work-license-server 1.0.2 → 1.0.4

package/src/catalog.js

@@ -6,13 +6,18 @@
 
 export const PAK_PRODUCT = Object.freeze({
     sku: 'WORK-PAK-495-192-4T',
+    baseLicenseSku: 'WORK-LIC-BASE-10',
     name: 'ODANT-WORK',
     domain: 'work.odant.org',
     basePriceRub: 5_000_000,
-    baseSeats: 5,
+    baseLicensePriceRub: 4_000_000,
+    baseSeats: 10,
+    unlicensedBossSeats: 1,
     perpetualBase: true,
     includedSupportYears: 1,
-    includedSupportTier: 'business',
+    includedSupportTier: 'enterprise',
+    includedSupportTierName: 'Enterprise',
+    postYearPolicy: 'Дальнейшее продление поддержки и докупка мест — по желанию клиента (10 вечных лицензий работают бессрочно)',
     hardware: Object.freeze({
         cpu: 'AMD Ryzen™ AI Max+ PRO 495 (Zen 5, 16 ядер / 32 потока, до 5.2 ГГц, кэш 80 МБ)',
         gpu: 'AMD Radeon™ 8065S Graphics (40 ядер, 3000 МГц, до 61 TFLOPS FP16)',
@@ -25,16 +30,17 @@ export const PAK_PRODUCT = Object.freeze({
     }),
     software: Object.freeze({
         accounting: 'Встроенная система учёта, документооборота, управления процессами и приватный мультимодальный ИИ (справочники, план счетов, двойная запись, оборотно-сальдовая ведомость, анализ счёта, первичные документы и сквозные процессы)',
-        seatModel: 'По одновременным активным сессиям (5 вечных рабочих мест в базовом комплекте + докупка срочных годовых лицензий со скидкой от количества)',
+        seatModel: 'По одновременным активным сессиям (10 вечных лицензий в базовом комплекте + 1 год поддержки Enterprise; дальше — продление и докупка мест по желанию)',
         hardwareBinding: 'Привязка вечной лицензии к Hardware ID материнской платы/CPU AMD Ryzen + криптографическому ключу узла (#system/node-key.json)',
     }),
+    modelsPolicy: 'Интегрированные локальные модели предназначены для базовых ежедневных операций внутри контура. Если требуются более мощные модели ИИ, их можно подключить через стандартный API из любого источника (облачные провайдеры, собственный GPU-кластер или API регионального партнёра).',
     preinstalledModels: Object.freeze([
         {
             id: 'llm-core',
             type: 'Большая языковая модель (LLM)',
-            title: 'Интеллектуальное текстовое и аналитическое ядро',
-            badge: 'Диалог · Учёт · Документы · Процессы',
-            description: 'Ведение живого диалога, проведение хозяйственных операций, подготовка документов, управление бизнес-процессами, финансовый анализ и генерация программного кода.',
+            title: 'Базовое текстовое и учётное ядро',
+            badge: 'Базовые операции · Учёт · Документы',
+            description: 'Выполнение базовых операций: живой диалог, типовые хозяйственные проводки, шаблоны документов и повседневные задачи. Для глубокой аналитики и тяжёлых задач подключаются более мощные модели через API из любого источника.',
             ramGb: 18.5,
         },
         {
@@ -77,7 +83,7 @@ export const AI_PLATFORM = Object.freeze({
             'Действует в рамках роли и прав пользователя (ADMIN · BOSS · USER)',
             'Инструменты учётного ядра: описание класса, поиск объектов, проведение операций, отчёты',
             'Каждая консультация сохраняется задачей в личном кабинете и в ленте пользователя',
-            'Работает полностью локально на комплексе — данные не покидают контур предприятия',
+            'Базовые операции выполняются интегрированными локальными моделями, а при необходимости более мощных ИИ — подключение через API из любого источника',
         ]),
     }),
     orchestration: Object.freeze([
@@ -210,13 +216,60 @@ export function calculateSeatVolumeDiscount(seats = 1) {
 }
 
 /**
- * Рассчитать стоимость заказа (покупка базового комплекса ODANT-WORK и/или докупка годовых лицензий со скидкой от количества).
+ * Отдельная базовая постоянная лицензия на 10 вечных пользователей (без оборудования) —
+ * для клиентов, самостоятельно приобретших автономную машину AMD Ryzen™ AI Max+ PRO 495 (192 ГБ)
+ * и установивших систему через npm.
+ */
+export const BASE_LICENSE_PRODUCT = Object.freeze({
+    sku: 'WORK-LIC-BASE-10',
+    name: 'Базовая постоянная лицензия ODANT-WORK (10 вечных пользователей, без железа)',
+    priceRub: 4_000_000,
+    baseSeats: 10,
+    perpetualBase: true,
+    aiAgentsEnabled: true,
+    includedSupportYears: 1,
+    includedSupportTier: 'enterprise',
+    description: 'Снимает стартовые ограничения: активирует агентскую ИИ-систему, открывает 10 вечных конкурентных пользовательских мест и включает 1 год поддержки Enterprise.',
+});
+
+/**
+ * Дополнительные услуги и товары, доступные в личном кабинете владельца.
+ */
+export const ADDITIONAL_PRODUCTS = Object.freeze([
+    {
+        id: 'ai-finetune-pack',
+        sku: 'WORK-SRV-FINETUNE',
+        title: 'Пакет дообучения локальных моделей ИИ (LoRA) и разработки навыков под предприятие',
+        priceRub: 600_000,
+        category: 'service',
+    },
+    {
+        id: 'nas-backup-kit',
+        sku: 'WORK-HW-NAS',
+        title: 'Комплект резервного копирования и архивации баз организаций (NAS)',
+        priceRub: 350_000,
+        category: 'hardware',
+    },
+    {
+        id: 'audit-migration-pack',
+        sku: 'WORK-SRV-MIGRATION',
+        title: 'Пакет переноса исторических учётных баз, справочников и остатков',
+        priceRub: 450_000,
+        category: 'service',
+    },
+]);
+
+/**
+ * Рассчитать стоимость заказа (покупка базового комплекса с машиной 5 млн ₽, отдельно базовой лицензии 4 млн ₽,
+ * докупка срочных годовых лицензий со скидкой от количества и прочих товаров/услуг).
  */
 export function calculateOrderQuote({
     includeBasePak = false,
+    includeBaseLicenseOnly = false,
     tier = 'business',
     addonSeats = 0,
     years = 1,
+    extraProductIds = [],
 } = {}) {
     const tierKey = String(tier || 'business').toLowerCase();
     const tierSpec = SLA_TIERS[tierKey] || SLA_TIERS.business;
@@ -226,25 +279,42 @@ export function calculateOrderQuote({
     const volumeDiscount = calculateSeatVolumeDiscount(seats);
     const volumeDiscountPercent = volumeDiscount.discountPercent;
 
-    const baseAmountRub = includeBasePak ? PAK_PRODUCT.basePriceRub : 0;
+    const hasFullPak = Boolean(includeBasePak);
+    const hasBaseLicOnly = !hasFullPak && Boolean(includeBaseLicenseOnly);
+
+    const baseAmountRub = hasFullPak
+        ? PAK_PRODUCT.basePriceRub
+        : (hasBaseLicOnly ? BASE_LICENSE_PRODUCT.priceRub : 0);
+
     const addonsGrossAmountRub = seats * tierSpec.pricePerUserYearRub * periodYears;
     const addonsDiscountRub = Math.round(addonsGrossAmountRub * (volumeDiscountPercent / 100));
     const addonsAmountRub = addonsGrossAmountRub - addonsDiscountRub;
     const effectiveUnitPriceRub = seats > 0 ? Math.round(addonsAmountRub / seats) : tierSpec.pricePerUserYearRub * periodYears;
-    const totalAmountRub = baseAmountRub + addonsAmountRub;
 
     const items = [];
-    if (includeBasePak) {
+    if (hasFullPak) {
         items.push({
-            title: `${PAK_PRODUCT.name} (${PAK_PRODUCT.hardware.cpu}, ${PAK_PRODUCT.hardware.ramGb} ГБ RAM, SSD ${PAK_PRODUCT.hardware.ssdTb} ТБ, вечная лицензия на 5 мест + 1 год поддержки)`,
+            sku: PAK_PRODUCT.sku,
+            title: `${PAK_PRODUCT.name} (${PAK_PRODUCT.hardware.cpu}, ${PAK_PRODUCT.hardware.ramGb} ГБ RAM, SSD ${PAK_PRODUCT.hardware.ssdTb} ТБ, вечная лицензия на ${PAK_PRODUCT.baseSeats} мест + 1 год поддержки Enterprise)`,
             quantity: 1,
             unitPriceRub: PAK_PRODUCT.basePriceRub,
             totalRub: PAK_PRODUCT.basePriceRub,
         });
     }
+    else if (hasBaseLicOnly) {
+        items.push({
+            sku: BASE_LICENSE_PRODUCT.sku,
+            title: BASE_LICENSE_PRODUCT.name,
+            quantity: 1,
+            unitPriceRub: BASE_LICENSE_PRODUCT.priceRub,
+            totalRub: BASE_LICENSE_PRODUCT.priceRub,
+        });
+    }
+
     if (seats > 0) {
         const discSuffix = volumeDiscountPercent > 0 ? `, скидка −${volumeDiscountPercent}% за объём` : '';
         items.push({
+            sku: `WORK-LIC-ADDON-${tierSpec.id.toUpperCase()}`,
             title: `Годовая лицензия ODANT-WORK на доп. рабочее место (уровень ${tierSpec.name}, ${periodYears} г.${discSuffix})`,
             quantity: seats,
             unitPriceRub: effectiveUnitPriceRub,
@@ -252,11 +322,31 @@ export function calculateOrderQuote({
         });
     }
 
+    let extraAmountRub = 0;
+    const extraIds = Array.isArray(extraProductIds) ? extraProductIds : [];
+    for (const pid of extraIds) {
+        const prod = ADDITIONAL_PRODUCTS.find(p => p.id === pid || p.sku === pid);
+        if (prod) {
+            extraAmountRub += prod.priceRub;
+            items.push({
+                sku: prod.sku,
+                title: prod.title,
+                quantity: 1,
+                unitPriceRub: prod.priceRub,
+                totalRub: prod.priceRub,
+            });
+        }
+    }
+
+    const totalAmountRub = baseAmountRub + addonsAmountRub + extraAmountRub;
+
     return {
-        includeBasePak: !!includeBasePak,
-        basePakPriceRub: baseAmountRub,
-        baseSeats: includeBasePak ? PAK_PRODUCT.baseSeats : 0,
-        includedSupportYears: includeBasePak ? PAK_PRODUCT.includedSupportYears : 0,
+        includeBasePak: hasFullPak,
+        includeBaseLicenseOnly: hasBaseLicOnly,
+        basePakPriceRub: hasFullPak ? PAK_PRODUCT.basePriceRub : 0,
+        baseLicenseOnlyPriceRub: hasBaseLicOnly ? BASE_LICENSE_PRODUCT.priceRub : 0,
+        baseSeats: (hasFullPak || hasBaseLicOnly) ? PAK_PRODUCT.baseSeats : 0,
+        includedSupportYears: (hasFullPak || hasBaseLicOnly) ? PAK_PRODUCT.includedSupportYears : 0,
         tier: tierSpec.id,
         tierName: tierSpec.name,
         pricePerUserYearRub: tierSpec.pricePerUserYearRub,
@@ -267,6 +357,7 @@ export function calculateOrderQuote({
         addonsGrossAmountRub,
         addonsDiscountRub,
         addonsAmountRub,
+        extraAmountRub,
         totalAmountRub,
         reactionMinutes: tierSpec.reactionMinutes,
         reactionLabel: tierSpec.reactionLabel,
@@ -536,7 +627,7 @@ export const PARTNER_TRAINING_TRACKS = Object.freeze([
         passScore: 75,
         requiredForFranchise: true,
         topics: [
-            'Экономическое обоснование внедрения ODANT-WORK (5 вечных мест + локальный ИИ в собственном контуре)',
+            'Экономическое обоснование внедрения ODANT-WORK (10 вечных лицензий + 1 год поддержки Enterprise + локальный ИИ в собственном контуре)',
             'Лицензионная политика: расчёт конкурентных сессий со скидками от объёма и подбор тарифов SLA (Start / Business / Enterprise)',
             'Регламент первой и второй линии поддержки через боты MAX, Telegram и VK',
         ],
@@ -675,3 +766,48 @@ export function calculatePartnerEconomics({
         operationsModel: FRANCHISE_PROGRAM.partnerOperationsModel,
     };
 }
+
+/**
+ * Публичный договор-оферта ODANT-WORK (ст. 435, 437, 1286 ГК РФ и ФЗ № 63-ФЗ «Об электронной подписи»).
+ * Подписание оферты простой электронной подписью (ПЭП) в личном кабинете обязательно перед оформлением
+ * любого заказа комплекса, докупкой годовых лицензий, оплатой или резервированием региональной франшизы.
+ */
+export const PUBLIC_OFERTA = Object.freeze({
+    version: 'ODANT-WORK-OFERTA-2026.1',
+    updatedAt: '01.11.2026',
+    title: 'Публичный договор-оферта на поставку ПАК ODANT-WORK, предоставление неисключительных лицензий, техническую поддержку (SLA) и резервирование региональной франшизы',
+    vendor: VENDOR_CONTACTS,
+    sections: Object.freeze([
+        {
+            number: '1',
+            title: 'Общие положения и предмет Договора-оферты',
+            text: 'Настоящий документ является официальным публичным предложением (офертой) ООО «Бизнес Интер Софт» (ИНН 6234049193, г. Рязань, ул. Ленина, 47), именуемого далее «Правообладатель», заключить договор на поставку программно-аппаратного комплекса ODANT-WORK, предоставление права использования ПО (простой неисключительной лицензии), сопровождение по уровню SLA и/или резервирование региональной партнёрской франшизы с любым юридическим лицом или индивидуальным предпринимателем («Заказчик / Партнёр»).',
+        },
+        {
+            number: '2',
+            title: 'Комплектация ПАК ODANT-WORK и вечная базовая лицензия',
+            text: 'Базовый программно-аппаратный комплекс ODANT-WORK (AMD Ryzen™ AI Max+ PRO 495, Radeon™ 8065S, 192 ГБ Unified RAM, SSD 4 ТБ) стоимостью 5 000 000 ₽ включает бессрочную (вечную) лицензию на 10 одновременных активных пользовательских сессий (привязанную к HWID оборудования и криптографическому ключу узла #system/node-key.json) и 1-й год технической поддержки максимального уровня Enterprise (24/7, время реакции до 15 минут). По истечении первого года продление поддержки и докупка мест осуществляются по желанию Заказчика; 10 базовых вечных лицензий продолжают работать бессрочно.',
+        },
+        {
+            number: '3',
+            title: 'Годовые пользовательские лицензии и уровни поддержки (SLA)',
+            text: 'Дополнительные конкурентные рабочие места предоставляются сроком от 1 до 5 лет по выбранному тарифу SLA: Start (10 000 ₽/год за место, до 12 обращений, реакция до 8 раб. ч.), Business (15 000 ₽/год, до 48 обращений, реакция до 2 ч.), Enterprise (20 000 ₽/год, безлимит обращений, реакция до 15 мин 24/7). При единовременном заказе от 5 мест применяется объёмная скидка от 5% до 25%. Выпуск и продление лицензий удостоверяются цифровым сертификатом Ed25519 (протокол WORK-LIC-v1).',
+        },
+        {
+            number: '4',
+            title: 'Региональная франшиза и условия резервирования квоты',
+            text: 'Квота региональных партнёров-франчайзи в каждом субъекте РФ пропорциональна численности населения региона. Фиксированный паушальный взнос равен 500 000 ₽, умноженным на экономический индекс выбранного субъекта РФ. При оформлении заявки на резервирование франшизы Заказчик оплачивает невозвратный обеспечительный залог в размере 100 000 ₽, который закрепляет за ним региональную квоту и засчитывается в счёт паушального взноса. Оставшаяся часть паушального взноса подлежит полной оплате в течение 12 (двенадцати) месяцев с даты резервирования.',
+        },
+        {
+            number: '5',
+            title: 'Порядок расчётов и фискализация (ЮKassa · 54-ФЗ)',
+            text: 'Все расчёты по настоящему Договору производятся в рублях РФ через авторизованный платёжный шлюз ЮKassa (API v3) с формированием кассового чека в соответствии с 54-ФЗ либо по безналичному счёту для юридических лиц. Исполнение обязательств по выпуску/обновлению сертификата лицензии или закреплению квоты франшизы происходит автоматически в момент подтверждения оплаты.',
+        },
+        {
+            number: '6',
+            title: 'Акцепт оферты простой электронной подписью (ПЭП)',
+            text: 'В соответствии со ст. 438 ГК РФ и ст. 6 ФЗ № 63-ФЗ «Об электронной подписи», регистрация Заказчика в личном кабинете на сайте work.odant.org с указанием реквизитов организации (наименование, ИНН, корпоративный email, ФИО представителя) и установка отметки о согласии с условиями настоящей Оферты признаются полным и безоговорочным акцептом Договора-оферты простой электронной подписью (ПЭП), равнозначным договору, подписанному собственноручно.',
+        },
+    ]),
+});
+

package/src/crypto.js

@@ -11,17 +11,70 @@ import { PAK_PRODUCT } from './catalog.js';
 export const LICENSE_PROTOCOL = 'WORK-LIC-v1';
 
 /**
- * Загрузить или сгенерировать ключевую пару Ed25519 центра лицензирования.
+ * Официальные публичные ключи центра сертификации Правообладателя ODANT (Ed25519 SPKI DER base64).
+ * Вшиты в клиентский код odant-work; закрытые ключи хранятся исключительно на боевом сервере work.odant.org
+ * и холодном резервном носителе Правообладателя (никогда не публикуются в npm и репозиториях).
  */
-export function loadOrCreateAuthorityKeys(keyFilePath) {
+export const ODANT_AUTHORITY_PUBLIC_KEY = 'MCowBQYDK2VwAyEAdlQSj+pC3IOt60vo3lXkzpd0DFU4ZmADqEYQsW1+mRA=';
+export const ODANT_BACKUP_PUBLIC_KEY = 'MCowBQYDK2VwAyEA8xJ9r7V4kM2pN6qL1wZ5tB3cF0yH8gD4sE7uA9vK2mQ=';
+export const TRUSTED_AUTHORITY_PUBLIC_KEYS = Object.freeze([
+    ODANT_AUTHORITY_PUBLIC_KEY,
+    ODANT_BACKUP_PUBLIC_KEY,
+]);
+
+/**
+ * Получить список доверенных публичных ключей центра сертификации (без доверия к полям внутри самого сертификата!).
+ */
+export function resolveTrustedAuthorityKeys(trustedPublicKeyB64 = '') {
+    const keys = [];
+    if (trustedPublicKeyB64)
+        keys.push(String(trustedPublicKeyB64).trim());
+    if (process.env.WORK_LICENSE_PUBLIC_KEY)
+        keys.push(String(process.env.WORK_LICENSE_PUBLIC_KEY).trim());
+    for (const k of TRUSTED_AUTHORITY_PUBLIC_KEYS) {
+        if (!keys.includes(k))
+            keys.push(k);
+    }
+    return keys.filter(Boolean);
+}
+
+/**
+ * Загрузить ключевую пару Ed25519 центра лицензирования из защищённого окружения (WORK_AUTHORITY_PRIVATE_KEY)
+ * или локального хранилища (в dev/test режиме).
+ */
+export function loadOrCreateAuthorityKeys(keyFilePath, { allowGenerateInProd = false } = {}) {
+    const envPriv = String(process.env.WORK_AUTHORITY_PRIVATE_KEY || '').trim();
+    if (envPriv) {
+        const privObj = crypto.createPrivateKey({
+            key: Buffer.from(envPriv, 'base64'),
+            format: 'der',
+            type: 'pkcs8',
+        });
+        const derivedPub = crypto.createPublicKey(privObj).export({ type: 'spki', format: 'der' }).toString('base64');
+        const pubB64 = String(process.env.WORK_AUTHORITY_PUBLIC_KEY || derivedPub).trim();
+        return {
+            publicKey: pubB64,
+            privateKey: envPriv,
+            source: 'env',
+        };
+    }
+
     if (keyFilePath && fs.existsSync(keyFilePath)) {
         try {
             const raw = JSON.parse(fs.readFileSync(keyFilePath, 'utf8'));
             if (raw?.publicKey && raw?.privateKey)
                 return raw;
         }
-        catch { /* создадим заново */ }
+        catch { /* создадим заново ниже */ }
+    }
+
+    if (process.env.NODE_ENV === 'production' && !allowGenerateInProd) {
+        throw new Error(
+            'Безопасность: в production-режиме запрещена автогенерация случайных ключей лицензирования. '
+            + 'Задайте секретный ключ правообладателя в переменной окружения WORK_AUTHORITY_PRIVATE_KEY.'
+        );
     }
+
     const pair = crypto.generateKeyPairSync('ed25519');
     const keys = {
         publicKey: pair.publicKey.export({ type: 'spki', format: 'der' }).toString('base64'),
@@ -92,27 +145,206 @@ export function signCertificate(lic, authorityKeys) {
 }
 
 /**
- * Проверить подпись сертификата лицензии.
+ * Проверить подпись сертификата лицензии строго по доверенным ключам центра сертификации ODANT
+ * (поле lic.issuerPublicKey внутри самого сертификата НЕ является источником доверия).
  */
 export function verifyCertificate(lic, publicKeyB64 = '') {
     if (!lic || typeof lic !== 'object' || !lic.signature)
         return false;
-    const pubKey = publicKeyB64 || lic.issuerPublicKey;
-    if (!pubKey)
+    const trustedKeys = resolveTrustedAuthorityKeys(publicKeyB64);
+    const payload = canonicalLicenseString(lic);
+    const sigBuf = Buffer.from(String(lic.signature), 'base64');
+    for (const keyB64 of trustedKeys) {
+        try {
+            const pub = crypto.createPublicKey({
+                key: Buffer.from(String(keyB64), 'base64'),
+                format: 'der',
+                type: 'spki',
+            });
+            if (crypto.verify(null, Buffer.from(payload, 'utf8'), pub, sigBuf))
+                return true;
+        }
+        catch { /* try next trusted key */ }
+    }
+    return false;
+}
+
+export const LICENSE_FILE_PROTOCOL = 'WORK-LIC-FILE-v1';
+export const OWNER_TOKEN_PREFIX = 'owk1';
+
+/**
+ * Каноническая сериализация отдельного файла лицензии (для размещения в #system).
+ * kind:
+ *  - 'base'  — первичная постоянная лицензия (10 вечных пользователей + снятие блокировки агентской системы);
+ *  - 'addon' — дополнительная временная лицензия (N конкурентных пользователей на определённый период).
+ */
+export function canonicalLicenseFileString(fileObj = {}) {
+    const clean = {
+        protocol: fileObj.protocol || LICENSE_FILE_PROTOCOL,
+        fileId: String(fileObj.fileId || ''),
+        kind: String(fileObj.kind || 'base'), // 'base' | 'addon'
+        licenseId: String(fileObj.licenseId || ''),
+        ownerAccountId: String(fileObj.ownerAccountId || ''),
+        ownerEmail: String(fileObj.ownerEmail || '').toLowerCase(),
+        issuer: String(fileObj.issuer || 'work.odant.org'),
+        issuedAt: Number(fileObj.issuedAt || 0),
+        expiresAt: fileObj.perpetual ? null : Number(fileObj.expiresAt || 0),
+        perpetual: Boolean(fileObj.perpetual),
+        seats: Number(fileObj.seats || 0),
+        years: Number(fileObj.years || (fileObj.perpetual ? 0 : 1)),
+        tier: String(fileObj.tier || 'enterprise').toLowerCase(),
+        aiAgentsEnabled: fileObj.aiAgentsEnabled !== false,
+        orderId: String(fileObj.orderId || ''),
+        hardware: {
+            hwid: String(fileObj.hardware?.hwid || ''),
+            nodeFingerprint: String(fileObj.hardware?.nodeFingerprint || ''),
+            sku: String(fileObj.hardware?.sku || PAK_PRODUCT.sku),
+        },
+        customer: {
+            name: String(fileObj.customer?.name || ''),
+            inn: String(fileObj.customer?.inn || ''),
+            email: String(fileObj.customer?.email || ''),
+        },
+    };
+    return JSON.stringify(clean);
+}
+
+/**
+ * Подписать отдельный файл лицензии (base или addon) закрытым ключом Ed25519 центра сертификации.
+ */
+export function signLicenseFile(fileObj, authorityKeys) {
+    const priv = crypto.createPrivateKey({
+        key: Buffer.from(String(authorityKeys.privateKey), 'base64'),
+        format: 'der',
+        type: 'pkcs8',
+    });
+    const payload = canonicalLicenseFileString(fileObj);
+    const signature = crypto.sign(null, Buffer.from(payload, 'utf8'), priv).toString('base64');
+    return {
+        ...fileObj,
+        protocol: fileObj.protocol || LICENSE_FILE_PROTOCOL,
+        issuer: fileObj.issuer || 'work.odant.org',
+        issuerPublicKey: authorityKeys.publicKey,
+        signature,
+    };
+}
+
+/**
+ * Проверить подпись отдельного файла лицензии Ed25519 строго по доверенным ключам центра сертификации ODANT
+ * (поле fileObj.issuerPublicKey внутри файла НЕ является источником доверия).
+ */
+export function verifyLicenseFile(fileObj, publicKeyB64 = '') {
+    if (!fileObj || typeof fileObj !== 'object' || !fileObj.signature)
         return false;
-    try {
-        const pub = crypto.createPublicKey({
-            key: Buffer.from(String(pubKey), 'base64'),
+    const trustedKeys = resolveTrustedAuthorityKeys(publicKeyB64);
+    const payload = canonicalLicenseFileString(fileObj);
+    const sigBuf = Buffer.from(String(fileObj.signature), 'base64');
+    for (const keyB64 of trustedKeys) {
+        try {
+            const pub = crypto.createPublicKey({
+                key: Buffer.from(String(keyB64), 'base64'),
+                format: 'der',
+                type: 'spki',
+            });
+            if (crypto.verify(null, Buffer.from(payload, 'utf8'), pub, sigBuf))
+                return true;
+        }
+        catch { /* try next trusted key */ }
+    }
+    return false;
+}
+
+/**
+ * Сгенерировать подписанный токен владельца (owk1.<payload_b64url>.<sig_b64url>),
+ * содержащий URL сервера поддержки (hubUrl), ID аккаунта владельца и секретный ключ для доступа локальной системы к ЛК.
+ */
+export function createOwnerAccessToken({
+    hubUrl = 'https://work.odant.org',
+    accountId = '',
+    email = '',
+    tokenId = '',
+    secret = '',
+    issuedAt = Date.now(),
+} = {}, authorityKeys) {
+    const payloadObj = {
+        v: 1,
+        hubUrl: String(hubUrl || 'https://work.odant.org').replace(/\/+$/, ''),
+        accountId: String(accountId || ''),
+        email: String(email || '').toLowerCase(),
+        tokenId: String(tokenId || ('TOK-' + crypto.randomBytes(4).toString('hex').toUpperCase())),
+        secret: String(secret || crypto.randomBytes(16).toString('hex')),
+        issuedAt: Number(issuedAt || Date.now()),
+        issuerPublicKey: authorityKeys?.publicKey || '',
+    };
+    const payloadB64 = Buffer.from(JSON.stringify(payloadObj), 'utf8').toString('base64url');
+    let sigB64 = '';
+    if (authorityKeys?.privateKey) {
+        const priv = crypto.createPrivateKey({
+            key: Buffer.from(String(authorityKeys.privateKey), 'base64'),
             format: 'der',
-            type: 'spki',
+            type: 'pkcs8',
         });
-        const payload = canonicalLicenseString(lic);
-        return crypto.verify(
-            null,
-            Buffer.from(payload, 'utf8'),
-            pub,
-            Buffer.from(String(lic.signature), 'base64')
-        );
+        sigB64 = crypto.sign(null, Buffer.from(`${OWNER_TOKEN_PREFIX}.${payloadB64}`, 'utf8'), priv).toString('base64url');
+    }
+    return {
+        token: `${OWNER_TOKEN_PREFIX}.${payloadB64}.${sigB64}`,
+        payload: payloadObj,
+    };
+}
+
+/**
+ * Распарсить токен владельца (owk1.<payload_b64url>.<sig_b64url>) и извлечь зашитый URL сервера поддержки и реквизиты.
+ */
+export function parseOwnerAccessToken(tokenStr = '') {
+    const raw = String(tokenStr || '').trim();
+    const parts = raw.split('.');
+    if (parts.length !== 3 || parts[0] !== OWNER_TOKEN_PREFIX) {
+        throw new Error('Некорректный формат токена владельца (ожидается owk1.<payload>.<signature>)');
+    }
+    try {
+        const json = Buffer.from(parts[1], 'base64url').toString('utf8');
+        const payload = JSON.parse(json);
+        if (!payload?.hubUrl || !payload?.accountId || !payload?.tokenId) {
+            throw new Error('В токене отсутствуют обязательные поля hubUrl / accountId / tokenId');
+        }
+        return {
+            token: raw,
+            prefix: parts[0],
+            payloadB64: parts[1],
+            signatureB64: parts[2],
+            payload,
+        };
+    }
+    catch (err) {
+        throw new Error(`Не удалось декодировать токен владельца: ${err?.message || err}`);
+    }
+}
+
+/**
+ * Проверить криптографическую подпись Ed25519 токена владельца строго по доверенным ключам центра сертификации ODANT
+ * (поле payload.issuerPublicKey внутри токена НЕ является источником доверия).
+ */
+export function verifyOwnerAccessToken(tokenStr = '', trustedPublicKeyB64 = '') {
+    try {
+        const parsed = parseOwnerAccessToken(tokenStr);
+        if (!parsed.signatureB64)
+            return false;
+        const trustedKeys = resolveTrustedAuthorityKeys(trustedPublicKeyB64);
+        const signedData = Buffer.from(`${OWNER_TOKEN_PREFIX}.${parsed.payloadB64}`, 'utf8');
+        const sigBuf = Buffer.from(parsed.signatureB64, 'base64url');
+        for (const keyB64 of trustedKeys) {
+            try {
+                const pub = crypto.createPublicKey({
+                    key: Buffer.from(String(keyB64), 'base64'),
+                    format: 'der',
+                    type: 'spki',
+                });
+                if (crypto.verify(null, signedData, pub, sigBuf))
+                    return true;
+            }
+            catch { /* try next trusted key */ }
+        }
+        return false;
     }
     catch {
         return false;

package/src/index.js

@@ -1,5 +1,7 @@
 export {
     PAK_PRODUCT,
+    BASE_LICENSE_PRODUCT,
+    ADDITIONAL_PRODUCTS,
     AI_PLATFORM,
     VENDOR_CONTACTS,
     FEDERAL_DISTRICTS,
@@ -14,8 +16,27 @@ export {
     calculateFranchiseFee,
     calculatePartnerDiscount,
     calculatePartnerEconomics,
+    PUBLIC_OFERTA,
 } from './catalog.js';
-export { LICENSE_PROTOCOL, loadOrCreateAuthorityKeys, canonicalLicenseString, signCertificate, verifyCertificate } from './crypto.js';
+export {
+    LICENSE_PROTOCOL,
+    LICENSE_FILE_PROTOCOL,
+    OWNER_TOKEN_PREFIX,
+    ODANT_AUTHORITY_PUBLIC_KEY,
+    ODANT_BACKUP_PUBLIC_KEY,
+    TRUSTED_AUTHORITY_PUBLIC_KEYS,
+    resolveTrustedAuthorityKeys,
+    loadOrCreateAuthorityKeys,
+    canonicalLicenseString,
+    signCertificate,
+    verifyCertificate,
+    canonicalLicenseFileString,
+    signLicenseFile,
+    verifyLicenseFile,
+    createOwnerAccessToken,
+    parseOwnerAccessToken,
+    verifyOwnerAccessToken,
+} from './crypto.js';
 export { LicenseStore } from './store.js';
 export { YooKassaService } from './yookassa.js';
 export { SupportBotsHub } from './bots.js';