scss` (новые правила сюда), `_legacy.scss` (только база).
+- Аудит: `AuditObserver` (Ticket/Asset/Consumable/StockMove/Reminder/News) → `audit_logs`.
+
+## Нельзя ломать
+- Миграции — только новые, аддитивные; не редактировать старые.
+- `db:seed` в 1.39.1 идемпотентен — не переделывать на updateOrCreate/сброс паролей.
+- Формы: не убирать `name`-атрибуты, `required` и подписи под полями (на них тесты `FormHintsTest`, `TicketFormVisibilityTest`).
+- `@html` (HtmlSanitizer) — единственный безопасный вывод размеченного текста; не использовать `{!! !!}` для пользовательских данных.
+- Права/владельцы: не менять логику доступа без теста на обычного пользователя и админа.
+- Скрытые разделы: `MODULES_HIDDEN` (config `modules.hidden`), `Modules::visible()`.
+
+## Стиль кода
+- Русский язык комментариев/интерфейса; PHP PSR-12 (Laravel Pint), 4 пробела.
+- Транзакции для многозаписных операций, `lockForUpdate()` при гонках, валидация входящих данных.
+- После доработки — bump версии в `config/app.php` (feature → minor, fix → patch) по правилам из досье.
+
+## Полезное
+- Тесты: `php scripts/test.php` (из корня проекта), либо `make test` (Linux).
+- Стандарты правок и релиза: скиллы `service-desk-db-safety`, `service-desk-testing`, `service-desk-release`, `service-desk-ui`.

package/skills/service-desk-db-safety/SKILL.md

@@ -0,0 +1,52 @@
+---
+name: service-desk-db-safety
+description: "Безопасная работа с PostgreSQL проекта Service Desk — бэкапы, восстановление, запрещённые команды, имитация обновления на копии."
+whenToUse: "Перед любыми миграциями, сидами, загрузкой данных, релизом или действиями, которые могут изменить или удалить данные БД."
+user-invocable: true
+---
+
+# PostgreSQL: безопасность данных (Service Desk)
+
+## Железные правила
+- Боевая БД — PostgreSQL на сервере `app-server` (`servicedesk`). Локальный кластер — только тестовый.
+- **НИКОГДА** без прямого разрешения пользователя:
+  - `migrate:fresh|refresh|reset`, `db:wipe`, `db:seed` на боевой БД, `migrate:rollback`, `dropdb`;
+  - `TRUNCATE` для `phonebook_entries` (каскад на `users` и связанные таблицы!);
+  - `composer run preview:reset` (при отсутствии `.env.preview` берёт боевой `.env` → `migrate:fresh` на проде);
+  - `clear-tickets.sh` / `tickets:purge` (удаляет все заявки и вложения).
+- Перед рискованным: бэкап + проверка окружения.
+- Никогда не подключаться к боевой БД с локальных экспериментов.
+
+## Бэкап (на сервере)
+```bash
+sudo -u den php artisan backup:run --reason="before-<что>"
+sudo -u postgres pg_dump -Fc -d servicedesk -f /var/backups/service-desk/pre-<версия>.dump
+sudo -u postgres pg_restore -l /var/backups/service-desk/pre-<версия>.dump | head
+```
+- `backup:run` кладёт database.dump + env.txt + files.zip в `BACKUP_PATH` (по умолчанию `/var/backups/service-desk`).
+- Копию обязательно скачать себе (WinSCP), не хранить только на том же сервере.
+- Требует `pg_dump` в PATH (на сервере есть; локально Windows — добавить `C:\Program Files\PostgreSQL\18\bin`).
+
+## Восстановление (только по разрешению)
+```bash
+cd /var/www/service-desk && sudo -u den php artisan down
+sudo -u postgres dropdb servicedesk && sudo -u postgres createdb servicedesk
+sudo -u postgres pg_restore --no-owner --role=postgres -d servicedesk <dump>
+sudo -u den php artisan migrate --force && sudo -u den php artisan optimize:clear
+sudo -u den php artisan up
+```
+`dropdb` — только после подтверждения и при наличии проверенного дампа.
+
+## Локальная проверка (безопасно)
+- Локальный кластер: PostgreSQL 18, данные `...\default-workspace\pgruntime\data` (ICU locale ru-RU, порт 5432); БД `servicedesk` (dev) и `servicedesk_test` (PHPUnit, RefreshDatabase).
+- Имитация обновления: развернуть старую версию в отдельной папке/БД, засеять данные, снять контрольные суммы, наложить новый код, `migrate --force`, сверить counts/md5 — см. скилл `pg-upgrade-verify`.
+- В тестах `RefreshDatabase` работает только на `servicedesk_test`, не на прод.
+
+## Перед релизом с миграциями
+1. Сравнить списки миграций старой и новой версии; прочитать новые: нет ли `dropColumn`, изменения NOT NULL, переименований.
+2. Прогнать `php artisan migrate --pretend` (на копии!) и посмотреть SQL.
+3. Сделать бэкап, только потом `migrate --force`.
+
+## Признаки проблемы
+- Сайт в maintenance → `sudo -u den php artisan up`.
+- Ошибки БД → `storage/logs/laravel.log`, `journalctl -u service-desk-queue`, не спешить с откатом/восстановлением.

package/skills/service-desk-release/SKILL.md

@@ -0,0 +1,43 @@
+---
+name: service-desk-release
+description: "Выпуск и выкатка обновления Service Desk — версия, сборка tgz, checksums, deploy/update.sh, проверки и откат."
+whenToUse: "При подготовке любого обновления или релиза и при выкатке на сервер app-server."
+user-invocable: true
+---
+
+# Релиз Service Desk (tgz + update.sh)
+
+## Правила версии
+- Версия по умолчанию — `config/app.php`: `env('APP_VERSION', 'X.Y.Z')`.
+- feature → minor (1.39.0 → 1.40.0), fix → patch (1.39.0 → 1.39.1), breaking → major.
+- При обновлении `deploy-ubuntu.sh` берёт RELEASE из `config/app.php` и записывает в `.env`.
+
+## Сборка архива (как Claude Code)
+1. Правки проверены: `php scripts/test.php` зелёный, UI-скриншоты сделаны.
+2. Собрать tgz **без** `vendor/ node_modules/ public/build/ storage/ .env .env.preview .git .claude`.
+3. Надёжный способ: распаковать эталонную предыдущую версию в staging, наложить изменённые файлы, `tar -czf`.
+4. Посчитать sha256, записать в `checksums.txt`; файл положить на Рабочий стол.
+
+## Выкатка (сервер app-server, пользователь den)
+```bash
+cd /tmp && sha256sum service-desk-X.Y.Z.tgz       # сверить с локальным
+sudo tar --no-same-owner -xzf /tmp/service-desk-X.Y.Z.tgz -C /var/www/service-desk
+cd /var/www/service-desk && sudo APP_ADDR=127.0.0.1 bash deploy/update.sh
+```
+`update.sh` сам: backup → maintenance → composer/npm/build → migrate → seed (идемпотентен) → services/caches → up.
+
+## Проверки после «Готово»
+1. Ctrl+F5 → версия внизу меню = X.Y.Z.
+2. Число заявок прежнее, старые номера/вложения открываются.
+3. Затронутый раздел/фича работает (сценарий из задачи).
+4. Админ и обычный пользователь — оба сценария.
+5. При желании: `sudo -u den php artisan launch:check`.
+
+## Откат
+- Код: вернуть папку `Task.old-<дата>` (если делали копию до обновления) или распаковать предыдущий архив.
+- БД: восстанавливать только если релиз менял данные/схему (см. `service-desk-db-safety`); обычно не нужно.
+- Снять maintenance: `sudo -u den php artisan up`.
+
+## Журнал
+- Записать факт выкатки и проверки в `%USERPROFILE%\.dsh\memory\SESSIONS.md` + досье проекта.
+- Структуру/команды и пример — `...\memory\projects\service-desk\release\UPDATE-1.39.0.md`.

package/skills/service-desk-testing/SKILL.md

@@ -0,0 +1,47 @@
+---
+name: service-desk-testing
+description: "Как тестировать Service Desk — PHPUnit на PostgreSQL, baseline, известные особенности, Playwright E2E и визуальные проверки."
+whenToUse: "При любой правке кода или UI проекта — до и после изменений; при подготовке релиза."
+user-invocable: true
+---
+
+# Тестирование Service Desk
+
+## Рабочая копия
+`%USERPROFILE%\OneDrive\Документы\deepseek-harness\default-workspace\src\service-desk-1.38.1`
+
+## PHPUnit на PostgreSQL (обязательно)
+```powershell
+# из корня проекта (Windows)
+php scripts/test.php
+# Linux/CI
+make test
+```
+Скрипт поднимает env: `DB_CONNECTION=pgsql DB_HOST=127.0.0.1 DB_PORT=5432 DB_DATABASE=servicedesk_test DB_USERNAME=postgres DB_PASSWORD= APP_URL=http://localhost`.
+- Тесты используют `RefreshDatabase` на **servicedesk_test** — боевую БД не трогают.
+- Локальный кластер PostgreSQL 18: `pgruntime/data` (ICU locale ru-RU — важно для ILIKE кириллицы), порт 5432.
+- Если PG не запущен: `Start-Process "$pgbin\pg_ctl.exe" -ArgumentList @('-D', $data, '-l', $log, 'start') -WindowStyle Hidden`.
+- Baseline (эталон): 542 теста / 2750 assertions — все зелёные (предупреждение PHPUnit deprecation — нормально).
+- Пропуски `markTestSkipped` — только для отсутствующих пользовательских файлов (`docs/requests/*.xlsx`), это норм.
+
+## Что проверять
+1. До правки — зафиксировать baseline (`php scripts/test.php`), после — сравнить.
+2. Новую функциональность покрывать: feature-тест доступов/валидации/сценария + unit для логики.
+3. Права: отдельно проверить админа и обычного пользователя (нельзя открывать служебные поля/разделы).
+4. Данные: форма не должна терять/подменять значения (см. `TicketStrictAccountingTest`).
+
+## E2E/UI (Playwright)
+- Инструменты: `%USERPROFILE%\OneDrive\Документы\deepseek-harness\default-workspace\tools\e2e` (`npx.cmd playwright test`).
+- Стенд: `php artisan serve --port=8125` из рабочей копии (PG dev-БД `servicedesk`); вход `admin@example.com/admin`, `user@example.com/user`.
+- Скриншоты складывать в `...\default-workspace\audit\screenshots\` (desktop 1440 + mobile 390/412, светлая/тёмная темы).
+- Эталонные e2e: `tools\e2e\tests\priority.spec.js` (фича 1.39.0).
+
+## Известные особенности
+- Тесты требуют собранный `public/build` (`@vite` в layout). Пересобрать: `npm run build`.
+- Локальный Windows: `is_writable` мог быть false под старыми политиками — сейчас полный доступ.
+- Не запускай полный набор параллельно с другим прогоном (общая БД `servicedesk_test`).
+- При падении: читать `storage/logs/laravel.log` (в тестах `LOG_CHANNEL=null` в скрипте) и полный вывод PHPUnit.
+
+## Качество
+- `make lint` / `php scripts/lint.php` — Pint по изменённым файлам (vs HEAD);
+- `make stan` / `php scripts/stan.php` — PHPStan/Larastan (baseline для legacy).

package/skills/service-desk-ui/SKILL.md

@@ -0,0 +1,33 @@
+---
+name: service-desk-ui
+description: "Правила UI/UX проекта Service Desk — где править вёрстку и темы, дизайн-токены, скриншоты и визуальная проверка."
+whenToUse: "Любая правка интерфейса, тем, вёрстки, SCSS/JS или UX-текстов в Service Desk."
+user-invocable: true
+---
+
+# UI/UX Service Desk
+
+## Где править
+- Каркас (меню/шапка/футер): `themes/default/views/layouts/app.blade.php` (темы — только палитры; отдельные папки тем удалены).
+- Страницы: `themes/default/views/*` (dashboard, news, reminders, users, access), `resources/views/*` (auth/login, errors/403, phonebook, partials, pagination), `modules/*/resources/views/*` (заявки, активы, склад, отчёты — namespace `tickets::` и т.п.).
+- Стили: `resources/scss/app.scss` — точка входа; новые правила в `_ui-refresh.scss`, базовое — `_legacy.scss`; токены — `_tokens.scss`.
+- JS: `resources/js/app.js` (+ Bootstrap, виджеты React по требованию). Сборка: `npm run build` (иначе production 500 и тесты падают).
+- Иконки: `public/themes/default/icons/*.svg`; шрифты: `public/fonts`.
+
+## Дизайн-правила проекта
+- Прямые углы (радиусы 0), спокойная медицинская палитра, 4 палитры: light/dark/contrast/modern.
+- Обязательные состояния: hover, focus-visible, active, disabled, loading, empty, error.
+- Адаптив: ≤560px (одна колонка), ≤960px (меню сверху), >960px (сайдбар); широкие таблицы — в `.table-wrap`.
+- Под каждым полем — `.field-help` (одно предложение, без терминов); ошибки — `.field-error`; обязательные — `label-required`.
+- Не использовать `{!! !!}` для пользовательского контента — только `@html` (HtmlSanitizer).
+- Тексты — по-русски, коротко и по делу; кнопки — глаголом («Создать заявку», «Сохранить»).
+
+## Проверка UI
+1. `php artisan serve --port=8125` из рабочей копии; вход `admin@example.com/admin` / `user@example.com/user`.
+2. Playwright: `...\default-workspace\tools\e2e` → `npx.cmd playwright test`; скриншоты desktop 1440 и mobile (Pixel 7).
+3. Проверить светлую и тёмную темы, пустые состояния, длинные тексты, кириллицу, ошибки форм.
+4. Скриншоты «до/после» приложить к отчёту (`...\default-workspace\audit\screenshots`).
+
+## Полезное
+- Прошлые скриншоты: `%USERPROFILE%\.dsh\memory\projects\service-desk\screenshots\`
+- Правила вывода ошибок/валидации: `resources/lang` нет — `lang/ru/validation.php`; сообщения на русском.

package/skills/skills-router/SKILL.md

@@ -0,0 +1,91 @@
+---
+name: skills-router
+description: "Маршрутизатор навыков: классифицирует любую задачу и обязывает загрузить все применимые скиллы до начала работы — код, анализ, тесты, дизайн, SEO, БД, безопасность, релиз, плагины."
+whenToUse: "В начале КАЖДОЙ задачи (даже небольшой): быстро определить тип работы и загрузить нужные скиллы; при сомнении загрузить и просмотреть."
+user-invocable: true
+---
+
+# SKILLS-ROUTER — навыки применяются сами, везде, где применимо
+
+> Проблема, которую решает этот скилл: модель знает о скиллах, но забывает их загрузить — особенно
+> в «мелких» задачах. Здесь жёсткий протокол: **классифицируй задачу → загрузи применимые скиллы →
+> только потом действуй**. Навык — не справка «на всякий случай», а рабочий контракт.
+
+## 0. Правило
+1. В начале задачи (до чтения кода/данных) пройди триаж по таблице ниже.
+2. Загрузи **все** применимые скиллы через tool `skill`. Два-три скилла — норма, не перегруз.
+3. В плане/первом сообщении явно перечисли, какие скиллы применяешь и почему.
+4. В финальном отчёте — какие гейты пройдены. Если ни один скилл не применим — скажи это.
+5. «Маленькая задача» — не причина пропускать скилл: именно мелочи чаще всего ломают данные/дизайн/SEO.
+6. Проектные скиллы уточняют универсальные; при конфликте побеждает проектный, но не в ущерб безопасности.
+7. Вопрос про **актуальное/сегодня/последние изменения/цены/версии/законы** — это всегда `web-research` (живой `web_search` + `web_fetch`), с датой и ссылками. Память модели не источник свежих фактов.
+
+## 1. Триаж за 60 секунд
+Ответь себе:
+- **Что создаём/меняем?** (код, интерфейс, контент, данные, конфиг, документ, инфраструктура, плагин)
+- **Какой стек?** (PHP/Laravel, Bitrix/Aspro, JS/TS/React, Python, PowerShell, SQL, HTML/CSS)
+- **Какие риски?** (данные/БД, безопасность/доступ, деньги, публичный контент, прод, необратимость)
+- **Что пользователь увидит/измерит?** (UI, SEO, скорость, отчёты, API)
+- **Как проверим?** (тесты, скриншоты, аудит, ручной сценарий, бэкап/восстановление)
+- **Какие артефакты на выходе?** (файлы, архив, релиз, документация, скриншоты)
+
+## 2. Матрица «тип задачи → скиллы»
+
+| Тип задачи / триггер | Обязательные скиллы |
+|---|---|
+| **Любая задача** (старт и финал) | `skills-router`, `dev-workflow`; в конце — `code-review-checklist` |
+| Планирование, ТЗ, анализ, декомпозиция, оценка, исследование | `requirements-and-planning` (+ `dev-workflow`) |
+| Актуальные факты, новости, «что сейчас», цены, версии, законы, документация, конкуренты | `web-research` (+ профильный: `content-writing` / `seo` / `php-laravel` / `bitrix-aspro` по теме) |
+| Любая вёрстка, UI, компонент, лендинг, дашборд, тема, адаптив | `wow-design`; ревью/апгрейд — `design-critique`; стили/каскад — `css-scss` |
+| Любой веб-артефакт: страница, шаблон, URL, мета, контент, миграция сайта, лендинг, блог | `seo` (SEO по умолчанию) + `wow-design` (если UI) |
+| Laravel / PHP / Blade / Eloquent / artisan | `php-laravel`; при UI — `wow-design`; при контенте — `seo` |
+| Bitrix / Aspro / шаблоны сайта | `bitrix-aspro` + `seo` (+ `css-scss` при стилях) |
+| React / JS / TS / Vite / Node / плагины DSH | `javascript-typescript` (+ `react` для React, `security-review` для плагинов) |
+| БД, SQL, миграции, импорт/экспорт, восстановление | `database-safety` (+ проектный `service-desk-db-safety`); перед миграциями — бэкап |
+| Тесты (unit/feature/E2E/визуальные), baseline | `testing-strategy` (+ `service-desk-testing` для Service Desk) |
+| Баг, падение теста, «не работает» | `debugging-playbook`; тесты — `testing-strategy` |
+| Аутентификация, авторизация, роли, загрузки, платежи, секреты | `security-review` (+ `code-review-checklist`) |
+| Релиз, деплой, версия, архив, откат | `release-and-deploy` (+ `git-and-ci`, `service-desk-release` при необходимости) |
+| Git, ветки, CI, теги, коммиты | `git-and-ci` |
+| Документы Word/Excel/PowerPoint/PDF | `office` + соответствующий `office-*` |
+| Генерация изображений | `img` |
+| Проверка/аудит готового кода/UI | `code-review-checklist` + `design-critique` (UI) + `seo` (веб) |
+| Анализ/исследование/сравнение вариантов | `requirements-and-planning` + `dev-workflow`; фиксировать выводы в память |
+
+Несколько строк применимы одновременно — загрузи все (например, «новый лендинг на Laravel» → `php-laravel` + `wow-design` + `seo` + `testing-strategy` + `code-review-checklist`).
+
+## 3. Минимальный набор по артефактам
+
+| Артефакт | Минимум |
+|---|---|
+| Новая страница/лендинг | `wow-design` + `seo` (+ `css-scss`, если правятся стили) |
+| Новый компонент/UI-кит | `wow-design` (+ `react`/`javascript-typescript`) |
+| Правка шаблона Bitrix | `bitrix-aspro` + `seo` (+ `wow-design` для UI) |
+| Миграция/изменение схемы | `database-safety` + `php-laravel` (+ бэкап) |
+| Новый API/форма/авторизация | `php-laravel` + `security-review` + `testing-strategy` |
+| Плагин/скрипт автоматизации | `javascript-typescript` + `security-review` + `testing-strategy` |
+| Релизный архив/выкатка | `release-and-deploy` + `git-and-ci` (+ `code-review-checklist`) |
+| Тексты/статьи/анкеты для сайта | `seo` + `requirements-and-planning` (+ `wow-design`, если вёрстка) |
+| Аудит существующего | `code-review-checklist` (+ `design-critique`/`seo` по объекту) |
+
+## 4. Что считается «применил скилл»
+- Прочитал `SKILL.md` и релевантные `references/` (не только каталог).
+- Взял оттуда конкретные правила/шаблоны/чек-листы и применил их в работе.
+- Прошёл гейт/DoD из скилла (тесты, скриншоты, SEO-аудит, бэкап, ревью и т.д.).
+- Указал в отчёте: «Применено: wow-design (гейт рубрики 4.6), seo (title/meta/schema), testing-strategy (unit+E2E)».
+
+## 5. Антипаттерны (не делать)
+- «Загружу скилл, если вспомню» — триаж обязателен в начале.
+- Прочитать только `description` и считать, что применил.
+- Пропустить `seo`, потому что «это просто правка шаблона» — именно шаблоны ломают индексацию.
+- Пропустить `database-safety`, потому что «миграция аддитивная» — бэкап всё равно обязателен.
+- Игнорировать `wow-design`, потому что «это внутренняя админка» — качество UI влияет на скорость работы.
+- Применять веб-скиллы (`css-scss`, `seo`) к не-веб задачам (скрипт, документ, БД) — шум и потеря времени.
+- Загрузить 5 скиллов и не применить ни один.
+
+## 6. Автоконтроль перед сдачей
+- [ ] Триаж выполнен в начале, список скиллов зафиксирован.
+- [ ] Все применимые скиллы загружены и реально использованы.
+- [ ] Гейты пройдены: тесты/скриншоты/SEO/бэкап/ревью — что применимо.
+- [ ] В отчёте перечислены применённые скиллы и результаты гейтов.
+- [ ] Если скилл не применим — это осознанное решение, а не забывчивость.