Публичный URL у сервиса включает второй контур проверки: публичный DNS
(1.1.1.1, в обход split-horizon) → ожидаемый GHARD_PUBLIC_IP → TLS с SNI
и проверкой сертификата → GET → код. Ловит dns_mismatch/dns_fail/tls_fail/
http_fail/down, которые не видит внутренний health-чек; недоступный
резолвер даёт probe_error без алерта.

Одно событие service_external_down на инцидент после 5 минут непрерывного
отказа и recovered только после реально отправленного down; состояние
переживает рестарт. История внешних проб — 7 дней. POST/PATCH и смена
публичного URL делают пробу сразу; смена URL чистит историю и состояние.