- redactSecrets: маскируются password/trackId/phone и любые строки от 512
символов — пароль MAX больше не попадает в лог веб-панели открытым текстом
- Веб-панель по умолчанию работает по HTTPS с самоподписанным сертификатом
(генерируется при первом старте в .data/tls); старые http-ссылки получают
301-редирект на том же порту (polyglot по первому байту; resume строго в
process.nextTick — иначе TLS-хендшейк зависает); /apikey даёт https-ссылку;
PANEL_TLS=off для установки за своим reverse proxy
- Сертификаты Минцифры больше не доверяются всему контейнеру через
NODE_EXTRA_CA_CERTS — src/max/ca.ts скоупит их только на соединения с MAX
(ca в tls.connect + undici-агент для CDN-загрузок); Telegram и GitHub
проверяются только по стандартным корням Mozilla
- Запросы одного опкода к MAX сериализуются (request() в client.ts) — два
конкурентных MSG_SEND больше не перепутают messageId-связки редактирования
и удаления
- Починена гонка первого чтения в ChatMapStore: конкурентные обращения
форкали кэш, и часть upsert'ов молча терялась на диске
- Graceful shutdown по SIGTERM/SIGINT; в панели — реконнект WebSocket и
периодическое обновление метрик; сравнение id в patchCachedChatLastMessage
переведено на String() (BigInt-чаты не совпадали)
- Удалён мёртвый код: эндпоинты /api/debug/*, getPollVoters,
createTelegramBot, цепочка historySynced, getChats(marker)
- React/Tailwind/lucide перенесены в devDependencies — рантайм-образ легче;
vitest 4, npm audit: 0 уязвимостей; chmod 600 для .env в setup.sh/update.sh
- Новые тесты: redactSecrets, сторы (эвикшн/нормализация/конкурентность),
сериализация запросов — всего 41
