neuroalpha 0.6.12 → 0.7.0

package/deploy/docs/01-central.md

@@ -1,96 +0,0 @@
-# Развёртывание центрального сервера
-
-Центральный сервер (`NEUROALPHA_ROLE=central`) — единственная точка, которую видит клиент до подключения. На нём работают:
-
-- лендинг, регистрация и вход (email, OAuth, Telegram/MAX), оплата ЮKassa, оферта;
-- личный кабинет клиента с блоком «Где работать»;
-- консоль администратора `/admin`;
-- ИИ-прокси для машин клиентов (`/api/llm/proxy/v1`);
-- реестр машин клиентов, выпуск подписанных лицензий и автоматическое развёртывание облачных машин;
-- боты Telegram и MAX: уведомления с машин клиентов уходят через центр.
-
-Торговый терминал на центре тоже открывается (для владельца), но клиенты торгуют на своих машинах.
-
-## 1. Требования
-
-| Ресурс | Значение |
-|---|---|
-| Образ | собирается из `Dockerfile` в корне репозитория (`node:22-bookworm-slim`, запуск не от root) |
-| Реплики | **строго 1**, стратегия `Recreate` — база SQLite не допускает двух процессов |
-| Том | PVC от 10 ГБ, монтируется в `/data` (база, ключи, лицензии) |
-| CPU / память | от 1 vCPU / 2 ГБ (обучение модели для собственного терминала владельца — до 4 ГБ) |
-| Сеть | входящий HTTPS через ingress на `neuroalpha.odant.org`; исходящий доступ к Мосбирже, брокерам, моделям ИИ, Telegram/MAX, ЮKassa |
-| WebSocket | путь `/ws`, тайм-ауты прокси не меньше 3600 с |
-| Проверка живости | `GET /healthz` → `{"ok":true,"role":"central"}` |
-
-## 2. Обязательные переменные
-
-| Переменная | Значение |
-|---|---|
-| `NEUROALPHA_ROLE` | `central` |
-| `NEUROALPHA_DATA_DIR` | `/data` (в образе уже задано) |
-| `CENTRAL_PUBLIC_URL` | `https://neuroalpha.odant.org` — публичный адрес центра, его получают машины клиентов |
-| `MASTER_KEY` | случайная строка 32+ символов: шифрует токены ботов, ключи ЮKassa, OAuth и LLM в базе |
-| `LICENSE_SIGNING_KEY` | закрытый ключ подписи лицензий Ed25519 (PEM), см. раздел 3 |
-
-Полный список — в документе «Справочник переменных окружения».
-
-> **Если `MASTER_KEY` не задан**, ключ создаётся в `/data/.master.key`. Потеря этого файла означает потерю всех сохранённых в базе секретов (их придётся ввести заново в админке).
-
-## 3. Ключ подписи лицензий — самое ценное на центре
-
-Им центр подписывает лицензии и одноразовые ссылки входа. Машины клиентов проверяют подпись открытым ключом.
-
-**Первый запуск.** Если `LICENSE_SIGNING_KEY` не задан, центр создаёт ключ в `/data/.license-ed25519.pem` и пишет об этом в журнал. Сразу после первого запуска:
-
-```
-kubectl cp <namespace>/<pod>:/data/.license-ed25519.pem ./license-ed25519.pem
-kubectl create secret generic neuroalpha-central-keys --from-file=LICENSE_SIGNING_KEY=./license-ed25519.pem
-```
-
-Подключите Secret к переменной `LICENSE_SIGNING_KEY`, удалите локальную копию и сохраните резервную копию ключа в хранилище секретов (не в git).
-
-**Открытый ключ** отдаётся всем: `GET https://neuroalpha.odant.org/api/public/license-key`. Он нужен при сборке версии для компьютера и вписывается в Secret каждой облачной машины.
-
-| Что случилось | Последствия | Действия |
-|---|---|---|
-| Ключ потерян | новые лицензии не проверяются ни одной машиной; через 72 ч все машины приостановят новые заявки | создать новый ключ, обновить `LICENSE_PUBLIC_KEY` во всех облачных машинах («Новый ключ» в админке при включённом развёртывании), пересобрать и разослать версию для компьютера |
-| Ключ утёк | злоумышленник может подписать себе лицензию на любой тариф | те же действия, что при потере, — немедленно |
-
-## 4. Вход администратора
-
-Администратор платформы — пользователь №1. На центре вход без пароля отключён, поэтому после первого запуска задайте email и пароль:
-
-```
-kubectl exec -it deploy/neuroalpha-central -- env ADMIN_PASS='длинный-пароль' node scripts/set-admin-password.mjs --email admin@neuroalpha.odant.org
-```
-
-Скрипт завершает все прежние сессии администратора. Пароль — не короче 10 символов; после 8 неудачных попыток вход по этому email и IP блокируется на 15 минут.
-
-## 5. Ingress и адрес клиента
-
-- Центр считает адресом клиента **последний** IP в `X-Forwarded-For` (его добавляет ваш ingress). Ingress должен добавлять этот заголовок; иначе ограничение попыток входа будет общим для всех.
-- Заголовок `Host` должен передаваться без изменений: по нему проверяется `Origin` запросов (защита от CSRF).
-- Cookie сессии ставится с флагом `Secure`, если ingress передаёт `X-Forwarded-Proto: https`.
-
-## 6. Боты, оплата и вход через OAuth
-
-Настраиваются в `/admin` (значения шифруются `MASTER_KEY`) или переменными `TELEGRAM_BOT_TOKEN`, `MAX_BOT_TOKEN`, `YOOKASSA_SHOP_ID`, `YOOKASSA_SECRET_KEY`. Webhook ЮKassa: `https://neuroalpha.odant.org/api/billing/yookassa/webhook`.
-
-Вебхук MAX по умолчанию **выключен** (обновления забираются опросом). Чтобы включить, задайте `MAX_WEBHOOK_SECRET` и передайте этот же секрет при подписке бота — центр проверяет заголовок `X-Max-Bot-Api-Secret`.
-
-## 7. Модель ИИ для клиентов
-
-Машины клиентов обращаются к ИИ только через прокси центра по API-ключу клиента из лицензии. Апстрим-модель центра задаётся переменными `LLM_PROVIDER`, `LLM_BASE_URL`, `LLM_MODEL`, `LLM_API_KEY` или в разделе «Модели ИИ» терминала администратора. Дневные лимиты запросов — по тарифу (`maxChatPerDay`).
-
-## 8. Резервное копирование
-
-Ежедневно копируйте том `/data` целиком: `trading.db`, `trading.db-wal`, `.master.key`, `.license-ed25519.pem` (если ключ ещё не вынесен в Secret). Для согласованной копии SQLite делайте снимок тома или `sqlite3 trading.db ".backup /backup/trading.db"`.
-
-## 9. Проверка после развёртывания
-
-1. `GET /healthz` отвечает `role: central`.
-2. `GET /api/public/license-key` отдаёт `-----BEGIN PUBLIC KEY-----`.
-3. Вход в `/admin` по паролю из шага 4.
-4. Вкладка «Машины клиентов» открывается; в журнале центра строка «Развёртывание машин клиентов: автоматически (PAAS_DRIVER=…)» или «вручную».
-5. Тестовый клиент с тарифом «Профи» в течение 2–3 минут получает облачную машину (см. документ «Облачные машины клиентов»).

package/deploy/docs/02-cloud-instances.md

@@ -1,130 +0,0 @@
-# Облачные машины клиентов
-
-Облачная машина — отдельный namespace в Kubernetes с одним подом НейроАльфа в режиме `NEUROALPHA_ROLE=instance`, `INSTANCE_KIND=cloud`. Адрес — `naXXXXXX.odant.org`. На машине хранятся база клиента, его зашифрованные токены брокера, считается прогноз и исполняются заявки. С центром машина связывается только исходящими запросами.
-
-## 1. Жизненный цикл
-
-1. Клиент оплачивает тариф «Инвестор» или «Профи» (или получает его промокодом либо в админке).
-2. Не позже чем через 2 минуты центр создаёт запись машины `naXXXXXX` и вызывает драйвер развёртывания.
-3. Под стартует, раз в минуту отправляет в центр техническое состояние и получает подписанную лицензию на 72 часа.
-4. Клиент в кабинете нажимает «Перейти в терминал»: центр выдаёт одноразовую ссылку входа (60 с), машина ставит сессию на 7 дней.
-
-Автоматически машина **не создаётся**:
-
-- администраторам;
-- тарифу VIP: облако или компьютер назначаются по договору вручную в админке;
-- клиенту, у которого уже есть любая машина, в том числе с завершённой арендой.
-
-Состояния развёртывания в админке:
-
-| Состояние | Значение |
-|---|---|
-| ожидает развёртывания | запись создана, драйвер ещё не вызван |
-| разворачивается… | идёт вызов драйвера |
-| развёрнута, ждём связь | драйвер ответил успешно, под ещё не вышел на связь |
-| (пусто) | машина на связи |
-| ошибка развёртывания | текст ошибки — во всплывающей подсказке; центр повторит через 2 минуты с новым ключом |
-
-## 2. Драйвер развёртывания: `PAAS_DRIVER`
-
-### `none` (по умолчанию) — вручную
-
-1. В `/admin` → «Машины клиентов» выберите клиента и тип «☁ Облако», нажмите «Создать машину».
-2. Скопируйте переменные (показываются **один раз**) в Secret и примените шаблон `deploy/k8s/instance.yaml`, заменив `na235412` на ID машины:
-
-```
-sed 's/na235412/naXXXXXX/g' deploy/k8s/instance.yaml | kubectl apply -f -
-```
-
-### `k8s` — напрямую через API Kubernetes
-
-Центр применяет объекты методом server-side apply (`fieldManager=neuroalpha-central`). Внутри кластера используется токен сервисного аккаунта пода центра; снаружи — `K8S_API_URL`, `K8S_TOKEN`, `K8S_CA_FILE`.
-
-Права сервисного аккаунта центра (ClusterRole):
-
-```yaml
-apiVersion: rbac.authorization.k8s.io/v1
-kind: ClusterRole
-metadata: { name: neuroalpha-provisioner }
-rules:
-  - apiGroups: [""]
-    resources: [namespaces]
-    verbs: [get, create, patch, delete]
-  - apiGroups: [""]
-    resources: [secrets, persistentvolumeclaims, services]
-    verbs: [get, create, patch, delete]
-  - apiGroups: [apps]
-    resources: [deployments]
-    verbs: [get, create, patch, delete]
-  - apiGroups: [networking.k8s.io]
-    resources: [ingresses, networkpolicies]
-    verbs: [get, create, patch, delete]
-```
-
-### `webhook` — ваш PaaS
-
-Центр отправляет `POST` на `PAAS_WEBHOOK_URL`:
-
-```json
-{
-  "action": "apply",            // или "delete"
-  "instanceId": "na235412",
-  "host": "na235412.odant.org",
-  "image": "registry.odant.org/neuroalpha:0.4.0",
-  "env": { "NEUROALPHA_ROLE": "instance", "INSTANCE_KIND": "cloud", "INSTANCE_ID": "…",
-           "INSTANCE_KEY": "na_inst_…", "CENTRAL_URL": "…", "CLOUD_URL": "…", "LICENSE_PUBLIC_KEY": "-----BEGIN…" },
-  "manifests": [ /* 7 объектов Kubernetes, как в deploy/k8s/instance.yaml */ ],
-  "ts": 1792679474163
-}
-```
-
-Заголовок `X-NA-Signature: sha256=<hex>` — HMAC-SHA256 от **сырого тела** запроса с ключом `PAAS_WEBHOOK_SECRET`. Проверка на стороне PaaS (Node.js):
-
-```js
-const expected = 'sha256=' + crypto.createHmac('sha256', SECRET).update(rawBody).digest('hex');
-const ok = expected.length === sig.length && crypto.timingSafeEqual(Buffer.from(expected), Buffer.from(sig));
-// дополнительно: отклонять запросы, у которых |now - ts| > 5 минут
-```
-
-Требования к обработчику:
-
-- ответ 2xx — успех, любой другой код — ошибка (будет повтор);
-- `apply` идемпотентен: создать или обновить все объекты. При смене `INSTANCE_KEY` под должен перезапуститься: в шаблоне пода для этого есть аннотация `neuroalpha/key-rev`;
-- `delete` удаляет namespace целиком **вместе с томом данных клиента**.
-
-## 3. Состав машины
-
-| Объект | Назначение |
-|---|---|
-| Namespace `naXXXXXX` | изоляция клиента |
-| Secret `neuroalpha-instance` | переменные машины, в том числе ключ машины и открытый ключ центра |
-| PVC `neuroalpha-data` | `/data`: база, ключ шифрования токенов брокера, лицензия (`INSTANCE_STORAGE`, по умолчанию 5Gi) |
-| Deployment `neuroalpha` | 1 реплика, `Recreate`, запуск от UID 1000, `/healthz` для проверок живости и готовности |
-| Service + Ingress | `naXXXXXX.odant.org`, TLS из `INSTANCE_TLS_SECRET` (wildcard `*.odant.org`), тайм-ауты WebSocket 3600 с |
-| NetworkPolicy | входящие соединения — только из namespace ingress-контроллера |
-
-Исходящий доступ машине нужен к центру, `iss.moex.com`, API брокеров (`invest-public-api.tinkoff.ru` и др.) и источникам новостей.
-
-Ресурсы пода: запрос 0,5 CPU / 1 ГБ, предел 2 CPU / 3 ГБ. За первые сутки база вырастает примерно до 1 ГБ: загружается история котировок.
-
-## 4. Управление из админки
-
-| Кнопка | Что происходит |
-|---|---|
-| ⏸ Пауза | новые заявки не отправляются, защитные стопы работают; применяется при следующей связи (до 1 мин) |
-| ⛔ Стоп | запрещены любые заявки, включая защитные стопы (аварийная остановка) |
-| ▶ Возобновить | обычная работа |
-| 🔑 Новый ключ | новый ключ машины; при включённом развёртывании сразу передаётся в Secret, и под перезапускается |
-| Завершить аренду | лицензия выдаётся без тарифа: новые заявки остановлены, защитные стопы работают, данные сохраняются |
-
-Удаление машины (`DELETE /api/admin/instances/<id>`) при включённом развёртывании удаляет namespace и **все данные клиента**. В интерфейсе отдельной кнопки нет, это сделано намеренно.
-
-## 5. Обновление версии
-
-Новый образ задаётся переменной центра `INSTANCE_IMAGE` и применяется к новым машинам и при «Новом ключе». Массовое обновление существующих машин пока выполняется средствами кластера или PaaS, например:
-
-```
-kubectl -n naXXXXXX set image deploy/neuroalpha neuroalpha=registry.odant.org/neuroalpha:0.4.1
-```
-
-Обновление всех машин из админки запланировано отдельно.

package/deploy/docs/03-desktop-build.md

@@ -1,92 +0,0 @@
-# Сборка и выпуск версии для компьютера клиента
-
-Версия для компьютера выдаётся клиентам тарифа VIP по индивидуальному договору. Это один исполняемый файл (Node.js Single Executable Application):
-
-- код сервера внутри собран в один файл и обфусцирован;
-- адрес центра и открытый ключ центра вшиты при сборке;
-- файлы интерфейса вшиты в исполняемый файл и распаковываются в профиль пользователя.
-
-## 1. Что защищено и что нет
-
-| Попытка | Результат |
-|---|---|
-| Запустить в режиме разработчика через `.env` или `NEUROALPHA_ROLE=dev` | игнорируется: режим вшит (`instance`, `desktop`) |
-| Подложить свой открытый ключ (`LICENSE_PUBLIC_KEY`) и подписать себе лицензию | игнорируется: проверяется только вшитый ключ |
-| Направить программу на поддельный центр (`CENTRAL_URL`) | игнорируется: адрес центра вшит |
-| Перенести ключ активации на другой компьютер | центр отклоняет: ключ привязан к идентификатору установки |
-| Прочитать исходный код в файле | код обфусцирован: имена функций заменены, большинство строк закодировано |
-| Пропатчить исполняемый файл и вырезать проверки | **возможно** для опытного специалиста. Защита — договор и юридическая ответственность |
-
-## 2. Подготовка
-
-- Node.js **той же версии**, что указана в `engines` (сборка берёт исполняемый файл Node текущей версии; для Linux скачивает официальный с nodejs.org).
-- `npm ci` — нужны dev-зависимости `esbuild`, `javascript-obfuscator`, `postject`.
-- Доступ в интернет при первой сборке для Linux: около 30 МБ, кэшируется в `dist/.node-cache`.
-
-## 3. Сборка
-
-```
-npm run build:desktop -- --pubkey-url https://neuroalpha.odant.org/api/public/license-key
-```
-
-Параметры:
-
-| Параметр | По умолчанию | Назначение |
-|---|---|---|
-| `--pubkey-url <url>` или `--pubkey <файл.pem>` | — (обязательно) | открытый ключ центра |
-| `--central <url>` | `https://neuroalpha.odant.org` | адрес центра, вшиваемый в программу |
-| `--platform win,linux` | `win,linux` | какие файлы собрать |
-| `--no-obfuscate` | выкл. | только для отладки, **не выдавать клиентам** |
-
-Результат (около 85 МБ для Windows и 120 МБ для Linux) с контрольными суммами `.sha256`:
-
-```
-dist/desktop/neuroalpha-0.4.0-win-x64.exe
-dist/desktop/neuroalpha-0.4.0-linux-x64
-```
-
-> Сборка с открытым ключом тестового центра работает только с ним. Для клиентов собирайте строго с ключом боевого центра.
-
-## 4. Подпись для Windows
-
-Без подписи Windows SmartScreen предупреждает при запуске. Подпишите файл сертификатом разработчика (лучше EV):
-
-```
-signtool sign /fd SHA256 /tr http://timestamp.digicert.com /td SHA256 /f codesign.pfx /p <пароль> dist\desktop\neuroalpha-0.4.0-win-x64.exe
-```
-
-После подписи пересчитайте `.sha256`. Предупреждение сборщика `signature seems corrupted` — ожидаемо: исходная подпись `node.exe` снимается при внедрении кода.
-
-## 5. Образ Docker для компьютера клиента
-
-Сначала соберите Linux-версию, затем образ:
-
-```
-docker build -f Dockerfile.desktop --build-arg VERSION=0.4.0 -t registry.odant.org/neuroalpha-desktop:0.4.0 .
-docker push registry.odant.org/neuroalpha-desktop:0.4.0
-```
-
-Внутри образа — тот же защищённый файл. Обычный `Dockerfile` (исходный код, режим из переменных) предназначен **только** для вашей инфраструктуры: центр и облачные машины. Клиентам его не выдавать.
-
-## 6. Публикация
-
-1. Загрузите файлы на сервер раздачи (доступ только по ссылке или после входа).
-2. Задайте на центре переменные, чтобы ссылки появились в кабинете VIP-клиентов:
-
-| Переменная | Пример |
-|---|---|
-| `DESKTOP_DOWNLOAD_WINDOWS` | `https://download.odant.org/neuroalpha/0.4.0/neuroalpha-0.4.0-win-x64.exe` |
-| `DESKTOP_DOWNLOAD_LINUX` | `https://download.odant.org/neuroalpha/0.4.0/neuroalpha-0.4.0-linux-x64` |
-| `DESKTOP_DOCKER_IMAGE` | `registry.odant.org/neuroalpha-desktop:0.4.0` |
-| `DESKTOP_LATEST_VERSION` | `0.4.0` — установки со старой версией получат отметку о новой версии |
-| `DESKTOP_DOWNLOAD_URL` | ссылка для обновления, передаётся вместе с отметкой |
-
-Отметка о новой версии сейчас доступна программе через `/api/local/status` (поле `update`). Баннер в интерфейсе терминала и автообновление запланированы.
-
-## 7. Проверка перед выдачей клиентам
-
-1. Запустить `.exe` на чистой машине: открывается экран «Активация».
-2. В кабинете тестового VIP-клиента получить код и активировать: открывается терминал, тариф VIP.
-3. «Отвязать» в кабинете: в течение минуты баннер «Новые заявки приостановлены».
-4. `neuroalpha --version` показывает версию и дату сборки.
-5. Linux: проверить в контейнере `debian:bookworm-slim` (`--version` и запуск с `HOST=0.0.0.0`).

package/deploy/docs/04-client-guide.md

@@ -1,101 +0,0 @@
-<!-- audience: client -->
-# Руководство клиента: где работает НейроАльфа
-
-НейроАльфа работает на **вашей персональной машине**. Выберите вариант, который вам подходит:
-
-| | ☁ В облаке | 💻 На своём компьютере |
-|---|---|---|
-| Для кого | все тарифы | тариф VIP по договору |
-| Что нужно от вас | только браузер | компьютер с Windows или Linux, включённый во время торгов |
-| Как войти | из личного кабинета | открывается на этом компьютере |
-| Токен брокера хранится | на вашей облачной машине, в зашифрованном виде | только на вашем компьютере, в зашифрованном виде |
-
-Перейти к нужному варианту можно в личном кабинете, в блоке **«Где работать»**.
-
-## 1. В облаке
-
-1. Оплатите тариф. Персональная машина создаётся автоматически, обычно за 2–5 минут.
-2. В личном кабинете, в блоке «Где работать», нажмите **«Перейти в терминал»**.
-3. Адрес машины вида `naXXXXXX.odant.org` можно сохранить в закладки: если вы вошли в кабинет, вход выполняется автоматически.
-
-Машина работает круглосуточно, компьютер держать включённым не нужно.
-
-## 2. На своём компьютере (VIP)
-
-### Требования
-
-- Windows 10/11 (64-бит) или Linux x64; 4 ГБ памяти, 3 ГБ свободного места;
-- стабильный интернет во время торговой сессии Мосбиржи;
-- компьютер включён и не уходит в сон с 9:50 до 23:50 МСК, если включена автоматическая торговля.
-
-### Установка на Windows
-
-1. Скачайте программу по ссылке из личного кабинета («⬇ Windows»).
-2. Запустите файл. Если Windows покажет предупреждение SmartScreen, нажмите «Подробнее» → «Выполнить в любом случае».
-3. Откроется браузер с экраном **«Активация»**.
-4. В личном кабинете нажмите **«Получить код активации»** и введите код (вида `NA-XXXX-XXXX`) в программе. Код действует 10 минут и срабатывает один раз.
-5. Чтобы терминал запускался сам при входе в Windows, выполните один раз в командной строке:
-
-```
-neuroalpha-0.4.0-win-x64.exe --install
-```
-
-Повторный запуск программы, когда она уже работает, просто открывает терминал в браузере. Адрес терминала: `http://localhost:3000`.
-
-### Установка на Linux
-
-```
-chmod +x neuroalpha-0.4.0-linux-x64
-./neuroalpha-0.4.0-linux-x64 --install
-sudo loginctl enable-linger $USER   # чтобы работала без входа в систему
-```
-
-Откройте `http://localhost:3000` и активируйте программу кодом из кабинета.
-
-### Через Docker
-
-```
-docker run -d --name neuroalpha --restart unless-stopped -p 127.0.0.1:3000:3000 -v neuroalpha:/data registry.odant.org/neuroalpha-desktop:0.4.0
-```
-
-Откройте `http://localhost:3000` и активируйте программу. Чтобы войти в терминал после активации, откройте его из личного кабинета кнопкой **«Открыть»**.
-
-### Где хранятся данные
-
-| Система | Папка |
-|---|---|
-| Windows | `%LOCALAPPDATA%\NeuroAlpha\data` |
-| Linux | `~/.local/share/neuroalpha/data` |
-| Docker | том `neuroalpha` |
-
-Удалить программу из автозапуска: `--uninstall`. Данные и активация при этом сохраняются.
-
-### Перенос на другой компьютер
-
-1. В личном кабинете у текущего компьютера нажмите **«Отвязать»**. Программа на нём в течение минуты перестанет отправлять новые заявки.
-2. Если хотите сохранить историю, скопируйте папку данных на новый компьютер.
-3. Установите программу на новом компьютере и активируйте её новым кодом из кабинета.
-
-## 3. Подтверждение заявок из Telegram и MAX
-
-Привяжите Telegram или MAX в личном кабинете. В режиме «Подтверждение заявок» каждый пакет заявок приходит сообщением с кнопками **«✓ Исполнить»** и **«✕ Отклонить»**. Кнопки работают и для облачной машины, и для программы на компьютере. Нажатие выполняется в течение нескольких секунд. Если пакет за это время уже заменён новым, программа ничего не исполнит и сообщит об этом. Кнопки действуют 2 часа и срабатывают один раз.
-
-## 4. Если пропал интернет или центр недоступен
-
-Лицензия действует 72 часа без связи с центром. Всё это время программа работает как обычно. Если связи нет дольше:
-
-- новые заявки приостанавливаются;
-- **защитные стоп-заявки по открытым позициям продолжают работать**;
-- открытые позиции программа не закрывает.
-
-Причина остановки показывается баннером над списком счетов. Связь восстановится — работа продолжится автоматически.
-
-## 5. Безопасность
-
-- Терминал на компьютере доступен только с этого компьютера. Не открывайте порт 3000 в интернет и не пробрасывайте его на роутере.
-- Токен брокера никогда не передаётся в центр, в чат ИИ и в браузер: в настройках видна только маска `t.…abcd`.
-- Если вы подозреваете, что токен брокера стал известен посторонним, перевыпустите его в личном кабинете брокера и вставьте новый в настройках счёта.
-
-## 6. Поддержка
-
-Пишите на `support@neuroalpha.ru` или в бот НейроАльфа в Telegram / MAX. Укажите адрес машины (`naXXXXXX`) или имя компьютера из личного кабинета.

package/deploy/docs/05-operations.md

@@ -1,109 +0,0 @@
-# Эксплуатация и безопасность
-
-## 1. Как машина клиента получает право торговать
-
-Раз в минуту машина отправляет в центр техническое состояние и получает лицензию, подписанную ключом Ed25519 центра, сроком на 72 часа (`LICENSE_TTL_HOURS`). В лицензии указаны тариф клиента, срок подписки и состояние торговли из админки.
-
-| Ситуация | Новые заявки | Защитные стопы |
-|---|---|---|
-| Всё в порядке | ✓ | ✓ |
-| Нет связи с центром, лицензия ещё действует | ✓ | ✓ |
-| Лицензия истекла; подписка не активна; «Пауза»; аренда завершена; программа на компьютере не активирована | ✕ | ✓ |
-| Центр отверг ключ машины (ключ заменён, компьютер отвязан, машина удалена) — лицензия отзывается сразу | ✕ | ✓ |
-| «⛔ Стоп» в админке | ✕ | ✕ |
-
-Открытые позиции машина никогда не закрывает принудительно. Клиент видит причину остановки баннером над счетами.
-
-## 2. Что машины отправляют в центр
-
-**Только техническое состояние:**
-
-- версия программы и Node.js, время работы, память, размер базы, имя хоста;
-- число счетов (всего, в автоматическом режиме, на паузе, с дневным стопом) и брокеры;
-- сколько секунд назад была синхронизация и прогноз;
-- разрешена ли торговля и почему; остаток срока лицензии;
-- до пяти последних ошибок связи.
-
-**Никогда не отправляются:** суммы, позиции, сделки, токены брокеров, email и персональные данные клиента. Центр дополнительно отбрасывает все поля, не входящие в этот список.
-
-## 3. Консоль администратора → «Машины клиентов»
-
-| Колонка | Значение |
-|---|---|
-| Машина | ID, адрес (облако) или имя компьютера, состояние развёртывания |
-| Связь | онлайн, если машина выходила на связь за последние 3 минуты |
-| Состояние | счета, наличие дневных стопов, разрешена ли торговля, память и размер базы, ошибки (подробно — во всплывающей подсказке) |
-| Торговля | торгует / пауза / аварийная остановка |
-
-Действия: «Возобновить», «Пауза», «Стоп», «Новый ключ» (облако), «Отвязать компьютер», «Завершить аренду» / «Восстановить». Все команды доходят до машины при следующей связи — до 1 минуты.
-
-## 4. Типовые ситуации
-
-| Ситуация | Что делать |
-|---|---|
-| Машина «нет связи» | проверить под в кластере (`kubectl -n naXXXXXX get pods`, `logs`). Торговля продолжается до 72 ч, потом приостанавливаются только новые заявки |
-| «Ошибка развёртывания» | текст ошибки — в подсказке. Центр повторяет каждые 2 минуты с новым ключом. Частые причины: права сервисного аккаунта, нет Secret с wildcard-сертификатом в namespace, недоступен webhook PaaS |
-| Ключ машины мог утечь | «🔑 Новый ключ»: старый перестаёт работать сразу |
-| Клиент сменил компьютер | клиент сам нажимает «Отвязать» в кабинете, либо администратор — «Отвязать компьютер» |
-| Клиент сообщил об утечке токена брокера | клиент перевыпускает токен у брокера и вставляет новый в настройках счёта. Старый токен отозвать может только брокер |
-| Нужно немедленно остановить торговлю клиента | «⛔ Стоп» (не дольше 1 мин). Закрыть позиции клиент может сам в приложении брокера |
-| Подозрение на компрометацию ключа подписи центра | см. документ «Развёртывание центрального сервера», раздел 3 |
-| Клиент не может войти: «слишком много попыток» | блокировка по email и IP снимается сама через 15 минут |
-
-## 5. Защита, включённая в версии 0.4.0
-
-- Вход обязателен для всего `/api` и WebSocket. События рассылаются только владельцу данных.
-- Токен брокера хранится в зашифрованном виде (AES-256-GCM) и никогда не уходит в браузер, события или чат ИИ.
-- Проверка `Origin` для изменяющих запросов (CSRF); CSP, SRI и DOMPurify в терминале.
-- Проверка TLS ко всем брокерам с корневым сертификатом НУЦ Минцифры (`config/certs`).
-- Ограничение попыток входа; случайные коды привязки ботов; кнопки «Исполнить» в ботах работают только из привязанного чата.
-- Вебхук MAX только с секретом; настройки моделей ИИ меняет только администратор.
-- На компьютере клиента программа без пароля доступна только с этого же компьютера; адрес, ключ центра и режим вшиты в сборку.
-
-## 6. Исполнение заявок и журнал
-
-- У каждой заявки постоянный идентификатор (`clientOrderId`, для Т-Банка — `orderId`). Он закрепляется **до** отправки, поэтому повтор пакета не создаёт дублей. Уже принятые брокером заявки при повторе пакета «partial» не отправляются; при таймауте повтор идёт с тем же идентификатором.
-- Если счёт занят пересчётом заявок, «Исполнить» ждёт до 15 секунд и затем сообщает об этом, а не пропускает нажатие молча.
-- **Журнал исполнения** (кнопка 📋 в карточке счёта): отправленные заявки, ошибки брокера, защитные стопы, срабатывание и снятие дневного стопа, аварийная остановка. Хранятся последние 5000 событий на счёт.
-- **Дневной стоп** не снимается при сохранении настроек. Снять его можно только кнопкой «Снять стоп до конца дня» с подтверждением; до конца дня (МСК) он на этом счёте больше не срабатывает. Блокировку за автоследование снять нельзя.
-- **«⛔ Остановить всё»** в разделе «Брокерские счета»: авто-торговля на всех счетах встаёт на паузу, все активные заявки у брокера снимаются. Позиции не закрываются, защитные стопы работают.
-
-## 7. Известные ограничения
-
-- Стоп-заявки на стороне брокера — бета, только Т-Банк, по умолчанию выключены (см. раздел 11). Без них защитные стопы работают, только пока работает машина.
-- Полная поддержка — только Т-Банк. Финам, БКС, Алор, Цифра и ITI — бета: только «Подтверждение заявок» (нет средней цены для защитных стопов, отмены заявок и истории). СберИнвестиции, ВТБ и Альфа не подключаются: у них нет открытого API для заявок.
-
-## 8. Хранение счетов
-
-С версии 0.4.1 каждый брокерский счёт — отдельная запись в таблице `broker_accounts`. При сохранении записываются только поля, изменённые этим участком кода, поверх актуальной записи в транзакции. Поэтому синхронизация, пересчёт заявок и сохранение настроек не затирают друг друга, в том числе сработавший дневной стоп и режим «Только чтение». При первом запуске счета переносятся из прежнего хранения автоматически. Прежняя запись остаётся на случай отката версии.
-
-Стратег (ИИ) не принимает токены брокера через чат: токен вставляется только в форму счёта.
-
-## 9. Кнопки «Исполнить / Отклонить» в Telegram и MAX для машин клиентов
-
-1. Машина формирует пакет заявок и отправляет уведомление с кнопками в центр.
-2. Центр пишет клиенту в его привязанный чат. В данных кнопки — только одноразовый короткий ID, действует 2 часа.
-3. При нажатии центр проверяет, что кнопку нажали в чате, привязанном к владельцу машины, и ставит команду в очередь машины. Обе кнопки этого уведомления после нажатия гаснут.
-4. Команда доходит до машины **внутри подписанной лицензии**, поэтому подделать её на пути нельзя. 15 минут после уведомления машина связывается с центром каждые 5 секунд, поэтому нажатие срабатывает почти сразу.
-5. Машина выполняет команду, только если тот же пакет всё ещё ждёт подтверждения. Если пакет уже исполнен, отклонён или заменён новым, команда отклоняется, и клиент получает об этом сообщение.
-6. Машина подтверждает выполнение (`ack`). Центр больше не отдаёт эту команду, а машина помнит выполненные ID и не исполнит пакет дважды.
-
-## 10. Контроль связи машин
-
-Раз в 2 минуты центр проверяет облачные машины. Если машина не выходила на связь дольше `INSTANCE_OFFLINE_ALERT_MIN` (по умолчанию 10 минут), всем администраторам в Telegram/MAX приходит одно сообщение. В нём указаны машина, клиент, число счетов в «Автомате» и сколько ещё будет действовать лицензия без связи. Когда машина возвращается, приходит сообщение «снова на связи». Компьютеры клиентов по умолчанию не отслеживаются, так как их выключают на ночь; включить отслеживание можно переменной `INSTANCE_ALERT_DESKTOP=1`.
-
-## 11. Защитные стоп-заявки у брокера (бета, Т-Банк)
-
-Включаются на счёте: «⚙» → «Защитные стоп-заявки у брокера». Как работает:
-
-- на каждую бумагу с позицией стратегии у Т-Банка выставляется стоп-лосс с исполнением по рынку и сроком «до отмены»: −2,6% от средней цены для покупок, +2,2% для шортов, ровно на число лотов позиции. Стоп сработает, даже если машина выключена;
-- раз в 25 секунд стоп-заявки сверяются с позициями: при изменении объёма заявка переставляется, без позиции — снимается;
-- **перед любой закрывающей заявкой стратегии стоп-заявка по этой бумаге снимается.** Если снять не удалось, закрывающая заявка не отправляется, чтобы не продать дважды и не открыть шорт на маржинальном счёте;
-- внутренний защитный стоп по бумаге со стоп-заявкой у брокера не дублируется;
-- после срабатывания стоп-заявки новая выставляется не раньше чем через 2 минуты и после обновления портфеля;
-- при выключении переключателя, режиме «Только чтение» или «⛔ Стоп» из центра программа снимает свои стоп-заявки. Чужие стоп-заявки (выставленные вручную в приложении брокера) не трогаются никогда;
-- все действия видны в журнале исполнения (📋).
-
-**Первое включение:** проверьте на одной небольшой позиции. В приложении Т-Банка → «Заявки» должна появиться стоп-заявка, а после закрытия позиции стратегией она должна исчезнуть. При ручных сделках по той же бумаге в приложении брокера сверка поправит объём в течение 25 секунд, но в эти секунды стоп-заявка может не соответствовать позиции.
-- Обновление образа всех облачных машин из админки и автообновление программы на компьютере запланированы.
-- Тома облачных машин нужно резервировать средствами кластера: в них база клиента и ключ шифрования его токенов.