edgevault 0.5.0__tar.gz

edgevault-0.5.0/.gitignore

@@ -0,0 +1,12 @@
+__pycache__/
+.venv/
+.pytest_cache/
+.ruff_cache/
+.mypy_cache/
+dist/
+backups/
+*.age
+age-key.txt
+.env
+edgevault.toml
+!examples/*.toml

edgevault-0.5.0/CHANGELOG.md

@@ -0,0 +1,190 @@
+# Изменения
+
+Версии — по [semver](https://semver.org/lang/ru/): `МАЖОР.МИНОР.ПАТЧ`.
+
+- **ПАТЧ** (0.2.0 → 0.2.1) — исправления. Конфиг не меняется, обновляться можно сразу.
+- **МИНОР** (0.2 → 0.3) — новые возможности. Старые конфиги работают как раньше.
+  Пока версия 0.x, минор может менять поведение — это записано здесь в «Внимание».
+- **МАЖОР** (0.x → 1.0) — несовместимые изменения конфига; что поправить — здесь.
+
+Версия задаётся в одном месте — `edgevault/__init__.py`, руками её не меняют.
+Пока идёт работа, изменения пишут сюда в раздел «Не выпущено». Выпуск — одна
+команда: `scripts/release.sh X.Y.Z`. Она проверит всё, поставит версию и дату,
+сделает коммит и тег и запушит; CI соберёт образ `ghcr.io/vasiliynemix/edgevault`
+с тегами `X.Y.Z`, `X.Y` и `latest`. В проектах указывайте `X.Y`: исправления
+приходят сами, новые возможности — когда решите.
+
+## 0.5.0 — 2026-11-07
+
+### Прокси для уведомлений
+
+- `Telegram(..., proxy="http://vpn:1080")` и `Webhook(url, proxy=...)`, в
+  edgevault.toml — `telegram_proxy` и `webhook_proxy` в `[notify]`. Прокси
+  только для сообщений: окружение (`HTTPS_PROXY`) при нём не учитывается, и
+  бэкапы через него не идут. Без него — как раньше.
+- Только http(s): socks, адрес без хоста или порта — ошибка конфига сразу.
+  В `Vault` плохой прокси выключает только этот канал, бэкап работает, а
+  проблема видна в `check`.
+- Пароль прокси и токен бота заменяются на `***` в журналах, `check`, `repr` и
+  тексте ошибок. `test-notify` показывает, через какой прокси ушло сообщение.
+
+### PyPI
+
+- Пакет публикуется на PyPI: `uv add edgevault`, `pip install edgevault` —
+  без SSH-ключей, `docker build` ставит его как обычную зависимость. CI
+  выкладывает его по тегу (Trusted Publishing, без токенов в репозитории).
+- Лицензия MIT.
+
+## 0.4.0 — 2026-11-07
+
+### Sync и async проекты
+
+- `start()` возвращается сразу: проверка перед стартом (сеть, pg_dump) теперь в
+  фоновом потоке. Раньше в async-приложении она держала цикл событий на старте.
+- `await vault.astop()`, `async with vault:` — остановка не блокирует цикл событий.
+- Поток бэкапа — с пониженным приоритетом (nice 10 на поток, pg_dump наследует).
+- `run_forever()` не из главного потока не падает на установке сигнала.
+
+### Не ломает приложение
+
+- Ошибка в значениях из окружения (нет ключа, опечатка, неверное расписание)
+  больше не бросает исключение при создании `Vault`: бэкап выключается и
+  сообщает причину. Ошибки типов в коде — по-прежнему исключение сразу.
+- `Vault(..., enabled=False)` — выключить явно (dev, тесты), тихо.
+- `run_forever()` с выключенным бэкапом не выходит, а ждёт: иначе restart:
+  always давал бы перезапуски и сообщения по кругу.
+
+## 0.3.1 — 2026-11-07
+
+### Исправлено
+
+- Выпуск 0.3.0 не прошёл CI (форматирование примеров в README), образ 0.3.0 не
+  собран — берите 0.3.1. `scripts/release.sh` теперь останавливается на любой
+  проваленной проверке: раньше цепочка через `&&` её пропускала.
+
+## 0.3.0 — 2026-11-07
+
+### Как библиотека в проекте
+
+- `Vault(...)` в коде проекта, его же settings: `Postgres(settings.DATABASE_URL)`,
+  `S3(url)`, `Telegram(token, chat)`. Запуск как удобно: `run_forever()` —
+  отдельным сервисом, `start()`/`stop()` — фоном внутри приложения (lifespan
+  FastAPI, aiogram), `run()`/`arun()` — один раз, `cli()` — команды
+  daemon | run | check | test-notify.
+- Несколько воркеров с одной папкой копий: прогон делает один, остальные молча
+  пропускают. Зависший больше часа прогон — сообщение.
+- `Postgres(url)`: адрес из настроек, в том числе `postgresql+asyncpg://`,
+  `sslmode`. Пароль не попадает в журналы.
+- `Secrets(env=[...])`: переменные окружения в архив секретов — для контейнера,
+  в который `.env` пришёл через env_file, а не файлом.
+
+### Без внешних программ
+
+- Шифрование age — на Python (`cryptography`): программа age не нужна ни на
+  сервере, ни для `keygen`/`decrypt`. Копии совместимы с `age -d` в обе стороны.
+- `S3` встроен (подпись SigV4): Selectel, Yandex Object Storage, Timeweb, AWS,
+  MinIO — без rclone. `Folder(path)` — тоже. rclone нужен только для Google/
+  Яндекс Диска и SFTP.
+- В edgevault.toml места `type = "s3"` и `type = "local"` теперь обслуживаются
+  встроенно; с нестандартными ключами (storage_class…) — по-прежнему rclone.
+
+### Проверка до старта
+
+- `check` и запуск `start()`/`daemon`: каких программ нет (с командой установки
+  под систему образа: apt, apk, brew, или строкой для Dockerfile), подходит ли
+  версия pg_dump к серверу, пускает ли S3/папка/rclone. В журнал и сообщением.
+
+### Внимание при обновлении с 0.2
+
+- Программа age больше не используется; в образе её нет.
+- S3 из edgevault.toml идёт встроенным клиентом: удаление старых копий — по дате
+  в пути (`daily/ГГГГ-ММ-ДД/`), а не по времени файла. Раскладка та же.
+- Открытый ключ проверяется по контрольной сумме: ключ с опечаткой, который
+  раньше проходил, теперь — ошибка сразу.
+
+## 0.2.1 — 2026-11-07
+
+### Исправлено
+
+- `init` в папке из нескольких сервисов (compose-файлы в `backend/`, `admin/`…)
+  не находил Postgres. Теперь ищет compose-файлы и в папках сервисов на уровень
+  ниже, включая `docker-compose.prod.yml`. Включает только проекты, база которых
+  запущена на этой машине, остальные пишет закомментированными.
+- Сервис Postgres без своего `image:` (только переопределения в prod-файле)
+  тоже узнаётся по имени.
+- `env_file`, которого нет, — не ошибка, если переменные есть в окружении. Если
+  их нет, ошибка говорит, какой файл создать.
+- `keygen` без программы age сразу говорит, как её поставить.
+
+## 0.2.0 — 2026-11-07
+
+### Подключение и запуск
+
+- `edgevault init` — смотрит на папку проекта (compose-файл, SQLite, `.env`,
+  `config.py`) и пишет готовый конфиг, а также сервис для `docker-compose.yml`.
+- `edgevault test-notify` — проверочное сообщение в настроенные чаты.
+- `edgevault systemd [--install]` — таймер systemd по расписанию из конфига,
+  с низким приоритетом процессора и диска.
+- Готовый образ `ghcr.io/vasiliynemix/edgevault:0.2` (собирается CI по тегу).
+- `check` показывает, куда придут сообщения и как прошёл последний прогон.
+
+### Конфиг
+
+- Коротко строками: `postgres = ["app-db"]`, `sqlite = "data/*.db"`,
+  `files = ["uploads"]`, `secrets = true`.
+- `[[postgres]] discover = true` + `compose_project = "имя"` — все базы своего
+  проекта Docker Compose и ничьи больше.
+- `min_version` — конфиг сам требует нужную версию программы.
+- Неизвестный ключ или ключ не в своём разделе — ошибка с объяснением, а не
+  молча выключенная часть бэкапа.
+- Сроки хранения проверяются: 0 дней удалил бы свежие копии.
+
+### Сообщения
+
+- Проект, сервер, время, длительность; что не так — по пунктам с текстом
+  ошибки и подсказкой, что делать; сколько копий сделано и куда дошли.
+- Telegram с разметкой, несколько чатов, темы форумов (`telegram_thread`).
+- Webhook — JSON с готовым `text` и всеми полями.
+- «Снова в порядке» после сбоев (`on_recovery`), успешные прогоны без звука
+  (`on_success`), один и тот же сбой не чаще раза в N часов (`remind_hours`).
+- Имя сервера из Docker — по смонтированному `/etc/hostname`.
+- Падение самой программы при `run` из cron теперь тоже приходит сообщением.
+- Нет нужной программы (age, rclone, pg_dump, psql, docker) — по пункту на каждую:
+  зачем нужна и как поставить; в Docker — совет про образ. Без age открытые
+  дампы не делаются вовсе. В контейнере базы нет psql/pg_dump — своя подсказка.
+
+### Безопасность баз
+
+- Все сессии Postgres — только на чтение (`default_transaction_read_only`):
+  запись сервер отклонит сам.
+- pg_dump не ждёт блокировок дольше 2 минут: идёт миграция — дамп отступает,
+  а не мешает ей; работает с пониженным приоритетом.
+- SQLite всегда открывается только на чтение, и путь экранируется.
+
+### Исправлено
+
+- Контейнер официального образа без `POSTGRES_USER` снимался как root и падал.
+- База `postgres` с данными молча пропускалась.
+- При `discover` сбой одного контейнера отменял бэкап всех; PostgREST и
+  postgres-exporter принимались за базы.
+- SQLite с `#`, `?` в имени давал копию новой пустой базы без ошибки.
+- Базы с пробелом в имени не снимались.
+- Открытые дампы были видны другим пользователям машины (теперь `0600`/`0700`).
+- `pull` мог скачать открытый дамп из рабочей папки сервера.
+- Остатки прерванного прогона не убирались; два прогона сразу мешали друг другу.
+- Месячная копия терялась, если отправка первого числа не удалась.
+- `rclone rmdirs` чистил пустые папки по всему месту хранения, а не только свои.
+- Одноимённые копии из разных источников затирали друг друга.
+- `decrypt` мог записать поверх копии или готового файла.
+
+### Внимание при обновлении с 0.1
+
+- В секреты по умолчанию добавлены `.env.*` и `config.py` (корень и папки на
+  уровень ниже). Образцы `.env.example` и подобные не берутся.
+- Ключ не в своём разделе теперь ошибка: запустите `edgevault check`.
+- Имена копий Postgres без изменений; у баз со спецсимволами в имени они
+  заменяются на `_`.
+
+## 0.1.0
+
+Первая версия: Postgres, SQLite, папки, секреты, age, rclone, pull.

edgevault-0.5.0/LICENSE

@@ -0,0 +1,21 @@
+MIT License
+
+Copyright (c) 2026 Vasiliynemix
+
+Permission is hereby granted, free of charge, to any person obtaining a copy
+of this software and associated documentation files (the "Software"), to deal
+in the Software without restriction, including without limitation the rights
+to use, copy, modify, merge, publish, distribute, sublicense, and/or sell
+copies of the Software, and to permit persons to whom the Software is
+furnished to do so, subject to the following conditions:
+
+The above copyright notice and this permission notice shall be included in all
+copies or substantial portions of the Software.
+
+THE SOFTWARE IS PROVIDED "AS IS", WITHOUT WARRANTY OF ANY KIND, EXPRESS OR
+IMPLIED, INCLUDING BUT NOT LIMITED TO THE WARRANTIES OF MERCHANTABILITY,
+FITNESS FOR A PARTICULAR PURPOSE AND NONINFRINGEMENT. IN NO EVENT SHALL THE
+AUTHORS OR COPYRIGHT HOLDERS BE LIABLE FOR ANY CLAIM, DAMAGES OR OTHER
+LIABILITY, WHETHER IN AN ACTION OF CONTRACT, TORT OR OTHERWISE, ARISING FROM,
+OUT OF OR IN CONNECTION WITH THE SOFTWARE OR THE USE OR OTHER DEALINGS IN THE
+SOFTWARE.

edgevault-0.5.0/PKG-INFO

@@ -0,0 +1,279 @@
+Metadata-Version: 2.5
+Name: edgevault
+Version: 0.5.0
+Summary: Encrypted backups for your project: Postgres, SQLite, files and secrets to S3, Google Drive, Yandex Disk, SFTP — with Telegram alerts
+Project-URL: Homepage, https://github.com/Vasiliynemix/EdgeVault
+Project-URL: Changelog, https://github.com/Vasiliynemix/EdgeVault/blob/main/CHANGELOG.md
+Author: Vasiliynemix
+License-Expression: MIT
+License-File: LICENSE
+Keywords: age,backup,encryption,pg_dump,postgres,s3,sqlite,telegram
+Classifier: Development Status :: 4 - Beta
+Classifier: Environment :: Console
+Classifier: Intended Audience :: Developers
+Classifier: Intended Audience :: System Administrators
+Classifier: Natural Language :: Russian
+Classifier: Operating System :: MacOS
+Classifier: Operating System :: POSIX :: Linux
+Classifier: Programming Language :: Python :: 3
+Classifier: Programming Language :: Python :: 3.11
+Classifier: Programming Language :: Python :: 3.12
+Classifier: Programming Language :: Python :: 3.13
+Classifier: Topic :: Database
+Classifier: Topic :: System :: Archiving :: Backup
+Classifier: Typing :: Typed
+Requires-Python: >=3.11
+Requires-Dist: cryptography>=42
+Description-Content-Type: text/markdown
+
+# edgevault
+
+*Encrypted backups for Python projects: Postgres, SQLite, files and secrets → S3,
+Google Drive, Yandex Disk, SFTP, with Telegram alerts. Docs are in Russian.*
+
+Зашифрованные бэкапы для проекта: Postgres, SQLite, папки, секреты. Подключается
+к бэкенду как обычная библиотека, настраивается его же settings, запускается
+вместе с проектом. О сбое приходит сообщение в Telegram: какой проект, какой
+сервер, что сломалось и что делать.
+
+Базы edgevault не меняет: подключения к Postgres только на чтение (запись
+отклонит сам сервер), SQLite открывается только на чтение, удаляет edgevault
+только свои старые копии.
+
+## В проект за три шага
+
+**1. Зависимость**
+
+```bash
+uv add edgevault        # или pip install edgevault
+```
+
+**2. Файл `app/backup.py`** — всё, что нужно знать о бэкапе проекта:
+
+```python
+from edgevault import Postgres, S3, Secrets, Telegram, Vault
+
+from app.config import settings
+
+vault = Vault(
+    "my-project",
+    recipients=settings.BACKUP_AGE_KEY,  # открытый ключ age1…
+    sources=[
+        Postgres(settings.DATABASE_URL),  # можно postgresql+asyncpg://…
+        Secrets(env=["SECRET_KEY", "FERNET_KEY"]),  # ключи, без которых дамп не прочитать
+    ],
+    targets=[S3(settings.BACKUP_S3_URL)],  # https://KEY:SECRET@host/bucket/папка
+    notify=Telegram(settings.BOT_TOKEN, settings.ADMIN_CHAT_ID),
+    schedule=["04:00"],
+    store="/backups",
+)
+
+if __name__ == "__main__":
+    vault.cli()  # python -m app.backup [daemon|run|check|test-notify]
+```
+
+**3. Запуск** — как удобно:
+
+| Как | Что написать |
+|---|---|
+| Отдельный сервис рядом (рекомендую) | в `docker-compose.yml` — сервис ниже |
+| Внутри приложения, фоном | `vault.start()` при старте, `vault.stop()` при остановке |
+| Один раз | `python -m app.backup run`, или `vault.run()` из своего кода |
+
+```yaml
+  backup:
+    build: .                        # тот же образ, что у бэкенда
+    command: python -m app.backup
+    env_file: .env
+    volumes: ["backups:/backups"]
+    restart: unless-stopped
+```
+
+Внутри приложения — например, FastAPI:
+
+```python
+@asynccontextmanager
+async def lifespan(app):
+    vault.start()  # расписание в своём потоке, приложению не мешает
+    yield
+    vault.stop()
+```
+
+Несколько воркеров uvicorn с одной папкой копий — не страшно: прогон делает
+один, остальные молча пропускают. Но если API масштабируется на несколько
+машин, берите отдельный сервис.
+
+### Sync или async — без разницы, и проект он не ломает
+
+- `start()` возвращается сразу. Проверки, сеть, pg_dump — в своём потоке с
+  пониженным приоритетом: цикл событий asyncio и потоки приложения не ждут.
+- Async-код: `async with vault:` или `vault.start()` … `await vault.astop()`,
+  разовый прогон — `await vault.arun()`. Sync-код (Django, Flask, скрипты):
+  `with vault:` или `start()`/`stop()`, разовый — `vault.run()`.
+- Ошибка в окружении (пустой `BACKUP_AGE_KEY`, опечатка в ключе) не роняет
+  импорт и старт приложения: бэкап выключается и говорит почему — в журнал,
+  в `check` и в чат. Выключить явно, например в dev: `Vault(..., enabled=settings.IS_PROD)`.
+- `run()` и прогоны по расписанию не бросают исключений: всё — в отчёт и в чат.
+- Запускайте `start()` в процессе воркера (lifespan, `on_startup`), а не при
+  импорте: с `gunicorn --preload` поток, запущенный до fork, в воркеры не попадёт.
+
+## Ключ — один раз, на своём компьютере
+
+```bash
+uv tool install edgevault
+edgevault keygen          # age-key.txt — в менеджер паролей; age1… — в BACKUP_AGE_KEY
+```
+
+На сервер кладут только открытый `age1…`: украденная копия без закрытого ключа
+бесполезна. Программа `age` не нужна — шифрование встроено, но копии
+расшифровывает и обычный `age -d`.
+
+## До старта скажет, чего не хватает
+
+`python -m app.backup check` (и сам `start()`/`daemon` при запуске — в журнал и
+сообщением) проверяет всё, что можно проверить, ничего не делая:
+
+```
+  ✗ Программа pg_dump: не установлена, а нужна, чтобы снимать Postgres по адресу
+    → Добавьте в Dockerfile образа: RUN apt-get update && apt-get install -y --no-install-recommends postgresql-client
+  ✗ Программа pg_dump: версии 17, а сервер Postgres 18: старый pg_dump новую базу не снимет
+  ✗ Отправка → s3://storage.yandexcloud.net/backups: HTTP 403 SignatureDoesNotMatch …
+    → Ключи S3 неверны или у них нет прав на бакет
+```
+
+Команда установки — под систему образа (Debian, Alpine) или машины. Внешние
+программы нужны не всегда:
+
+| Что в конфиге | Что нужно поставить |
+|---|---|
+| `Postgres(url)` | `postgresql-client` той же версии, что сервер, или новее |
+| `S3`, `Folder`, `Sqlite`, `Files`, `Secrets`, шифрование | ничего |
+| `Rclone("gdrive:…")` — Google/Яндекс Диск, SFTP | `rclone` |
+| Postgres в соседних контейнерах (`container`, `discover`) | `docker` и смонтированный `docker.sock` |
+
+## Что сохранять
+
+```python
+Postgres(settings.DATABASE_URL)  # по адресу; база из адреса
+Postgres(host="db", user="app", password=..., databases=["app", "auth"])
+Postgres(container="app-db")  # pg_dump внутри контейнера базы
+Postgres(discover=True, compose_project="app")  # все базы своего compose-проекта
+Sqlite("data/*.sqlite3")  # согласованная копия, даже если пишут
+Files("uploads", exclude=["cache/*"])  # папка архивом
+Secrets(env=["SECRET_KEY"])  # переменные окружения
+Secrets(root=".", patterns=[".env", "config.py"])  # или файлы
+```
+
+## Куда отправлять
+
+```python
+S3("https://KEY:SECRET@s3.ru-1.storage.selcloud.ru/bucket/my-project")
+S3(
+    endpoint="https://storage.yandexcloud.net",
+    bucket="b",
+    prefix="app",
+    access_key=...,
+    secret_key=...,
+    region="ru-central1",
+)
+Folder("/mnt/backup-disk/my-project")  # другой диск, NFS, volume
+Rclone("gdrive:Backups/my-project", {"type": "drive", "token": settings.GDRIVE_TOKEN})
+Rclone("yadisk:Backups/my-project", {"type": "yandex", "token": settings.YADISK_TOKEN})
+Rclone(
+    "box:/backups",
+    {
+        "type": "sftp",
+        "host": "backup.example.ru",
+        "user": "b",
+        "key_file": "/run/secrets/backup_key",
+    },
+)
+```
+
+Мест можно несколько: не дошло в одно — остальные всё равно получают копию.
+Хотя бы одно — у другого провайдера, не там, где сервер. Без мест копии лежат
+только в `store`; их можно забирать к себе: `edgevault pull`.
+
+Токен Google/Яндекс Диска: `edgevault authorize gdrive` (или `yandex`) на своём
+компьютере — откроется вход в браузере. У Google Диска доступ только к файлам,
+которые положил сам edgevault.
+
+Хранение: в `store` 3 дня, ежедневные в местах хранения 14 дней, месячные год —
+`keep=Keep(local_days=2, daily_days=30, monthly_days=365)`.
+
+## Сообщения
+
+```
+🟠 my-project · бэкап с проблемами
+prod-1 · 07.11.2026 04:00
+
+Что не так (1):
+• Отправка → s3://storage.yandexcloud.net/backups
+  HTTP 403 SignatureDoesNotMatch
+  💡 Ключи S3 неверны или у них нет прав на бакет
+
+Копии: 2 · 8,9 МБ
+Места хранения: s3://storage.yandexcloud.net/backups ✗
+```
+
+🔴 — копий нет, 🟠 — часть не сделана, ✅ — снова в порядке. Параметры `Vault`:
+`on_success` (сообщать и об успехах, без звука), `on_recovery` (по умолчанию да),
+`remind_hours` (тот же сбой — не чаще раза в N часов), `server` (имя сервера в
+сообщении). `Telegram(token, "-100…, @ops", thread=42)` — несколько чатов и тема
+форума; `Webhook(url)` — JSON со всеми полями. Проверить: `python -m app.backup test-notify`.
+
+### Через прокси
+
+Если с сервера Telegram доступен только через VPN или прокси, задайте его только
+для сообщений, бэкапы через него не пойдут:
+
+```python
+notify = Telegram(settings.BOT_TOKEN, settings.ADMIN_CHAT_ID, proxy="http://vpn:1080")
+Webhook("https://hooks.example/backup", proxy="http://user:pass@proxy:3128")
+```
+
+В edgevault.toml: `telegram_proxy` и `webhook_proxy` в `[notify]`. Поддерживаются
+только http(s)-прокси, socks — нет: такой адрес будет ошибкой сразу, а не в день
+аварии. Пароль прокси и токен бота в журналах и выводе заменяются на `***`.
+`test-notify` пишет, через какой прокси ушло сообщение.
+
+Без `proxy` сообщения идут, как настроена система (`HTTPS_PROXY`, `NO_PROXY`).
+Встроенный S3 и `Folder` прокси из окружения не читают, а rclone читает:
+`HTTPS_PROXY` на весь процесс погонит через прокси и копии в Google/Яндекс Диск.
+
+## Восстановление
+
+```bash
+edgevault decrypt app__app.dump.age -k age-key.txt        # → app__app.dump
+createdb app_restore && pg_restore -d app_restore --no-owner app__app.dump   # сначала — в новую базу
+edgevault decrypt secrets.tar.gz.age -k age-key.txt && tar xzf secrets.tar.gz
+```
+
+Раскладка копий везде одна: `daily/ГГГГ-ММ-ДД/ЧЧММ/<копия>.age`,
+`monthly/ГГГГ-ММ/<копия>.age`.
+
+## Без кода: edgevault.toml
+
+Для проектов, в код которых лезть не хочется, — отдельная программа и один
+конфиг: `edgevault init` в папке проекта напишет его сам (найдёт Postgres в
+compose-файлах, SQLite, `.env`), справочник — [`examples/edgevault.toml`](examples/edgevault.toml).
+Запуск — `edgevault daemon`, таймером `sudo edgevault systemd --install` или
+образом `ghcr.io/vasiliynemix/edgevault:0.5` рядом с проектом.
+
+## Обновление
+
+[semver](https://semver.org/lang/ru/), что изменилось — в [CHANGELOG.md](CHANGELOG.md).
+
+- в проекте: `uv add edgevault@latest` (или поднять версию в зависимостях) и `uv lock`;
+- программа: `uv tool upgrade edgevault`;
+- образ: тег `0.5` сам указывает на последнее исправление — `docker compose pull`.
+
+После обновления — `check`.
+
+## Разработка
+
+```bash
+uv sync
+uv run pytest && uv run ruff check . && uv run ruff format --check . && uv run mypy edgevault
+scripts/release.sh 0.5.1     # выпуск: проверки → версия → коммит, тег, push → CI → PyPI
+```