neuroalpha 0.5.13 → 0.5.15

package/deploy/docs/01-central.md

@@ -0,0 +1,96 @@
+# Развёртывание центрального сервера
+
+Центральный сервер (`NEUROALPHA_ROLE=central`) — единственная точка, которую видит клиент до подключения. На нём работают:
+
+- лендинг, регистрация и вход (email, OAuth, Telegram/MAX), оплата ЮKassa, оферта;
+- личный кабинет клиента с блоком «Где работать»;
+- консоль администратора `/admin`;
+- ИИ-прокси для машин клиентов (`/api/llm/proxy/v1`);
+- реестр машин клиентов, выпуск подписанных лицензий и автоматическое развёртывание облачных машин;
+- боты Telegram и MAX: уведомления с машин клиентов уходят через центр.
+
+Торговый терминал на центре тоже открывается (для владельца), но клиенты торгуют на своих машинах.
+
+## 1. Требования
+
+| Ресурс | Значение |
+|---|---|
+| Образ | собирается из `Dockerfile` в корне репозитория (`node:22-bookworm-slim`, запуск не от root) |
+| Реплики | **строго 1**, стратегия `Recreate` — база SQLite не допускает двух процессов |
+| Том | PVC от 10 ГБ, монтируется в `/data` (база, ключи, лицензии) |
+| CPU / память | от 1 vCPU / 2 ГБ (обучение модели для собственного терминала владельца — до 4 ГБ) |
+| Сеть | входящий HTTPS через ingress на `neuroalpha.odant.org`; исходящий доступ к Мосбирже, брокерам, моделям ИИ, Telegram/MAX, ЮKassa |
+| WebSocket | путь `/ws`, тайм-ауты прокси не меньше 3600 с |
+| Проверка живости | `GET /healthz` → `{"ok":true,"role":"central"}` |
+
+## 2. Обязательные переменные
+
+| Переменная | Значение |
+|---|---|
+| `NEUROALPHA_ROLE` | `central` |
+| `NEUROALPHA_DATA_DIR` | `/data` (в образе уже задано) |
+| `CENTRAL_PUBLIC_URL` | `https://neuroalpha.odant.org` — публичный адрес центра, его получают машины клиентов |
+| `MASTER_KEY` | случайная строка 32+ символов: шифрует токены ботов, ключи ЮKassa, OAuth и LLM в базе |
+| `LICENSE_SIGNING_KEY` | закрытый ключ подписи лицензий Ed25519 (PEM), см. раздел 3 |
+
+Полный список — в документе «Справочник переменных окружения».
+
+> **Если `MASTER_KEY` не задан**, ключ создаётся в `/data/.master.key`. Потеря этого файла означает потерю всех сохранённых в базе секретов (их придётся ввести заново в админке).
+
+## 3. Ключ подписи лицензий — самое ценное на центре
+
+Им центр подписывает лицензии и одноразовые ссылки входа. Машины клиентов проверяют подпись открытым ключом.
+
+**Первый запуск.** Если `LICENSE_SIGNING_KEY` не задан, центр создаёт ключ в `/data/.license-ed25519.pem` и пишет об этом в журнал. Сразу после первого запуска:
+
+```
+kubectl cp <namespace>/<pod>:/data/.license-ed25519.pem ./license-ed25519.pem
+kubectl create secret generic neuroalpha-central-keys --from-file=LICENSE_SIGNING_KEY=./license-ed25519.pem
+```
+
+Подключите Secret к переменной `LICENSE_SIGNING_KEY`, удалите локальную копию и сохраните резервную копию ключа в хранилище секретов (не в git).
+
+**Открытый ключ** отдаётся всем: `GET https://neuroalpha.odant.org/api/public/license-key`. Он нужен при сборке версии для компьютера и вписывается в Secret каждой облачной машины.
+
+| Что случилось | Последствия | Действия |
+|---|---|---|
+| Ключ потерян | новые лицензии не проверяются ни одной машиной; через 72 ч все машины приостановят новые заявки | создать новый ключ, обновить `LICENSE_PUBLIC_KEY` во всех облачных машинах («Новый ключ» в админке при включённом развёртывании), пересобрать и разослать версию для компьютера |
+| Ключ утёк | злоумышленник может подписать себе лицензию на любой тариф | те же действия, что при потере, — немедленно |
+
+## 4. Вход администратора
+
+Администратор платформы — пользователь №1. На центре вход без пароля отключён, поэтому после первого запуска задайте email и пароль:
+
+```
+kubectl exec -it deploy/neuroalpha-central -- env ADMIN_PASS='длинный-пароль' node scripts/set-admin-password.mjs --email admin@neuroalpha.odant.org
+```
+
+Скрипт завершает все прежние сессии администратора. Пароль — не короче 10 символов; после 8 неудачных попыток вход по этому email и IP блокируется на 15 минут.
+
+## 5. Ingress и адрес клиента
+
+- Центр считает адресом клиента **последний** IP в `X-Forwarded-For` (его добавляет ваш ingress). Ingress должен добавлять этот заголовок; иначе ограничение попыток входа будет общим для всех.
+- Заголовок `Host` должен передаваться без изменений: по нему проверяется `Origin` запросов (защита от CSRF).
+- Cookie сессии ставится с флагом `Secure`, если ingress передаёт `X-Forwarded-Proto: https`.
+
+## 6. Боты, оплата и вход через OAuth
+
+Настраиваются в `/admin` (значения шифруются `MASTER_KEY`) или переменными `TELEGRAM_BOT_TOKEN`, `MAX_BOT_TOKEN`, `YOOKASSA_SHOP_ID`, `YOOKASSA_SECRET_KEY`. Webhook ЮKassa: `https://neuroalpha.odant.org/api/billing/yookassa/webhook`.
+
+Вебхук MAX по умолчанию **выключен** (обновления забираются опросом). Чтобы включить, задайте `MAX_WEBHOOK_SECRET` и передайте этот же секрет при подписке бота — центр проверяет заголовок `X-Max-Bot-Api-Secret`.
+
+## 7. Модель ИИ для клиентов
+
+Машины клиентов обращаются к ИИ только через прокси центра по API-ключу клиента из лицензии. Апстрим-модель центра задаётся переменными `LLM_PROVIDER`, `LLM_BASE_URL`, `LLM_MODEL`, `LLM_API_KEY` или в разделе «Модели ИИ» терминала администратора. Дневные лимиты запросов — по тарифу (`maxChatPerDay`).
+
+## 8. Резервное копирование
+
+Ежедневно копируйте том `/data` целиком: `trading.db`, `trading.db-wal`, `.master.key`, `.license-ed25519.pem` (если ключ ещё не вынесен в Secret). Для согласованной копии SQLite делайте снимок тома или `sqlite3 trading.db ".backup /backup/trading.db"`.
+
+## 9. Проверка после развёртывания
+
+1. `GET /healthz` отвечает `role: central`.
+2. `GET /api/public/license-key` отдаёт `-----BEGIN PUBLIC KEY-----`.
+3. Вход в `/admin` по паролю из шага 4.
+4. Вкладка «Машины клиентов» открывается; в журнале центра строка «Развёртывание машин клиентов: автоматически (PAAS_DRIVER=…)» или «вручную».
+5. Тестовый клиент с тарифом «Профи» в течение 2–3 минут получает облачную машину (см. документ «Облачные машины клиентов»).

package/deploy/docs/02-cloud-instances.md

@@ -0,0 +1,130 @@
+# Облачные машины клиентов
+
+Облачная машина — отдельный namespace в Kubernetes с одним подом НейроАльфа в режиме `NEUROALPHA_ROLE=instance`, `INSTANCE_KIND=cloud`. Адрес — `naXXXXXX.odant.org`. На машине хранятся база клиента, его зашифрованные токены брокера, считается прогноз и исполняются заявки. С центром машина связывается только исходящими запросами.
+
+## 1. Жизненный цикл
+
+1. Клиент оплачивает тариф «Инвестор» или «Профи» (или получает его промокодом либо в админке).
+2. Не позже чем через 2 минуты центр создаёт запись машины `naXXXXXX` и вызывает драйвер развёртывания.
+3. Под стартует, раз в минуту отправляет в центр техническое состояние и получает подписанную лицензию на 72 часа.
+4. Клиент в кабинете нажимает «Перейти в терминал»: центр выдаёт одноразовую ссылку входа (60 с), машина ставит сессию на 7 дней.
+
+Автоматически машина **не создаётся**:
+
+- администраторам;
+- тарифу VIP: облако или компьютер назначаются по договору вручную в админке;
+- клиенту, у которого уже есть любая машина, в том числе с завершённой арендой.
+
+Состояния развёртывания в админке:
+
+| Состояние | Значение |
+|---|---|
+| ожидает развёртывания | запись создана, драйвер ещё не вызван |
+| разворачивается… | идёт вызов драйвера |
+| развёрнута, ждём связь | драйвер ответил успешно, под ещё не вышел на связь |
+| (пусто) | машина на связи |
+| ошибка развёртывания | текст ошибки — во всплывающей подсказке; центр повторит через 2 минуты с новым ключом |
+
+## 2. Драйвер развёртывания: `PAAS_DRIVER`
+
+### `none` (по умолчанию) — вручную
+
+1. В `/admin` → «Машины клиентов» выберите клиента и тип «☁ Облако», нажмите «Создать машину».
+2. Скопируйте переменные (показываются **один раз**) в Secret и примените шаблон `deploy/k8s/instance.yaml`, заменив `na235412` на ID машины:
+
+```
+sed 's/na235412/naXXXXXX/g' deploy/k8s/instance.yaml | kubectl apply -f -
+```
+
+### `k8s` — напрямую через API Kubernetes
+
+Центр применяет объекты методом server-side apply (`fieldManager=neuroalpha-central`). Внутри кластера используется токен сервисного аккаунта пода центра; снаружи — `K8S_API_URL`, `K8S_TOKEN`, `K8S_CA_FILE`.
+
+Права сервисного аккаунта центра (ClusterRole):
+
+```yaml
+apiVersion: rbac.authorization.k8s.io/v1
+kind: ClusterRole
+metadata: { name: neuroalpha-provisioner }
+rules:
+  - apiGroups: [""]
+    resources: [namespaces]
+    verbs: [get, create, patch, delete]
+  - apiGroups: [""]
+    resources: [secrets, persistentvolumeclaims, services]
+    verbs: [get, create, patch, delete]
+  - apiGroups: [apps]
+    resources: [deployments]
+    verbs: [get, create, patch, delete]
+  - apiGroups: [networking.k8s.io]
+    resources: [ingresses, networkpolicies]
+    verbs: [get, create, patch, delete]
+```
+
+### `webhook` — ваш PaaS
+
+Центр отправляет `POST` на `PAAS_WEBHOOK_URL`:
+
+```json
+{
+  "action": "apply",            // или "delete"
+  "instanceId": "na235412",
+  "host": "na235412.odant.org",
+  "image": "registry.odant.org/neuroalpha:0.4.0",
+  "env": { "NEUROALPHA_ROLE": "instance", "INSTANCE_KIND": "cloud", "INSTANCE_ID": "…",
+           "INSTANCE_KEY": "na_inst_…", "CENTRAL_URL": "…", "CLOUD_URL": "…", "LICENSE_PUBLIC_KEY": "-----BEGIN…" },
+  "manifests": [ /* 7 объектов Kubernetes, как в deploy/k8s/instance.yaml */ ],
+  "ts": 1792679474163
+}
+```
+
+Заголовок `X-NA-Signature: sha256=<hex>` — HMAC-SHA256 от **сырого тела** запроса с ключом `PAAS_WEBHOOK_SECRET`. Проверка на стороне PaaS (Node.js):
+
+```js
+const expected = 'sha256=' + crypto.createHmac('sha256', SECRET).update(rawBody).digest('hex');
+const ok = expected.length === sig.length && crypto.timingSafeEqual(Buffer.from(expected), Buffer.from(sig));
+// дополнительно: отклонять запросы, у которых |now - ts| > 5 минут
+```
+
+Требования к обработчику:
+
+- ответ 2xx — успех, любой другой код — ошибка (будет повтор);
+- `apply` идемпотентен: создать или обновить все объекты. При смене `INSTANCE_KEY` под должен перезапуститься: в шаблоне пода для этого есть аннотация `neuroalpha/key-rev`;
+- `delete` удаляет namespace целиком **вместе с томом данных клиента**.
+
+## 3. Состав машины
+
+| Объект | Назначение |
+|---|---|
+| Namespace `naXXXXXX` | изоляция клиента |
+| Secret `neuroalpha-instance` | переменные машины, в том числе ключ машины и открытый ключ центра |
+| PVC `neuroalpha-data` | `/data`: база, ключ шифрования токенов брокера, лицензия (`INSTANCE_STORAGE`, по умолчанию 5Gi) |
+| Deployment `neuroalpha` | 1 реплика, `Recreate`, запуск от UID 1000, `/healthz` для проверок живости и готовности |
+| Service + Ingress | `naXXXXXX.odant.org`, TLS из `INSTANCE_TLS_SECRET` (wildcard `*.odant.org`), тайм-ауты WebSocket 3600 с |
+| NetworkPolicy | входящие соединения — только из namespace ingress-контроллера |
+
+Исходящий доступ машине нужен к центру, `iss.moex.com`, API брокеров (`invest-public-api.tinkoff.ru` и др.) и источникам новостей.
+
+Ресурсы пода: запрос 0,5 CPU / 1 ГБ, предел 2 CPU / 3 ГБ. За первые сутки база вырастает примерно до 1 ГБ: загружается история котировок.
+
+## 4. Управление из админки
+
+| Кнопка | Что происходит |
+|---|---|
+| ⏸ Пауза | новые заявки не отправляются, защитные стопы работают; применяется при следующей связи (до 1 мин) |
+| ⛔ Стоп | запрещены любые заявки, включая защитные стопы (аварийная остановка) |
+| ▶ Возобновить | обычная работа |
+| 🔑 Новый ключ | новый ключ машины; при включённом развёртывании сразу передаётся в Secret, и под перезапускается |
+| Завершить аренду | лицензия выдаётся без тарифа: новые заявки остановлены, защитные стопы работают, данные сохраняются |
+
+Удаление машины (`DELETE /api/admin/instances/<id>`) при включённом развёртывании удаляет namespace и **все данные клиента**. В интерфейсе отдельной кнопки нет, это сделано намеренно.
+
+## 5. Обновление версии
+
+Новый образ задаётся переменной центра `INSTANCE_IMAGE` и применяется к новым машинам и при «Новом ключе». Массовое обновление существующих машин пока выполняется средствами кластера или PaaS, например:
+
+```
+kubectl -n naXXXXXX set image deploy/neuroalpha neuroalpha=registry.odant.org/neuroalpha:0.4.1
+```
+
+Обновление всех машин из админки запланировано отдельно.

package/deploy/docs/03-desktop-build.md

@@ -0,0 +1,92 @@
+# Сборка и выпуск версии для компьютера клиента
+
+Версия для компьютера выдаётся клиентам тарифа VIP по индивидуальному договору. Это один исполняемый файл (Node.js Single Executable Application):
+
+- код сервера внутри собран в один файл и обфусцирован;
+- адрес центра и открытый ключ центра вшиты при сборке;
+- файлы интерфейса вшиты в исполняемый файл и распаковываются в профиль пользователя.
+
+## 1. Что защищено и что нет
+
+| Попытка | Результат |
+|---|---|
+| Запустить в режиме разработчика через `.env` или `NEUROALPHA_ROLE=dev` | игнорируется: режим вшит (`instance`, `desktop`) |
+| Подложить свой открытый ключ (`LICENSE_PUBLIC_KEY`) и подписать себе лицензию | игнорируется: проверяется только вшитый ключ |
+| Направить программу на поддельный центр (`CENTRAL_URL`) | игнорируется: адрес центра вшит |
+| Перенести ключ активации на другой компьютер | центр отклоняет: ключ привязан к идентификатору установки |
+| Прочитать исходный код в файле | код обфусцирован: имена функций заменены, большинство строк закодировано |
+| Пропатчить исполняемый файл и вырезать проверки | **возможно** для опытного специалиста. Защита — договор и юридическая ответственность |
+
+## 2. Подготовка
+
+- Node.js **той же версии**, что указана в `engines` (сборка берёт исполняемый файл Node текущей версии; для Linux скачивает официальный с nodejs.org).
+- `npm ci` — нужны dev-зависимости `esbuild`, `javascript-obfuscator`, `postject`.
+- Доступ в интернет при первой сборке для Linux: около 30 МБ, кэшируется в `dist/.node-cache`.
+
+## 3. Сборка
+
+```
+npm run build:desktop -- --pubkey-url https://neuroalpha.odant.org/api/public/license-key
+```
+
+Параметры:
+
+| Параметр | По умолчанию | Назначение |
+|---|---|---|
+| `--pubkey-url <url>` или `--pubkey <файл.pem>` | — (обязательно) | открытый ключ центра |
+| `--central <url>` | `https://neuroalpha.odant.org` | адрес центра, вшиваемый в программу |
+| `--platform win,linux` | `win,linux` | какие файлы собрать |
+| `--no-obfuscate` | выкл. | только для отладки, **не выдавать клиентам** |
+
+Результат (около 85 МБ для Windows и 120 МБ для Linux) с контрольными суммами `.sha256`:
+
+```
+dist/desktop/neuroalpha-0.4.0-win-x64.exe
+dist/desktop/neuroalpha-0.4.0-linux-x64
+```
+
+> Сборка с открытым ключом тестового центра работает только с ним. Для клиентов собирайте строго с ключом боевого центра.
+
+## 4. Подпись для Windows
+
+Без подписи Windows SmartScreen предупреждает при запуске. Подпишите файл сертификатом разработчика (лучше EV):
+
+```
+signtool sign /fd SHA256 /tr http://timestamp.digicert.com /td SHA256 /f codesign.pfx /p <пароль> dist\desktop\neuroalpha-0.4.0-win-x64.exe
+```
+
+После подписи пересчитайте `.sha256`. Предупреждение сборщика `signature seems corrupted` — ожидаемо: исходная подпись `node.exe` снимается при внедрении кода.
+
+## 5. Образ Docker для компьютера клиента
+
+Сначала соберите Linux-версию, затем образ:
+
+```
+docker build -f Dockerfile.desktop --build-arg VERSION=0.4.0 -t registry.odant.org/neuroalpha-desktop:0.4.0 .
+docker push registry.odant.org/neuroalpha-desktop:0.4.0
+```
+
+Внутри образа — тот же защищённый файл. Обычный `Dockerfile` (исходный код, режим из переменных) предназначен **только** для вашей инфраструктуры: центр и облачные машины. Клиентам его не выдавать.
+
+## 6. Публикация
+
+1. Загрузите файлы на сервер раздачи (доступ только по ссылке или после входа).
+2. Задайте на центре переменные, чтобы ссылки появились в кабинете VIP-клиентов:
+
+| Переменная | Пример |
+|---|---|
+| `DESKTOP_DOWNLOAD_WINDOWS` | `https://download.odant.org/neuroalpha/0.4.0/neuroalpha-0.4.0-win-x64.exe` |
+| `DESKTOP_DOWNLOAD_LINUX` | `https://download.odant.org/neuroalpha/0.4.0/neuroalpha-0.4.0-linux-x64` |
+| `DESKTOP_DOCKER_IMAGE` | `registry.odant.org/neuroalpha-desktop:0.4.0` |
+| `DESKTOP_LATEST_VERSION` | `0.4.0` — установки со старой версией получат отметку о новой версии |
+| `DESKTOP_DOWNLOAD_URL` | ссылка для обновления, передаётся вместе с отметкой |
+
+Отметка о новой версии сейчас доступна программе через `/api/local/status` (поле `update`). Баннер в интерфейсе терминала и автообновление запланированы.
+
+## 7. Проверка перед выдачей клиентам
+
+1. Запустить `.exe` на чистой машине: открывается экран «Активация».
+2. В кабинете тестового VIP-клиента получить код и активировать: открывается терминал, тариф VIP.
+3. «Отвязать» в кабинете: в течение минуты баннер «Новые заявки приостановлены».
+4. `neuroalpha --version` показывает версию и дату сборки.
+5. Linux: проверить в контейнере `debian:bookworm-slim` (`--version` и запуск с `HOST=0.0.0.0`).

package/deploy/docs/04-client-guide.md

@@ -0,0 +1,101 @@
+<!-- audience: client -->
+# Руководство клиента: где работает НейроАльфа
+
+НейроАльфа работает на **вашей персональной машине**. Выберите вариант, который вам подходит:
+
+| | ☁ В облаке | 💻 На своём компьютере |
+|---|---|---|
+| Для кого | все тарифы | тариф VIP по договору |
+| Что нужно от вас | только браузер | компьютер с Windows или Linux, включённый во время торгов |
+| Как войти | из личного кабинета | открывается на этом компьютере |
+| Токен брокера хранится | на вашей облачной машине, в зашифрованном виде | только на вашем компьютере, в зашифрованном виде |
+
+Перейти к нужному варианту можно в личном кабинете, в блоке **«Где работать»**.
+
+## 1. В облаке
+
+1. Оплатите тариф. Персональная машина создаётся автоматически, обычно за 2–5 минут.
+2. В личном кабинете, в блоке «Где работать», нажмите **«Перейти в терминал»**.
+3. Адрес машины вида `naXXXXXX.odant.org` можно сохранить в закладки: если вы вошли в кабинет, вход выполняется автоматически.
+
+Машина работает круглосуточно, компьютер держать включённым не нужно.
+
+## 2. На своём компьютере (VIP)
+
+### Требования
+
+- Windows 10/11 (64-бит) или Linux x64; 4 ГБ памяти, 3 ГБ свободного места;
+- стабильный интернет во время торговой сессии Мосбиржи;
+- компьютер включён и не уходит в сон с 9:50 до 23:50 МСК, если включена автоматическая торговля.
+
+### Установка на Windows
+
+1. Скачайте программу по ссылке из личного кабинета («⬇ Windows»).
+2. Запустите файл. Если Windows покажет предупреждение SmartScreen, нажмите «Подробнее» → «Выполнить в любом случае».
+3. Откроется браузер с экраном **«Активация»**.
+4. В личном кабинете нажмите **«Получить код активации»** и введите код (вида `NA-XXXX-XXXX`) в программе. Код действует 10 минут и срабатывает один раз.
+5. Чтобы терминал запускался сам при входе в Windows, выполните один раз в командной строке:
+
+```
+neuroalpha-0.4.0-win-x64.exe --install
+```
+
+Повторный запуск программы, когда она уже работает, просто открывает терминал в браузере. Адрес терминала: `http://localhost:3000`.
+
+### Установка на Linux
+
+```
+chmod +x neuroalpha-0.4.0-linux-x64
+./neuroalpha-0.4.0-linux-x64 --install
+sudo loginctl enable-linger $USER   # чтобы работала без входа в систему
+```
+
+Откройте `http://localhost:3000` и активируйте программу кодом из кабинета.
+
+### Через Docker
+
+```
+docker run -d --name neuroalpha --restart unless-stopped -p 127.0.0.1:3000:3000 -v neuroalpha:/data registry.odant.org/neuroalpha-desktop:0.4.0
+```
+
+Откройте `http://localhost:3000` и активируйте программу. Чтобы войти в терминал после активации, откройте его из личного кабинета кнопкой **«Открыть»**.
+
+### Где хранятся данные
+
+| Система | Папка |
+|---|---|
+| Windows | `%LOCALAPPDATA%\NeuroAlpha\data` |
+| Linux | `~/.local/share/neuroalpha/data` |
+| Docker | том `neuroalpha` |
+
+Удалить программу из автозапуска: `--uninstall`. Данные и активация при этом сохраняются.
+
+### Перенос на другой компьютер
+
+1. В личном кабинете у текущего компьютера нажмите **«Отвязать»**. Программа на нём в течение минуты перестанет отправлять новые заявки.
+2. Если хотите сохранить историю, скопируйте папку данных на новый компьютер.
+3. Установите программу на новом компьютере и активируйте её новым кодом из кабинета.
+
+## 3. Подтверждение заявок из Telegram и MAX
+
+Привяжите Telegram или MAX в личном кабинете. В режиме «Подтверждение заявок» каждый пакет заявок приходит сообщением с кнопками **«✓ Исполнить»** и **«✕ Отклонить»**. Кнопки работают и для облачной машины, и для программы на компьютере. Нажатие выполняется в течение нескольких секунд. Если пакет за это время уже заменён новым, программа ничего не исполнит и сообщит об этом. Кнопки действуют 2 часа и срабатывают один раз.
+
+## 4. Если пропал интернет или центр недоступен
+
+Лицензия действует 72 часа без связи с центром. Всё это время программа работает как обычно. Если связи нет дольше:
+
+- новые заявки приостанавливаются;
+- **защитные стоп-заявки по открытым позициям продолжают работать**;
+- открытые позиции программа не закрывает.
+
+Причина остановки показывается баннером над списком счетов. Связь восстановится — работа продолжится автоматически.
+
+## 5. Безопасность
+
+- Терминал на компьютере доступен только с этого компьютера. Не открывайте порт 3000 в интернет и не пробрасывайте его на роутере.
+- Токен брокера никогда не передаётся в центр, в чат ИИ и в браузер: в настройках видна только маска `t.…abcd`.
+- Если вы подозреваете, что токен брокера стал известен посторонним, перевыпустите его в личном кабинете брокера и вставьте новый в настройках счёта.
+
+## 6. Поддержка
+
+Пишите на `support@neuroalpha.ru` или в бот НейроАльфа в Telegram / MAX. Укажите адрес машины (`naXXXXXX`) или имя компьютера из личного кабинета.

package/deploy/docs/05-operations.md

@@ -0,0 +1,109 @@
+# Эксплуатация и безопасность
+
+## 1. Как машина клиента получает право торговать
+
+Раз в минуту машина отправляет в центр техническое состояние и получает лицензию, подписанную ключом Ed25519 центра, сроком на 72 часа (`LICENSE_TTL_HOURS`). В лицензии указаны тариф клиента, срок подписки и состояние торговли из админки.
+
+| Ситуация | Новые заявки | Защитные стопы |
+|---|---|---|
+| Всё в порядке | ✓ | ✓ |
+| Нет связи с центром, лицензия ещё действует | ✓ | ✓ |
+| Лицензия истекла; подписка не активна; «Пауза»; аренда завершена; программа на компьютере не активирована | ✕ | ✓ |
+| Центр отверг ключ машины (ключ заменён, компьютер отвязан, машина удалена) — лицензия отзывается сразу | ✕ | ✓ |
+| «⛔ Стоп» в админке | ✕ | ✕ |
+
+Открытые позиции машина никогда не закрывает принудительно. Клиент видит причину остановки баннером над счетами.
+
+## 2. Что машины отправляют в центр
+
+**Только техническое состояние:**
+
+- версия программы и Node.js, время работы, память, размер базы, имя хоста;
+- число счетов (всего, в автоматическом режиме, на паузе, с дневным стопом) и брокеры;
+- сколько секунд назад была синхронизация и прогноз;
+- разрешена ли торговля и почему; остаток срока лицензии;
+- до пяти последних ошибок связи.
+
+**Никогда не отправляются:** суммы, позиции, сделки, токены брокеров, email и персональные данные клиента. Центр дополнительно отбрасывает все поля, не входящие в этот список.
+
+## 3. Консоль администратора → «Машины клиентов»
+
+| Колонка | Значение |
+|---|---|
+| Машина | ID, адрес (облако) или имя компьютера, состояние развёртывания |
+| Связь | онлайн, если машина выходила на связь за последние 3 минуты |
+| Состояние | счета, наличие дневных стопов, разрешена ли торговля, память и размер базы, ошибки (подробно — во всплывающей подсказке) |
+| Торговля | торгует / пауза / аварийная остановка |
+
+Действия: «Возобновить», «Пауза», «Стоп», «Новый ключ» (облако), «Отвязать компьютер», «Завершить аренду» / «Восстановить». Все команды доходят до машины при следующей связи — до 1 минуты.
+
+## 4. Типовые ситуации
+
+| Ситуация | Что делать |
+|---|---|
+| Машина «нет связи» | проверить под в кластере (`kubectl -n naXXXXXX get pods`, `logs`). Торговля продолжается до 72 ч, потом приостанавливаются только новые заявки |
+| «Ошибка развёртывания» | текст ошибки — в подсказке. Центр повторяет каждые 2 минуты с новым ключом. Частые причины: права сервисного аккаунта, нет Secret с wildcard-сертификатом в namespace, недоступен webhook PaaS |
+| Ключ машины мог утечь | «🔑 Новый ключ»: старый перестаёт работать сразу |
+| Клиент сменил компьютер | клиент сам нажимает «Отвязать» в кабинете, либо администратор — «Отвязать компьютер» |
+| Клиент сообщил об утечке токена брокера | клиент перевыпускает токен у брокера и вставляет новый в настройках счёта. Старый токен отозвать может только брокер |
+| Нужно немедленно остановить торговлю клиента | «⛔ Стоп» (не дольше 1 мин). Закрыть позиции клиент может сам в приложении брокера |
+| Подозрение на компрометацию ключа подписи центра | см. документ «Развёртывание центрального сервера», раздел 3 |
+| Клиент не может войти: «слишком много попыток» | блокировка по email и IP снимается сама через 15 минут |
+
+## 5. Защита, включённая в версии 0.4.0
+
+- Вход обязателен для всего `/api` и WebSocket. События рассылаются только владельцу данных.
+- Токен брокера хранится в зашифрованном виде (AES-256-GCM) и никогда не уходит в браузер, события или чат ИИ.
+- Проверка `Origin` для изменяющих запросов (CSRF); CSP, SRI и DOMPurify в терминале.
+- Проверка TLS ко всем брокерам с корневым сертификатом НУЦ Минцифры (`config/certs`).
+- Ограничение попыток входа; случайные коды привязки ботов; кнопки «Исполнить» в ботах работают только из привязанного чата.
+- Вебхук MAX только с секретом; настройки моделей ИИ меняет только администратор.
+- На компьютере клиента программа без пароля доступна только с этого же компьютера; адрес, ключ центра и режим вшиты в сборку.
+
+## 6. Исполнение заявок и журнал
+
+- У каждой заявки постоянный идентификатор (`clientOrderId`, для Т-Банка — `orderId`). Он закрепляется **до** отправки, поэтому повтор пакета не создаёт дублей. Уже принятые брокером заявки при повторе пакета «partial» не отправляются; при таймауте повтор идёт с тем же идентификатором.
+- Если счёт занят пересчётом заявок, «Исполнить» ждёт до 15 секунд и затем сообщает об этом, а не пропускает нажатие молча.
+- **Журнал исполнения** (кнопка 📋 в карточке счёта): отправленные заявки, ошибки брокера, защитные стопы, срабатывание и снятие дневного стопа, аварийная остановка. Хранятся последние 5000 событий на счёт.
+- **Дневной стоп** не снимается при сохранении настроек. Снять его можно только кнопкой «Снять стоп до конца дня» с подтверждением; до конца дня (МСК) он на этом счёте больше не срабатывает. Блокировку за автоследование снять нельзя.
+- **«⛔ Остановить всё»** в разделе «Брокерские счета»: авто-торговля на всех счетах встаёт на паузу, все активные заявки у брокера снимаются. Позиции не закрываются, защитные стопы работают.
+
+## 7. Известные ограничения
+
+- Стоп-заявки на стороне брокера — бета, только Т-Банк, по умолчанию выключены (см. раздел 11). Без них защитные стопы работают, только пока работает машина.
+- Полная поддержка — только Т-Банк. Финам, БКС, Алор, Цифра и ITI — бета: только «Подтверждение заявок» (нет средней цены для защитных стопов, отмены заявок и истории). СберИнвестиции, ВТБ и Альфа не подключаются: у них нет открытого API для заявок.
+
+## 8. Хранение счетов
+
+С версии 0.4.1 каждый брокерский счёт — отдельная запись в таблице `broker_accounts`. При сохранении записываются только поля, изменённые этим участком кода, поверх актуальной записи в транзакции. Поэтому синхронизация, пересчёт заявок и сохранение настроек не затирают друг друга, в том числе сработавший дневной стоп и режим «Только чтение». При первом запуске счета переносятся из прежнего хранения автоматически. Прежняя запись остаётся на случай отката версии.
+
+Стратег (ИИ) не принимает токены брокера через чат: токен вставляется только в форму счёта.
+
+## 9. Кнопки «Исполнить / Отклонить» в Telegram и MAX для машин клиентов
+
+1. Машина формирует пакет заявок и отправляет уведомление с кнопками в центр.
+2. Центр пишет клиенту в его привязанный чат. В данных кнопки — только одноразовый короткий ID, действует 2 часа.
+3. При нажатии центр проверяет, что кнопку нажали в чате, привязанном к владельцу машины, и ставит команду в очередь машины. Обе кнопки этого уведомления после нажатия гаснут.
+4. Команда доходит до машины **внутри подписанной лицензии**, поэтому подделать её на пути нельзя. 15 минут после уведомления машина связывается с центром каждые 5 секунд, поэтому нажатие срабатывает почти сразу.
+5. Машина выполняет команду, только если тот же пакет всё ещё ждёт подтверждения. Если пакет уже исполнен, отклонён или заменён новым, команда отклоняется, и клиент получает об этом сообщение.
+6. Машина подтверждает выполнение (`ack`). Центр больше не отдаёт эту команду, а машина помнит выполненные ID и не исполнит пакет дважды.
+
+## 10. Контроль связи машин
+
+Раз в 2 минуты центр проверяет облачные машины. Если машина не выходила на связь дольше `INSTANCE_OFFLINE_ALERT_MIN` (по умолчанию 10 минут), всем администраторам в Telegram/MAX приходит одно сообщение. В нём указаны машина, клиент, число счетов в «Автомате» и сколько ещё будет действовать лицензия без связи. Когда машина возвращается, приходит сообщение «снова на связи». Компьютеры клиентов по умолчанию не отслеживаются, так как их выключают на ночь; включить отслеживание можно переменной `INSTANCE_ALERT_DESKTOP=1`.
+
+## 11. Защитные стоп-заявки у брокера (бета, Т-Банк)
+
+Включаются на счёте: «⚙» → «Защитные стоп-заявки у брокера». Как работает:
+
+- на каждую бумагу с позицией стратегии у Т-Банка выставляется стоп-лосс с исполнением по рынку и сроком «до отмены»: −2,6% от средней цены для покупок, +2,2% для шортов, ровно на число лотов позиции. Стоп сработает, даже если машина выключена;
+- раз в 25 секунд стоп-заявки сверяются с позициями: при изменении объёма заявка переставляется, без позиции — снимается;
+- **перед любой закрывающей заявкой стратегии стоп-заявка по этой бумаге снимается.** Если снять не удалось, закрывающая заявка не отправляется, чтобы не продать дважды и не открыть шорт на маржинальном счёте;
+- внутренний защитный стоп по бумаге со стоп-заявкой у брокера не дублируется;
+- после срабатывания стоп-заявки новая выставляется не раньше чем через 2 минуты и после обновления портфеля;
+- при выключении переключателя, режиме «Только чтение» или «⛔ Стоп» из центра программа снимает свои стоп-заявки. Чужие стоп-заявки (выставленные вручную в приложении брокера) не трогаются никогда;
+- все действия видны в журнале исполнения (📋).
+
+**Первое включение:** проверьте на одной небольшой позиции. В приложении Т-Банка → «Заявки» должна появиться стоп-заявка, а после закрытия позиции стратегией она должна исчезнуть. При ручных сделках по той же бумаге в приложении брокера сверка поправит объём в течение 25 секунд, но в эти секунды стоп-заявка может не соответствовать позиции.
+- Обновление образа всех облачных машин из админки и автообновление программы на компьютере запланированы.
+- Тома облачных машин нужно резервировать средствами кластера: в них база клиента и ключ шифрования его токенов.

package/deploy/docs/06-env-reference.md

@@ -0,0 +1,91 @@
+# Справочник переменных окружения
+
+Обозначения ролей: **C** — центр (`central`), **I** — облачная машина клиента (`instance`, `cloud`), **D** — `dev`, локальный запуск разработчика. В защищённой сборке для компьютера клиента режим, адрес центра и ключ центра вшиты, поэтому соответствующие переменные игнорируются (отмечено ✕).
+
+## 1. Режим и адреса
+
+| Переменная | Роли | По умолчанию | Назначение |
+|---|---|---|---|
+| `NEUROALPHA_ROLE` | все | `dev` (или `central` при `CLOUD_MODE=1`) | `central`, `instance` или `dev`. В сборке для компьютера ✕ |
+| `INSTANCE_KIND` | I | `cloud` | `cloud` или `desktop`. В сборке ✕ (всегда `desktop`) |
+| `CLOUD_MODE` | C | — | устаревший синоним `NEUROALPHA_ROLE=central` |
+| `CENTRAL_URL` | I | `https://neuroalpha.odant.org` | адрес центра для лицензий, входа и уведомлений. В сборке ✕ |
+| `CLOUD_URL` | I, D | `https://neuroalpha.odant.org` | адрес ИИ-прокси центра (провайдер «НейроАльфа Облако»). В сборке ✕ |
+| `CENTRAL_PUBLIC_URL` | C | адрес из запроса | публичный адрес центра, передаётся машинам при развёртывании |
+| `PORT` | все | `3000` | порт HTTP |
+| `HOST` | все | все интерфейсы; компьютер — `127.0.0.1` | адрес прослушивания |
+| `NEUROALPHA_DATA_DIR` | все | `./data`; в образах `/data`; компьютер — профиль пользователя | каталог базы и ключей |
+| `TRUST_PROXY` | D | — | `1`: брать IP клиента из `X-Forwarded-For` (в C и I включено всегда) |
+| `LOCAL_TRUST_LAN` | D | — | `1`: пускать без пароля и из локальной сети (небезопасно) |
+| `OPEN_BROWSER` | D | — | `1`: открыть браузер после запуска |
+
+## 2. Ключи и лицензии
+
+| Переменная | Роли | По умолчанию | Назначение |
+|---|---|---|---|
+| `MASTER_KEY` | все | файл `<data>/.master.key` | шифрование секретов в базе (токены брокеров, ботов, ключи ИИ) |
+| `LICENSE_SIGNING_KEY` | C | файл `<data>/.license-ed25519.pem` | закрытый ключ подписи лицензий (PEM, допускается `\n` в одной строке) |
+| `LICENSE_SIGNING_KEY_FILE` | C | — | путь к файлу закрытого ключа вместо переменной |
+| `LICENSE_TTL_HOURS` | C | `72` | срок действия лицензии без связи с центром (не меньше 1 ч) |
+| `LICENSE_PUBLIC_KEY` | I | — | открытый ключ центра (PEM). В сборке ✕ |
+| `LICENSE_PUBLIC_KEY_FILE` | I | — | путь к файлу открытого ключа |
+| `INSTANCE_ID` | I | — | ID машины (`naXXXXXX`). На компьютере берётся из файла активации |
+| `INSTANCE_KEY` | I | — | ключ машины `na_inst_…`. На компьютере — из файла активации |
+| `INSTANCE_URL` | I | `https://<INSTANCE_ID>.<INSTANCE_DOMAIN>` | адрес терминала в уведомлениях |
+| `BROKER_CA_FILE` | все | `config/certs/russian_trusted_root_ca.pem` | корневой сертификат НУЦ Минцифры для TLS к брокерам |
+
+## 3. Машины клиентов и развёртывание (центр)
+
+| Переменная | По умолчанию | Назначение |
+|---|---|---|
+| `PAAS_DRIVER` | `none` | `none` (вручную), `k8s`, `webhook` |
+| `PAAS_WEBHOOK_URL` | — | адрес PaaS для `webhook` |
+| `PAAS_WEBHOOK_SECRET` | — | ключ подписи HMAC-SHA256 (`X-NA-Signature`) |
+| `K8S_API_URL`, `K8S_TOKEN`, `K8S_CA_FILE` | сервисный аккаунт пода | доступ к API Kubernetes для `k8s` |
+| `INSTANCE_IMAGE` | `registry.odant.org/neuroalpha:latest` | образ облачной машины |
+| `INSTANCE_DOMAIN` | `odant.org` | домен поддоменов машин |
+| `INSTANCE_SCHEME` | `https` | схема адресов машин |
+| `INSTANCE_INGRESS_CLASS` | `nginx` | класс ingress |
+| `INSTANCE_INGRESS_NAMESPACE` | `ingress-nginx` | namespace ingress-контроллера для NetworkPolicy |
+| `INSTANCE_TLS_SECRET` | `odant-wildcard-tls` | Secret с wildcard-сертификатом в namespace машины |
+| `INSTANCE_STORAGE` | `5Gi` | размер тома машины |
+| `INSTANCE_STORAGE_CLASS` | класс по умолчанию | StorageClass тома |
+| `INSTANCE_OFFLINE_ALERT_MIN` | `10` | через сколько минут без связи оповещать администраторов (не меньше 3) |
+| `INSTANCE_ALERT_DESKTOP` | — | `1`: оповещать и о компьютерах клиентов |
+| `MAX_DESKTOP_INSTALLS` | `1` | сколько компьютеров можно активировать на одного клиента |
+| `DESKTOP_DOWNLOAD_WINDOWS`, `DESKTOP_DOWNLOAD_LINUX` | — | ссылки на скачивание в кабинете VIP |
+| `DESKTOP_DOCKER_IMAGE` | — | образ для команды `docker run` в кабинете |
+| `DESKTOP_LATEST_VERSION`, `DESKTOP_DOWNLOAD_URL` | — | сведения о новой версии для установок на компьютер |
+
+## 4. Модель ИИ
+
+| Переменная | По умолчанию | Назначение |
+|---|---|---|
+| `LLM_PROVIDER` | `openai` | `openai`, `anthropic`, `none` |
+| `LLM_BASE_URL`, `LLM_MODEL` | — | адрес и модель апстрима |
+| `LLM_API_KEY` / `LLM_API_KEY_FILE` | — | ключ доступа или путь к файлу с ключом |
+| `LLM_REASONING_EFFORT` | `low` | уровень рассуждений |
+| `LLM_MAX_TOKENS` | `4000` | ограничение ответа |
+| `LLM_TIMEOUT_MS` | `90000` | тайм-аут запроса |
+| `GIGACHAT_KEY`, `GIGACHAT_CA_FILE` | — | ключ GigaChat и сертификат НУЦ |
+
+## 5. Боты, оплата, прочее (центр)
+
+| Переменная | Назначение |
+|---|---|
+| `TELEGRAM_BOT_TOKEN`, `TELEGRAM_BOT_NAME` | бот Telegram (можно задать в админке) |
+| `MAX_BOT_TOKEN`, `MAX_BOT_NAME` | бот MAX (можно задать в админке) |
+| `MAX_WEBHOOK_SECRET` | включает вебхук MAX с проверкой секрета (без него вебхук выключен) |
+| `YOOKASSA_SHOP_ID`, `YOOKASSA_SECRET_KEY` | ЮKassa (можно задать в админке) |
+| `YOOKASSA_RECEIPT` | `1`: отправлять чек 54-ФЗ |
+| `YOOKASSA_VAT_CODE` | код НДС в чеке, по умолчанию `1` |
+| `NEUROALPHA_API_KEY` | D: активировать локальную лицензию по ключу подписки при запуске |
+| `LOCAL_STRICT_LICENSE` | D: без лицензии — тариф «Без подписки» вместо «Хозяина» |
+| `DIVIDENDS_MODE` | служебная: `raw` — без дивидендной коррекции котировок (для сравнений) |
+
+## 6. Сборка
+
+| Переменная | Назначение |
+|---|---|
+| `PDF_BROWSER` | путь к Edge/Chrome для `node scripts/build-docs.mjs` |
+| `ADMIN_PASS` | пароль для `scripts/set-admin-password.mjs` |

package/deploy/docs/07-stress-test.md

@@ -0,0 +1,253 @@
+# Стресс-тест стратегии: результаты от 22.10.2026
+
+Стресс-тест проверяет ту же стратегию с теми же правилами решений, но с реалистичным исполнением. Прогон выполнен на копии рабочей базы с зафиксированными настройками:
+
+- окно обучения 90 дней, история 1000 дней;
+- торговля в обе стороны («Лонг и шорт»), автоадаптация включена;
+- издержки в отчёте: комиссия 0,04% + проскальзывание 0,01% на сторону;
+- плата за заём при шорте 20% годовых.
+
+Период проверки: 25.01.2024 — 22.10.2026, около 2,75 года, 5355 сделок. Рынок (индекс МосБиржи) за период: **−23,1%**; за 12 месяцев −7,8%; за 6 месяцев −12,3%.
+
+## 1. Результаты
+
+| Сценарий | Итог | Годовых | PF | Просадка | Ср. сделка | 12 мес. | 6 мес. |
+|---|---|---|---|---|---|---|---|
+| **Как в основном отчёте** | +9064% | **+419,8%** | 1,32 | −20,9% | +0,162% | +400,6% | +217,3% |
+| Издержки 0,15% на сторону | −72,8% | −37,9% | 0,93 | −85,2% | −0,034% | −44,9% | −19,0% |
+| Вход внутри следующей свечи | +2279% | +217,8% | 1,20 | −28,1% | +0,118% | +147,8% | +64,9% |
+| Вход на свечу позже (`open[t+2]`) | +585% | +101,8% | 1,10 | −43,2% | +0,075% | +39,4% | −5,6% |
+| Только свечи со сделками | +9232% | +423,2% | 1,32 | −20,9% | +0,163% | +395,2% | +214,0% |
+| ≤ 5% оборота свечи и целые лоты | +352% | +73,3% | 1,16 | −29,4% | +0,152% | +39,0% | +13,0% |
+| Шорт только разрешённых бумаг | +3834% | +281,8% | 1,27 | −19,0% | +0,136% | +265,2% | +144,3% |
+| **Как живой контур**, издержки 0,05% | +183% | **+46,2%** | 1,12 | −30,1% | +0,091% | +21,0% | −3,2% |
+| **Как живой контур**, издержки 0,10% | −44,6% | **−19,4%** | 0,95 | −61,0% | −0,003% | −28,0% | −27,8% |
+| Всё строго (`t+2`), издержки 0,05% | +14,1% | +4,9% | 1,01 | −40,2% | +0,048% | −18,8% | −25,8% |
+| Всё строго, издержки 0,15% | −97,4% | −73,7% | 0,74 | −97,6% | −0,138% | −81,3% | −72,3% |
+| Всё строго, издержки 0,25% | −99,9% | −92,3% | 0,52 | −99,9% | −0,328% | −90,3% | −72,0% |
+
+Сценарий «как живой контур»: вход и выход по средней цене следующей свечи (живые цены брокера), только свечи со сделками, позиция не больше 5% оборота свечи, целые лоты, шорт только разрешённых Т-Банком бумаг.
+
+**Порог безубыточности** — издержки на сторону, при которых итог за период равен нулю:
+
+| Исполнение | Порог |
+|---|---|
+| как в основном отчёте | 0,128% |
+| как живой контур | **0,085%** |
+| строгое (`t+2`) | 0,054% |
+
+## 2. Выводы
+
+1. **Цифра «≈420% годовых» воспроизводится, но только при допущениях основного отчёта:** сделка по цене открытия следующей свечи, издержки 0,05% на сторону, неограниченная ликвидность и сложный процент без ограничения объёма.
+2. **Основная часть доходности приходится на первые минуты после сигнала.** Если сместить вход внутрь следующей свечи, остаётся +218% годовых; если на свечу позже, +102%. Сигнал быстро «протухает», поэтому критична скорость исполнения.
+3. **Ёмкость стратегии ограничена.** Ограничение «не больше 5% оборота свечи» снижает результат до +73% годовых: сложный процент упирается в ликвидность бумаг второго и третьего эшелона.
+4. **Признак «свеча без сделок» на результат не влияет.** Подозрение ревью о входе по несуществующей цене не подтвердилось.
+5. **Решающий фактор — реальные издержки.** При исполнении, близком к живому контуру, стратегия в плюсе только до 0,085% на сторону:
+   - при 0,05% — +46% годовых при падении рынка на 23%;
+   - при 0,10% — убыток.
+
+   Средняя сделка зарабатывает около 0,09% до издержек, поэтому каждая сотая процента комиссии и проскальзывания критична.
+6. **Последние 6 месяцев даже в сценарии «как живой контур» около нуля (−3%)**, а за 12 месяцев +21%. Это не отложенная выборка: константы стратегии подбирались на этой истории.
+
+## 3. Что это значит для продукта
+
+- **Обещания «>400% годовых» и потолки доходности тарифов (60/120/240%) не подтверждаются** реалистичной проверкой. Их нужно убрать с лендинга, из тарифов и из ответов Стратега. Это требование и закона «О рекламе» (ст. 28).
+- Реалистичный ориентир при издержках не выше 0,05% на сторону и исполнении внутри следующей свечи — **десятки процентов годовых с просадками до 30%**, без гарантий.
+- Нужен тариф брокера с минимальной комиссией («Трейдер» / «Премиум» у Т-Банка: 0,04–0,05%) и лимитные заявки на 1 шаг цены (уже реализовано), иначе стратегия убыточна.
+
+## 4. Рекомендации
+
+1. **Измерить реальные издержки на живом счёте:** комиссию и проскальзывание по фактическим сделкам относительно цены сигнала. Это главный неизвестный параметр. При реальных издержках выше 0,085% на сторону торговлю нужно остановить.
+2. **Сократить частоту сделок:** поднять порог входа так, чтобы ожидаемое движение покрывало реальные издержки с запасом. Стресс-тест встроен в каждое исследование, эффект будет виден сразу.
+3. **Ограничить сделки бумагами первого эшелона** или жёстко лимитировать объём от оборота: ёмкость стратегии во втором и третьем эшелоне мала.
+4. **Зафиксировать версию стратегии и вести честный учёт** живых результатов с даты фиксации. Только это даёт настоящую отложенную выборку.
+5. **Исправить ошибку выжившего:** загрузить исторический состав индекса широкого рынка на каждую дату (ISS МосБиржи публикует его) и отбирать бумаги только по данным до даты прогноза.
+
+## 5. Реальные издержки на счёте Т-Банка (фактические сделки)
+
+До 28.01.2026 счёт работал как **счёт автоследования Т-Банка**: в истории есть удержания «за управление» и «за результат», то есть сделки того периода совершал не алгоритм НейроАльфы. После этой даты по счёту прошло 111 сделок, закрыто 50 позиций, почти все в октябре 2026.
+
+| Показатель | Факт |
+|---|---|
+| Комиссия брокера | **0,041%** на сторону |
+| Цена исполнения против цены в момент сигнала (закрытие предыдущей свечи) | медиана **+0,030%**, средневзвешенно **+0,076%** не в пользу клиента |
+| Цена исполнения против средней цены свечи сделки | +0,040% |
+| Итог закрытых позиций до комиссий | −45 ₽ (PF 1,00) |
+| После комиссий | −2 957 ₽ |
+
+**Реальные издержки — около 0,07–0,12% на сторону.** При прежнем пороге порог безубыточности (0,085%) находится внутри этого диапазона, поэтому живой счёт и работал около нуля до комиссий. Тест и практика согласуются. Выборка мала (50 позиций), выводы предварительные.
+
+## 6. Порог входа под реальные издержки (принято)
+
+Перебор множителя порога входа: исполнение как в живом контуре, издержки 0,09% на сторону.
+
+| Множитель | Вход от | Годовых | PF | Просадка | Сделок | 12 мес. | 6 мес. |
+|---|---|---|---|---|---|---|---|
+| ×1 (было) | 0,25% | −5,8% | 0,98 | −47% | 5194 | −17,8% | −23,9% |
+| ×1,5 | 0,375% | +5,5% | 1,03 | −42% | 1697 | −5,8% | −17,3% |
+| **×2 (принято)** | **0,50%** | **+19,9%** | **1,24** | −29% | 662 | +18,6% | −6,3% |
+| ×2,5 | 0,625% | +16,4% | 1,38 | −28% | 312 | +8,8% | −6,0% |
+| ×3 | 0,75% | +9,7% | 1,46 | −23% | 156 | +11,0% | −5,7% |
+| ×4 | 1,0% | +4,7% | 2,47 | −5,6% | 47 | +11,2% | +8,6% |
+
+Множитель **×2** закреплён в коде (`server/model/edge.js`) и действует одинаково в бэктесте и в живом контуре. Порог выхода масштабируется вместе с ним. Соседние значения (×1,5–×3) тоже прибыльны, то есть выбор не держится на одной случайной точке. Но множитель подобран на той же истории.
+
+Стратегия с порогом ×2 (полный стресс-тест):
+
+| Сценарий | Годовых | PF | Просадка | 12 мес. | 6 мес. |
+|---|---|---|---|---|---|
+| Как в основном отчёте | +67,2% | 1,39 | −35,6% | +29,7% | +6,4% |
+| **Как живой контур, издержки 0,05%** | **+30,0%** | 1,37 | −27,6% | +28,5% | −0,1% |
+| **Как живой контур, издержки 0,10%** | **+17,5%** | 1,21 | −29,8% | +16,3% | −7,7% |
+| Строгое исполнение (`t+2`), 0,05% | +12,7% | 1,15 | −28,4% | +11,2% | −15,3% |
+| Строгое исполнение, 0,15% | −11,7% | 0,88 | −41,3% | −17,8% | −33,3% |
+
+Порог безубыточности по издержкам на сторону вырос: при исполнении как в живом контуре **с 0,085% до 0,175%**, при строгом — с 0,054% до 0,101%. Запас над реальными издержками примерно двукратный.
+
+## 7. Изменения в продукте
+
+- Удалены обещания доходности («>400% годовых», «до 60/120/240% годовых») с лендинга, из оферты, правил, тарифов, справки и инструкции Стратега. Стратегу запрещено обещать доходность.
+- Удалён «дроссель» размера позиций по потолку доходности тарифа. Тарифы различаются только возможностями: счета, лимиты, шорты, установка на компьютер.
+- Витрина на лендинге показывает реалистичную оценку стресс-теста (живое исполнение, издержки 0,10%) с предупреждением о рисках вместо модельной доходности. Убраны ярлык «Live» у статичного примера и подстановка «−22,3%» вместо отсутствующих данных.
+
+## 8. Меры для реального повышения доходности (внедрено 23.10.2026)
+
+Проверка по фактическим сделкам счёта Т-Банка и симуляции показала три главных резерва:
+
+1. **Разница издержек между эшелонами.** По бумаге 1-го эшелона (`SBER`, `T`, `GAZP`, `LKOH`, `TRMK`) фактическое отклонение цены исполнения от цены сигнала составило **0,004–0,025%**, а по 2–3-му эшелону (`NKHP`, `CBOM`, `SMLT`, `PHOR`) — **0,12–0,34%**. Введена двухступенчатая шкала порогов (`server/model/edge.js`): `ENTRY_EDGE_MULT = 1.65` (вход от `0,413%` для 1-го эшелона) и дополнительный множитель `TIER2_EDGE_MULT = 1.20` для 2–3-го эшелона (вход от `0,495%`).
+2. **Равный ансамбль «Внимание через карту + Своя инерция» (50% / 50%).** При высоком пороге чистая инерция давала более высокий PF на хвосте распределения, а внимание точнее учитывало переток между соседями. Объединение обоих прогнозов с равным весом `50/50` внутри модели «Внимание через карту» (`server/model/models.js`) повысило ранговую точность `IC` с `0,0996` до **`0,1010`**, а реалистичный итог «Внимания» вывел её на 1-е место среди всех моделей (`+110,1%`, PF `1,34` против `+69,8%`, PF `1,24` у чистой инерции).
+3. **Пассивные лимитные заявки по живому стакану и размещение свободного кэша в LQDT.**
+   - При высоком пороге капитал ~95% времени свободен от сделок. В настройки счёта Т-Банка добавлен переключатель **«Свободные рубли в фонд денежного рынка LQDT»** (`cashSweep`): когда сигналов нет, свободные рубли сверх 3%-го резерва размещаются в паи `LQDT`, а при появлении сигнала нужное число паёв автоматически продаётся перед покупкой акций.
+   - Перед отправкой заявки в Т-Банк запрашивается живой стакан `GetOrderBook (depth=1)`: если спред разъехался шире допустимого порога — вход отклоняется; иначе лимитная цена ставится внутри спреда (не хуже середины спреда), без переплаты за пересечение стакана.
+
+Итоговые показатели ядра с равным ансамблем `50/50` (период `25.01.2024 — 23.10.2026`, индекс МосБиржи `−22,9%`):
+
+| Сценарий | Итог за период | Годовых (CAGR) | PF | Просадка | 12 мес. | 6 мес. |
+|---|---|---|---|---|---|---|
+| Как в основном отчёте (0,05%) | +425,3% | +83,1% | 1,39 | −49,5% | +64,6% | −5,2% |
+| **Как живой контур, издержки 0,05%** | **+176,6%** | **+44,9%** | **1,49** | −29,6% | +57,2% | −1,1% |
+| **Как живой контур, издержки 0,10%** | **+111,1%** | **+31,3%** | **1,34** | −30,1% | +43,3% | −8,0% |
+| **Живой контур + эшелоны + кэш в LQDT (16%/год)** | **+209,4%** | **+50,9%** | **1,32** | −29,7% | **+66,0%** | **+0,8%** |
+| Строгое исполнение (`t+2`), 0,05% | +79,6% | +23,8% | 1,25 | −26,1% | +25,2% | −11,0% |
+| Строгое исполнение (`t+2`), 0,15% | −9,3% | −3,5% | 0,97 | −40,2% | −9,3% | −30,7% |
+
+Порог безубыточности по издержкам на сторону:
+- в сценарии «как живой контур» — **0,229% на сторону** (было `0,085%` в `v0.4.2` и `0,175%` в `v0.5.0`);
+- при строгом исполнении с задержкой `open[t+2]` — **0,138% на сторону** (было `0,054%` в `v0.4.2` и `0,101%` в `v0.5.0`).
+
+## 9. Раздельная проверка In-Sample (70%) и Out-of-Sample (30%)
+
+Проверка разделена на две непересекающиеся части при живом исполнении и реальных издержках `0,09%` на сторону:
+- **In-Sample (первые 70% истории, до 22.01.2026)** — участок обучения и отбора;
+- **Out-of-Sample (последние 30% истории, с 22.01.2026 по 22.10.2026)** — контрольный участок 2026 года.
+
+| Модель и порог | In-Sample (до 22.01.2026) | Контрольный участок OOS (с 22.01.2026) | Весь период |
+|---|---|---|---|
+| Чистое «Внимание» (`×1,65 / ×1,20`) | +52,4% (PF 1,28) | −32,3% (PF 0,65) | +3,1% (PF 1,01) |
+| Чистая «Своя инерция» (`×1,65 / ×1,20`) | +66,6% (PF 1,43) | +9,9% (PF 1,11) | +83,0% (PF 1,27) |
+| Адаптивный вес по окну обучения (`×1,65 / ×1,20`) | +76,0% (PF 1,47) | −3,2% (PF 0,96, DD 26,1%) | +70,4% (PF 1,23) |
+| Адаптивный вес по окну обучения (`×2,00 / ×1,20`) | +92,2% (PF 2,02) | +7,7% (PF 1,17, DD 26,0%) | +107,0% (PF 1,61) |
+| **Равный ансамбль 50/50 (`×1,65 / ×1,20`)** | **+90,9% (PF 1,59, DD 14,4%)** | **+16,7% (PF 1,18, DD 29,9%, 190 сд.)** | **+122,8% (PF 1,37)** |
+| Равный ансамбль 50/50 (`×1,80 / ×1,20`) | +69,5% (PF 1,63, DD 17,5%) | +19,5% (PF 1,26, DD 32,3%, 134 сд.) | +102,5% (PF 1,43) |
+| Равный ансамбль 50/50 (`×2,00 / ×1,20`) | +99,5% (PF 2,43, DD 10,2%) | +8,4% (PF 1,16, DD 30,7%, 92 сд.) | +116,3% (PF 1,67) |
+
+**Важная оговорка по методологии:** переход от чистого «Внимания» к ансамблю с инерцией и сама двухступенчатая шкала порогов делались уже после просмотра результатов 2026 года. Вариант с полностью слепым подбором веса внутри каждого 90-дневного окна обучения дал на участке 2026 года от `−3,2%` (при `×1,65`) до `+7,7%` (при `×2,0`). Поэтому цифры `+16,7%` на 2026 годе и `+31% … +51%` годовых в таблице выше являются верхней (оптимистичной) оценкой, а единственной строгой проверкой без заглядывания в будущее служит живой счёт начиная с фиксации `v0.5.3`.
+
+## 10. Дивиденды, займ для шортов, защита фьючерсом и налоги (v0.5.4)
+
+**Ошибка в данных о дивидендах (исправлена).** У привилегированных акций (`SBERP`, `SNGSP`, `TATNP`, `BANEP`, `LSNGP`, `NKNCP`, `RTKMP`) список дивидендов был пустым: источник публикует их на странице обыкновенной акции. Из‑за этого дивидендный гэп префов (у `SBERP` — 13,4%, у `SNGSP` в 2025 году — 16,3%) в бэктесте выглядел как обычное движение цены. После исправления учтено 237 дивидендов вместо 208. Итог «как живой контур, 0,10%» почти не изменился (+31,3% → +31,1% годовых), но обучение и проверка теперь идут на корректных ценах.
+
+**Дивидендный предохранитель (`server/model/dividends.js`, одинаково в бэктесте и в живой торговле):**
+- за 1–2 торговых дня до экс-даты — не открываем шорт;
+- в последний день с правом на дивиденд — закрываем шорты стратегии (дивиденд ≥ 0,3%) и покупки (дивиденд ≥ 1%), новые покупки не открываем.
+
+На истории эффект небольшой (+0,2 п. п. годовых): сделки короткие и почти никогда не попадали на отсечку. Предохранитель нужен прежде всего на живом счёте: шорт через отсечку `SBERP` стоил бы списания компенсации 13,4% от позиции.
+
+**Займ бумаг для шортов.** Плата за займ (20% годовых от позиции на время удержания) обошлась в **0,65–0,8% стартового капитала в год**. Перевод шортов на фьючерсы на акции этого не окупит — не делаем.
+
+**Защита от движения рынка фьючерсом на индекс.** Проверка по реальным ценам вечного фьючерса `IMOEXF`:
+
+| Сценарий (живой контур, 0,10%) | Годовых | PF | Просадка | 12 мес. | 6 мес. |
+|---|---|---|---|---|---|
+| Без защиты | +31,1% | 1,33 | −29,9% | +41,1% | −9,4% |
+| Защита по значению индекса | +48,1% | 1,30 | −27,5% | +57,0% | +2,1% |
+| **Защита по реальным ценам IMOEXF** | +35,9% | 1,28 | **−34,4%** | +33,0% | −13,8% |
+
+Почти половина «выгоды» по значению индекса была искусственной: 10-минутный расчёт индекса запаздывает относительно фьючерса. На реальных ценах фьючерса защита не снижает просадку, а увеличивает её, и ухудшает результат за 12 и 6 месяцев. Средняя чистая бета портфеля и так около нуля (−0,9% капитала), поэтому защищать почти нечего. **Защита фьючерсом в живую торговлю не внедряется**, сценарий оставлен в стресс-тесте для прозрачности.
+
+**Налоги.** В таблицу стресс-теста добавлена колонка «после НДФЛ» — грубая оценка с налогом 13% с годовой прибыли. Для «живого контура, 0,10%» это **+27,1% годовых** вместо +31,1%.
+
+## 11. Больше сделок того же качества и фильтр согласия моделей (v0.5.5)
+
+По протоколу «сначала диагностика, затем проверка трёх заранее зафиксированных гипотез на In-Sample 70% и Out-of-Sample 30%» проверены три изменения без подбора числовых параметров:
+
+1. **Убрать относительный отсев кандидатов (`filterDynamicTopK`).** Раньше 2–4-й кандидаты отбрасывались, если их сигнал был меньше `62% / 78%` от 1-го лидера — даже когда они сами уверенно превышали абсолютный порог выгоды, а 95% капитала лежало без дела.
+2. **Согласие моделей (`Внимание` и `Инерция` одного знака).** В редких случаях (`~1,2%` сделок), когда чистое внимание к соседям и собственная инерция смотрят в противоположные стороны, сигнал ослабляется вдвое (`×0,5`), чтобы не открывать сделку на конфликте моделей. Диагностика показала, что такие спорные сделки были убыточны (`PF 0,05`, средняя сделка `−0,289%`).
+3. **Удержание до полного горизонта `H = 2,5 ч` по мягкому порогу** (проверено и **отклонено**: улучшает `In-Sample`, но ухудшает контрольный участок `OOS` с `+14,2%` до `+12,0%`).
+
+Результаты на живом исполнении с реальными издержками по эшелонам (`0,065% / 0,125%`):
+
+| Вариант | In-Sample (до 22.01.2026) | Контрольный участок OOS (с 22.01.2026) | Полный период |
+|---|---|---|---|
+| База (`v0.5.4`) | `+82,6%` (PF `1,54`, 339 сд., ср. `+0,399%`) | `+14,2%` (PF `1,15`, 188 сд., ср. `−0,012%`) | `+108,6%` (PF `1,33`, 527 сд., ср. `+0,253%`) |
+| 1. Без относительного отсева (`noRelDrop`) | `+87,6%` (PF `1,57`, 371 сд.) | `+15,2%` (PF `1,17`, 190 сд.) | `+116,1%` (PF `1,36`, 561 сд.) |
+| 2. Согласие обеих моделей | `+83,7%` (PF `1,54`, 324 сд., ср. `+0,428%`) | `+14,3%` (PF `1,15`, 186 сд.) | `+110,0%` (PF `1,34`, 510 сд., ср. `+0,270%`) |
+| 3. Мягкое удержание до `H = 2,5 ч` *(отклонено)* | `+114,5%` (PF `1,66`) | `+12,0%` *(хуже базы)* | `+140,2%` |
+| **Принято в `v0.5.5`: 1 + 2 (без отсева + согласие моделей)** | **`+88,1%` (PF `1,58`, 356 сд.)** | **`+15,3%` (PF `1,17`, 188 сд., ср. `+0,005%`)** | **`+118,1%` (PF `1,36`, 559 сд., ср. `+0,261%`)** |
+
+Итог полного стресс-теста `v0.5.5`:
+- **Сравнение моделей при реалистичном исполнении:** «Внимание через карту» — `IC = 0,1009`, **`+118,1%`** (`PF 1,36`) против `+101,0%` (`PF 1,34`) у чистой инерции;
+- **Как живой контур, издержки `0,05%`:** **`+183,8%`** (`+46,3%` годовых, `PF 1,51`, просадка `29,4%`, 559 сделок);
+- **Как живой контур, издержки `0,10%`:** **`+119,0%`** (`+33,1%` годовых / `+28,8%` после НДФЛ, `PF 1,36`, просадка `30,2%`);
+- **Живой контур + эшелоны + кэш в LQDT (`16%`/год):** **`+218,5%`** (`+52,5%` годовых / `+45,7%` после НДФЛ, `PF 1,33`, 12м **`+64,2%`**);
+- **Порог безубыточности по издержкам на сторону:** вырос с `0,229%` до **`0,237%`** (живой контур) и с `0,138%` до **`0,142%`** (`open[t+2]`).
+
+## 12. Вечерняя сессия и макро-признаки (v0.5.6 → v0.5.7)
+
+Две заранее заданные проверки по тому же протоколу: первые 70% истории и контрольные последние 30%, живое исполнение, издержки по эшелонам.
+
+| Вариант | Первые 70% | Последние 30% (контроль) | Весь период |
+|---|---|---|---|
+| **Без вечернего правила, без макро (принято)** | **+89,4%** (PF 1,59) | **+15,2%** (PF 1,17) | **+118,1%**, просадка 30,3% |
+| Вечером порог ×1,25 | +86,8% (PF 1,67) | +13,9% (PF 1,17) | +112,7% |
+| Вечером новые входы запрещены | +77,4% (PF 1,72) | +13,2% (PF 1,17) | +100,8% |
+| Макро-признаки (нефть, юань, доллар, золото, облигации) | +101,6% (PF 1,68) | +5,6% (PF 1,06) | +113,0%, просадка 37,9% |
+
+- **Макро-признаки не включаются:** лучше на первой части истории, втрое хуже на контрольной, просадка растёт до 38% — признак подгонки.
+- **Вечернее ужесточение порога убрано из живой торговли.** До этой версии на счёте после 19:00 МСК порог входа повышался в 1,25 раза, а в бэктесте такого правила не было. Проверка показала, что оба вечерних фильтра уменьшают итог на обеих частях истории, хотя отдельные вечерние сделки в среднем убыточны. Теперь правила счёта и бэктеста совпадают.
+- **Опережение фьючерса на индекс как признак не проверялось:** модель прогнозирует движение акции относительно рынка, а фьючерс опережает в основном сам рынок — эту часть прогноз и так вычитает.
+
+## 13. Исправлена ошибка выжившего (v0.5.8)
+
+**Что было не так.** Набор бумаг брался из сегодняшнего состава индекса МосБиржи широкого рынка, а бумаги с торгами меньше 60% периода отбрасывались. На истории модель торговала только теми компаниями, которые дожили до сегодняшнего дня и остались в индексе — то есть заранее «знала», кто выживет.
+
+**Что сделано.**
+- Состав индекса берётся с МосБиржи на середину каждого месяца за весь период и кэшируется (`server/model/vocab.js`).
+- Набор бумаг — все бумаги, входившие в индекс хотя бы раз за период: 131 вместо ~99.
+- Для каждой свечи отмечается, входила ли бумага в индекс на эту дату (`tk.inIndex`). Новые позиции открываются только по таким бумагам — и в бэктесте, и в живом прогнозе. Выбывшие бумаги остаются в матрице рынка как контекст, но в таблице прогноза не показываются.
+- Отсев по покрытию торгов снижен с 60% до 15% периода: раньше он сам выбрасывал бумаги, вышедшие на биржу позже или ушедшие с неё.
+
+**Результат (период 25.01.2024 — 23.10.2026):**
+
+| Сценарий | До исправления | После исправления |
+|---|---|---|
+| Как живой контур, 0,05% | +183,8% (+46,3% годовых, PF 1,51, просадка 29,4%) | +154,8% (+40,6% годовых, PF 1,36, просадка 33,3%) |
+| **Как живой контур, 0,10%** | +119,0% (+33,1% годовых, PF 1,36, просадка 30,2%) | **+93,6% (+27,2% годовых, после НДФЛ +23,7%, PF 1,24, просадка 36,6%)** |
+| Живой контур + эшелоны + LQDT | +218,5% (+52,5% годовых) | +191,6% (+47,7% годовых, просадка 29,5%) |
+| Последние 12 мес. (живой контур, 0,10%) | +42,2% | **+12,3%** |
+| Последние 6 мес. (живой контур, 0,10%) | −8,6% | −12,5% |
+| Строгое исполнение (`t+2`), 0,05% | +87,8% | +32,8% |
+| Порог безубыточности, живой контур | 0,237% на сторону | **0,214%** |
+| Порог безубыточности, `t+2` | 0,142% | **0,091%** |
+
+Ошибка выжившего завышала реалистичную оценку примерно на 6 п. п. годовых, а результат последних 12 месяцев — более чем втрое. Особенно чувствительна к ней задержка исполнения: при входе на свечу позже запас над издержками сократился с 0,142% до 0,091% на сторону. Это ещё одна причина держать исполнение быстрым. Цифры этого раздела — текущая честная оценка стратегии.
+
+## 14. Ограничения проверки и правило контроля на живом счёте
+
+- Состав рынка — исторический состав индекса широкого рынка на каждый месяц (с v0.5.8). Бумаги, полностью исчезнувшие с биржи без истории котировок на МосБирже, в проверку попасть не могут.
+- Список бумаг для шорта — текущий список Т-Банка, а не на каждую дату.
+- Средняя цена свечи — приближение. Реальная цена исполнения лимитной заявки зависит от стакана и очереди, а неисполненные заявки здесь не моделируются.
+- В карточку брокерского счёта и журнал (`📋`) встроена **автоматическая сверка живого счёта со стресс-тестом** (`executionAudit`): фактическая комиссия, отклонение цены исполнения от цены сигнала по 1-му и 2–3-му эшелонам, поштучный учёт исполненных и снятых заявок (`fill rate`) и сравнение суммарных издержек на сторону с порогом безубыточности (`≤ 0,229%`).
+- **Регламент контроля живой торговли:** если после 100 закрытых сделок на версии `v0.5.3+` фактический `PF` после комиссий остаётся ниже `1,10` либо фактические издержки на сторону превышают `0,15%`, авто-торговлю следует остановить или повысить порог входа до `×2,0`.
+
+Стресс-тест теперь выполняется автоматически в каждом исследовании и показывается в карточке эксперимента («Стресс-тест исполнения»).

package/deploy/k8s/instance.yaml

@@ -0,0 +1,147 @@
+# Copyright (c) 2026 Roman A. Perepelkin. All rights reserved. Proprietary software.
+# Шаблон машины клиента НейроАльфа. Замените na235412 на ID машины из админки центра (вкладка «Машины клиентов»),
+# а значения Secret — на переменные, показанные при создании машины (ключ показывается один раз).
+#
+#   sed 's/na235412/naXXXXXX/g' instance.yaml | kubectl apply -f -
+#
+# Одна реплика и стратегия Recreate обязательны: база SQLite на томе не допускает двух процессов сразу.
+apiVersion: v1
+kind: Namespace
+metadata:
+  name: na235412
+  labels:
+    app.kubernetes.io/part-of: neuroalpha
+---
+apiVersion: v1
+kind: Secret
+metadata:
+  name: neuroalpha-instance
+  namespace: na235412
+type: Opaque
+stringData:
+  NEUROALPHA_ROLE: instance
+  INSTANCE_ID: na235412
+  INSTANCE_KEY: na_inst_REPLACE_ME
+  CENTRAL_URL: https://neuroalpha.odant.org
+  CLOUD_URL: https://neuroalpha.odant.org
+  # Открытый ключ центра одной строкой с \n — вставьте как есть из админки, в одинарных кавычках
+  LICENSE_PUBLIC_KEY: '-----BEGIN PUBLIC KEY-----\nREPLACE_ME\n-----END PUBLIC KEY-----'
+  # Необязательно: ключ шифрования токенов брокера. Если не задан — создаётся на томе /data/.master.key
+  # MASTER_KEY: "случайная строка 32+ символа"
+---
+apiVersion: v1
+kind: PersistentVolumeClaim
+metadata:
+  name: neuroalpha-data
+  namespace: na235412
+spec:
+  accessModes: [ReadWriteOnce]
+  resources:
+    requests:
+      storage: 5Gi
+---
+apiVersion: apps/v1
+kind: Deployment
+metadata:
+  name: neuroalpha
+  namespace: na235412
+spec:
+  replicas: 1
+  strategy:
+    type: Recreate
+  selector:
+    matchLabels: { app: neuroalpha }
+  template:
+    metadata:
+      labels: { app: neuroalpha }
+    spec:
+      securityContext:
+        runAsNonRoot: true
+        runAsUser: 1000
+        fsGroup: 1000
+      containers:
+        - name: neuroalpha
+          image: registry.odant.org/neuroalpha:0.4.0
+          imagePullPolicy: IfNotPresent
+          ports:
+            - containerPort: 3000
+          envFrom:
+            - secretRef:
+                name: neuroalpha-instance
+          volumeMounts:
+            - name: data
+              mountPath: /data
+          resources:
+            requests: { cpu: "500m", memory: "1Gi" }
+            limits: { cpu: "2", memory: "3Gi" }
+          readinessProbe:
+            httpGet: { path: /healthz, port: 3000 }
+            initialDelaySeconds: 10
+            periodSeconds: 15
+          livenessProbe:
+            httpGet: { path: /healthz, port: 3000 }
+            initialDelaySeconds: 60
+            periodSeconds: 30
+            failureThreshold: 4
+          securityContext:
+            allowPrivilegeEscalation: false
+            capabilities: { drop: [ALL] }
+      volumes:
+        - name: data
+          persistentVolumeClaim:
+            claimName: neuroalpha-data
+---
+apiVersion: v1
+kind: Service
+metadata:
+  name: neuroalpha
+  namespace: na235412
+spec:
+  selector: { app: neuroalpha }
+  ports:
+    - port: 80
+      targetPort: 3000
+---
+apiVersion: networking.k8s.io/v1
+kind: Ingress
+metadata:
+  name: neuroalpha
+  namespace: na235412
+  annotations:
+    # WebSocket /ws держит соединение долго
+    nginx.ingress.kubernetes.io/proxy-read-timeout: "3600"
+    nginx.ingress.kubernetes.io/proxy-send-timeout: "3600"
+spec:
+  ingressClassName: nginx
+  tls:
+    - hosts: [na235412.odant.org]
+      # wildcard-сертификат *.odant.org, скопированный в каждый namespace (или выпускаемый cert-manager)
+      secretName: odant-wildcard-tls
+  rules:
+    - host: na235412.odant.org
+      http:
+        paths:
+          - path: /
+            pathType: Prefix
+            backend:
+              service:
+                name: neuroalpha
+                port:
+                  number: 80
+---
+# Машине нужен только исходящий доступ (центр, Мосбиржа, брокеры, новости) и входящий — от ingress.
+apiVersion: networking.k8s.io/v1
+kind: NetworkPolicy
+metadata:
+  name: neuroalpha-ingress-only
+  namespace: na235412
+spec:
+  podSelector: { matchLabels: { app: neuroalpha } }
+  policyTypes: [Ingress]
+  ingress:
+    - from:
+        - namespaceSelector:
+            matchLabels:
+              kubernetes.io/metadata.name: ingress-nginx
+      ports:
+        - port: 3000

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "neuroalpha",
-  "version": "0.5.13",
+  "version": "0.5.15",
   "description": "НейроАльфа — ИИ-автопилот для рынка акций Мосбиржи: эмбеддинги акций, самообучение правил, коннекторы Т-Банк / БКС / Финам / Алор и боты Telegram / MAX",
   "author": "Roman A. Perepelkin",
   "license": "UNLICENSED",
@@ -21,7 +21,7 @@
   "files": [
     "LICENSE",
     "bin/",
-    "deploy/install.sh",
+    "deploy/",
     "server/",
     "public/",
     "config/",

package/server/instance/central.js

@@ -7,7 +7,7 @@
 import crypto from 'node:crypto';
 import { db } from '../db.js';
 import { getUserById, effectivePlan, ensureApiKey } from '../auth/index.js';
-import { notifyUser, registerInstanceActionHandler } from '../notify/index.js';
+import { notifyUser, registerInstanceActionHandler, registerInstanceChatRelay } from '../notify/index.js';
 import { signToken, centralPublicKeyPem } from './signing.js';
 import { PAAS_DRIVER, provisioningEnabled, provisionApply, provisionDelete } from './provision.js';
 
@@ -419,6 +419,7 @@ export function queueInstanceChatCommand(userId, text, channel = 'tg') {
   const online = Boolean(inst.last_seen && Date.now() - inst.last_seen < 3 * 60000);
   return { instanceId: inst.id, online };
 }
+registerInstanceChatRelay(queueInstanceChatCommand);
 
 // Команды для машины: отдаются в каждой лицензии, пока машина не подтвердит выполнение (ack)
 function pendingCommands(instId, acked = []) {

package/server/notify/index.js

@@ -5,9 +5,8 @@ import { TRUSTED_CA } from '../tls-ca.js';
 import { IS_INSTANCE } from '../role.js';
 import { getIdentity } from '../instance/identity.js';
 import { relayNotifyToCentral } from '../instance/agent.js';
-import { db, kvGet, kvSet } from '../db.js';
-import { encryptSecret, decryptSecret, getUserById, runWithUser, generateApiKey, hashPassword, ensureApiKey, effectivePlan, countUserChatToday } from '../auth/index.js';
-import { queueInstanceChatCommand } from '../instance/central.js';
+import { db, kvGet, kvSet, countUserChatToday } from '../db.js';
+import { encryptSecret, decryptSecret, getUserById, runWithUser, generateApiKey, hashPassword, ensureApiKey, effectivePlan } from '../auth/index.js';
 import { round } from '../util.js';
 
 let actionHandlers = { execute: null, reject: null };
@@ -16,6 +15,9 @@ export function registerBrokerHandlers(h) { actionHandlers = h; }
 let chatHandlers = { ask: null, resolve: null };
 export function registerChatHandlers(h) { chatHandlers = h; }
 
+let instanceChatRelay = null;
+export function registerInstanceChatRelay(fn) { instanceChatRelay = fn; }
+
 // Надёжный HTTP-клиент для platform-api2.max.ru (поддерживает сертификат НУЦ Минцифры РФ)
 const maxCa = TRUSTED_CA;
 
@@ -270,8 +272,8 @@ async function handleMessengerChat(text, channel, chatId, sendFn) {
   const hasLocalAccounts = Boolean(
     db.prepare('SELECT 1 FROM broker_accounts WHERE user_id = ? LIMIT 1').get(u.id),
   );
-  if (!hasLocalAccounts && u.role !== 'admin') {
-    const relayed = queueInstanceChatCommand(u.id, text, channel);
+  if (!hasLocalAccounts && u.role !== 'admin' && instanceChatRelay) {
+    const relayed = instanceChatRelay(u.id, text, channel);
     if (relayed) {
       await sendFn(relayed.online
         ? '⏳ Запрос передан Стратегу на вашу машину — ответ придёт сюда через несколько секунд…'