dsh-desktop-kit 0.0.0-stage → 2.0.0

package/skills/seo/references/technical-seo.md

@@ -0,0 +1,296 @@
+> Часть навыка seo. ≈8 050 токенов. Читать, когда: техническая правка или просадка трафика — статусы, robots, sitemap, canonical, пагинация, фасеты, hreflang, CWV, JS/SPA, миграции URL.
+
+# Техническое SEO — краулинг, индексация, URL, скорость
+
+> Справочник по технической части. Всё, что здесь есть, проверяется **в коде и в инструментах**, а не «на глаз».
+> Первоисточники — в конце файла. Данные проверены на **04.11.2026**; спорные/меняющиеся места помечены
+> «проверить на актуальной версии».
+
+## 1. Как поисковик проходит путь до выдачи (и где всё ломается)
+
+`обнаружение → обход (crawl) → рендеринг → индексация → ранжирование → показ сниппета`
+
+| Этап | Что решает | Типовые поломки |
+|---|---|---|
+| Обнаружение | внутренние ссылки, sitemap, внешние ссылки | сироты, ссылки только в JS-меню, `nofollow` на всём, sitemap не отправлен |
+| Обход | robots.txt, статус-коды, скорость ответа, crawl budget | 5xx, таймауты, бесконечные фасеты, цепочки редиректов, закрытые CSS/JS |
+| Рендеринг | SSR/SSG vs клиентский JS | контент/мета только после JS, `noindex` в JS, «мягкие 404» |
+| Индексация | canonical, дубли, качество, `noindex` | canonical на чужой URL, дубли www/http, тысячи мусорных URL |
+| Показ | title/description, разметка, CWV | шаблонные title, нет `og:image`, CLS, медленный LCP |
+
+**Правило:** если страница не индексируется — не оптимизируй её контент. Сначала P0: 200 + indexable + canonical.
+
+## 2. Статус-коды: что делает Google и Яндекс
+
+| Код | Значение для SEO | Что делать |
+|---|---|---|
+| 200 | страница живёт | норма |
+| 301 | постоянный переезд, вес передаётся | смена URL, http→https, www→без www, склейка дублей |
+| 302 / 307 | временно, вес **не** передаётся как постоянный | только реально временные (A/B, обслуживание) |
+| 304 | не изменилось | норма (кеш) |
+| 404 | не найдено, URL постепенно выпадает | удалённые без замены; лучше сразу убрать из sitemap и внутренних ссылок |
+| **410** | удалено навсегда, выпадает быстрее 404 | осознанное удаление страниц (не «спасибо»-страницы) |
+| 403 / 401 | запрещено | только для реально закрытого; для скрытия от поиска — `noindex`, а не 403 |
+| 429 | слишком много запросов | антибот; Google/Яндекс снижают скорость обхода. Не отдавай 429 роботам |
+| 5xx | ошибка сервера | **URL остаётся в индексе**, обход замедляется. Мониторь 5xx в логах и GSC |
+
+Правила:
+- **Один прыжок.** `A → B → C` — плохо, `A → C` — хорошо. Цепочки режут передачу веса и замедляют обход.
+- **Никаких редиректов на главную вместо 404** — это «мягкий 404» и потеря релевантности.
+- **«Мягкий 404»**: страница отдаёт 200, но контент «не найдено». Google считает soft 404, Яндекс — «малоценной».
+  Отдавай честный 404.
+- Удалённую страницу с трафиком не удаляй «в ноль»: 301 на ближайшую релевантную или 410, если замены нет.
+
+## 3. robots.txt
+
+Назначение — **управление обходом**, не индексацией. Чтобы убрать из индекса — `noindex` (и не закрывать
+страницу в robots.txt, иначе робот не увидит `noindex`).
+
+```
+# https://example.ru/robots.txt
+User-agent: *
+Disallow: /bitrix/
+Disallow: /local/
+Disallow: /search/
+Disallow: /*?sort=
+Disallow: /*?print=
+Allow: /bitrix/components/
+Allow: /bitrix/templates/
+Allow: /bitrix/js/
+Allow: /bitrix/css/
+Clean-param: utm_source&utm_medium&utm_campaign&utm_content&utm_term&yclid&gclid&from /  # Яндекс
+Sitemap: https://example.ru/sitemap.xml
+Host: example.ru   # УСТАРЕЛО: Яндекс не использует Host с 2018 года, не пиши
+```
+
+Обязательно:
+- **Не закрывай** CSS, JS, картинки, шрифты — иначе робот не отрисует страницу и не увидит контент.
+- Не закрывай разделы, которые должны ранжироваться (услуги, врачи, статьи, цены).
+- `Sitemap:` — абсолютный URL, можно несколько строк.
+- Лимит Google: **500 КБ** на файл; длиннее — игнорируется (проверить на актуальной версии).
+- Директивы: Google поддерживает `User-agent`, `Disallow`, `Allow`, `Sitemap` (+ группы по user-agent);
+  всё остальное (`Crawl-delay`, `Host`, `Clean-param`) Google **игнорирует**. `Clean-param` понимает Яндекс.
+- Проверка: GSC «Проверка URL»/отчёт robots.txt, Яндекс Вебмастер «Инструменты → Анализ robots.txt».
+- Если сайт на поддомене/в подкаталоге — robots.txt только в корне домена.
+
+Частая ошибка: `Disallow: /` на тестовом домене, скопированный в прод. Проверяй после каждого деплоя.
+
+## 4. sitemap.xml
+
+Формат: XML, `<urlset xmlns="http://www.sitemaps.org/schemas/sitemap/0.9">`. Обязателен `<loc>`; `<lastmod>`,
+`<changefreq>`, `<priority>` — подсказки (changefreq/priority Google игнорирует, Яндекс учитывает слабо;
+не «оптимизируй» ими).
+
+Лимиты (проверить на актуальной версии перед большим сайтом):
+- 1 файл: **≤50 000 URL** и **≤50 МБ** (несжатый). Больше — sitemap-индекс (≤50 000 sitemap-файлов).
+- Только URL, отдающие **200 + indexable**. Никаких 301, 404, `noindex`, закрытых в robots.txt.
+- `<lastmod>` — реальная дата изменения контента в W3C-формате (`2026-11-04` или с временем и `+03:00`).
+  Ставить «сегодня» всем URL — вред: поисковик перестанет верить lastmod.
+- Региональные/языковые версии — через `xhtml:link hreflang` (если реально есть).
+- Sitemap-индекс для сайта с разделами: `sitemap-pages.xml`, `sitemap-uslugi.xml`, `sitemap-vrachi.xml`,
+  `sitemap-news.xml`, `sitemap-docs.xml`.
+
+```xml
+<?xml version="1.0" encoding="UTF-8"?>
+<urlset xmlns="http://www.sitemaps.org/schemas/sitemap/0.9">
+  <url>
+    <loc>https://example.org/uslugi/mrt-golovy/</loc>
+    <lastmod>2026-10-28</lastmod>
+  </url>
+  <url>
+    <loc>https://example.org/vrachi/ivanov-ivan-ivanovich/</loc>
+    <lastmod>2026-09-12</lastmod>
+  </url>
+</urlset>
+```
+
+Отправка:
+- Google: GSC → «Файлы Sitemap»; пинг-эндпоинт sitemap **устарел** (Google отключил ping в 2023) — не используй.
+- Яндекс: Вебмастер → «Индексирование → Файлы Sitemap»; для быстрых изменений — «Переобход страниц» / API.
+- IndexNow (Bing, Яндекс) — для оперативного уведомления об изменениях; **проверить актуальную поддержку**.
+
+## 5. Canonical
+
+```html
+<link rel="canonical" href="https://example.org/uslugi/mrt-golovy/">
+```
+
+Правила:
+- **Абсолютный** URL, тот же протокол и хост, что в sitemap и внутренних ссылках.
+- Один canonical на страницу. Self-referencing — норма (страница ссылается на себя).
+- Canonical — **подсказка**, а не приказ: поисковики могут выбрать другой URL, если сигналы противоречат
+  (внутренние ссылки, sitemap, редиректы, hreflang).
+- Не ставь canonical с параметрами на «чистый» URL и наоборот непоследовательно.
+- Пагинация: canonical на **саму страницу пагинации** (`?page=2` → само на себя). Canonical всех страниц
+  пагинации на первую — ошибка: страницы 2…N выпадут из индекса.
+- Фасеты: «ценные» фильтры (например, `/uslugi/mrt/?price=do-5000`) — можно индексировать; «мусорные»
+  (сортировки, `print`, `view=list`) — `noindex,follow` или `Clean-param` (Яндекс). Не блокируй обход
+  фасетов в robots.txt — робот не увидит `noindex`.
+- Дубли www/без-www, http/https, слэш/без слэша, `index.php` — склеивай 301 + canonical.
+- Если контент проиндексирован по «не тому» URL — исправляй сигналы (внутренние ссылки, sitemap), а не только
+  canonical. Отчет GSC «Страницы → Альтернативная страница с корректным каноническим тегом» это показывает.
+
+## 6. Дубли и «тонкие» страницы
+
+Виды дублей: параметры URL, сортировки, `print`/`amp`-версии, www/http, слеш, КАПС, `?utm_*`, копии контента
+между разделами, одинаковые карточки врачей в нескольких отделениях.
+
+Антидубль-набор:
+1. 301 на канонический URL (www/http/слэш) — на уровне сервера.
+2. `canonical` на канонический URL — на уровне HTML.
+3. Один URL в sitemap и внутренних ссылках.
+4. UTM-метки не должны создавать индексируемые копии: `Clean-param` (Яндекс), `noindex` на страницах с
+   «кампанейскими» параметрами, canonical на чистый URL.
+5. Уникальные title/description/H1 на каждой значимой странице (шаблон + данные).
+
+«Тонкие» страницы (мало контента, нет уникальной ценности): карточка врача из 2 строк, услуга-заглушка,
+тег с одним постом, страница «спасибо». Решение: обогатить (фото, образование, цены, показания, FAQ) или
+`noindex,follow` и убрать из sitemap. Массовые «пустые» URL — прямой путь к фильтру «малоценных страниц»
+(Яндекс) и снижению качества сайта в целом.
+
+## 7. Пагинация
+
+- Страницы пагинации — **индексируемые**, canonical self-referencing, уникальные title
+  (`Раздел — страница 2`), ссылки `?page=N` обычными `<a href>`.
+- `rel="next"/"prev"` Google **не использует** с 2019 — можно не ставить (не вредит).
+- `noindex` на пагинацию — только если это чисто навигационные страницы без самостоятельной ценности и
+  есть альтернативный доступ к контенту (категории/фильтры).
+- Бесконечный скролл: обеспечь реальные URL для «следующих» страниц (иначе контент не проиндексируется).
+- «View all» — допустимо как отдельный URL с canonical на себя, если страница не слишком тяжёлая.
+
+## 8. hreflang (только при реальной мультиязычности/мультирегиональности)
+
+```html
+<link rel="alternate" hreflang="ru-RU" href="https://example.ru/">
+<link rel="alternate" hreflang="en" href="https://example.com/">
+<link rel="alternate" hreflang="x-default" href="https://example.ru/">
+```
+
+- Ссылки **взаимные**: каждая версия ссылается на все остальные и на себя (self-referencing обязателен).
+- `x-default` — для страницы выбора языка/региона.
+- Не путай с `lang="ru"` на `<html>` — это разные вещи (hreflang про альтернативные URL).
+- Ошибки видны в GSC (отчёт «Международные цели») — проверяй.
+- Для example.org (один язык, один регион) hreflang **не нужен** — не добавляй «на всякий случай».
+
+## 9. Мобильный и Core Web Vitals
+
+Индексирование mobile-first: робот в основном смотрит мобильную версию. Значит мобильная версия должна
+содержать тот же контент и мета, что десктопная.
+
+### Пороговые значения CWV (75-й перцентиль, отдельно mobile/desktop)
+
+| Метрика | Хорошо | Требует улучшения | Плохо | Что оптимизировать |
+|---|---|---|---|---|
+| **LCP** (загрузка) | ≤ 2,5 с | 2,5–4,0 с | > 4,0 с | сервер/TTFB, размер LCP-картинки, preload, `fetchpriority="high"`, критический CSS |
+| **INP** (отзывчивость) | ≤ 200 мс | 200–500 мс | > 500 мс | длинные JS-задачи, разбиение, `requestIdleCallback`, меньше сторонних скриптов |
+| **CLS** (сдвиги) | ≤ 0,1 | 0,1–0,25 | > 0,25 | размеры у img/iframe/video, `font-display`, место под баннеры, без вставок над контентом |
+
+Источник: `web.dev/articles/vitals` (обновлено 31.10.2024; INP заменил FID в марте 2024).
+
+Быстрые победы:
+- LCP-изображение — не `loading="lazy"`, наоборот `fetchpriority="high"` + `preload`; WebP/AVIF; правильные размеры;
+  CDN или кеш; TTFB < 0,8 с (цель).
+- Шрифты: `font-display: swap`, `preload` для основного, `size-adjust`/фолбэк с похожими метриками.
+- CLS: всегда `width`/`height` или `aspect-ratio`; не вставляй рекламу/баннер над контентом; не подменяй шрифт
+  с другими метриками без `size-adjust`.
+- JS: минимум сторонних скриптов; счётчики — async/defer; тяжёлые виджеты (карты, чаты) — lazy после
+  взаимодействия.
+- Проверка: PageSpeed Insights (поле + лаборатория), GSC «Основные интернет-показатели», Lighthouse,
+  Chrome UX Report (CrUX). Лабораторные данные ≠ полевые: сдавай по полевым (CrUX) или по плану улучшения.
+
+## 10. JavaScript / SPA
+
+Google умеет рендерить JS, но:
+- Рендеринг **отложенный** и не гарантирован для каждого URL; `noindex` в JS может не сработать — только в HTML.
+- Контент, ссылки, мета должны быть в **исходном HTML** (SSR/SSG/prerender). Проверка: `curl -A "Googlebot" URL`
+  и `view-source:` — в ответе должны быть title/description/H1/текст/ссылки.
+- После 2025 Google уточнял: страницы с не-200 кодом могут **не** отправляться на рендеринг — не отдавай
+  контент с 404/500 «для красоты».
+- Ссылки — настоящие `<a href>`, а не `onclick`/`div`.
+- Canonical — в исходном HTML, соответствующий серверному URL. Canonical, добавленный только через JS,
+  Google может проигнорировать (проверить на актуальной версии).
+- SPA-роутинг: каждый маршрут должен иметь серверный ответ 200 с уникальным HTML (SSR/SSG), иначе будет
+  один индексируемый URL и пустые остальные.
+- Dynamic rendering — **не рекомендуется** (временный костыль), лучше SSR/SSG.
+
+Стек-решения: `stack-recipes.md`.
+
+## 11. Лог-анализ и crawl budget (для больших сайтов)
+
+Когда делать: > 10 000 URL, тысячи фасетов, медленная индексация, скачки 5xx.
+- Возьми access-логи за 7–30 дней, отфильтруй по `Googlebot`/`YandexBot` user-agent + проверь **обратный DNS**
+  (user-agent легко подделать).
+- Что смотреть: доля 5xx/404 у робота, самые обходимые URL (не мусор ли), глубина обхода, скорость ответа
+  роботу, сколько уникальных URL обошёл за период, какие разделы робот не заходит вообще.
+- Цель: робот тратит бюджет на деньги-страницы, а не на `?sort=price_asc&page=17`.
+- Яндекс: «Индексирование → Обход сайта» в Вебмастере; Google: GSC → «Настройки → Статистика обхода»
+  (в 2025 часть отчётов переехала — проверить расположение на актуальной версии).
+- Инструмент: `seo-audit.mjs` умеет считать распределение статусов по логам, если передать access.log.
+
+## 12. Миграции URL и переезды (самый опасный жанр)
+
+Чек-лист миграции (переезд, смена ЧПУ, редизайн, смена CMS):
+1. **Инвентаризация:** выгрузи все индексируемые URL (sitemap + GSC/Вебмастер + краул), зафиксируй трафик
+   по URL за 3 месяца (baseline).
+2. **Карта редиректов** «старый → новый», 1:1, без цепочек. Для групп — правила, но проверь каждую.
+3. **301** на новые URL (не 302), на уровне сервера/`.htaccess`/nginx, до приложения.
+4. **Внутренние ссылки** — обнови на новые URL (иначе робот ходит по старым через редирект).
+5. **sitemap** — только новые URL; отправь в GSC и Вебмастер.
+6. **Canonical/OG/hreflang** — обнови.
+7. **Мониторинг 2–4 недели:** 404 и 5xx в GSC/Вебмастере и логах; «Страницы» — не растёт ли «Не найдено».
+8. **Инструмент смены адреса:** GSC «Изменение адреса» (для смены домена), Яндекс Вебмастер — «Переезд сайта».
+   Для смены структуры внутри домена — только редиректы + новые sitemap.
+9. Не выкатывай редизайн и смену URL одновременно с крупным релизом — не сможешь отделить причину просадки.
+
+Правило отката: карта редиректов и старые шаблоны мета хранятся в git, откат — за один деплой.
+
+## 13. Безопасность и служебные зоны
+
+- Служебные разделы (`/admin`, `/bitrix/`, `/local/`, личные кабинеты, поиск, корзина) — `noindex` или
+  `Disallow` + `noindex`; лучше `noindex,follow`, чтобы не плодить «скрытые» URL в индексе.
+- Тестовые домены/стейджи — **HTTP Basic Auth** или `noindex` + robots, иначе копии контента конкурируют.
+- `noindex` на страницах пагинации/фильтров — только осознанно (см. §7).
+- Не отдавай 200 на несуществующие страницы (soft 404) и не прячь ошибки PHP за «красивой» страницей.
+- `X-Robots-Tag` в заголовках — для не-HTML (PDF, изображения) и для закрытия целых групп на сервере.
+
+## 14. Частые технические ошибки (топ-20)
+
+1. `noindex` на услугах/деньгах после «правок безопасности».
+2. Canonical с параметрами (`?utm=`) или на главную со всех страниц.
+3. Дубли www/http/слэш без 301.
+4. Шаблонные title/description на сотнях страниц.
+5. Sitemap с 404/редиректами/`noindex`.
+6. `lastmod` = сегодня у всех URL.
+7. Закрытые в robots.txt CSS/JS → робот не видит контент.
+8. Цепочки редиректов и редирект на главную вместо 404.
+9. Контент только после JS без SSR.
+10. Lazy-load на LCP-картинке.
+11. Нет `width/height` у изображений → CLS.
+12. Бесконечные фасеты в индексе.
+13. Нет мобильной версии/мобильная версия без контента десктопа.
+14. Битые внутренние ссылки и 404 в меню.
+15. Дубли контента между разделами без canonical.
+16. Разные URL для одного раздела (меню/крошки/хлебные крошки ведут на разные варианты).
+17. Пагинация с canonical на первую страницу.
+18. Скрытый текст/ссылки «для SEO» (риск санкций).
+19. Отсутствие 404-страницы с навигацией (пользователь уходит).
+20. Не настроен регион в Яндексе для локального бизнеса.
+
+## 15. Первоисточники (проверять при сомнениях)
+
+- Технические требования Google: https://developers.google.com/search/docs/essentials
+- Обход и индексация: https://developers.google.com/search/docs/crawling-indexing
+- robots.txt: https://developers.google.com/search/docs/crawling-indexing/robots/intro
+- Sitemap: https://developers.google.com/search/docs/crawling-indexing/sitemaps/build-sitemap
+- Canonical/дубли: https://developers.google.com/search/docs/crawling-indexing/consolidate-duplicate-urls
+- URL-структура: https://developers.google.com/search/docs/crawling-indexing/url-structure
+- 301-редиректы: https://developers.google.com/search/docs/crawling-indexing/301-redirects
+- HTTP-коды и сети: https://developers.google.com/search/docs/crawling-indexing/http-network-errors
+- JavaScript SEO: https://developers.google.com/search/docs/crawling-indexing/javascript/javascript-seo-basics
+- hreflang: https://developers.google.com/search/docs/specialty/international/localized-versions
+- Спам-политики: https://developers.google.com/search/docs/essentials/spam-policies
+- CWV: https://web.dev/articles/vitals · LCP: https://web.dev/articles/lcp · INP: https://web.dev/articles/inp ·
+  CLS: https://web.dev/articles/cls
+- PageSpeed Insights: https://pagespeed.web.dev
+- Яндекс Вебмастер (справка): https://yandex.ru/support/webmaster/ru/
+- Обновления документации Google (хронология): https://developers.google.com/search/updates

package/skills/service-desk-conventions/SKILL.md

@@ -0,0 +1,52 @@
+---
+name: service-desk-conventions
+description: "Инварианты Service Desk: где что лежит, модули, маршруты и RBAC, темы, миграции и формы — что нельзя ломать перед правками."
+whenToUse: "Любая задача по Service Desk (заявки, активы, склад, отчёты, справочник, AD/LDAP, UI) — читать до правок."
+user-invocable: true
+---
+
+# Service Desk — соглашения проекта
+
+## 0. Когда применять
+- Задачи по Service Desk: заявки, активы, склад, отчёты, справочник, AD/LDAP, UI.
+- Перед правками модулей, маршрутов, RBAC, тем, миграций.
+- Нужно понять, куда положить код.
+
+## 1. Главное
+
+**Где что**
+- Рабочая копия (1.39.0): `%USERPROFILE%\OneDrive\Документы\deepseek-harness\default-workspace\src\service-desk-1.38.1`
+- Досье: `%USERPROFILE%\.dsh\memory\projects\service-desk.md`; архив: `%USERPROFILE%\.dsh\memory\projects\service-desk\` (аудит/тесты/релизы).
+- Сервер: `app-server`, `/var/www/service-desk`, PostgreSQL `servicedesk`, сайт `http://127.0.0.1:8000`.
+
+**Архитектура**
+- Laravel 13 / PHP 8.5 / PostgreSQL / Blade + Vite + SCSS.
+- Модули `modules/{Tickets,Assets,Inventory,Reports,DirectorySync}`; регистрация — `config/modules.php` → `app/Providers/ModuleServiceProvider.php`; провайдер: `loadViewsFrom` + `loadMigrationsFrom` + `Route::middleware('web')->group(routes/web.php)`.
+- Маршруты модулей **без `auth`** — только `permission:*`; новый маршрут — с `auth` (или осознанно) и `permission:*`; route names не переименовывать.
+- RBAC: `CheckPermission` (`permission:`), `EnsureAdmin` (`admin`), `RoleGate` (ALLOWED/DENIED по именам); роль `admin` даёт все права.
+- Темы: каркас `themes/default/views/layouts/app.blade.php` (один на все палитры); страницы — `themes/default/views/*`, `resources/views`, `modules/*/resources/views` (namespace `tickets::`).
+- Стили: `resources/scss/app.scss` → `_tokens.scss`, `_ui-refresh.scss` (новые правила), `_legacy.scss` (только база).
+- Аудит: `AuditObserver` (Ticket/Asset/Consumable/StockMove/Reminder/News) → `audit_logs`.
+
+**Нельзя ломать**
+- Миграции — только новые и аддитивные; старые не редактировать.
+- `db:seed` в 1.39.1 идемпотентен — не переделывать на updateOrCreate/сброс паролей.
+- Формы: не убирать `name`, `required` и подписи (тесты `FormHintsTest`, `TicketFormVisibilityTest`).
+- `@html` (HtmlSanitizer) — единственный безопасный вывод разметки; не `{!! !!}` для пользовательских данных.
+- Права/владельцы: не менять доступ без теста на обычного пользователя и админа.
+- Скрытые разделы: `MODULES_HIDDEN` (`config modules.hidden`), `Modules::visible()`.
+
+**Стиль**
+- Русский язык комментариев/интерфейса; PSR-12 (Laravel Pint), 4 пробела.
+- Транзакции для многозаписных операций, `lockForUpdate()` при гонках, валидация.
+- После доработки — bump версии в `config/app.php`: feature → minor, fix → patch.
+
+## 2. Куда грузить дальше
+`service-desk-db-safety` — БД/бэкап; `service-desk-testing` — PHPUnit/Playwright; `service-desk-release` — tgz/`update.sh`; `service-desk-ui` — вёрстка/темы. Тесты: `php scripts/test.php` (Linux `make test`).
+
+## 3. Гейт перед сдачей
+- [ ] Досье и `AGENTS.md` прочитаны; правки локальны.
+- [ ] Старые миграции не тронуты, новые аддитивны.
+- [ ] Маршруты: `auth` + `permission:*`; route names целы.
+- [ ] Формы, `@html`, RBAC целы; проверены пользователь и админ.
+- [ ] `php scripts/test.php` зелёный; версия в `config/app.php` поднята.

package/skills/service-desk-db-safety/SKILL.md

@@ -0,0 +1,63 @@
+---
+name: service-desk-db-safety
+description: "PostgreSQL Service Desk: бэкап и проверка копии, запрещённые команды, восстановление, миграции — без потери данных."
+whenToUse: "Перед миграциями, сидами, загрузкой данных, релизом или любым действием, которое может изменить/удалить данные БД."
+user-invocable: true
+---
+
+# PostgreSQL: безопасность данных (Service Desk)
+
+## 0. Когда применять
+- Миграции, сиды, загрузка справочника/данных, релиз с изменениями схемы.
+- Восстановление и очистка заявок.
+- Любая запись/удаление на сервере.
+
+## 1. Главное
+
+**Железные правила**
+- Боевая БД — PostgreSQL на `app-server` (`servicedesk`); локальный кластер — только тестовый.
+- **Никогда** без прямого разрешения: `migrate:fresh|refresh|reset`, `db:wipe`, `db:seed` на боевой, `migrate:rollback`, `dropdb`, `TRUNCATE` `phonebook_entries` (каскад на `users` и связанные!), `composer run preview:reset` (без `.env.preview` берёт боевой `.env` → `migrate:fresh`), `clear-tickets.sh`/`tickets:purge` (удаляет все заявки и вложения).
+- Перед рискованным — бэкап и проверка окружения; никогда не подключаться к боевой БД с локальных экспериментов.
+
+**Бэкап (на сервере)**
+```bash
+sudo -u den php artisan backup:run --reason="before-<что>"
+sudo -u postgres pg_dump -Fc -d servicedesk -f /var/backups/service-desk/pre-<версия>.dump
+sudo -u postgres pg_restore -l /var/backups/service-desk/pre-<версия>.dump | head
+sudo -u den php artisan backup:verify
+```
+- `backup:run` кладёт `database.dump`, `env.txt`, `files.zip` в `BACKUP_PATH` (`/var/backups/service-desk`); `backup:verify` проверяет восстановление.
+- Копию скачать себе (WinSCP), не хранить только на сервере.
+- `pg_dump` в PATH (на сервере есть; локально Windows — `C:\Program Files\PostgreSQL\18\bin`).
+
+**Восстановление (только по разрешению)**
+```bash
+cd /var/www/service-desk && sudo -u den php artisan down
+sudo -u postgres dropdb servicedesk && sudo -u postgres createdb servicedesk
+sudo -u postgres pg_restore --no-owner --role=postgres -d servicedesk <dump>
+sudo -u den php artisan migrate --force && sudo -u den php artisan optimize:clear
+sudo -u den php artisan up
+```
+`dropdb` — только после подтверждения и проверенного дампа.
+
+**Локальная проверка**
+- Кластер PG 18: `...\default-workspace\pgruntime\data` (ICU ru-RU, 5432); БД `servicedesk` (dev), `servicedesk_test` (PHPUnit, RefreshDatabase — только на тестовой).
+- Имитация обновления — по `pg-upgrade-verify`: отдельная папка/БД, counts/md5 до и после.
+
+**Перед релизом с миграциями**
+1. Сравнить списки миграций; прочитать новые: `dropColumn`, NOT NULL, переименования.
+2. `migrate --pretend` на копии и посмотреть SQL.
+3. Бэкап — только потом `migrate --force`.
+
+**Сбой**
+- Сайт в maintenance → `sudo -u den php artisan up`.
+- Ошибки БД → `storage/logs/laravel.log`, `journalctl -u service-desk-queue`; не спешить с откатом/восстановлением.
+
+## 2. Куда грузить дальше
+`pg-upgrade-verify` — копия; `service-desk-release` — выкатка.
+
+## 3. Гейт перед сдачей
+- [ ] Окружение проверено, боевая БД не затронута.
+- [ ] Свежий бэкап создан, читается (`pg_restore -l` / `backup:verify`), копия вне сервера.
+- [ ] Запрещённые команды не выполнялись без разрешения.
+- [ ] Новые миграции аддитивны и прогнаны на копии; план отката есть.

package/skills/service-desk-release/SKILL.md

@@ -0,0 +1,61 @@
+---
+name: service-desk-release
+description: "Релиз Service Desk: версия в config/app.php, tgz без мусора, SHA-256, deploy/update.sh, smoke после выкатки и откат."
+whenToUse: "При подготовке обновления, сборке архива, выкатке на app-server, проверке после релиза и откате."
+user-invocable: true
+---
+
+# Релиз Service Desk (tgz + update.sh)
+
+## 0. Когда применять
+- Готовишь обновление Service Desk: версия, сборка, checksums.
+- Выкатываешь на `app-server` или нужен план отката.
+- В релизе есть миграции — сначала `service-desk-db-safety` и `pg-upgrade-verify`.
+
+## 1. Главное
+
+**Версия**
+- `config/app.php`: `env('APP_VERSION', 'X.Y.Z')`. feature → minor (1.39.0 → 1.40.0), fix → patch (1.39.0 → 1.39.1), breaking → major.
+- `deploy-ubuntu.sh` берёт RELEASE из `config/app.php` и записывает в `.env`; версия видна внизу меню.
+- Версия, тег и имя архива совпадают; версия поднята **до** сборки.
+
+**Сборка**
+1. `php scripts/test.php` зелёный, UI-скриншоты сделаны.
+2. Собрать tgz **без** `vendor/ node_modules/ public/build/ storage/ .env .env.preview .git .claude`.
+3. Надёжно: распаковать предыдущую версию в staging, наложить изменённые файлы, `tar -czf`.
+4. `sha256sum` → `checksums.txt`; архив и checksums — на Рабочий стол.
+5. Проверить листинг: нет секретов/мусора, все изменённые файлы на месте.
+
+**Выкатка (сервер `app-server`, пользователь `den`)**
+```bash
+cd /tmp && sha256sum service-desk-X.Y.Z.tgz     # сверить с локальным
+sudo tar --no-same-owner -xzf /tmp/service-desk-X.Y.Z.tgz -C /var/www/service-desk
+cd /var/www/service-desk && sudo APP_ADDR=127.0.0.1 bash deploy/update.sh
+```
+`update.sh` сам: backup → maintenance → composer/npm/build → migrate → seed (идемпотентен) → services/caches → up. При сбое сайт остаётся в maintenance — исправить и `php artisan up`.
+
+**Проверки после «Готово»**
+1. Ctrl+F5 → версия внизу меню = X.Y.Z.
+2. Число заявок прежнее, старые номера/вложения открываются.
+3. Затронутый раздел/фича работает (сценарий из задачи).
+4. Админ и обычный пользователь — оба сценария.
+5. `php artisan migrate:status`, логи без ошибок; при желании `sudo -u den php artisan launch:check`.
+
+**Откат**
+- Код: папка `Task.old-<дата>` (если копировали) или предыдущий архив; распаковать, вернуть версию.
+- БД: только если релиз менял данные/схему (см. `service-desk-db-safety`); обычно не нужно.
+- `sudo -u den php artisan up`, повторить smoke.
+
+**Журнал**
+- Записать факт выкатки и проверки в `%USERPROFILE%\.dsh\memory\SESSIONS.md` и досье.
+- Пример структуры — `...\memory\projects\service-desk\release\UPDATE-1.39.0.md`.
+
+## 2. Куда грузить дальше
+`service-desk-db-safety` — бэкап/восстановление; `pg-upgrade-verify` — миграции на копии; `release-and-deploy` — общие правила; `git-and-ci` — тег.
+
+## 3. Гейт перед сдачей
+- [ ] Версия поднята в `config/app.php`; тег и архив совпадают.
+- [ ] Тесты зелёные, скриншоты сделаны; архив без секретов/мусора.
+- [ ] sha256 локально и на сервере совпал; бэкап перед выкаткой есть.
+- [ ] `update.sh` прошёл; версия, заявки/вложения, фича, админ + пользователь проверены.
+- [ ] Логи и `migrate:status` чистые; откат описан; запись в память сделана.

package/skills/service-desk-testing/SKILL.md

@@ -0,0 +1,61 @@
+---
+name: service-desk-testing
+description: "Тесты Service Desk: PHPUnit на PostgreSQL, baseline, права и формы, Playwright E2E, скриншоты, Pint и PHPStan."
+whenToUse: "Перед и после любой правки кода/UI Service Desk, при подготовке релиза и при разборе упавших тестов."
+user-invocable: true
+---
+
+# Тестирование Service Desk
+
+## 0. Когда применять
+- Любая правка кода/UI: сначала baseline, после — сравнение.
+- Нужны feature/unit-тесты, проверка прав или форм.
+- Подготовка релиза, E2E или визуальная проверка.
+
+## 1. Главное
+
+**PHPUnit на PostgreSQL (обязательно)**
+```powershell
+# из корня проекта (Windows)
+php scripts/test.php
+php scripts/test.php --filter=TicketFormVisibilityTest
+php scripts/test.php --stop-on-failure
+# Linux/CI
+make test
+```
+Скрипт поднимает env: `DB_CONNECTION=pgsql DB_HOST=127.0.0.1 DB_PORT=5432 DB_DATABASE=servicedesk_test DB_USERNAME=postgres DB_PASSWORD= APP_URL=http://localhost`; кэш/очередь/сессии/почта — array/sync, `LOG_CHANNEL=null`.
+- `RefreshDatabase` — на **servicedesk_test**, боевую БД не трогает.
+- PG 18: `pgruntime/data` (ICU ru-RU — важно для ILIKE кириллицы), порт 5432. Если не запущен: `Start-Process "$pgbin\pg_ctl.exe" -ArgumentList @('-D', $data, '-l', $log, 'start') -WindowStyle Hidden`.
+- Baseline (эталон): 542 теста / 2753 assertions, все зелёные; deprecation PHPUnit — норма. Пропуски `markTestSkipped` — только для отсутствующих `docs/requests/*.xlsx`.
+
+**Что проверять**
+1. До правки — baseline, после — сравнить; новые падения — блокер.
+2. Новое: feature на доступы/валидацию/сценарий + unit логики.
+3. Права: админ и обычный пользователь; служебные поля/разделы закрыты.
+4. Данные: форма не теряет/не подменяет значения (`TicketStrictAccountingTest`).
+
+**E2E/UI (Playwright)**
+- `...\default-workspace\tools\e2e` → `npx.cmd playwright test`.
+- Стенд: `php artisan serve --port=8125` (PG dev `servicedesk`); вход `admin@example.com/admin`, `user@example.com/user`.
+- Скриншоты — `...\default-workspace\audit\screenshots\`: desktop 1440 + mobile 390/412, light/dark; смотреть через `read_image`.
+- Эталон: `tools\e2e\tests\priority.spec.js` (1.39.0).
+
+**Известные особенности**
+- Нужен собранный `public/build` (`@vite`); пересобрать `npm run build`.
+- Не запускать полный набор параллельно (общая `servicedesk_test`).
+- Падение: `storage/logs/laravel.log` (в тестах `LOG_CHANNEL=null`) + полный вывод PHPUnit.
+- Windows: `is_writable` сейчас полный доступ.
+
+**Качество**
+- `make lint` / `php scripts/lint.php` — Pint по изменённым (vs HEAD); `--fix` / `make fmt`.
+- `make stan` / `php scripts/stan.php` — PHPStan/Larastan (baseline legacy).
+
+## 2. Куда грузить дальше
+`service-desk-ui` — UI/скриншоты; `service-desk-db-safety` — тестовая БД; `service-desk-release` — релиз; `testing-strategy` — общая стратегия.
+
+## 3. Гейт перед сдачей
+- [ ] Baseline снят до правки; после — не хуже.
+- [ ] Новые тесты: feature + unit; права админа и пользователя.
+- [ ] `php scripts/test.php` зелёный; боевая БД не тронута.
+- [ ] `npm run build`; E2E/скриншоты 1440/390, light/dark проверены.
+- [ ] `lint`/`stan` без новых ошибок; baseline обновлён при необходимости.

package/skills/service-desk-ui/SKILL.md

@@ -0,0 +1,52 @@
+---
+name: service-desk-ui
+description: "UI Service Desk: где править вёрстку и темы, дизайн-токены, состояния и адаптив, сборка, скриншоты и визуальная проверка."
+whenToUse: "Любая правка интерфейса, тем, вёрстки, SCSS/JS или UX-текстов Service Desk; визуальный баг и проверка перед сдачей."
+user-invocable: true
+---
+
+# UI/UX Service Desk
+
+## 0. Когда применять
+- Любая правка интерфейса, тем, вёрстки, SCSS/JS или UX-текстов.
+- Новая страница, форма, таблица, дашборд; визуальный баг.
+- Перед сдачей UI нужны скриншоты и проверка тем.
+
+## 1. Главное
+
+**Где править**
+- Каркас (меню/шапка/футер): `themes/default/views/layouts/app.blade.php` (темы — только палитры; отдельных папок тем нет).
+- Страницы: `themes/default/views/*` (dashboard, news, reminders, users, access), `resources/views/*` (auth/login, errors/403, phonebook, partials, pagination), `modules/*/resources/views/*` (namespace `tickets::`).
+- Стили: `resources/scss/app.scss` — вход; `_tokens.scss` — токены, `_ui-refresh.scss` — новые правила, `_legacy.scss` — только база.
+- JS: `resources/js/app.js` (+ Bootstrap, React-виджеты); сборка `npm run build` — без неё production 500 и тесты падают.
+- Иконки: `public/themes/default/icons/*.svg`; шрифты: `public/fonts`.
+
+**Дизайн-правила**
+- Прямые углы (radius 0), спокойная медицинская палитра; 4 палитры: light/dark/contrast/modern.
+- Состояния: hover, focus-visible, active, disabled, loading, empty, error.
+- Адаптив: ≤560px — одна колонка; ≤960px — меню сверху; >960px — сайдбар; широкие таблицы — `.table-wrap`.
+- Под полем — `.field-help` (одно предложение, без терминов); ошибки — `.field-error`; обязательные — `label-required`.
+- Не `{!! !!}` для пользовательского контента — только `@html` (HtmlSanitizer).
+- Тексты по-русски, коротко; кнопки — глаголом («Создать заявку», «Сохранить»).
+- Контраст AA, клавиатура и focus-visible; иконки — SVG, не эмодзи; без horizontal scroll на 390.
+
+**Проверка UI**
+1. `php artisan serve --port=8125`; вход `admin@example.com/admin` / `user@example.com/user`.
+2. Playwright: `...\default-workspace\tools\e2e` → `npx.cmd playwright test`.
+3. Скриншоты desktop 1440 и mobile (Pixel 7 / 390), светлая и тёмная темы; смотреть через `read_image`.
+4. Проверить пустые состояния, длинные тексты, кириллицу, ошибки форм, фокус.
+5. «До/после» — в `...\default-workspace\audit\screenshots`.
+
+**Полезное**
+- Прошлые скриншоты: `%USERPROFILE%\.dsh\memory\projects\service-desk\screenshots\`.
+- Валидация: `lang/ru/validation.php` (`resources/lang` нет).
+
+## 2. Куда грузить дальше
+`wow-design` — арт-направление/токены; `design-critique` — аудит UI; `service-desk-testing` — E2E; `service-desk-conventions` — инварианты.
+
+## 3. Гейт перед сдачей
+- [ ] Правка в правильном слое; `npm run build` выполнен.
+- [ ] 4 палитры/темы, состояния, адаптив 1440/390 проверены.
+- [ ] `.table-wrap`, `.field-help`, `.field-error`, `label-required` на месте.
+- [ ] `@html` вместо `{!! !!}`; тексты по-русски, кнопки-глаголы.
+- [ ] Скриншоты light/dark 1440/390 сняты и просмотрены; overflow нет.