Мобильная адаптация: перенос строк и модалка правил на узких экранах ...

- Правило (форма в модалке): min-width 80vw шире тела модалки на телефоне —
  горизонтальный скролл; пары полей и строка каналов складываются в столбик
  на <=479px.
- Лог доставок: фильтры в столбик на <=767px (селекты кита width:100%, wrap
  не подходит), хак выравнивания кнопки обновления на мобиле отключён.
- Детальные экраны (источник/тип цели/правило): длинные значения в dl
  переносятся (overflow-wrap), padding панелей ужат на <=479px.
- MCP-ключи: поле выпуска обтекает кнопку, панели ужаты на телефоне.
- Настройки: строки push/сохранения переносятся, имена устройств
  не распирают ряд.

Каркас, таблицы, тултипы и page-header уже адаптивны в ките — не трогали.

Обзор: admin-сводка вместо пустой витрины ...

GET /api/v1/admin/stats (require_admin): агрегаты dashboard_stats() —
события/доставки по статусам, живые sources/types/targets/rules — плюс
живость БД/воркера (celery ping, короткий таймаут; недоступный воркер
не валит эндпоинт) и факт настройки SSO.

Тул stats_get (docs/07) переведён на тот же dashboard_stats() — единое
место, без дублирования запросов (правило mcp.md).

Обзор (DashboardView): для admin — карточка состояния системы (БД/воркер/
SSO), метрики справочников из кита, статусы потока с количеством (GnBadge),
карточка «С чего начать» теперь только пока нет ни одного источника.
Для роли user — как раньше, только healthz.

Синхронизация с gnexus-handbook: healthz, /mcp-protocol/, блокировка, i18n ...

Часть A — точечные несоответствия:
- GET /healthz (alias к /api/healthz) — требование хендбука 10-platform/health.

Часть C — MCP второго маршрута и блокировка:
- /mcp-protocol/ вторым маршрутом (конвенция 10-platform/mcp.md, слэш значим
  для реверс-прокси); FastMCP-саб-аппу скармливается канонический /mcp.
  /mcp остаётся историческим alias'ом (docs/07).
- Вебхуки gnexus-auth user.blocked/deleted/archived и user.unblocked/restored
  ставят/снимают флаг в новой таблице user_prefs (миграция 0009); resolve_
  personal_token гонит заблокированных и отвечает тем же 401, что и при
  неверном токене. Статический MCP_TOKEN не затрагивается. SSO-логаут
  токены не трогает (решение владельца).

Часть B — i18n по конвенции 10-platform/i18n.md (ru база + en + uk):
- frontend/src/i18n/ — модуль по паттерну gnexus-creds (t() c интерполяцией
  и славскими плюрализациями, fallback en) + словари-сообщения (386 slug'ов);
  все 15 вьюх и App.vue переведены на t(), module-консты с текстами — в
  computed (грабли i18n.md); ui.js fmtTime — на Intl.DateTimeFormat;
  push.js/local строки — в словарь.
- Язык: override в user_prefs.locale, эффективный = override → locale аккаунта
  (profile.locale, нормализация до 2-буквенного префикса) → en; GET /me
  возвращает locale/locale_effective, PATCH /me принимает en|uk|ru|auto.
  Выбор языка — в Настройках (всем ролям), опции родными именами.
- Серверная локализация: Accept-Language от SPA; app/i18n_server.py —
  каталог точных строк + regex-паттерны для параметризованных detail
  (exception-handler StarletteHTTPException в main.py); labels/help реестра
  настроек локализуются на лету.
- apiFetch: шлёт Accept-Language; 422 detail (список) собирается в строку.

Хендбук (отдельный репо): notifications.md — конвенция интеграции сервисов
(источник/ключ/конверт v1/client-libs/webhook-цель), mcp.md и auth.md —
референс-варианты Synapse, чеклист нового сервиса ссылается на notifications.md.

feat: персональные MCP-ключи — выпуск в SPA, роль владельца у тула ...

Решение владельца (2026-10-04):
- Каждый пользователь выпускает себе MCP-ключ на новой странице /mcp-keys
  (доступна любой роли); plaintext показывается один раз, в БД — sha256 + hint.
- Ключ действует ролью владельца на момент выпуска (снейпшот system_role):
  admin/superadmin — полный каталог тулов (35), user — только личный набор
  (me, my_events_list, my_push_subscriptions_list, my_push_subscription_delete).
- Статический MCP_TOKEN из .env остаётся суперадмин-бэкдором; /mcp монтируется
  безусловно (персональные ключи работают и без env-токена).

Backend:
- таблица mcp_tokens (миграция 0008 c9a2d6e71f43) — зеркало ApiKey;
- app/mcp/context.py — ContextVar пользователя, resolve_personal_token;
- McpTokenGuard резолвит стат.токен или mcp_* в БД, пишет last_used_at,
  401 на промахе (чистый ASGI, SSE не трогает);
- тулы: user=current_mcp_user() вместо синтетического MCP_USER; админ-тулы
  под _admin_run — для user-ключа ToolError с {"error": 403} (не return-данные:
  FastMCP валидирует вывод по аннотации, list-тулы бы отвергли dict);
- HTTP: GET/POST /api/v1/me/mcp_tokens (+/revoke), GET/POST
  /api/v1/admin/mcp_tokens[.../revoke], лимит 10 активных на пользователя.

SPA: страница McpKeysView (свои ключи + как подключить агент; админ — все
ключи и отзыв), маршрут /mcp-keys (userOk), пункт в навигации обеих ролей.

Доки: docs/07 переписан (три вида доступа, 35 тулов), CLAUDE.md,
docs/08 (каталог 35), .env.example (MCP_TOKEN опционален).

E2e на живом стеке: user-ключ — 403 на админ-тулах и рабочий личный набор;
admin-ключ — полный каталог; last_used_at; бэкдор = superadmin; отзыв -> 401.

Co-Authored-By: Claude Code <noreply@anthropic.com>

fix: ссылки на gnexus-mark в LoginView и docs/06 (дополнение к e00539e) ...

Правки были сделаны в рабочем дереве, но не попали в коммит e00539e
(он снял только удаление файла). Замена на synapse-mark.svg и текст
docs/06 про иконки PWA — в этом коммите.

Co-Authored-By: Claude Code <noreply@anthropic.com>

fix: знак Synapse на экране входа; доки PWA про synapse-mark ...

- LoginView по-прежнему показывала gnexus-mark.svg — заменена на
  synapse-mark.svg (как favicon и нав-бар с 808b4c3/b4a33e2)
- docs/06: иконки PWA теперь synapse-icon-*.png, не из gnexus-mark.svg
- gnexus-mark.svg удалён из public/ — ссылок больше нет, dist пересобран

Co-Authored-By: Claude Code <noreply@anthropic.com>

fix: нав-бар использует знак Synapse (logoSrc у GnNavigationShell) ...

Co-Authored-By: Claude Code <noreply@anthropic.com>

feat: собственный знак Synapse («Ветвление») вместо G-марки в PWA ...

Один источник → узел (роутинг, accent) → три канала. Палитра — токены
кита (secondary/accent/primary на плашке #16161E), геометрия — в грамматике
марки GNexus (viewBox 64, радиус 10, жирные штрихи). Ассеты: synapse-mark.svg
(favicon), PNG 512/192, maskable-512 (знак в безопасной зоне 80%), apple-touch
180. favicon в index.html теперь synapse-mark.svg, maskable-цель в manifest
указана на отдельный файл.

Co-Authored-By: Claude Code <noreply@anthropic.com>

feat: раздел Настройки (.env-оверрайды UI) и PWA с web-push каналом ...

Настройки: реестр app/settings_registry.py + хранение оверрайдов в
app_settings (settings_store, без кэша). Дефолт из .env, перебивается из
админки без перезапуска. Секреты (VAPID private, тг-токен, SMTP-пароль)
— write-only: записываются через UI, никогда не возвращаются API.
Эндпоинты GET/PUT /api/v1/admin/settings.

Web-push: канал push (целенаправлен как user — адресат из payload.user_id),
таблица push_subscriptions, самопользовательская подписка браузера через
/me/push* (upsert по endpoint, чужой 404). Воркер send_push: pywebpush
(DER base64url ключи), 404/410 — подписка удаляется, ретраи как у s2s.
PWA: manifest + sw.js (pass-through, push/notificationclick), иконки из
gnexus-mark.svg, /settings с личным пуш-блоком и админ-конфигами.

Миграция 0006 (ck_channel ×3 +push, app_settings, push_subscriptions).
Верификация: 47 бэкенд-проверок + mecheck/retcheck + 17 puppeteer — ALL OK.

Co-Authored-By: Claude Code <noreply@anthropic.com>

feat: валидация payload.user_id и ретеншн (ttl_seconds, RETENTION_DAYS) ...

- Routing: _user_recipient() — субьектом user-канала принимается непустая
  строка/число; массив/объект/bool → skipped-доставка с причиной (аудит),
  а не «delivered в никуда».
- ttl_seconds стал действующим: воркер не маршрутизирует истёкшее событие
  (новый статус expired, миграция 0005 пересоздаёт ck_event_status).
- Beat-задача synapse.expire_events (ежечасно): удаление событий с
  истёкшим ttl и старше RETENTION_DAYS (дефолт 30; 0 — окно отключено),
  deliveries каскадом.
- ui.js: бейдж expired; docs/05: «Ретеншн», формат значения payload.user_id.

Co-Authored-By: Claude Code <noreply@anthropic.com>

feat: многопользовательский режим — личный лог по каналу user ...

- Конвенция payload.user_id (sub gnexus-auth): контракт v1 цел, получателей
  в конверте нет — дописка в docs/05-ingestion-api.md.
- Канал user в CHANNELS: правило с действием user направляет событие в личный
  лог пользователя; без payload.user_id — skipped-delivery с причиной (аудит).
- deliveries.recipient_user_id + ix_deliveries_recipient; миграция 0004
  пересоздаёт ck_channel на всех трёх таблицах (deliveries, routing_rule_actions,
  channel_targets).
- Routing: _throttled по recipient для user-канала; s2s без цели — прежний
  ретрай-цикл.
- Правила: действие user валидно без цели, user + target_id — 422; TargetIn
  по-прежнему отвергает user.
- GET /api/v1/me (любой аутентифицированный) и GET /api/v1/me/events (личный
  лог строго по своему sub, дедуп по событию).
- OAuth-колбэк: токен выдаётся любому аутентифицированному, роль решает только
  раздел; adмин-API остаётся под 403.
- SPA: роль-гейт в router (user -> /my-events, прямой заход в админ-маршруты
  редиректит), нав от роли, MyEventsView («Мои события»), getSession-кэш.

Co-Authored-By: Claude Code <noreply@anthropic.com>

Спиннер загрузки (GnLoader circle), выравнивание и мелочи ...

- Лоадер во всех разделах — круговой спиннер кита (GnLoader circle) с
  подписью «Загрузка…»: дефолтный вариант рисовал оранжевые квадраты с
  жёстким hex (#FF3C00), мимо токенов кита.
- Дашборд: честный loading-флаг вместо трюка error === true, и лоадер
  получает свой текст («Опрашиваю сервис…»); карточка «Каркас» заменена
  на «С чего начать» — порядок настройки источников/целей/правил.
- Доставки: кнопка обновления центрируется точно по селекту (высота
  слота 46px + компенсация margin-bottom группы кита), расхождение 2px.
- Аватар в футере дровер: убрана статус-точка «online» — она ничего не
  говорит и не видна самому пользователю.

Co-Authored-By: Claude Code <noreply@anthropic.com>

Редактирование правил и шаблон шапки страниц деталей ...

- RuleForm — общая форма правила (создание в списке и правка в карточке),
  с пояснениями к весу, шумодаву, условиям и действиям.
- Правило редактируется на своей странице: дропдаун «Действия» →
  «Редактировать», форма предзаполняется, PATCH атомарно.
- Единый шаблон шапки на всех страницах деталей: ссылка «назад» слева
  над шапкой, переключатель с текстом («Включено»/«Включена»), правка и
  удаление — в дропдауне, без кнопок у переключателя.
- Выравнивание иконки в .channel-hint / .form-note / .panel-note
  (flex + align-items:center), чтобы не уезжала по базовой линии.
- Пояснения на страницах цели/правила: что такое config, что делают
  условия и действия, сколько живёт шаблон.

Co-Authored-By: Claude Code <noreply@anthropic.com>

Правки второй волны: редактирование цели, вёрстка, тултипы, ссылки ...

- Цель: PATCH /admin/targets/{id} (частичное обновление, канал не
  меняется; 409 на дубль имени в канале) + редактирование на странице
  цели: название/описание/config-JSON с валидацией, switch вкл/выкл.
- Тултипы заголовков таблиц: панель кита раскрывается ВНИЗ поверх
  таблицы — иначе обрезается overflow у .table-wrapper.
- Правила: колонка «Условия» из таблицы убрана (только на странице
  правила); вёрстка действий на странице правила починена — голова
  (номер/канал/цель) и тело (шаблон) в отдельные строки.
- Доставки: кнопка обновления выровнена по вертикали с контролами
  фильтров.
- Источники/цели: у строк убрана кнопка просмотра; slug/название —
  кликабельная ссылка на страницу, удаление — единственная кнопка.

Co-Authored-By: Claude Code <noreply@anthropic.com>

Админка по правкам владельца: детали, тултипы, читаемость ...

- Навигация: иконки ph-pulse/ph-shapes не было в шрифте Phosphor
  из кита -> activity/squares-four; пункт топбара подписан префиксно
  (детали не теряют текущий раздел).
- Удаления в таблицах — btn-icon вместо полнокровных кнопок.
- Источники: таблица только slug/название/создан; ключи, типы и
  описание — на странице источника, токен показывается один раз.
- Цели: страница цели, config как код с подсветкой (CodeBlock).
- Правила: страница правила — условия по одному ключу с подписями
  и подсветкой, действия целиком, шаблон; «W» -> «Вес» и тултипы
  кита во всех спорных местах (вес, шумодав, условия, статусы).
- Время везде HH:MM:SS, D месяца (год, если не текущий).
- Доставки: фильтры вынесены из шапки, с подписями Статус/Канал.

Co-Authored-By: Claude Code <noreply@anthropic.com>

Админка SPA (#32): разделы Источники/Типы/Цели/Правила/Доставки ...

Маршруты + навигация в App.vue; ui.js — варианты статусов, формат
времени, JSON-обрезка. Токен ключа показывается один раз (модаль с
GnCopyButton), шумодав и switch вкл/выкл правила, s2s-target config в
JSON, фильтры доставок по статусу/каналу. Компоненты — из кита.

Co-Authored-By: Claude Code <noreply@anthropic.com>

Страница входа — navi-style sign-in gate как на creds.gnexus.space ...

Центрированная карточка article.card (380px), логотип GNexus 56px,
«Добро пожаловать в Synapse» + подзаголовок и одна кнопка «Войти через
GNEXUS»; OAuth стартует только по клику. Пиксельная сетка creds переведена
на токены --gn-space-*.

Co-Authored-By: Claude Code <noreply@anthropic.com>

Футер дровера — паттерн «Navigation Shell Profile Footer» из кита ...

- a.profile-identity -> GnIdentity (display_name/username/email из userinfo
  scope profile, аватар src или initials, sm + online) + GnIconButton «Выйти»
- /api/v1/admin/me отдаёт username/display_name/avatar_url и account_url
  (страница профиля gnexus-auth), карточка больше не живёт на почте

Co-Authored-By: Claude Code <noreply@anthropic.com>

Правки каркаса по макету: профиль в дровере, подсветка навигации, ширина 1440 ...

- футер дровера: GnUserCard (compact) с аватаром-initials, email и кнопкой
  «Выйти» вместо текстовых footerLeft/footerRight
- активный пункт навигации подсвечивается: обход не-реактивного $route в
  GnNavList (:key="route.path" на шеле + router.isReady() перед монтированием)
- контентный контейнер — максимум 1440px
- из страницы убраны кнопка «Выйти» и метрика «Вы вошли как»: профиль теперь
  в карточке дровера; heartbeat сессии перенесён в App.vue (один на приложение)

Co-Authored-By: Claude Code <noreply@anthropic.com>

SPA на каркасе gnexus-ui-kit: GnNavigationShell + GnPageHeader ...

- App.vue: каркас GnNavigationShell (topbar+drawer+footer), bare-страницы
  входа/отсечения/коллбэка через route.meta.bare
- router.js: meta.bare для /login /denied /oauth/callback
- DashboardView: GnPageHeader + GnMetricCard/GnStatusCard, контент в #content
- frontend/public/assets/imgs/gnexus-mark.svg: логотип по контракту кита (/assets)

По канону vue-адаптера кита: только именованные импорты, иконки ph-*,
варианты primary/secondary/error/info, scoped-стили только на var(--gn-*).

Co-Authored-By: Claude Code <noreply@anthropic.com>

dev-порт vite 5173 -> 5174 (5173 занят на машине) ...

Co-Authored-By: Claude Code <noreply@anthropic.com>

vite-прокси dev-режима: /api и /auth на порт api (SYNAPSE_API_PORT, дефолт 8013) ...

Co-Authored-By: Claude Code <noreply@anthropic.com>

Single sign-out: logout gnexus-auth отзывает токены Synapse через вебхуки ...

- logout в gnexus-auth НЕ отзывает OAuth-токены (проверено в его коде:
  isUsable = только expiry/revoked) — значит SSO-выход доедает вебхук
- store_login: выданные при callback токены лежат в Redis по user_id (TTL 30d)
- webhook auth.logout / auth.global_logout / session.revoked ->
  revoke access+refresh всех логинов пользователя на gnexus-auth + очистка
- POST /auth/logout: выход из Synapse отзывает все входы пользователя
- SPA: heartbeat adminMe каждые 45 c — 401 после logout в auth убивает
  сессию SPA автоматически; 403 ведёт на denied
- порт 8001 -> 8012 (на локальной машине занят другим проектом)

Co-Authored-By: Claude Code <noreply@anthropic.com>

SSO через gnexus-auth-client-py: OAuth-поток на сервере, без ввода токенов в UI ...

- /auth/login: state+PKCE в Redis (переживает рестарты), redirect на authorize
- /auth/callback: обмен кода, проверка system_role до выдачи токена,
  не-админу access-токен сразу revoke; токены в URL-фрагменте
- /auth/refresh и /auth/revoke; SPA: кнопка входа, /oauth/callback,
  тихий refresh по 401, логаут
- креды только из env (GAUTH_*), GAUTH_VERIFY_TLS для self-signed в LAN

Co-Authored-By: Claude Code <noreply@anthropic.com>

Каркас #33: FastAPI + Celery + Postgres в докере, Vue 3 SPA на gnexus-ui-kit ...

- FastAPI: healthz/readyz, Swagger на /api/docs, раздача SPA-статики из того же контейнера
- Гейт админки по ролям gnexus-auth (opaque-токены, userinfo, admin/superadmin, 401/403)
- Celery-воркер (redis broker) с каркасной задачей synapse.ping
- Alembic настроен на DATABASE_URL из .env, миграций пока нет (#34)
- docker-compose: api, worker, postgres, redis — одна команда, миграции при старте
- frontend: Vue 3 + Vite + gnexus-ui-kit (git-зависимость), вход-заглушка dev, дашборд, denied-экран

Co-Authored-By: Claude Code <noreply@anthropic.com>