work-license-server 1.0.10 → 1.0.11

package/assets/admin.js

@@ -14,7 +14,12 @@
     let currentCertLic = null;
 
     function getStoredToken() {
-        try { return sessionStorage.getItem(TOKEN_KEY) || localStorage.getItem(TOKEN_KEY) || ''; }
+        try {
+            return sessionStorage.getItem(TOKEN_KEY)
+                || localStorage.getItem(TOKEN_KEY)
+                || localStorage.getItem('odant_work_session')
+                || '';
+        }
         catch { return ''; }
     }
     function setStoredToken(tok) {
@@ -23,6 +28,9 @@
             if (tok) {
                 sessionStorage.setItem(TOKEN_KEY, tok);
                 localStorage.setItem(TOKEN_KEY, tok);
+                if (tok.startsWith('wks_')) {
+                    localStorage.setItem('odant_work_session', tok);
+                }
             }
             else {
                 sessionStorage.removeItem(TOKEN_KEY);
@@ -62,48 +70,106 @@
         applyTheme(document.documentElement.getAttribute('data-theme') === 'light' ? 'dark' : 'light');
     }
 
-    /* ================= Авторизация администратора ================= */
+    /* ================= Авторизация администратора (по Email и 6-значному коду из письма) ================= */
     function showLoginGate(errMsg = '') {
         $('#adminLoginScreen').style.display = '';
         $('#adminAppShell').style.display = 'none';
         if ($('#admLoginError')) $('#admLoginError').textContent = errMsg;
-        setTimeout(() => $('#admLoginPass')?.focus(), 50);
+        setTimeout(() => $('#admLoginEmail')?.focus(), 50);
     }
 
-    function showAdminApp(login = 'admin') {
+    function resetAdmStep() {
+        if ($('#admStepEmail')) $('#admStepEmail').style.display = '';
+        if ($('#admStepCode')) $('#admStepCode').style.display = 'none';
+        if ($('#admLoginCode')) $('#admLoginCode').value = '';
+        if ($('#admLoginError')) $('#admLoginError').textContent = '';
+        setTimeout(() => $('#admLoginEmail')?.focus(), 50);
+    }
+
+    function showAdminApp(login = 'BOSS') {
         $('#adminLoginScreen').style.display = 'none';
         $('#adminAppShell').style.display = '';
         if ($('#admUserLabel')) $('#admUserLabel').textContent = `Выйти (${login})`;
     }
 
-    async function submitAdminLogin() {
-        const login = $('#admLoginUser')?.value.trim() || 'admin';
-        const password = $('#admLoginPass')?.value || '';
+    async function sendAdminOtpCode() {
+        const email = $('#admLoginEmail')?.value.trim() || '';
         const errBox = $('#admLoginError');
         if (errBox) errBox.textContent = '';
+        if (!email || !email.includes('@')) {
+            if (errBox) errBox.textContent = 'Введите ваш корректный email адрес.';
+            return;
+        }
+        const btn = $('#btnAdmSendCode');
+        if (btn) btn.disabled = true;
         try {
-            const res = await fetch('/api/admin/login', {
+            const res = await fetch('/api/auth/send-code', {
                 method: 'POST',
                 headers: { 'Content-Type': 'application/json' },
-                body: JSON.stringify({ login, password }),
+                body: JSON.stringify({ email }),
             });
             const data = await res.json().catch(() => ({}));
-            if (!res.ok || !data.token) {
-                throw new Error(data.error || 'Неверный логин или ключ администратора');
+            if (!res.ok) throw new Error(data.error || 'Ошибка отправки кода');
+            if ($('#admStepEmail')) $('#admStepEmail').style.display = 'none';
+            if ($('#admStepCode')) $('#admStepCode').style.display = '';
+            if ($('#admCodeSentNotice')) {
+                $('#admCodeSentNotice').textContent = data.message || `Код отправлен на ${email}. Введите его ниже.`;
+            }
+            if ($('#admLoginCode')) {
+                $('#admLoginCode').value = '';
+                setTimeout(() => $('#admLoginCode')?.focus(), 50);
+            }
+        }
+        catch (err) {
+            if (errBox) errBox.textContent = err.message || String(err);
+        }
+        finally {
+            if (btn) btn.disabled = false;
+        }
+    }
+
+    async function verifyAdminOtpCode() {
+        const email = $('#admLoginEmail')?.value.trim() || '';
+        const code = $('#admLoginCode')?.value.trim() || '';
+        const errBox = $('#admLoginError');
+        if (errBox) errBox.textContent = '';
+        if (!code || code.length < 6) {
+            if (errBox) errBox.textContent = 'Введите 6-значный код из письма.';
+            return;
+        }
+        const btn = $('#btnAdmVerifyCode');
+        if (btn) btn.disabled = true;
+        try {
+            const res = await fetch('/api/auth/verify-code', {
+                method: 'POST',
+                headers: { 'Content-Type': 'application/json' },
+                body: JSON.stringify({ email, code }),
+            });
+            const user = await res.json().catch(() => ({}));
+            if (!res.ok || !user.sessionKey) {
+                throw new Error(user.error || 'Неверный код подтверждения');
+            }
+            if (!user.isAdmin) {
+                throw new Error(`Аккаунт ${user.email} не обладает правами администратора (BOSS) сервера лицензирования.`);
             }
-            setStoredToken(data.token);
-            if ($('#admLoginPass')) $('#admLoginPass').value = '';
-            showAdminApp(data.login || login);
+            setStoredToken(user.sessionKey);
+            resetAdmStep();
+            showAdminApp(user.email);
             await refreshRegistry();
         }
         catch (err) {
             if (errBox) errBox.textContent = err.message || String(err);
         }
+        finally {
+            if (btn) btn.disabled = false;
+        }
     }
 
     async function logoutAdmin() {
         try { await api('/api/admin/logout', {}); } catch { /* ignore */ }
         setStoredToken('');
+        try { localStorage.removeItem('odant_work_session'); } catch { /* ignore */ }
+        resetAdmStep();
         showLoginGate('');
     }
 
@@ -293,12 +359,16 @@
             }).join('') || '<tr><td colspan="5" class="muted">Обращений пока нет</td></tr>';
         }
 
-        // 5. Клиенты и оферты (ПЭП)
+        // 5. Клиенты, роли BOSS и оферты (ПЭП)
         if ($('#admUsersBody')) {
             $('#admUsersBody').innerHTML = users.map(u => `<tr>
                 <td><b>${esc(u.userId)}</b><div class="small muted">${esc(u.email)}</div></td>
+                <td>
+                    ${u.isAdmin
+                        ? `<span class="tag ok">BOSS · Администратор</span> <button class="btn btn-ghost btn-sm" style="margin-left:6px" data-toggle-admin="${esc(u.userId)}" data-make-admin="0">Снять права</button>`
+                        : `<span class="tag">Клиент</span> <button class="btn btn-ghost btn-sm" style="margin-left:6px" data-toggle-admin="${esc(u.userId)}" data-make-admin="1">Сделать админом</button>`}
+                </td>
                 <td><b>${esc(u.companyName || '—')}</b><div class="small muted">ИНН ${esc(u.inn || '—')}</div></td>
-                <td><b>${esc(u.name || '—')}</b><div class="small muted">${esc(u.position || '')} ${esc(u.phone || '')}</div></td>
                 <td><code>${esc(u.licenseId || '—')}</code></td>
                 <td>
                     ${u.ofertaAccepted
@@ -310,6 +380,17 @@
         }
     }
 
+    async function adminToggleUserRole(userId, makeAdmin) {
+        try {
+            await api('/api/admin/users/role', {
+                userId,
+                isAdmin: Boolean(makeAdmin),
+            });
+            refreshRegistry();
+        }
+        catch (err) { alert(err.message); }
+    }
+
     /* ================= Действия администратора ================= */
     async function adminIssueLicense() {
         const st = $('#admIssueStatus');
@@ -518,14 +599,10 @@
     }
 
     function bind() {
-        $('#adminLoginForm')?.addEventListener('submit', (e) => {
-            e.preventDefault();
-            submitAdminLogin();
-        });
         $('#btnTheme')?.addEventListener('click', toggleTheme);
 
         document.addEventListener('click', (e) => {
-            const el = e.target.closest('[data-action],[data-adm-tab],[data-adm-ask],[data-cert],[data-pay-order],[data-cancel-order],[data-activate-res],[data-certify-partner],[data-partner-issue],[data-reply-ticket],[data-close-ticket]');
+            const el = e.target.closest('[data-action],[data-adm-tab],[data-adm-ask],[data-cert],[data-pay-order],[data-cancel-order],[data-activate-res],[data-certify-partner],[data-partner-issue],[data-reply-ticket],[data-close-ticket],[data-toggle-admin]');
             if (!el) return;
             if (el.matches('[data-adm-tab]')) { switchAdminTab(el.dataset.admTab); return; }
             if (el.matches('[data-adm-ask]')) { sendAdminAi(el.dataset.admAsk); return; }
@@ -537,8 +614,12 @@
             if (el.matches('[data-partner-issue]')) { adminPartnerIssueLicense(el.dataset.partnerIssue); return; }
             if (el.matches('[data-reply-ticket]')) { adminReplyTicket(el.dataset.replyTicket); return; }
             if (el.matches('[data-close-ticket]')) { adminCloseTicket(el.dataset.closeTicket); return; }
+            if (el.matches('[data-toggle-admin]')) { adminToggleUserRole(el.dataset.toggleAdmin, el.dataset.makeAdmin === '1'); return; }
 
             switch (el.dataset.action) {
+                case 'adm-send-code': sendAdminOtpCode(); break;
+                case 'adm-verify-code': verifyAdminOtpCode(); break;
+                case 'adm-reset-step': resetAdmStep(); break;
                 case 'registry': refreshRegistry(); break;
                 case 'demo-pak': createDemoPak(); break;
                 case 'admin-logout': logoutAdmin(); break;
@@ -551,6 +632,13 @@
             }
         });
 
+        $('#adminLoginScreen')?.addEventListener('keydown', (e) => {
+            if (e.key === 'Enter' && e.target.tagName !== 'BUTTON') {
+                if ($('#admStepCode')?.style.display !== 'none') verifyAdminOtpCode();
+                else sendAdminOtpCode();
+            }
+        });
+
         $('#certModal')?.addEventListener('click', (e) => { if (e.target.id === 'certModal') $('#certModal').classList.remove('open'); });
         document.addEventListener('keydown', (e) => {
             if (e.key === 'Escape') $('#certModal')?.classList.remove('open');

package/assets/landing.js

@@ -248,8 +248,13 @@
     function performLogout() {
         currentUser = null;
         pendingAuthAction = null;
-        try { localStorage.removeItem('odant_work_session'); } catch { /* ignore */ }
+        try {
+            localStorage.removeItem('odant_work_session');
+            localStorage.removeItem('odant_work_admin_token');
+            sessionStorage.removeItem('odant_work_admin_token');
+        } catch { /* ignore */ }
         if ($('#tileAddons')) $('#tileAddons').style.display = 'none';
+        if ($('#tileAdmin')) $('#tileAdmin').style.display = 'none';
         if ($('#btnAuthText')) $('#btnAuthText').textContent = 'Войти / Регистрация';
         if ($('#btnLogoutModal')) $('#btnLogoutModal').style.display = 'none';
         closeAuth();
@@ -275,13 +280,21 @@
     function onAuthenticated() {
         if (!currentUser) return;
         if ($('#tileAddons')) $('#tileAddons').style.display = isUserReadyForOrders() ? '' : 'none';
+        if ($('#tileAdmin')) $('#tileAdmin').style.display = currentUser.isAdmin ? '' : 'none';
+        if (currentUser.isAdmin && currentUser.sessionKey) {
+            try {
+                localStorage.setItem('odant_work_admin_token', currentUser.sessionKey);
+                sessionStorage.setItem('odant_work_admin_token', currentUser.sessionKey);
+            } catch { /* ignore */ }
+        }
         if ($('#btnAuthText')) $('#btnAuthText').textContent = currentUser.companyName || currentUser.email;
         if ($('#inpCabinetHubToken')) $('#inpCabinetHubToken').value = currentUser.hubToken || '';
         if ($('#authEmail')) $('#authEmail').value = currentUser.email || '';
         if ($('#authOfertaCheck')) $('#authOfertaCheck').checked = Boolean(currentUser.ofertaAccepted);
         if ($('#userBadgeBox')) {
             const orgInfo = currentUser.companyName ? `${esc(currentUser.companyName)}${currentUser.inn ? ' (ИНН ' + esc(currentUser.inn) + ')' : ''} · ` : '';
-            $('#userBadgeBox').innerHTML = `${orgInfo}Аккаунт: <b>${esc(currentUser.email)}</b> · <a href="#" data-action="logout" style="color:var(--muted)">Выйти</a>`;
+            const bossBadge = currentUser.isAdmin ? `<span class="tag ok" style="margin-right:6px">BOSS · Администратор</span> <a href="/admin" style="font-weight:700;margin-right:8px">Открыть Админ-панель →</a> · ` : '';
+            $('#userBadgeBox').innerHTML = `${bossBadge}${orgInfo}Аккаунт: <b>${esc(currentUser.email)}</b> · <a href="#" data-action="logout" style="color:var(--muted)">Выйти</a>`;
         }
         renderCabinetOrders();
         renderCabinetLicenses();

package/bin/server.mjs

@@ -14,4 +14,4 @@ const server = await app.listen(port);
 const addr = server.address();
 const actualPort = typeof addr === 'object' && addr ? addr.port : port;
 console.log(`[work.odant.org] Витрина ODANT-WORK: http://localhost:${actualPort}/`);
-console.log(`[work.odant.org] Панель администратора (отдельная страница): http://localhost:${actualPort}/admin (логин: ${app.store.adminLogin})`);
+console.log(`[work.odant.org] Панель администратора (BOSS): http://localhost:${actualPort}/admin (первый вошедший по Email становится BOSS)`);

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "work-license-server",
-  "version": "1.0.10",
+  "version": "1.0.11",
   "description": "Лицензионный сервер, биллинг ЮKassa, боты поддержки (MAX, Telegram, VK) и лендинг ПАК WORK (work.odant.org)",
   "type": "module",
   "main": "src/index.js",

package/src/admin.js

@@ -53,31 +53,44 @@ export function renderAdminPage({ publicKey = '', assetVersion = '' } = {}) {
     <div class="bg-grid" aria-hidden="true"></div>
     <div class="bg-vignette" aria-hidden="true"></div>
 
-    <!-- Экран защищённого входа администратора -->
+    <!-- Экран защищённого входа администратора (по Email и одноразовому коду из письма) -->
     <div class="admin-auth-gate" id="adminLoginScreen">
         <div class="card card-glow admin-login-card">
             <div class="modal-head" style="margin-bottom:18px">
                 <img src="/assets/odant-logo.png" alt="ODANT">
                 <div>
-                    <span class="kicker">Защищённый контур</span>
+                    <span class="kicker">Защищённый контур BOSS</span>
                     <h1 class="h3" style="margin:4px 0 2px;font-size:21px">Админ-панель ODANT-WORK</h1>
-                    <div class="small muted">Центр сертификации Ed25519 и биллинга ЮKassa</div>
+                    <div class="small muted">Вход по вашему Email администратора с 6-значным кодом из письма</div>
                 </div>
             </div>
-            <form id="adminLoginForm" onsubmit="return false;">
+            <div id="admStepEmail">
                 <div class="field">
-                    <label for="admLoginUser">Логин администратора</label>
-                    <input type="text" id="admLoginUser" value="admin" autocomplete="username" required>
+                    <label for="admLoginEmail">Email администратора (BOSS)</label>
+                    <input type="email" id="admLoginEmail" value="" placeholder="Введите ваш email…" autocomplete="email" required>
                 </div>
+                <button type="button" class="btn btn-primary btn-lg" style="width:100%" id="btnAdmSendCode" data-action="adm-send-code">
+                    Получить 6-значный код на Email
+                </button>
+            </div>
+            <div id="admStepCode" style="display:none">
+                <div class="small" id="admCodeSentNotice" style="padding:10px 12px;border-radius:10px;background:rgba(16,185,129,.12);color:var(--ok);margin-bottom:10px"></div>
                 <div class="field">
-                    <label for="admLoginPass">Пароль / Ключ администратора (WORK_ADMIN_PASSWORD)</label>
-                    <input type="password" id="admLoginPass" placeholder="Введите ключ администратора…" autocomplete="current-password" required>
+                    <label for="admLoginCode">Одноразовый код из письма (6 цифр)</label>
+                    <input type="text" id="admLoginCode" value="" placeholder="000000" maxlength="6" inputmode="numeric" autocomplete="one-time-code" style="font-size:20px;letter-spacing:6px;text-align:center;font-family:monospace">
                 </div>
-                <div class="status" id="admLoginError" style="color:var(--danger);margin:6px 0 12px;min-height:18px"></div>
-                <button type="submit" class="btn btn-primary btn-lg" style="width:100%" id="btnAdminLoginSubmit">
-                    ${icon('lock')} Войти в панель администратора
+                <button type="button" class="btn btn-primary btn-lg" style="width:100%" id="btnAdmVerifyCode" data-action="adm-verify-code">
+                    ${icon('lock')} Подтвердить код и войти в админ-панель
                 </button>
-            </form>
+                <div style="display:flex;justify-content:space-between;margin-top:8px">
+                    <button type="button" class="btn btn-ghost btn-sm" data-action="adm-reset-step">← Изменить Email</button>
+                    <button type="button" class="btn btn-ghost btn-sm" data-action="adm-send-code">Отправить код повторно</button>
+                </div>
+            </div>
+            <div class="status" id="admLoginError" style="color:var(--danger);margin:8px 0 6px;min-height:18px"></div>
+            <div style="margin-top:8px;text-align:center">
+                <a href="/" class="small muted">← Вернуться на главную страницу work.odant.org</a>
+            </div>
             <div class="small muted" style="margin-top:14px;padding-top:12px;border-top:1px solid var(--line)">
                 Ключ ЦС Ed25519: <code>${esc(publicKey.slice(0, 26))}…</code>
             </div>
@@ -87,15 +100,16 @@ export function renderAdminPage({ publicKey = '', assetVersion = '' } = {}) {
     <!-- Основная консоль администратора (скрыта до успешной авторизации) -->
     <div class="shell" id="adminAppShell" style="display:none">
         <header class="topbar" style="grid-template-columns: auto 1fr auto">
-            <div class="brand" style="cursor:default">
+            <a href="/" class="brand" style="text-decoration:none">
                 <img src="/assets/odant-logo.png" alt="ODANT">
                 <span>
-                    <span class="brand-name">ODANT<b>·</b>WORK <span class="tag" style="margin-left:6px;vertical-align:middle">ADMIN</span></span><br>
+                    <span class="brand-name">ODANT<b>·</b>WORK <span class="tag ok" style="margin-left:6px;vertical-align:middle">BOSS · ADMIN</span></span><br>
                     <span class="brand-sub">центр сертификации Ed25519 · биллинг ЮKassa · франшизы · SLA</span>
                 </span>
-            </div>
+            </a>
             <div></div>
             <div class="top-actions">
+                <a href="/#addons" class="btn btn-ghost btn-sm" style="text-decoration:none">← Личный кабинет</a>
                 <button class="icon-btn" id="btnTheme" title="Светлая / тёмная тема" aria-label="Переключить тему">${icon('sun')}</button>
                 <button class="btn btn-ghost btn-sm" data-action="registry">${icon('server')}<span>Обновить реестр</span></button>
                 <button class="btn btn-ok btn-sm" data-action="demo-pak">+ Демо-лицензия ПАК</button>
@@ -267,18 +281,18 @@ export function renderAdminPage({ publicKey = '', assetVersion = '' } = {}) {
                         </div>
                     </div>
 
-                    <!-- 5. КЛИЕНТЫ И ОФЕРТЫ ПЭП -->
+                    <!-- 5. КЛИЕНТЫ И РОЛИ BOSS -->
                     <div class="card" data-adm-sec="users">
-                        <h3 class="h3" style="margin:0 0 12px">Зарегистрированные клиенты и подписанные договоры-оферты (ПЭП)</h3>
+                        <h3 class="h3" style="margin:0 0 12px">Зарегистрированные клиенты, администраторы (BOSS) и договоры-оферты</h3>
                         <div class="table-wrap">
                             <table class="t">
                                 <thead><tr>
                                     <th>ID / Email</th>
+                                    <th>Роль на сервере</th>
                                     <th>Организация / ИНН</th>
-                                    <th>Представитель</th>
                                     <th>Лицензия комплекса</th>
                                     <th>Статус оферты (ПЭП)</th>
-                                    <th>Дата акцепта</th>
+                                    <th>Дата регистрации</th>
                                 </tr></thead>
                                 <tbody id="admUsersBody"><tr><td colspan="6" class="muted">Загрузка…</td></tr></tbody>
                             </table>

package/src/landing.js

@@ -184,6 +184,7 @@ export function renderLandingPage({ publicKey = '', regions = null, assetVersion
                 <button class="tab" data-stage="clients">Клиентам</button>
                 <button class="tab" data-stage="franchise">Франшиза</button>
                 <button class="tab" id="tileAddons" data-stage="addons" style="display:none;">Личный кабинет</button>
+                <a class="tab" id="tileAdmin" href="/admin" style="display:none;text-decoration:none;">Админ-панель</a>
             </nav>
 
             <div class="top-actions">

package/src/server.js

@@ -753,9 +753,19 @@ export function createLicenseServerApp(options = {}) {
 
             if (req.method === 'GET' && pathname === '/api/admin/me') {
                 const tok = extractBearerToken(req, null, url);
-                if (!store.verifyAdminToken(tok))
+                const identity = store.getAdminIdentity(tok);
+                if (!identity?.authenticated)
                     return sendJson(res, 401, { authenticated: false });
-                return sendJson(res, 200, { authenticated: true, login: store.adminLogin });
+                return sendJson(res, 200, identity);
+            }
+
+            if (req.method === 'POST' && pathname === '/api/admin/users/role') {
+                const body = await readJsonBody(req);
+                const tok = extractBearerToken(req, body, url);
+                if (!store.verifyAdminToken(tok))
+                    return sendJson(res, 401, { error: 'Требуется авторизация администратора (BOSS)' });
+                const updated = store.setUserAdminRole(body.userId || body.email, body.isAdmin !== false);
+                return sendJson(res, 200, { ok: true, user: updated });
             }
 
             if (req.method === 'GET' && pathname === '/api/admin/overview') {

package/src/store.js

@@ -90,19 +90,85 @@ export class LicenseStore {
     }
 
     verifyAdminToken(token = '') {
+        return Boolean(this.getAdminIdentity(token)?.authenticated);
+    }
+
+    getAdminIdentity(token = '') {
         const clean = String(token || '').trim();
         if (!clean)
-            return false;
-        if (clean === this.adminPassword && this.adminPassword.length >= 6)
-            return true;
+            return null;
+        const adminUser = Object.values(this.state.users || {}).find(u => u.sessionKey === clean && u.isAdmin);
+        if (adminUser) {
+            return {
+                authenticated: true,
+                login: adminUser.email,
+                email: adminUser.email,
+                userId: adminUser.userId,
+                role: 'BOSS',
+            };
+        }
+        if (clean === this.adminPassword && this.adminPassword.length >= 6) {
+            return {
+                authenticated: true,
+                login: this.adminLogin,
+                role: 'BOSS',
+            };
+        }
         const sess = this.adminSessions.get(clean);
         if (!sess)
-            return false;
+            return null;
         if (sess.expiresAt < Date.now()) {
             this.adminSessions.delete(clean);
-            return false;
+            return null;
         }
-        return true;
+        return {
+            authenticated: true,
+            login: sess.login || this.adminLogin,
+            role: 'BOSS',
+        };
+    }
+
+    /**
+     * Гарантировать, что первый зарегистрированный на сервере пользователь является главным Администратором (BOSS).
+     */
+    _ensureBootstrapAdmin() {
+        const allUsers = Object.values(this.state.users || {});
+        if (!allUsers.length)
+            return null;
+        const existingAdmin = allUsers.find(u => u.isAdmin);
+        if (existingAdmin) {
+            existingAdmin.role = 'BOSS';
+            return existingAdmin;
+        }
+        const firstUser = [...allUsers].sort((a, b) => (a.createdAt || 0) - (b.createdAt || 0))[0];
+        if (firstUser) {
+            firstUser.isAdmin = true;
+            firstUser.role = 'BOSS';
+        }
+        return firstUser || null;
+    }
+
+    /**
+     * Назначить или снять права администратора (BOSS) у пользователя по Email или userId.
+     */
+    setUserAdminRole(emailOrUserId = '', isAdmin = true) {
+        const key = String(emailOrUserId || '').trim();
+        const user = Object.values(this.state.users || {}).find(
+            u => u.userId === key || String(u.email || '').toLowerCase() === key.toLowerCase()
+        );
+        if (!user)
+            throw new Error('Пользователь не найден');
+        const nextAdmin = Boolean(isAdmin);
+        if (!nextAdmin && user.isAdmin) {
+            const otherAdmins = Object.values(this.state.users || {}).filter(u => u.isAdmin && u.userId !== user.userId);
+            if (!otherAdmins.length) {
+                throw new Error('Нельзя снять права BOSS у единственного администратора сервера');
+            }
+        }
+        user.isAdmin = nextAdmin;
+        user.role = nextAdmin ? 'BOSS' : 'USER';
+        this._save();
+        return this._formatUserResponse(user);
     }
 
     _load() {
@@ -119,6 +185,7 @@ export class LicenseStore {
                 this.state.reservations = raw.reservations || {};
                 this.state.certificates = raw.certificates || {};
                 this.state.users = raw.users || {};
+                this._ensureBootstrapAdmin();
             }
         }
         catch { /* начинаем с чистого состояния */ }
@@ -956,6 +1023,8 @@ export class LicenseStore {
         return {
             userId: user.userId,
             email: user.email,
+            isAdmin: Boolean(user.isAdmin),
+            role: user.isAdmin ? 'BOSS' : 'USER',
             authProvider: user.authProvider || 'email',
             name: user.name,
             position: user.position || '',
@@ -1084,6 +1153,12 @@ export class LicenseStore {
             }
         }
 
+        const isFirstAdmin = !Object.values(this.state.users || {}).some(u => u.isAdmin);
+        if (isFirstAdmin) {
+            user.isAdmin = true;
+            user.role = 'BOSS';
+        }
+
         if (ofertaAccepted !== false && !user.ofertaAccepted) {
             user.ofertaAccepted = true;
             user.ofertaAcceptedAt = now;