itd-api 0.0.2 → 0.0.4

package/dist/{chunk-76C65H5J.js → chunk-JV75JWOX.js}

@@ -14,6 +14,30 @@ function resolveInput(input, factory, validate) {
 
 // src/core/errors.ts
 var ITD_ERROR = /* @__PURE__ */ Symbol.for("itd.error");
+var ItdErrorKind = Object.freeze({
+  /** Сервер ответил статусом ≥ 400. */
+  Api: "api",
+  /** Запрос не дошёл до сервера. */
+  Network: "network",
+  /** Истёк таймаут запроса. */
+  Timeout: "timeout",
+  /** Запрос отменён через `AbortSignal`. */
+  Abort: "abort",
+  /** Некорректная конфигурация или аргументы — обнаружено до обращения к сети. */
+  Config: "config"
+});
+var ItdApiErrorKind = Object.freeze({
+  /** Ни одна из специализаций не подошла. */
+  Generic: "generic",
+  Validation: "validation",
+  Auth: "auth",
+  Forbidden: "forbidden",
+  NotFound: "not_found",
+  Conflict: "conflict",
+  RateLimit: "rate_limit",
+  PhoneVerification: "phone_verification",
+  Server: "server"
+});
 var ItdError = class extends Error {
   /** @internal */
   [ITD_ERROR] = true;
@@ -26,6 +50,13 @@ var ItdError = class extends Error {
   }
 };
 var ItdApiError = class extends ItdError {
+  /**
+   * Разновидность ошибки: та же информация, что и класс, но пригодная для сравнения.
+   *
+   * Позволяет разбирать ошибку через `switch`, а проверкам вроде {@link isItdAuthError} —
+   * работать даже когда в проекте оказались две копии библиотеки.
+   */
+  apiKind;
   /** HTTP-статус ответа. */
   status;
   /** Строковый код ошибки, например `VALIDATION_ERROR`. */
@@ -56,9 +87,13 @@ var ItdApiError = class extends ItdError {
   rateLimit;
   /** Сколько запросов осталось в окне — заголовок `x-ratelimit-remaining`. */
   rateLimitRemaining;
-  constructor(init) {
-    super("api", init.message);
+  /**
+   * @param apiKind разновидность; подставляется подклассами, снаружи задавать не нужно
+   */
+  constructor(init, apiKind = ItdApiErrorKind.Generic) {
+    super(ItdErrorKind.Api, init.message);
     this.name = "ItdApiError";
+    this.apiKind = apiKind;
     this.status = init.status;
     this.code = init.code;
     this.detail = init.detail;
@@ -91,37 +126,37 @@ var ItdApiError = class extends ItdError {
 };
 var ItdValidationError = class extends ItdApiError {
   constructor(init) {
-    super(init);
+    super(init, ItdApiErrorKind.Validation);
     this.name = "ItdValidationError";
   }
 };
 var ItdAuthError = class extends ItdApiError {
   constructor(init) {
-    super(init);
+    super(init, ItdApiErrorKind.Auth);
     this.name = "ItdAuthError";
   }
 };
 var ItdForbiddenError = class extends ItdApiError {
   constructor(init) {
-    super(init);
+    super(init, ItdApiErrorKind.Forbidden);
     this.name = "ItdForbiddenError";
   }
 };
 var ItdNotFoundError = class extends ItdApiError {
   constructor(init) {
-    super(init);
+    super(init, ItdApiErrorKind.NotFound);
     this.name = "ItdNotFoundError";
   }
 };
 var ItdConflictError = class extends ItdApiError {
   constructor(init) {
-    super(init);
+    super(init, ItdApiErrorKind.Conflict);
     this.name = "ItdConflictError";
   }
 };
 var ItdRateLimitError = class extends ItdApiError {
   constructor(init) {
-    super(init);
+    super(init, ItdApiErrorKind.RateLimit);
     this.name = "ItdRateLimitError";
   }
 };
@@ -129,14 +164,14 @@ var ItdPhoneVerificationError = class extends ItdApiError {
   /** Ссылка на бота подтверждения, если удалось определить идентификатор пользователя. */
   verificationUrl;
   constructor(init) {
-    super(init);
+    super(init, ItdApiErrorKind.PhoneVerification);
     this.name = "ItdPhoneVerificationError";
     this.verificationUrl = init.userId ? `https://t.me/itd_verification_bot?start=${encodeURIComponent(init.userId)}` : void 0;
   }
 };
 var ItdServerError = class extends ItdApiError {
   constructor(init) {
-    super(init);
+    super(init, ItdApiErrorKind.Server);
     this.name = "ItdServerError";
   }
 };
@@ -146,7 +181,7 @@ var ItdNetworkError = class extends ItdError {
   /** Путь запроса без базового URL. */
   path;
   constructor(message, init) {
-    super("network", message, { cause: init.cause });
+    super(ItdErrorKind.Network, message, { cause: init.cause });
     this.name = "ItdNetworkError";
     this.method = init.method;
     this.path = init.path;
@@ -160,7 +195,10 @@ var ItdTimeoutError = class extends ItdError {
   /** Путь запроса без базового URL. */
   path;
   constructor(init) {
-    super("timeout", `\u0417\u0430\u043F\u0440\u043E\u0441 ${init.method} ${init.path} \u043F\u0440\u0435\u0432\u044B\u0441\u0438\u043B \u0442\u0430\u0439\u043C\u0430\u0443\u0442 ${init.timeout} \u043C\u0441`);
+    super(
+      ItdErrorKind.Timeout,
+      `\u0417\u0430\u043F\u0440\u043E\u0441 ${init.method} ${init.path} \u043F\u0440\u0435\u0432\u044B\u0441\u0438\u043B \u0442\u0430\u0439\u043C\u0430\u0443\u0442 ${init.timeout} \u043C\u0441`
+    );
     this.name = "ItdTimeoutError";
     this.timeout = init.timeout;
     this.method = init.method;
@@ -169,13 +207,13 @@ var ItdTimeoutError = class extends ItdError {
 };
 var ItdAbortError = class extends ItdError {
   constructor(message = "\u0417\u0430\u043F\u0440\u043E\u0441 \u043E\u0442\u043C\u0435\u043D\u0451\u043D") {
-    super("abort", message);
+    super(ItdErrorKind.Abort, message);
     this.name = "ItdAbortError";
   }
 };
 var ItdConfigError = class extends ItdError {
   constructor(message) {
-    super("config", message);
+    super(ItdErrorKind.Config, message);
     this.name = "ItdConfigError";
   }
 };
@@ -183,16 +221,34 @@ function isItdError(value) {
   return typeof value === "object" && value !== null && ITD_ERROR in value;
 }
 function isItdApiError(value) {
-  return isItdError(value) && value.kind === "api";
+  return isItdError(value) && value.kind === ItdErrorKind.Api;
+}
+function hasApiKind(value, kind) {
+  return isItdApiError(value) && value.apiKind === kind;
 }
 function isItdValidationError(value) {
-  return isItdApiError(value) && value instanceof ItdValidationError;
+  return hasApiKind(value, ItdApiErrorKind.Validation);
 }
 function isItdAuthError(value) {
-  return isItdApiError(value) && value instanceof ItdAuthError;
+  return hasApiKind(value, ItdApiErrorKind.Auth);
+}
+function isItdForbiddenError(value) {
+  return hasApiKind(value, ItdApiErrorKind.Forbidden);
+}
+function isItdNotFoundError(value) {
+  return hasApiKind(value, ItdApiErrorKind.NotFound);
+}
+function isItdConflictError(value) {
+  return hasApiKind(value, ItdApiErrorKind.Conflict);
 }
 function isItdRateLimitError(value) {
-  return isItdApiError(value) && value instanceof ItdRateLimitError;
+  return hasApiKind(value, ItdApiErrorKind.RateLimit);
+}
+function isItdPhoneVerificationError(value) {
+  return hasApiKind(value, ItdApiErrorKind.PhoneVerification);
+}
+function isItdServerError(value) {
+  return hasApiKind(value, ItdApiErrorKind.Server);
 }
 
 // src/builders/comment.ts
@@ -586,8 +642,15 @@ var ItdErrorCode = Object.freeze({
   BUSINESS_RULE_VIOLATION: "BUSINESS_RULE_VIOLATION",
   RATE_LIMIT_EXCEEDED: "RATE_LIMIT_EXCEEDED",
   UNKNOWN_ERROR: "UNKNOWN_ERROR",
+  /** Сервер отвечает так на `404`, `ENTITY_NOT_FOUND` в этом случае не приходит. */
+  NOT_FOUND: "NOT_FOUND",
+  /** На практике не приходит: вместо него сервер шлёт `TURNSTILE_VERIFICATION_FAILED`. */
   CAPTCHA_FAILED: "CAPTCHA_FAILED",
+  /** Капча не пройдена: токен Turnstile недействителен, просрочен или уже использован. */
+  TURNSTILE_VERIFICATION_FAILED: "TURNSTILE_VERIFICATION_FAILED",
   OTP_INVALID: "OTP_INVALID",
+  /** `flowToken` неизвестен или просрочен — поток подтверждения нужно начинать заново. */
+  INVALID_FLOW_TOKEN: "INVALID_FLOW_TOKEN",
   ACCOUNT_DEACTIVATED: "ACCOUNT_DEACTIVATED",
   ACCOUNT_EMAIL_DOMAIN_NOT_ALLOWED: "ACCOUNT_EMAIL_DOMAIN_NOT_ALLOWED",
   ACCOUNT_INVALID_CREDENTIALS: "ACCOUNT_INVALID_CREDENTIALS",
@@ -596,6 +659,10 @@ var ItdErrorCode = Object.freeze({
   SESSION_EXPIRED: "SESSION_EXPIRED",
   SESSION_REVOKED: "SESSION_REVOKED",
   SESSION_INVALID_REFRESH_TOKEN: "SESSION_INVALID_REFRESH_TOKEN",
+  /** Запрос обновления пришёл без cookie `refresh_token` — продлевать нечего. */
+  REFRESH_TOKEN_MISSING: "REFRESH_TOKEN_MISSING",
+  /** Cookie `refresh_token` есть, но сессии за ней уже нет: отозвана или истекла. */
+  SESSION_NOT_FOUND: "SESSION_NOT_FOUND",
   MISSING_FLOW_TOKEN: "MISSING_FLOW_TOKEN",
   PROFILE_USERNAME_TAKEN: "PROFILE_USERNAME_TAKEN",
   PROFILE_RESTRICTION_ACTIVE: "PROFILE_RESTRICTION_ACTIVE",
@@ -611,13 +678,14 @@ var ItdErrorCode = Object.freeze({
 
 // src/builders/report.ts
 var REASONS = new Set(Object.values(ReportReason));
+var TARGET_TYPES = new Set(Object.values(ReportTargetType));
 function validateReport(input) {
   if (!input?.targetId || typeof input.targetId !== "string") {
     throw new ItdConfigError("\u0416\u0430\u043B\u043E\u0431\u0430 \u0442\u0440\u0435\u0431\u0443\u0435\u0442 \u0438\u0434\u0435\u043D\u0442\u0438\u0444\u0438\u043A\u0430\u0442\u043E\u0440 \u043E\u0431\u044A\u0435\u043A\u0442\u0430 (targetId)");
   }
-  if (input.targetType !== "post" && input.targetType !== "comment" && input.targetType !== "user") {
+  if (!TARGET_TYPES.has(input.targetType)) {
     throw new ItdConfigError(
-      `targetType \u0434\u043E\u043B\u0436\u0435\u043D \u0431\u044B\u0442\u044C 'post', 'comment' \u0438\u043B\u0438 'user', \u043F\u043E\u043B\u0443\u0447\u0435\u043D\u043E: ${String(input.targetType)}`
+      `targetType \u0434\u043E\u043B\u0436\u0435\u043D \u0431\u044B\u0442\u044C \u043E\u0434\u043D\u0438\u043C \u0438\u0437 ${[...TARGET_TYPES].join(", ")}, \u043F\u043E\u043B\u0443\u0447\u0435\u043D\u043E: ${String(input.targetType)}`
     );
   }
   if (!REASONS.has(input.reason)) {
@@ -655,11 +723,11 @@ function start(targetType, targetId) {
 }
 var report = Object.freeze({
   /** Жалоба на пост. */
-  post: (postId) => start("post", postId),
+  post: (postId) => start(ReportTargetType.Post, postId),
   /** Жалоба на комментарий. */
-  comment: (commentId) => start("comment", commentId),
+  comment: (commentId) => start(ReportTargetType.Comment, commentId),
   /** Жалоба на пользователя. */
-  user: (userId) => start("user", userId)
+  user: (userId) => start(ReportTargetType.User, userId)
 });
 function resolveReport(input) {
   return resolveInput(input, () => new ReportBuilder({}), validateReport);
@@ -859,6 +927,8 @@ parseSetCookie.splitCookiesString = splitCookiesString;
 
 // src/core/cookies.ts
 var AUTH_FLAG_COOKIE = "is_auth";
+var REFRESH_COOKIE = "refresh_token";
+var REFRESH_COOKIE_PATH = "/api/v1/auth";
 var SERIALIZED_SEPARATOR = " ";
 function originOf(url) {
   try {
@@ -898,6 +968,15 @@ var CookieJar = class {
     const raw = typeof headers.getSetCookie === "function" ? headers.getSetCookie() : splitCookiesString(headers.get("set-cookie") ?? "");
     if (raw.length > 0) this.setFromStrings(url, raw);
   }
+  /**
+   * Кладёт cookie напрямую, минуя `Set-Cookie`.
+   *
+   * Нужно ровно в одном случае: пользователь передал refresh-токен строкой, а сервер читает
+   * его только из cookie. Значение не кодируется — оно уходит в заголовок как есть.
+   */
+  set(url, name, value, path = "/") {
+    this.setFromStrings(url, [`${name}=${value}; Path=${path}`]);
+  }
   /** Сохраняет cookie из готовых строк `Set-Cookie`. */
   setFromStrings(url, setCookieStrings) {
     const origin = originOf(url);
@@ -931,6 +1010,23 @@ var CookieJar = class {
     if (cookies.length === 0) return void 0;
     return cookies.map((cookie) => `${cookie.name}=${cookie.value}`).join("; ");
   }
+  /**
+   * Значение действующей cookie.
+   *
+   * Нужно, чтобы забрать обновлённый refresh-токен: сервер ротирует его при каждом
+   * продлении сессии, и сохранять надо именно новое значение.
+   *
+   * @param url если указан, учитываются origin, путь и флаг `Secure`
+   */
+  getValue(name, url) {
+    if (url) return this.#matching(url).find((cookie) => cookie.name === name)?.value;
+    const now = Date.now();
+    for (const jar of this.#byOrigin.values()) {
+      const cookie = jar.get(name);
+      if (cookie && (cookie.expires === void 0 || cookie.expires > now)) return cookie.value;
+    }
+    return void 0;
+  }
   /**
    * Есть ли действующая cookie с таким именем.
    *
@@ -1059,11 +1155,87 @@ var Emitter = class {
   }
 };
 
+// src/core/runtime.ts
+var RuntimeMode = Object.freeze({
+  /** Определяется по среде исполнения. Значение по умолчанию. */
+  Auto: "auto",
+  /** Cookie ведёт браузер, запросы уходят с `credentials: 'include'`. */
+  Browser: "browser",
+  /** Cookie ведёт встроенный jar, заголовок `Cookie` подставляется вручную. */
+  Server: "server"
+});
+var DetectedRuntime = Object.freeze({
+  Browser: "browser",
+  /** Есть `window`, но нет `document`; cookie ведёт нативный сетевой слой. */
+  ReactNative: "react-native",
+  Server: "server"
+});
+function detectRuntime() {
+  const nav = globalThis.navigator;
+  if (nav?.product === "ReactNative") return DetectedRuntime.ReactNative;
+  if (typeof document !== "undefined") return DetectedRuntime.Browser;
+  return DetectedRuntime.Server;
+}
+function shouldUseCookieJar(mode) {
+  if (mode === RuntimeMode.Browser) return false;
+  if (mode === RuntimeMode.Server) return true;
+  return detectRuntime() === DetectedRuntime.Server;
+}
+function shouldSendCredentials(mode) {
+  if (mode === RuntimeMode.Browser) return true;
+  if (mode === RuntimeMode.Server) return false;
+  return detectRuntime() === DetectedRuntime.Browser;
+}
+function resolveFetch(custom) {
+  if (custom) return custom;
+  if (typeof globalThis.fetch === "function") {
+    return globalThis.fetch.bind(globalThis);
+  }
+  throw new ItdConfigError(
+    "\u0412 \u044D\u0442\u043E\u0439 \u0441\u0440\u0435\u0434\u0435 \u043D\u0435\u0442 \u0433\u043B\u043E\u0431\u0430\u043B\u044C\u043D\u043E\u0433\u043E fetch. \u041E\u0431\u043D\u043E\u0432\u0438\u0442\u0435\u0441\u044C \u0434\u043E Node 18+ \u043B\u0438\u0431\u043E \u043F\u0435\u0440\u0435\u0434\u0430\u0439\u0442\u0435 \u0441\u0432\u043E\u044E \u0440\u0435\u0430\u043B\u0438\u0437\u0430\u0446\u0438\u044E \u0447\u0435\u0440\u0435\u0437 \u043E\u043F\u0446\u0438\u044E fetch."
+  );
+}
+function isBlob(value) {
+  return typeof Blob !== "undefined" && value instanceof Blob;
+}
+function isFile(value) {
+  return typeof File !== "undefined" && value instanceof File;
+}
+function supportsStreamingBody() {
+  return typeof ReadableStream !== "undefined" && typeof TextDecoder !== "undefined";
+}
+function createDeviceId() {
+  const webCrypto = globalThis.crypto;
+  if (typeof webCrypto?.randomUUID === "function") return webCrypto.randomUUID();
+  const bytes = new Uint8Array(16);
+  if (typeof webCrypto?.getRandomValues === "function") webCrypto.getRandomValues(bytes);
+  else for (let i = 0; i < bytes.length; i++) bytes[i] = Math.floor(Math.random() * 256);
+  bytes[6] = bytes[6] & 15 | 64;
+  bytes[8] = bytes[8] & 63 | 128;
+  const hex = Array.from(bytes, (byte) => byte.toString(16).padStart(2, "0")).join("");
+  return [
+    hex.slice(0, 8),
+    hex.slice(8, 12),
+    hex.slice(12, 16),
+    hex.slice(16, 20),
+    hex.slice(20, 32)
+  ].join("-");
+}
+function hasLocalStorage() {
+  try {
+    return typeof globalThis.localStorage !== "undefined" && globalThis.localStorage !== null;
+  } catch {
+    return false;
+  }
+}
+
 // src/core/auth.ts
 var AUTH_PATHS = {
   signIn: "/api/v1/auth/sign-in",
   refresh: "/api/v1/auth/refresh"
 };
+var TURNSTILE_SITE_KEY = "0x4AAAAAACHhxczw6fJGwPBg";
+var DEVICE_ID_HEADER = "X-Device-Id";
 function readAccessToken(payload) {
   if (typeof payload !== "object" || payload === null) return void 0;
   const token = payload.accessToken;
@@ -1080,6 +1252,13 @@ var AuthManager = class {
   #refreshing = null;
   /** Общий промис входа по логину и паролю. */
   #signingIn = null;
+  /**
+   * Идентификатор устройства.
+   *
+   * Держится отдельно от сессии намеренно: выход из аккаунта не меняет устройство,
+   * поэтому `clear()` его не трогает.
+   */
+  #deviceId;
   constructor(config, http, jar) {
     this.#config = config;
     this.#http = http;
@@ -1096,11 +1275,19 @@ var AuthManager = class {
   /**
    * Есть ли признак живой refresh-сессии.
    *
-   * Сайт итд.com ставит рядом с refresh-токеном незакрытую cookie `is_auth` — по ней клиент
-   * понимает, что обновление вообще имеет смысл, и не дёргает API у анонимов.
+   * Рядом с refresh-токеном сервер ставит незакрытую cookie `is_auth` — по ней видно,
+   * что продлевать сессию вообще есть смысл, и API не дёргается у анонимов.
    * В браузере cookie ведёт сама среда, поэтому там ответ всегда `true`.
+   *
+   * Асинхронный, потому что признак может лежать в {@link TokenStorage}: до чтения оттуда
+   * ответ был бы `false` даже при полностью рабочей сохранённой сессии.
    */
-  hasRefreshSession() {
+  async hasRefreshSession() {
+    await this.#loadSession();
+    return this.#hasRefreshSession();
+  }
+  /** То же самое, но без чтения хранилища — для вызовов, где сессия уже загружена. */
+  #hasRefreshSession() {
     if (!this.#config.useCookieJar) return true;
     if (this.#jar.has(AUTH_FLAG_COOKIE)) return true;
     return Boolean(this.#session?.refreshToken);
@@ -1110,6 +1297,23 @@ var AuthManager = class {
     const token = await this.getAccessToken();
     return token ? { Authorization: `Bearer ${token}` } : {};
   }
+  /**
+   * Идентификатор устройства для заголовка `X-Device-Id`.
+   *
+   * Заводится один раз и сохраняется в сессии, чтобы пережить перезапуск процесса:
+   * сервер связывает с ним запись в списке сессий, и плавающее значение плодило бы
+   * по новой сессии на каждый старт.
+   */
+  async getDeviceId() {
+    if (this.#deviceId) return this.#deviceId;
+    const session = await this.#loadSession();
+    const deviceId = this.#config.deviceId ?? session?.deviceId ?? createDeviceId();
+    this.#deviceId = deviceId;
+    if (session?.deviceId !== deviceId) {
+      await this.#saveSession({ ...session ?? {}, deviceId });
+    }
+    return deviceId;
+  }
   /**
    * Текущий токен доступа.
    *
@@ -1125,7 +1329,7 @@ var AuthManager = class {
       return await auth.getToken() ?? null;
     }
     if (typeof auth === "object" && "email" in auth) {
-      return this.#signInWithCredentials(auth.email, auth.password);
+      return this.#signInWithCredentials(auth);
     }
     return null;
   }
@@ -1145,12 +1349,19 @@ var AuthManager = class {
       return false;
     }
   }
-  /** Ошибка «сессию продлить нечем» — одна и та же для `refresh()` и для реакции на 401. */
+  /**
+   * Ошибка «сессию продлить нечем».
+   *
+   * Возникает, только когда обновление даже не начиналось: нет ни cookie `is_auth`,
+   * ни refresh-токена. Если сервер ответил отказом, наружу уходит **его** ошибка —
+   * подменять её этой значило бы прятать причину (`REFRESH_TOKEN_MISSING`,
+   * `SESSION_NOT_FOUND`, `SESSION_REVOKED` — разные поводы и разные действия).
+   */
   #noRefreshSessionError() {
     return new ItdAuthError({
       status: 401,
       code: "SESSION_EXPIRED",
-      message: "\u041D\u0435 \u0443\u0434\u0430\u043B\u043E\u0441\u044C \u043E\u0431\u043D\u043E\u0432\u0438\u0442\u044C \u0441\u0435\u0441\u0441\u0438\u044E: \u043D\u0435\u0442 \u0434\u0435\u0439\u0441\u0442\u0432\u0443\u044E\u0449\u0435\u0433\u043E refresh-\u0442\u043E\u043A\u0435\u043D\u0430",
+      message: "\u041D\u0435 \u0443\u0434\u0430\u043B\u043E\u0441\u044C \u043E\u0431\u043D\u043E\u0432\u0438\u0442\u044C \u0441\u0435\u0441\u0441\u0438\u044E: \u043D\u0435\u0442 \u043D\u0438 cookie is_auth, \u043D\u0438 refresh-\u0442\u043E\u043A\u0435\u043D\u0430. \u0412\u043E\u0439\u0434\u0438\u0442\u0435 \u0437\u0430\u043D\u043E\u0432\u043E \u043B\u0438\u0431\u043E \u043F\u0435\u0440\u0435\u0434\u0430\u0439\u0442\u0435 refreshToken \u0432 auth.",
       method: "POST",
       path: AUTH_PATHS.refresh,
       raw: void 0
@@ -1180,13 +1391,21 @@ var AuthManager = class {
   /** Заменяет сессию целиком. */
   async setSession(session) {
     this.#jar.deserialize(session.cookies);
+    this.#deviceId ??= session.deviceId;
     await this.#saveSession(session);
+    this.#seedRefreshCookie();
   }
-  /** Забывает сессию и cookie. Сетевой запрос не выполняется. */
+  /**
+   * Забывает сессию и cookie. Сетевой запрос не выполняется.
+   *
+   * Идентификатор устройства выход переживает: иначе каждая пара «выход — вход» плодила бы
+   * новую запись в списке сессий.
+   */
   async clear() {
     this.#session = null;
     this.#jar.clear();
     await this.#config.storage.clear();
+    if (this.#deviceId) await this.#saveSession({ deviceId: this.#deviceId });
     this.#emitter.emit("signOut", void 0);
   }
   async #loadSession() {
@@ -1199,8 +1418,23 @@ var AuthManager = class {
       accessToken: stored.accessToken ?? fromConfig.accessToken,
       refreshToken: stored.refreshToken ?? fromConfig.refreshToken
     } : stored ?? fromConfig;
+    this.#seedRefreshCookie();
     return this.#session;
   }
+  /**
+   * Кладёт refresh-токен в jar как cookie `refresh_token`.
+   *
+   * `POST /api/v1/auth/refresh` читает токен только из cookie, поэтому переданный строкой
+   * приходится превращать в неё. В браузере это невозможно — cookie помечена `HttpOnly`,
+   * и там обновление работает только на той, что поставил сам сервер.
+   */
+  #seedRefreshCookie() {
+    if (!this.#config.useCookieJar) return;
+    const refreshToken = this.#session?.refreshToken;
+    if (!refreshToken) return;
+    if (this.#jar.has(REFRESH_COOKIE)) return;
+    this.#jar.set(this.#config.baseUrl, REFRESH_COOKIE, refreshToken, REFRESH_COOKIE_PATH);
+  }
   #sessionFromConfig(auth) {
     if (!auth) return null;
     if (typeof auth === "string") return { accessToken: auth, obtainedAt: Date.now() };
@@ -1215,7 +1449,12 @@ var AuthManager = class {
   }
   async #saveSession(session) {
     const cookies = this.#config.useCookieJar ? this.#jar.serialize() : void 0;
-    const next = { ...session, ...cookies?.length ? { cookies } : {} };
+    const deviceId = session.deviceId ?? this.#deviceId;
+    const next = {
+      ...session,
+      ...cookies?.length ? { cookies } : {},
+      ...deviceId ? { deviceId } : {}
+    };
     this.#session = next;
     await this.#config.storage.set(next);
   }
@@ -1234,24 +1473,32 @@ var AuthManager = class {
   }
   async #performRefresh() {
     await this.#loadSession();
-    if (!this.hasRefreshSession()) {
+    if (!this.#hasRefreshSession()) {
       return this.#reloginOrNull();
     }
     try {
       const payload = await this.#http.request({
         method: "POST",
         path: AUTH_PATHS.refresh,
-        // Обновление опирается на cookie, а не на устаревший Bearer.
+        // Тела нет намеренно: сервер читает refresh-токен только из cookie — см.
+        // #seedRefreshCookie. По той же причине не нужен и устаревший Bearer.
         skipAuth: true,
         // Без этого 401 на самом обновлении вызвал бы новое обновление — и так по кругу.
         skipAuthRefresh: true,
-        ...this.#session?.refreshToken ? { body: { refreshToken: this.#session.refreshToken } } : {}
+        // Обновление почти всегда запускается изнутри запроса, который занимает место
+        // в очереди и ждёт его результата. Встать в ту же очередь — значит зависнуть.
+        skipQueue: true
       });
       const accessToken = readAccessToken(payload);
       if (!accessToken) return this.#reloginOrNull();
+      const rotated = this.#jar.getValue(
+        REFRESH_COOKIE,
+        this.#config.baseUrl + REFRESH_COOKIE_PATH
+      );
       await this.#saveSession({
         ...this.#session ?? {},
         accessToken,
+        ...rotated ? { refreshToken: rotated } : {},
         obtainedAt: Date.now()
       });
       this.#emitter.emit("tokens", { accessToken });
@@ -1259,8 +1506,11 @@ var AuthManager = class {
     } catch (error) {
       if (error instanceof ItdApiError) {
         this.#session = null;
+        this.#jar.clear();
         await this.#config.storage.clear();
-        return this.#reloginOrNull();
+        const relogged = await this.#reloginOrNull();
+        if (relogged !== null) return relogged;
+        throw error;
       }
       throw error;
     }
@@ -1272,7 +1522,7 @@ var AuthManager = class {
       return null;
     }
     try {
-      return await this.#signInWithCredentials(auth.email, auth.password);
+      return await this.#signInWithCredentials(auth);
     } catch {
       return null;
     }
@@ -1283,21 +1533,41 @@ var AuthManager = class {
    * Параллельные вызовы объединяются: одновременный старт нескольких запросов не должен
    * приводить к нескольким попыткам входа и блокировке аккаунта.
    */
-  #signInWithCredentials(email, password) {
+  #signInWithCredentials(credentials) {
     if (this.#signingIn) return this.#signingIn;
-    const promise = this.#performSignIn(email, password).finally(() => {
+    const promise = this.#performSignIn(credentials).finally(() => {
       this.#signingIn = null;
     });
     this.#signingIn = promise;
     return promise;
   }
-  async #performSignIn(email, password) {
+  /**
+   * Берёт токен капчи для входа.
+   *
+   * `getTurnstileToken` приоритетнее готовой строки: токен Turnstile одноразовый и живёт
+   * несколько минут, поэтому при повторном входе через сутки годится только свежий.
+   */
+  async #resolveTurnstileToken(credentials) {
+    if (credentials.getTurnstileToken) {
+      const token = await credentials.getTurnstileToken();
+      if (token) return token;
+    }
+    if (credentials.turnstileToken) return credentials.turnstileToken;
+    throw new ItdConfigError(
+      "\u0412\u0445\u043E\u0434 \u043F\u043E email \u0438 \u043F\u0430\u0440\u043E\u043B\u044E \u0442\u0440\u0435\u0431\u0443\u0435\u0442 \u0442\u043E\u043A\u0435\u043D \u043A\u0430\u043F\u0447\u0438 Cloudflare Turnstile: \u0431\u0435\u0437 \u043D\u0435\u0433\u043E \u0441\u0435\u0440\u0432\u0435\u0440 \u043E\u0442\u0432\u0435\u0447\u0430\u0435\u0442 422. \u041F\u0435\u0440\u0435\u0434\u0430\u0439\u0442\u0435 auth.getTurnstileToken (\u0438\u0441\u0442\u043E\u0447\u043D\u0438\u043A \u0441\u0432\u0435\u0436\u0435\u0433\u043E \u0442\u043E\u043A\u0435\u043D\u0430) \u043B\u0438\u0431\u043E \u0440\u0430\u0437\u043E\u0432\u044B\u0439 auth.turnstileToken. \u041A\u043B\u044E\u0447 \u0432\u0438\u0434\u0436\u0435\u0442\u0430 \u2014 TURNSTILE_SITE_KEY."
+    );
+  }
+  async #performSignIn(credentials) {
+    const turnstileToken = await this.#resolveTurnstileToken(credentials);
     const payload = await this.#http.request({
       method: "POST",
       path: AUTH_PATHS.signIn,
-      body: { email, password },
+      body: { email: credentials.email, password: credentials.password, turnstileToken },
       skipAuth: true,
-      skipAuthRefresh: true
+      skipAuthRefresh: true,
+      // Отложенный вход происходит при сборке заголовков уже начатого запроса — тот держит
+      // место в очереди и ждёт токена. См. `skipQueue` в RawRequestOptions.
+      skipQueue: true
     });
     const accessToken = readAccessToken(payload);
     if (!accessToken) {
@@ -1312,43 +1582,6 @@ var AuthManager = class {
   }
 };
 
-// src/core/runtime.ts
-function detectRuntime() {
-  const nav = globalThis.navigator;
-  if (nav?.product === "ReactNative") return "react-native";
-  if (typeof document !== "undefined") return "browser";
-  return "server";
-}
-function shouldUseCookieJar(mode) {
-  if (mode === "browser") return false;
-  if (mode === "server") return true;
-  return detectRuntime() === "server";
-}
-function shouldSendCredentials(mode) {
-  if (mode === "browser") return true;
-  if (mode === "server") return false;
-  return detectRuntime() === "browser";
-}
-function resolveFetch(custom) {
-  if (custom) return custom;
-  if (typeof globalThis.fetch === "function") {
-    return globalThis.fetch.bind(globalThis);
-  }
-  throw new ItdConfigError(
-    "\u0412 \u044D\u0442\u043E\u0439 \u0441\u0440\u0435\u0434\u0435 \u043D\u0435\u0442 \u0433\u043B\u043E\u0431\u0430\u043B\u044C\u043D\u043E\u0433\u043E fetch. \u041E\u0431\u043D\u043E\u0432\u0438\u0442\u0435\u0441\u044C \u0434\u043E Node 18+ \u043B\u0438\u0431\u043E \u043F\u0435\u0440\u0435\u0434\u0430\u0439\u0442\u0435 \u0441\u0432\u043E\u044E \u0440\u0435\u0430\u043B\u0438\u0437\u0430\u0446\u0438\u044E \u0447\u0435\u0440\u0435\u0437 \u043E\u043F\u0446\u0438\u044E fetch."
-  );
-}
-function supportsStreamingBody() {
-  return typeof ReadableStream !== "undefined" && typeof TextDecoder !== "undefined";
-}
-function hasLocalStorage() {
-  try {
-    return typeof globalThis.localStorage !== "undefined" && globalThis.localStorage !== null;
-  } catch {
-    return false;
-  }
-}
-
 // src/core/storage.ts
 var MemoryTokenStorage = class {
   #session = null;
@@ -1463,6 +1696,8 @@ function normalizeBaseUrl(baseUrl) {
 // src/core/config.ts
 var DEFAULT_BASE_URL = "https://xn--d1ah4a.com";
 var DEFAULT_TIMEOUT = 3e4;
+var LIBRARY_VERSION = "0.0.4";
+var DEFAULT_USER_AGENT = `Mozilla/5.0 (compatible; itd-api/${LIBRARY_VERSION}; +https://github.com/KiowDev/itd-api)`;
 var DEFAULT_RATE_LIMIT_DELAYS = Object.freeze([1e3, 5e3, 3e4, 6e4, 9e4]);
 function requirePositive(value, name) {
   if (!Number.isFinite(value) || value < 0) {
@@ -1554,13 +1789,19 @@ function validateAuth(auth) {
     return auth;
   }
   if ("email" in auth || "password" in auth) {
-    const { email, password } = auth;
+    const { email, password, turnstileToken, getTurnstileToken } = auth;
     if (typeof email !== "string" || email.trim() === "") {
       throw new ItdConfigError("auth.email \u0434\u043E\u043B\u0436\u0435\u043D \u0431\u044B\u0442\u044C \u043D\u0435\u043F\u0443\u0441\u0442\u043E\u0439 \u0441\u0442\u0440\u043E\u043A\u043E\u0439");
     }
     if (typeof password !== "string" || password === "") {
       throw new ItdConfigError("auth.password \u0434\u043E\u043B\u0436\u0435\u043D \u0431\u044B\u0442\u044C \u043D\u0435\u043F\u0443\u0441\u0442\u043E\u0439 \u0441\u0442\u0440\u043E\u043A\u043E\u0439");
     }
+    if (getTurnstileToken !== void 0 && typeof getTurnstileToken !== "function") {
+      throw new ItdConfigError("auth.getTurnstileToken \u0434\u043E\u043B\u0436\u0435\u043D \u0431\u044B\u0442\u044C \u0444\u0443\u043D\u043A\u0446\u0438\u0435\u0439");
+    }
+    if (turnstileToken !== void 0 && (typeof turnstileToken !== "string" || turnstileToken.trim() === "")) {
+      throw new ItdConfigError("auth.turnstileToken \u0434\u043E\u043B\u0436\u0435\u043D \u0431\u044B\u0442\u044C \u043D\u0435\u043F\u0443\u0441\u0442\u043E\u0439 \u0441\u0442\u0440\u043E\u043A\u043E\u0439");
+    }
     return auth;
   }
   throw new ItdConfigError(
@@ -1568,11 +1809,16 @@ function validateAuth(auth) {
   );
 }
 function resolveConfig(options = {}) {
-  const mode = options.mode ?? "auto";
-  if (mode !== "auto" && mode !== "browser" && mode !== "server") {
-    throw new ItdConfigError(`mode \u0434\u043E\u043B\u0436\u0435\u043D \u0431\u044B\u0442\u044C 'auto', 'browser' \u0438\u043B\u0438 'server', \u043F\u043E\u043B\u0443\u0447\u0435\u043D\u043E: ${mode}`);
+  const mode = options.mode ?? RuntimeMode.Auto;
+  if (!Object.values(RuntimeMode).includes(mode)) {
+    throw new ItdConfigError(
+      `mode \u0434\u043E\u043B\u0436\u0435\u043D \u0431\u044B\u0442\u044C \u043E\u0434\u043D\u0438\u043C \u0438\u0437 ${Object.values(RuntimeMode).join(", ")}, \u043F\u043E\u043B\u0443\u0447\u0435\u043D\u043E: ${mode}`
+    );
   }
   const timeout = requirePositive(options.timeout ?? DEFAULT_TIMEOUT, "timeout");
+  if (options.deviceId !== void 0 && (typeof options.deviceId !== "string" || options.deviceId.trim() === "")) {
+    throw new ItdConfigError("deviceId \u0434\u043E\u043B\u0436\u0435\u043D \u0431\u044B\u0442\u044C \u043D\u0435\u043F\u0443\u0441\u0442\u043E\u0439 \u0441\u0442\u0440\u043E\u043A\u043E\u0439");
+  }
   return {
     baseUrl: normalizeBaseUrl(options.baseUrl ?? DEFAULT_BASE_URL),
     auth: validateAuth(options.auth),
@@ -1586,19 +1832,102 @@ function resolveConfig(options = {}) {
     hooks: options.hooks ?? {},
     logger: options.logger === true ? consoleLogger() : options.logger || void 0,
     headers: { ...options.headers },
+    deviceId: options.deviceId,
+    // `false` — способ не слать заголовок вовсе; строка заменяет умолчание.
+    userAgent: options.userAgent === false ? void 0 : options.userAgent ?? DEFAULT_USER_AGENT,
     mode,
     useCookieJar: shouldUseCookieJar(mode),
     sendCredentials: shouldSendCredentials(mode)
   };
 }
 
-// src/core/error-factory.ts
+// src/core/redact.ts
+var SECRET_HEADERS = /* @__PURE__ */ new Set(["authorization", "cookie", "set-cookie", "x-api-key"]);
+var SECRET_FIELDS = /* @__PURE__ */ new Set([
+  "password",
+  "oldpassword",
+  "newpassword",
+  "accesstoken",
+  "refreshtoken",
+  "currentpassword",
+  "flowtoken",
+  "token",
+  "turnstiletoken",
+  "otp"
+]);
+function maskSecret(value) {
+  if (value.length <= 8) return "\u2026";
+  return `${value.slice(0, 4)}\u2026(${value.length})\u2026${value.slice(-3)}`;
+}
+function redactHeaders(headers) {
+  const result = {};
+  headers.forEach((value, name) => {
+    if (SECRET_HEADERS.has(name.toLowerCase())) {
+      const spaceAt = value.indexOf(" ");
+      result[name] = spaceAt > 0 ? `${value.slice(0, spaceAt)} ${maskSecret(value.slice(spaceAt + 1))}` : maskSecret(value);
+      return;
+    }
+    result[name] = value;
+  });
+  return result;
+}
+function redactBody(body) {
+  if (body === null || body === void 0) return body;
+  if (typeof FormData !== "undefined" && body instanceof FormData) return "[FormData]";
+  if (isBlob(body)) return "[Blob]";
+  if (body instanceof ArrayBuffer || ArrayBuffer.isView(body)) return "[binary]";
+  if (Array.isArray(body)) return body.map(redactBody);
+  if (typeof body === "object") {
+    const result = {};
+    for (const [key, value] of Object.entries(body)) {
+      result[key] = SECRET_FIELDS.has(key.toLowerCase()) ? "[\u0441\u043A\u0440\u044B\u0442\u043E]" : redactBody(value);
+    }
+    return result;
+  }
+  return body;
+}
+
+// src/core/unwrap.ts
+function unwrapData(body) {
+  if (typeof body !== "object" || body === null || Array.isArray(body)) return body;
+  const keys = Object.keys(body);
+  if (keys.length !== 1 || keys[0] !== "data") return body;
+  return body.data;
+}
 function isRecord(value) {
   return typeof value === "object" && value !== null && !Array.isArray(value);
 }
 function asString(value) {
   return typeof value === "string" && value.length > 0 ? value : void 0;
 }
+function pickArray(source, field) {
+  if (typeof source !== "object" || source === null) return [];
+  const value = source[field];
+  return Array.isArray(value) ? value : [];
+}
+function pickObject(source, field) {
+  if (typeof source !== "object" || source === null) return void 0;
+  const value = source[field];
+  if (typeof value !== "object" || value === null || Array.isArray(value)) return void 0;
+  return value;
+}
+function pickBoolean(source, field, fallback = false) {
+  if (typeof source !== "object" || source === null) return fallback;
+  const value = source[field];
+  return typeof value === "boolean" ? value : fallback;
+}
+function pickNumber(source, field, fallback) {
+  if (typeof source !== "object" || source === null) return fallback;
+  const value = source[field];
+  return typeof value === "number" && Number.isFinite(value) ? value : fallback;
+}
+function pickString(source, field) {
+  if (typeof source !== "object" || source === null) return void 0;
+  const value = source[field];
+  return typeof value === "string" && value.length > 0 ? value : void 0;
+}
+
+// src/core/error-factory.ts
 function collectFieldErrors(source) {
   const result = {};
   const errors = source.errors;
@@ -1707,6 +2036,10 @@ var CODE_TO_CLASS = {
   SESSION_EXPIRED: ItdAuthError,
   SESSION_REVOKED: ItdAuthError,
   SESSION_INVALID_REFRESH_TOKEN: ItdAuthError,
+  // Оба приходят с `/auth/refresh`: первый — когда cookie refresh_token не долетела,
+  // второй — когда она есть, но сессия за ней уже мертва.
+  REFRESH_TOKEN_MISSING: ItdAuthError,
+  SESSION_NOT_FOUND: ItdAuthError,
   ACCOUNT_INVALID_CREDENTIALS: ItdAuthError,
   ACCESS_DENIED: ItdForbiddenError,
   ENTITY_NOT_FOUND: ItdNotFoundError,
@@ -1724,6 +2057,10 @@ function classByStatus(status) {
   if (status >= 500) return ItdServerError;
   return ItdApiError;
 }
+function safeRawBody(body) {
+  if (!isRecord(body) || body.type !== "validation" || !isRecord(body.found)) return body;
+  return { ...body, found: redactBody(body.found) };
+}
 function createApiError(context) {
   const parsed = parseErrorBody(context.body, context.status, context.statusText);
   const rateLimit = readRateLimit(context.headers);
@@ -1739,7 +2076,7 @@ function createApiError(context) {
     requestId: getRequestId(context.headers),
     method: context.method,
     path: context.path,
-    raw: context.body,
+    raw: safeRawBody(context.body),
     response: context.response,
     retryAfter: parseRetryAfter(context.headers?.get("retry-after"))
   };
@@ -1750,84 +2087,6 @@ function createApiError(context) {
   return new Ctor(init);
 }
 
-// src/core/redact.ts
-var SECRET_HEADERS = /* @__PURE__ */ new Set(["authorization", "cookie", "set-cookie", "x-api-key"]);
-var SECRET_FIELDS = /* @__PURE__ */ new Set([
-  "password",
-  "oldpassword",
-  "newpassword",
-  "accesstoken",
-  "refreshtoken",
-  "flowtoken",
-  "token",
-  "otp"
-]);
-function maskSecret(value) {
-  if (value.length <= 8) return "\u2026";
-  return `${value.slice(0, 4)}\u2026(${value.length})\u2026${value.slice(-3)}`;
-}
-function redactHeaders(headers) {
-  const result = {};
-  headers.forEach((value, name) => {
-    if (SECRET_HEADERS.has(name.toLowerCase())) {
-      const spaceAt = value.indexOf(" ");
-      result[name] = spaceAt > 0 ? `${value.slice(0, spaceAt)} ${maskSecret(value.slice(spaceAt + 1))}` : maskSecret(value);
-      return;
-    }
-    result[name] = value;
-  });
-  return result;
-}
-function redactBody(body) {
-  if (body === null || body === void 0) return body;
-  if (typeof FormData !== "undefined" && body instanceof FormData) return "[FormData]";
-  if (typeof Blob !== "undefined" && body instanceof Blob) return "[Blob]";
-  if (body instanceof ArrayBuffer || ArrayBuffer.isView(body)) return "[binary]";
-  if (Array.isArray(body)) return body.map(redactBody);
-  if (typeof body === "object") {
-    const result = {};
-    for (const [key, value] of Object.entries(body)) {
-      result[key] = SECRET_FIELDS.has(key.toLowerCase()) ? "[\u0441\u043A\u0440\u044B\u0442\u043E]" : redactBody(value);
-    }
-    return result;
-  }
-  return body;
-}
-
-// src/core/unwrap.ts
-function unwrapData(body) {
-  if (typeof body !== "object" || body === null || Array.isArray(body)) return body;
-  const keys = Object.keys(body);
-  if (keys.length !== 1 || keys[0] !== "data") return body;
-  return body.data;
-}
-function pickArray(source, field) {
-  if (typeof source !== "object" || source === null) return [];
-  const value = source[field];
-  return Array.isArray(value) ? value : [];
-}
-function pickObject(source, field) {
-  if (typeof source !== "object" || source === null) return void 0;
-  const value = source[field];
-  if (typeof value !== "object" || value === null || Array.isArray(value)) return void 0;
-  return value;
-}
-function pickBoolean(source, field, fallback = false) {
-  if (typeof source !== "object" || source === null) return fallback;
-  const value = source[field];
-  return typeof value === "boolean" ? value : fallback;
-}
-function pickNumber(source, field, fallback) {
-  if (typeof source !== "object" || source === null) return fallback;
-  const value = source[field];
-  return typeof value === "number" && Number.isFinite(value) ? value : fallback;
-}
-function pickString(source, field) {
-  if (typeof source !== "object" || source === null) return void 0;
-  const value = source[field];
-  return typeof value === "string" && value.length > 0 ? value : void 0;
-}
-
 // src/core/http.ts
 function sleep(ms) {
   return new Promise((resolve) => setTimeout(resolve, ms));
@@ -1843,7 +2102,7 @@ function setHeader(headers, name, value) {
 }
 function isRawBody(body) {
   if (typeof body !== "object" || body === null) return typeof body === "string";
-  return typeof FormData !== "undefined" && body instanceof FormData || typeof Blob !== "undefined" && body instanceof Blob || typeof URLSearchParams !== "undefined" && body instanceof URLSearchParams || typeof ReadableStream !== "undefined" && body instanceof ReadableStream || body instanceof ArrayBuffer || ArrayBuffer.isView(body);
+  return typeof FormData !== "undefined" && body instanceof FormData || isBlob(body) || typeof URLSearchParams !== "undefined" && body instanceof URLSearchParams || typeof ReadableStream !== "undefined" && body instanceof ReadableStream || body instanceof ArrayBuffer || ArrayBuffer.isView(body);
 }
 async function readBody(response) {
   if (response.status === 204 || response.status === 205) return void 0;
@@ -1913,7 +2172,8 @@ var HttpClient = class {
    */
   async request(options) {
     const task = () => this.#withRetries(options);
-    return this.#collaborators.schedule ? this.#collaborators.schedule(task) : task();
+    if (!this.#collaborators.schedule || options.skipQueue) return task();
+    return this.#collaborators.schedule(task);
   }
   async #withRetries(options) {
     const method = options.method.toUpperCase();
@@ -1945,6 +2205,11 @@ var HttpClient = class {
   async #buildHeaders(options, url) {
     const headers = new Headers();
     headers.set("Accept", "application/json");
+    headers.set("X-Requested-With", "XMLHttpRequest");
+    if (this.#config.userAgent) setHeader(headers, "User-Agent", this.#config.userAgent);
+    if (this.#collaborators.getDeviceId) {
+      setHeader(headers, "X-Device-Id", await this.#collaborators.getDeviceId());
+    }
     for (const [name, value] of Object.entries(this.#config.headers))
       setHeader(headers, name, value);
     if (!options.skipAuth && this.#collaborators.getAuthHeaders) {
@@ -2177,21 +2442,15 @@ function isKnownNotificationType(type) {
 }
 
 // src/notifications/normalize.ts
-function isRecord2(value) {
-  return typeof value === "object" && value !== null && !Array.isArray(value);
-}
-function asString2(value) {
-  return typeof value === "string" && value.length > 0 ? value : void 0;
-}
 function asActor(value) {
-  if (!isRecord2(value)) return void 0;
-  const id = asString2(value.id);
+  if (!isRecord(value)) return void 0;
+  const id = asString(value.id);
   if (!id) return void 0;
   return {
     id,
-    username: asString2(value.username) ?? "",
-    displayName: asString2(value.displayName) ?? "",
-    avatar: asString2(value.avatar) ?? "",
+    username: asString(value.username) ?? "",
+    displayName: asString(value.displayName) ?? "",
+    avatar: asString(value.avatar) ?? "",
     ...typeof value.isFollowing === "boolean" ? { isFollowing: value.isFollowing } : {},
     ...typeof value.isFollowedBy === "boolean" ? { isFollowedBy: value.isFollowedBy } : {}
   };
@@ -2204,33 +2463,34 @@ function readActors(source) {
   return single ? [single] : [];
 }
 function normalizeNotification(input) {
-  const source = isRecord2(input) ? input : {};
-  const payload = isRecord2(source.payload) ? source.payload : source;
-  const rawType = asString2(payload.type) ?? asString2(source.type) ?? "";
-  const createdAt = asString2(payload.createdAt) ?? asString2(source.createdAt) ?? "";
-  const readAt = asString2(payload.readAt) ?? asString2(source.readAt);
+  const source = isRecord(input) ? input : {};
+  const payload = isRecord(source.payload) ? source.payload : source;
+  const rawType = asString(payload.type) ?? asString(source.type) ?? "";
+  const createdAt = asString(payload.createdAt) ?? asString(source.createdAt) ?? "";
+  const readAt = asString(payload.readAt) ?? asString(source.readAt);
   const isRead = typeof payload.isRead === "boolean" ? payload.isRead : typeof payload.read === "boolean" ? payload.read : Boolean(readAt);
-  const subjectId = asString2(payload.subjectId);
-  const targetId = asString2(payload.targetId);
+  const subjectId = asString(payload.subjectId);
+  const targetId = asString(payload.targetId);
   const subjectIsComment = payload.subjectType === "comment";
+  const clickUrl = asString(payload.clickUrl);
   return {
-    id: asString2(payload.id) ?? asString2(source.id) ?? "",
+    id: asString(payload.id) ?? asString(source.id) ?? "",
     type: canonicalNotificationType(rawType),
     rawType,
-    entityId: asString2(payload.entityId) ?? (subjectIsComment ? subjectId ?? targetId : targetId) ?? null,
-    parentEntityId: asString2(payload.parentEntityId) ?? (subjectIsComment ? targetId ?? null : null),
+    entityId: asString(payload.entityId) ?? (subjectIsComment ? subjectId ?? targetId : targetId) ?? null,
+    parentEntityId: asString(payload.parentEntityId) ?? (subjectIsComment ? targetId ?? null : null),
     isRead,
     actors: readActors(payload),
     count: typeof payload.count === "number" && payload.count > 0 ? payload.count : 1,
-    preview: asString2(payload.entityPreview) ?? asString2(payload.preview) ?? null,
-    ...asString2(payload.clickUrl) ? { clickUrl: asString2(payload.clickUrl) } : {},
+    preview: asString(payload.entityPreview) ?? asString(payload.preview) ?? null,
+    ...clickUrl ? { clickUrl } : {},
     createdAt,
-    updatedAt: asString2(payload.updatedAt) ?? readAt ?? createdAt,
+    updatedAt: asString(payload.updatedAt) ?? readAt ?? createdAt,
     raw: input
   };
 }
 function readNotificationEvent(data) {
-  const source = isRecord2(data) ? data : {};
+  const source = isRecord(data) ? data : {};
   return {
     notification: normalizeNotification(data),
     unreadCount: typeof source.unreadCount === "number" ? source.unreadCount : void 0,
@@ -2238,8 +2498,8 @@ function readNotificationEvent(data) {
   };
 }
 function readUnreadCountEvent(data) {
-  if (!isRecord2(data)) return void 0;
-  const payload = isRecord2(data.payload) ? data.payload : void 0;
+  if (!isRecord(data)) return void 0;
+  const payload = isRecord(data.payload) ? data.payload : void 0;
   if (!payload) return void 0;
   return typeof payload.count === "number" ? payload.count : void 0;
 }
@@ -2318,6 +2578,7 @@ var PollTransport = class {
   }
   /** Ждёт следующего опроса, прерываясь при отмене. */
   #wait(signal) {
+    if (signal.aborted) return Promise.resolve();
     return new Promise((resolve) => {
       const timer = setTimeout(finish, this.#interval);
       function finish() {
@@ -2590,6 +2851,14 @@ var SseTransport = class {
 };
 
 // src/realtime/stream.ts
+var RealtimeTransportKind = Object.freeze({
+  /** Поток событий, если среда умеет читать тело по частям, иначе опрос. */
+  Auto: "auto",
+  /** Поток `text/event-stream`. */
+  Sse: "sse",
+  /** Периодический опрос REST. */
+  Poll: "poll"
+});
 var ItdRealtime = class {
   #deps;
   #options;
@@ -2597,6 +2866,15 @@ var ItdRealtime = class {
   #transport;
   #maxAttempts;
   #controller;
+  /**
+   * Хочет ли вызывающий код, чтобы соединение было живо.
+   *
+   * Отдельно от `#controller`, потому что тот появляется только после `await` внутри
+   * {@link connect}. Без этого флага два вызова подряд проскочили бы проверку оба
+   * и подняли два соединения, а `disconnect()` во время ожидания счётчика не был бы
+   * замечен и соединение поднялось бы уже после отмены.
+   */
+  #wanted = false;
   #status = RealtimeStatus.Disconnected;
   #attempt = 0;
   #timer;
@@ -2632,7 +2910,8 @@ var ItdRealtime = class {
    * Возвращает управление сразу после запуска: соединение живёт в фоне.
    */
   async connect() {
-    if (this.#controller) return;
+    if (this.#wanted) return;
+    this.#wanted = true;
     this.#attachEnvironmentListeners();
     if (this.#options.syncCount !== false) {
       try {
@@ -2641,10 +2920,11 @@ var ItdRealtime = class {
         this.#deps.logger?.debug("\u043D\u0435 \u0443\u0434\u0430\u043B\u043E\u0441\u044C \u043F\u043E\u043B\u0443\u0447\u0438\u0442\u044C \u0447\u0438\u0441\u043B\u043E \u043D\u0435\u043F\u0440\u043E\u0447\u0438\u0442\u0430\u043D\u043D\u044B\u0445", error);
       }
     }
-    this.#run();
+    if (this.#wanted) this.#run();
   }
   /** Закрывает соединение и отменяет запланированные попытки. */
   disconnect() {
+    this.#wanted = false;
     if (this.#timer !== void 0) {
       clearTimeout(this.#timer);
       this.#timer = void 0;
@@ -2661,9 +2941,9 @@ var ItdRealtime = class {
     this.#emitter.removeAllListeners();
   }
   #createTransport() {
-    const kind = this.#options.transport ?? "auto";
+    const kind = this.#options.transport ?? RealtimeTransportKind.Auto;
     if (typeof kind === "object") return kind;
-    if (kind === "poll" || kind === "auto" && !supportsStreamingBody()) {
+    if (kind === RealtimeTransportKind.Poll || kind === RealtimeTransportKind.Auto && !supportsStreamingBody()) {
       return new PollTransport({
         ...this.#options.pollInterval !== void 0 ? { interval: this.#options.pollInterval } : {}
       });
@@ -2674,6 +2954,7 @@ var ItdRealtime = class {
   }
   /** Запускает попытку подключения; повторы планирует сам. */
   #run() {
+    this.#controller?.abort();
     const controller = new AbortController();
     this.#controller = controller;
     this.#setStatus(RealtimeStatus.Connecting);
@@ -2703,8 +2984,7 @@ var ItdRealtime = class {
   #handleEvent(name, data) {
     this.#emitter.emit("message", { name, data });
     if (name === "connected") {
-      const userId = typeof data === "object" && data !== null && "userId" in data ? String(data.userId) : void 0;
-      this.#emitter.emit("ready", { userId });
+      this.#emitter.emit("ready", { userId: pickString(data, "userId") });
       return;
     }
     if (name === "notification") {
@@ -2792,13 +3072,22 @@ var ItdRealtime = class {
 };
 
 // src/core/pagination.ts
+var PaginationMode = Object.freeze({
+  /** Следующая страница запрашивается непрозрачным курсором. */
+  Cursor: "cursor",
+  /** Следующая страница запрашивается номером. */
+  Page: "page",
+  /** Следующая страница запрашивается смещением от начала списка. */
+  Offset: "offset"
+});
 function readItems(body, fields) {
   if (Array.isArray(body)) return body;
   for (const field of fields) {
     const items = pickArray(body, field);
     if (items.length > 0) return items;
   }
-  return fields.length > 0 ? pickArray(body, fields[0]) : [];
+  const primary = fields[0];
+  return primary === void 0 ? [] : pickArray(body, primary);
 }
 function readCursor(body) {
   const pagination = pickObject(body, "pagination");
@@ -2857,12 +3146,13 @@ function readOffsetPage(body, field, offset) {
 var Paginator = class {
   #options;
   #maxPages;
-  #state = {};
+  #state;
   #finished = false;
   #pagesLoaded = 0;
   constructor(options) {
     this.#options = options;
     this.#maxPages = options.maxPages ?? 1e3;
+    this.#state = options.start ?? {};
   }
   /**
    * Загружает следующую страницу.
@@ -2928,7 +3218,7 @@ var Paginator = class {
       this.#finished = true;
       return previous;
     }
-    if (this.#options.mode === "cursor") {
+    if (this.#options.mode === PaginationMode.Cursor) {
       const cursor = page.nextCursor ?? void 0;
       if (!cursor || cursor === previous.cursor) {
         this.#finished = true;
@@ -2936,7 +3226,7 @@ var Paginator = class {
       }
       return { cursor };
     }
-    if (this.#options.mode === "page") {
+    if (this.#options.mode === PaginationMode.Page) {
       return { page: (previous.page ?? 1) + 1 };
     }
     return { offset: page.nextOffset ?? (previous.offset ?? 0) + page.items.length };
@@ -2965,13 +3255,15 @@ var BaseResource = class {
    *
    * @param mode схема пагинации эндпоинта
    * @param load загружает одну страницу для указанной позиции
+   * @param options `maxPages` и `signal`, а также `start` — позиция, с которой продолжить
    */
   paginate(mode, load, options) {
     return new Paginator({
       mode,
       load,
       ...options?.maxPages !== void 0 ? { maxPages: options.maxPages } : {},
-      ...options?.signal !== void 0 ? { signal: options.signal } : {}
+      ...options?.signal !== void 0 ? { signal: options.signal } : {},
+      ...options?.start !== void 0 ? { start: options.start } : {}
     });
   }
 };
@@ -2985,6 +3277,14 @@ function withPageState(query, state) {
 }
 
 // src/resources/auth.ts
+var OAuthProvider = Object.freeze({
+  Yandex: "yandex",
+  Google: "google"
+});
+var SignInStatus = Object.freeze({
+  Authenticated: "authenticated",
+  OtpRequired: "otp_required"
+});
 var AuthResource = class extends BaseResource {
   #auth;
   constructor(http, deps) {
@@ -3018,6 +3318,8 @@ var AuthResource = class extends BaseResource {
    * тогда продолжайте через {@link verifyOtp} либо воспользуйтесь {@link signInWithOtp}.
    *
    * При успешном входе токен сохраняется в клиенте автоматически.
+   *
+   * @param credentials email, пароль и обязательный токен капчи — см. {@link CaptchaCredentials}
    */
   async signIn(credentials, options = {}) {
     const body = await this.http.request({
@@ -3031,9 +3333,9 @@ var AuthResource = class extends BaseResource {
     const accessToken = pickString(body, "accessToken");
     if (accessToken) {
       await this.#auth.setAccessToken(accessToken);
-      return { status: "authenticated", accessToken };
+      return { status: SignInStatus.Authenticated, accessToken };
     }
-    return { status: "otp_required", flowToken: pickString(body, "flowToken") };
+    return { status: SignInStatus.OtpRequired, flowToken: pickString(body, "flowToken") };
   }
   /**
    * Подтверждает вход кодом из письма.
@@ -3088,14 +3390,22 @@ var AuthResource = class extends BaseResource {
   async signInWithOtp(input, options = {}) {
     const { getOtp, ...credentials } = input;
     const result = await this.signIn(credentials, options);
-    if (result.status === "authenticated") return result.accessToken;
+    if (result.status === SignInStatus.Authenticated) return result.accessToken;
     if (!result.flowToken) {
       throw new ItdConfigError(
         "\u0421\u0435\u0440\u0432\u0435\u0440 \u0437\u0430\u043F\u0440\u043E\u0441\u0438\u043B \u043A\u043E\u0434 \u043F\u043E\u0434\u0442\u0432\u0435\u0440\u0436\u0434\u0435\u043D\u0438\u044F, \u043D\u043E \u043D\u0435 \u0432\u0435\u0440\u043D\u0443\u043B flowToken \u2014 \u043F\u0440\u043E\u0434\u043E\u043B\u0436\u0438\u0442\u044C \u0432\u0445\u043E\u0434 \u043D\u0435\u0432\u043E\u0437\u043C\u043E\u0436\u043D\u043E"
       );
     }
     const otp = await getOtp();
-    return this.verifyOtp({ ...credentials, otp, flowToken: result.flowToken }, options);
+    return this.verifyOtp(
+      {
+        email: credentials.email,
+        password: credentials.password,
+        otp,
+        flowToken: result.flowToken
+      },
+      options
+    );
   }
   /**
    * Обновляет токен доступа.
@@ -3109,9 +3419,18 @@ var AuthResource = class extends BaseResource {
   /**
    * Есть ли признак живой сессии обновления.
    *
-   * Проверяет cookie `is_auth`, которую сервер ставит рядом с refresh-токеном. Позволяет
-   * не дёргать API у неавторизованного пользователя. В браузере всегда `true`:
-   * cookie ведёт сама среда, и прочитать её из JS нельзя.
+   * Проверяет cookie `is_auth`, которую сервер ставит рядом с refresh-токеном, а также
+   * refresh-токен, переданный строкой. Позволяет не дёргать API у неавторизованного
+   * пользователя. В браузере всегда `true`: cookie ведёт сама среда, и прочитать её
+   * из JS нельзя.
+   *
+   * Читает {@link TokenStorage}, поэтому результат верен и до первого запроса.
+   *
+   * @example
+   * ```ts
+   * if (await itd.auth.hasRefreshSession()) await itd.auth.refresh();
+   * else redirectToLogin();
+   * ```
    */
   hasRefreshSession() {
     return this.#auth.hasRefreshSession();
@@ -3126,32 +3445,48 @@ var AuthResource = class extends BaseResource {
     });
     await this.#auth.clear();
   }
-  /** Завершает все сессии пользователя и очищает локальную. */
+  /**
+   * Завершает все сессии пользователя и очищает локальную.
+   *
+   * Собран из двух запросов, потому что единого эндпоинта на сервере нет:
+   * `POST /api/v1/auth/logout-all` отвечает `404`. Сначала отзываются все прочие сессии
+   * (`DELETE /api/v1/auth/sessions`), затем завершается текущая — в обратном порядке
+   * отзывать было бы уже нечем.
+   */
   async logoutAll(options = {}) {
-    await this.http.request({
-      method: "POST",
-      path: "/api/v1/auth/logout-all",
-      skipAuthRefresh: true,
-      ...this.requestOptions(options)
-    });
-    await this.#auth.clear();
+    await this.revokeOtherSessions(options);
+    await this.logout(options);
   }
   /** Забывает сессию локально, не обращаясь к серверу. */
   signOut() {
     return this.#auth.clear();
   }
-  /** Запрашивает письмо для сброса пароля. */
-  forgotPassword(email, options = {}) {
-    return this.http.request({
+  /**
+   * Запрашивает письмо с кодом для сброса пароля.
+   *
+   * @returns `flowToken`, который нужно передать в {@link resetPassword}
+   */
+  async forgotPassword(input, options = {}) {
+    const body = await this.http.request({
       method: "POST",
       path: "/api/v1/auth/forgot-password",
-      body: { email },
+      body: input,
       skipAuth: true,
       skipAuthRefresh: true,
       ...this.requestOptions(options)
     });
+    const flowToken = pickString(body, "flowToken");
+    if (!flowToken) {
+      throw new ItdConfigError("\u0421\u0435\u0440\u0432\u0435\u0440 \u043D\u0435 \u0432\u0435\u0440\u043D\u0443\u043B flowToken \u043F\u0440\u0438 \u0437\u0430\u043F\u0440\u043E\u0441\u0435 \u0441\u0431\u0440\u043E\u0441\u0430 \u043F\u0430\u0440\u043E\u043B\u044F");
+    }
+    return flowToken;
   }
-  /** Устанавливает новый пароль по токену из письма. */
+  /**
+   * Устанавливает новый пароль по коду из письма.
+   *
+   * Сервер ждёт все четыре поля сразу — `email`, `otp`, `flowToken` и `newPassword`;
+   * при нехватке любого отвечает `422`.
+   */
   resetPassword(input, options = {}) {
     return this.http.request({
       method: "POST",
@@ -3162,12 +3497,45 @@ var AuthResource = class extends BaseResource {
       ...this.requestOptions(options)
     });
   }
-  /** Меняет пароль. Требует действующей сессии обновления. */
+  /**
+   * Полный сброс пароля с кодом из письма.
+   *
+   * Тот же приём, что и {@link signInWithOtp}: код запрашивается функцией `getOtp`,
+   * остальное библиотека делает сама.
+   *
+   * @example
+   * ```ts
+   * await itd.auth.resetPasswordWithOtp({
+   *   email,
+   *   turnstileToken,
+   *   newPassword,
+   *   getOtp: () => rl.question('Код из письма: '),
+   * });
+   * ```
+   */
+  async resetPasswordWithOtp(input, options = {}) {
+    const flowToken = await this.forgotPassword(
+      { email: input.email, turnstileToken: input.turnstileToken },
+      options
+    );
+    const otp = await input.getOtp();
+    await this.resetPassword(
+      { email: input.email, otp, flowToken, newPassword: input.newPassword },
+      options
+    );
+  }
+  /**
+   * Меняет пароль. Требует действующей сессии.
+   *
+   * При неверном текущем пароле сервер отвечает `ACCOUNT_CURRENT_PASSWORD_INCORRECT`.
+   */
   changePassword(input, options = {}) {
     return this.http.request({
       method: "POST",
       path: "/api/v1/auth/change-password",
-      body: input,
+      // Текущий пароль уходит под двумя именами: какое из них ждёт сервер, снаружи
+      // не проверить, а лишнее поле он игнорирует.
+      body: { ...input, currentPassword: input.oldPassword },
       ...this.requestOptions(options)
     });
   }
@@ -3237,7 +3605,7 @@ var CommentsResource = class extends BaseResource {
   iterateReplies(commentId, params = {}) {
     const path = `/api/comments/${encodePathSegment(commentId, "commentId")}/replies`;
     return this.paginate(
-      "page",
+      PaginationMode.Page,
       async (state) => {
         const body = await this.http.request({
           method: "GET",
@@ -3247,7 +3615,7 @@ var CommentsResource = class extends BaseResource {
         });
         return readPagedPage(body, "replies");
       },
-      params
+      { ...params, ...params.page !== void 0 ? { start: { page: params.page } } : {} }
     );
   }
   /**
@@ -3328,7 +3696,11 @@ var IMAGE_MIME_TYPES = Object.freeze([
   "image/heic",
   "image/heif"
 ]);
-var VIDEO_MIME_TYPES = Object.freeze(["video/mp4", "video/webm", "video/quicktime"]);
+var VIDEO_MIME_TYPES = Object.freeze([
+  "video/mp4",
+  "video/webm",
+  "video/quicktime"
+]);
 var AUDIO_MIME_TYPES = Object.freeze(["audio/ogg"]);
 var ALLOWED_MIME_TYPES = Object.freeze([
   ...IMAGE_MIME_TYPES,
@@ -3407,7 +3779,7 @@ var FilesResource = class extends BaseResource {
    * ```
    */
   async upload(input, options = {}) {
-    const prepared = await this.prepare(input, options);
+    const prepared = await this.#prepare(input, options);
     const form = new FormData();
     form.set("file", prepared.blob, prepared.filename);
     return this.http.request({
@@ -3458,11 +3830,11 @@ var FilesResource = class extends BaseResource {
     });
   }
   /** Приводит любой поддерживаемый вход к `Blob` с именем и проверенным типом. */
-  async prepare(input, options) {
+  async #prepare(input, options) {
     const { data, filename, contentType } = await this.#normalize(input, options);
-    const type = contentType ?? ((data instanceof Blob ? data.type : void 0) || mimeFromFilename(filename));
+    const type = contentType ?? ((isBlob(data) ? data.type : void 0) || mimeFromFilename(filename));
     if (options.validateMime !== false) assertAllowedMime(type || void 0, filename);
-    const blob = data instanceof Blob && (!type || data.type === type) ? data : new Blob([data], { type: type ?? "" });
+    const blob = isBlob(data) && (!type || data.type === type) ? data : new Blob([data], { type: type ?? "" });
     return { blob, filename };
   }
   async #normalize(input, options) {
@@ -3479,8 +3851,8 @@ var FilesResource = class extends BaseResource {
         ...options.contentType ? { contentType: options.contentType } : {}
       };
     }
-    if (input instanceof ArrayBuffer || ArrayBuffer.isView(input) || input instanceof Blob) {
-      const fallbackName = input instanceof File ? input.name : options.filename ?? this.#nameFromMime(options.contentType);
+    if (input instanceof ArrayBuffer || ArrayBuffer.isView(input) || isBlob(input)) {
+      const fallbackName = isFile(input) ? input.name : options.filename ?? this.#nameFromMime(options.contentType);
       return {
         data: input,
         filename: options.filename ?? fallbackName,
@@ -3546,7 +3918,7 @@ var HashtagsResource = class extends BaseResource {
   iteratePosts(tag, params = {}) {
     const path = `/api/hashtags/${encodePathSegment(tag, "tag")}/posts`;
     return this.paginate(
-      "cursor",
+      PaginationMode.Cursor,
       async (state) => {
         const body = await this.http.request({
           method: "GET",
@@ -3556,7 +3928,7 @@ var HashtagsResource = class extends BaseResource {
         });
         return readCursorPage(body, "posts");
       },
-      params
+      { ...params, ...params.cursor ? { start: { cursor: params.cursor } } : {} }
     );
   }
 };
@@ -3787,8 +4159,11 @@ var NotificationsResource = class extends BaseResource {
    * const next = await itd.notifications.list({ limit: 20, offset: page.nextOffset });
    * ```
    */
-  async list(params = {}) {
-    const offset = params.offset ?? 0;
+  list(params = {}) {
+    return this.#loadPage(params, params.offset ?? 0);
+  }
+  /** Общая загрузка страницы для {@link list} и {@link iterate}. */
+  async #loadPage(params, offset) {
     const body = await this.http.request({
       method: "GET",
       // Завершающий слэш обязателен: без него сервер отвечает ошибкой.
@@ -3811,19 +4186,9 @@ var NotificationsResource = class extends BaseResource {
    */
   iterate(params = {}) {
     return this.paginate(
-      "offset",
-      async (state) => {
-        const offset = state.offset ?? params.offset ?? 0;
-        const body = await this.http.request({
-          method: "GET",
-          path: "/api/notifications/",
-          query: { limit: params.limit, offset },
-          ...this.requestOptions(params)
-        });
-        const page = readOffsetPage(body, "notifications", offset);
-        return { ...page, items: page.items.map(normalizeNotification) };
-      },
-      params
+      PaginationMode.Offset,
+      (state) => this.#loadPage(params, state.offset ?? 0),
+      { ...params, ...params.offset !== void 0 ? { start: { offset: params.offset } } : {} }
     );
   }
   /** Загружает число непрочитанных уведомлений. */
@@ -3955,7 +4320,7 @@ var PostsResource = class extends BaseResource {
    */
   iterate(params = {}) {
     return this.paginate(
-      "cursor",
+      PaginationMode.Cursor,
       async (state) => {
         const body = await this.http.request({
           method: "GET",
@@ -3965,7 +4330,7 @@ var PostsResource = class extends BaseResource {
         });
         return readCursorPage(body, "posts");
       },
-      params
+      { ...params, ...params.cursor ? { start: { cursor: params.cursor } } : {} }
     );
   }
   /**
@@ -4129,7 +4494,7 @@ var PostsResource = class extends BaseResource {
   iterateByUser(user, params = {}) {
     const path = `/api/posts/user/${encodePathSegment(user, "user")}`;
     return this.paginate(
-      "cursor",
+      PaginationMode.Cursor,
       async (state) => {
         const body = await this.http.request({
           method: "GET",
@@ -4142,7 +4507,7 @@ var PostsResource = class extends BaseResource {
         });
         return readCursorPage(body, "posts");
       },
-      params
+      { ...params, ...params.cursor ? { start: { cursor: params.cursor } } : {} }
     );
   }
   /** Загружает страницу постов, которые пользователь отметил реакцией. */
@@ -4159,7 +4524,7 @@ var PostsResource = class extends BaseResource {
   iterateLikedByUser(user, params = {}) {
     const path = `/api/posts/user/${encodePathSegment(user, "user")}/liked`;
     return this.paginate(
-      "cursor",
+      PaginationMode.Cursor,
       async (state) => {
         const body = await this.http.request({
           method: "GET",
@@ -4169,7 +4534,7 @@ var PostsResource = class extends BaseResource {
         });
         return readCursorPage(body, "posts");
       },
-      params
+      { ...params, ...params.cursor ? { start: { cursor: params.cursor } } : {} }
     );
   }
   /**
@@ -4191,7 +4556,7 @@ var PostsResource = class extends BaseResource {
   iterateComments(postId, params = {}) {
     const path = `/api/posts/${encodePathSegment(postId, "postId")}/comments`;
     return this.paginate(
-      "cursor",
+      PaginationMode.Cursor,
       async (state) => {
         const body = await this.http.request({
           method: "GET",
@@ -4201,7 +4566,7 @@ var PostsResource = class extends BaseResource {
         });
         return readFlatCursorPage(body, "comments");
       },
-      params
+      { ...params, ...params.cursor ? { start: { cursor: params.cursor } } : {} }
     );
   }
   /**
@@ -4479,28 +4844,33 @@ var UsersResource = class extends BaseResource {
       ...this.requestOptions(options)
     });
   }
-  async #userPage(path, params) {
+  /**
+   * Загружает одну страницу списка пользователей.
+   *
+   * Имена полей перечислены с запасом: списки подписчиков и заблокированных приходят
+   * под `users`, но альтернативное имя ничего не стоит и спасает, если эндпоинт назовёт
+   * список по-своему.
+   */
+  async #loadUserPage(path, params, state) {
     const body = await this.http.request({
       method: "GET",
       path,
-      query: { limit: params.limit, page: params.page },
+      query: withPageState({ limit: params.limit }, state),
       ...this.requestOptions(params)
     });
-    return readPagedPage(body, "users");
+    return readPagedPage(body, "users", "followers", "following", "blocked");
+  }
+  #userPage(path, params) {
+    return this.#loadUserPage(path, params, {
+      ...params.page !== void 0 ? { page: params.page } : {}
+    });
   }
   #userPaginator(path, params) {
     return this.paginate(
-      "page",
-      async (state) => {
-        const body = await this.http.request({
-          method: "GET",
-          path,
-          query: withPageState({ limit: params.limit }, state),
-          ...this.requestOptions(params)
-        });
-        return readPagedPage(body, "users");
-      },
-      params
+      PaginationMode.Page,
+      (state) => this.#loadUserPage(path, params, state),
+      // Без `start` перебор начинался бы с первой страницы, молча игнорируя `page`.
+      { ...params, ...params.page !== void 0 ? { start: { page: params.page } } : {} }
     );
   }
 };
@@ -4550,6 +4920,7 @@ var ItdClient = class {
     this.#queue = this.#config.rateLimit ? new RequestQueue(this.#config.rateLimit) : void 0;
     this.#http.setCollaborators({
       getAuthHeaders: () => this.#authManager.getAuthHeaders(),
+      getDeviceId: () => this.#authManager.getDeviceId(),
       onUnauthorized: () => this.#authManager.onUnauthorized(),
       getCookieHeader: (url) => this.#jar.getHeader(url),
       saveCookies: (url, response) => this.#jar.setFromResponse(url, response),
@@ -4818,6 +5189,6 @@ function toDate(value) {
   return Number.isFinite(date.getTime()) ? date : null;
 }
 
-export { ALLOWED_MIME_TYPES, AUDIO_MIME_TYPES, AttachmentType, CommentSort, DEFAULT_BASE_URL, DEFAULT_TIMEOUT, FeedTab, IMAGE_MIME_TYPES, ItdAbortError, ItdApiError, ItdAuthError, ItdClient, ItdConfigError, ItdConflictError, ItdError, ItdErrorCode, ItdForbiddenError, ItdNetworkError, ItdNotFoundError, ItdPhoneVerificationError, ItdRateLimitError, ItdRealtime, ItdServerError, ItdTimeoutError, ItdValidationError, LikesVisibility, LocalStorageTokenStorage, MAX_RECONNECT_ATTEMPTS, MemoryTokenStorage, NOTIFICATION_TYPE_ALIASES, NotificationType, Paginator, RECONNECT_BACKOFF, RECONNECT_JITTER, RealtimeStatus, ReportReason, ReportTargetType, STREAM_PATH, VIDEO_MIME_TYPES, WallAccess, canonicalNotificationType, comment, createClient, createTokenStorage, formatNotificationText, isBuilder, isItdApiError, isItdAuthError, isItdError, isItdRateLimitError, isItdValidationError, isKnownNotificationType, isMyProfile, normalizeNotification, poll, post, readNotificationEvent, readUnreadCountEvent, report, resolveNotificationUrl, toDate };
-//# sourceMappingURL=chunk-76C65H5J.js.map
-//# sourceMappingURL=chunk-76C65H5J.js.map
+export { ALLOWED_MIME_TYPES, AUDIO_MIME_TYPES, AUTH_FLAG_COOKIE, AUTH_PATHS, AttachmentType, CommentSort, DEFAULT_BASE_URL, DEFAULT_TIMEOUT, DEFAULT_USER_AGENT, DEVICE_ID_HEADER, DetectedRuntime, FeedTab, IMAGE_MIME_TYPES, ItdAbortError, ItdApiError, ItdApiErrorKind, ItdAuthError, ItdClient, ItdConfigError, ItdConflictError, ItdError, ItdErrorCode, ItdErrorKind, ItdForbiddenError, ItdNetworkError, ItdNotFoundError, ItdPhoneVerificationError, ItdRateLimitError, ItdRealtime, ItdServerError, ItdTimeoutError, ItdValidationError, LIBRARY_VERSION, LikesVisibility, LocalStorageTokenStorage, MAX_RECONNECT_ATTEMPTS, MemoryTokenStorage, NOTIFICATION_TYPE_ALIASES, NotificationType, OAuthProvider, PaginationMode, Paginator, RECONNECT_BACKOFF, RECONNECT_JITTER, REFRESH_COOKIE, REFRESH_COOKIE_PATH, RealtimeStatus, RealtimeTransportKind, ReportReason, ReportTargetType, RuntimeMode, STREAM_PATH, SignInStatus, TURNSTILE_SITE_KEY, UnauthorizedStreamError, VIDEO_MIME_TYPES, WallAccess, canonicalNotificationType, comment, createClient, createTokenStorage, formatNotificationText, isBuilder, isItdApiError, isItdAuthError, isItdConflictError, isItdError, isItdForbiddenError, isItdNotFoundError, isItdPhoneVerificationError, isItdRateLimitError, isItdServerError, isItdValidationError, isKnownNotificationType, isMyProfile, normalizeNotification, poll, post, readNotificationEvent, readUnreadCountEvent, report, resolveNotificationUrl, toDate };
+//# sourceMappingURL=chunk-JV75JWOX.js.map
+//# sourceMappingURL=chunk-JV75JWOX.js.map