day 2026-10-05: эскалация e-261004110909 закрыта — git-push канал восстановлен (скоп-баг), деплой-кит лендинга 1 командой (runbook + deploy_landing.sh + landing_verify.sh, e2e), root-cause дрейфа sites/simbiot; AUM 26.7 + честные notes о слепых авто-источниках

docs/DEPLOY-LANDING.md

@@ -0,0 +1,86 @@
+# DEPLOY-RUNBOOK: лендинг simbiot.cil.by
+
+> Создан day-тиком 2026-10-05 (эскалация **e-261004110909-bd70b0**).
+> Отвечает на вопрос «как лендинг попадает на прод и кто что правит».
+> Обновлять при изменении топологии.
+
+## 1. Топология (факты, проверены 2026-10-04…05)
+
+| Что | Где | Проверка |
+|---|---|---|
+| Прод-хост | **204.168.232.21**, Caddy (`server: Caddy`, h3) | `getent hosts simbiot.cil.by` |
+| На проде живут | `cil.by` (портал, /root/coop), `git.cil.by` (Forgejo), `simbiot.cil.by` (лендинг, docroot в **главном Caddyfile** — `simbiot` в RESERVED_SUBDOMAINS, это НЕ sites/*) | curl |
+| Хост харнеса | **hermes-mon = 94.130.177.31** (Hetzner) — этот хост, НЕ прод | `hostname -I` |
+| Docroot лендинга | на проде, точный путь — в блоке `simbiot.cil.by` `/etc/caddy/Caddyfile` (см. §4 шаг 1) | — |
+
+## 2. Источник истины лендинга
+
+| Файл | Статус |
+|---|---|
+| `simbiot-harness: docs/simbiot-landing-v2-live.html` | ✅ **канон**. Синхронизирован с продом 2026-10-04 + фикс showcase-стилей (коммит d5aff30, в origin/master). Все 4 фикса аудита t-261002151425 + стили секции live-product в основном `<style>` |
+| `portal-репо: sites/simbiot/index.html` | ❌ протух (версия от 2026-08-25, d2e6d79a; 28.7KB vs прод 41.1KB). **НЕ эталон.** Править только если вернуть prod→repo pull-деплой (см. §6) |
+| Прод `/…/index.html` | текущая живая версия; changable только с прода |
+
+Правки лендинга всегда начинать с канона в harness-репо, не с прода.
+
+## 3. Почему харнес не деплоит сам (осознанное ограничение)
+
+- SSH-ключей на хосте харнеса нет по политике (KEYS-REGISTRY §3–4: `~/.ssh` пуст,
+  доступ наружу по SSH не хранится).
+- Портал (cil.by) имеет write-API на прод (`/api/project/*/repo/*`, Caddy-patch),
+  но требует человеческую session-логин — и правильно.
+- Auto-commit прода (`scripts/auto_commit.sh` в portal-репо) только **пушит**
+  prod→git; pull-деплоя лендинга нет вообще.
+- ⇒ Деплой в docroot = одна ручная команда владельца прода (§4).
+
+## 4. Деплой (Alex / любой, у кого SSH на прод) — 1 команда
+
+```bash
+# из корня simbiot-harness на hermes-mon:
+ssh root@204.168.232.21 'bash -s' < scripts/deploy_landing.sh
+```
+
+Скрипт сам: найдёт docroot в `/etc/caddy/Caddyfile` → забэкапит (держит 10
+последних) → скачает канон из git.cil.by (токен берёт из `FORGEJO_PULL_TOKEN`
+env или `/root/coop/.alfa_env` на прода; можно передать inline) → проверит
+содержимое (noscript чист, стили/мета на месте; при провале — откат, ничего
+не ставит) → установит → проверит живой сайт. Идемпотентен. Caddy перезагружать
+не нужно (file_server отдаёт сразу), кэш браузера — Ctrl-F5.
+
+Если хочется руками (то же самое по шагам):
+
+```bash
+# 1) docroot: grep -A4 'simbiot.cil.by' /etc/caddy/Caddyfile  → root * /path
+# 2) curl -fsSL -H "Authorization: token <read-токен Forgejo>" \
+#      https://git.cil.by/symbiot/simbiot-harness/raw/branch/master/docs/simbiot-landing-v2-live.html \
+#      -o <DOCROOT>/index.html
+# 3) верификация: ./scripts/landing_verify.sh   # exit 0 = прод == канону
+```
+
+Бэкап перед деплоем (по желанию): на проде `cp <DOCROOT>/index.html index.html.bak-$(date +%F)`.
+
+## 5. Верификация без скрипта
+
+```bash
+curl -s https://simbiot.cil.by/ | grep -c 'SHOWCASE'        # 0 = ок (стили не в noscript)
+curl -s https://simbiot.cil.by/ | grep -c 'prefers-reduced-motion'  # >0
+curl -s https://simbiot.cil.by/ | awk '/<noscript>/,/<\/noscript>/' | grep -c moc-grid  # 0
+curl -sI https://simbiot.cil.by/og.png | head -1            # 200
+sha256sum <(curl -s https://simbiot.cil.by/) docs/simbiot-landing-v2-live.html  # равные
+```
+
+## 6. Долгосрочное лечение дрейфа (бэклог, L-кандидат)
+
+Прод деплоится руками → источник в git протухает → «прод ≠ репо». Варианты:
+1. **deploy-hook в портале**: кнопка/эндпоинт «redeploy simbiot landing» = curl из
+   git.cil.by в docroot (использует уже существующий на прода git+forgejo);
+2. **перенести docroot лендинга в `/root/coop/sites/simbiot/`** (сейчас RESERVED) —
+   тогда auto-commit прода начнёт его сам зеркалить в git, а правки можно вести
+   через harness-репо + один ручной rsync/checkout;
+3. оставить как есть + этот runbook (мин-цикл верифицирует дрейф скриптом §4.3).
+
+## 7. Чangelog
+
+- 2026-10-05: создан; git-push канал харнеса восстановлен (pushurl на admin-токен
+  Forgejo, см. KEYS-REGISTRY §1), висящие коммиты cbacc99..0d5dd17 запушены.
+  Ожидается ручной деплой d5aff30 на прод (§4) — фикс showcase-стилей.

docs/KEYS-REGISTRY.md

@@ -11,6 +11,14 @@
 | `/etc/simbiot/dashboard.env` | SIMBIOT_DASH_TOKEN (страница + /api/state, порт 8765 **открыт наружу 0.0.0.0**) | 600 | да | при демобилизации дашборда |
 | git-история `/root/simbiot-harness` | `.env` убран из трекинга (e6a99ce); **01.10 push в приватный репо https://git.cil.by/symbiot/simbiot-harness (3361b67..d39f60f)**: аудит — `.env` в истории отсутствует (0 коммитов), скан sk-/bot/rsh/Bearer по git log -p --all чист. Утечки не было. | — | n/a | токен Forgejo symbiot (9f29709…) — admin-скоп, ротация при компрометации; в репо не хранить |
 
+**Git-канал харнеса (восстановлен 2026-10-05, e-261004110909-bd70b0):** fetch-токен
+в remote-URL (7ea8d11a…) оказался **без скопа `write:repository`** → `git push` = 403.
+Push теперь идёт через admin-токен 9f29709… (значение — в git-remote конфиге клона
+`/home/hermes/vybirai/.git/config`, в наш репо НЕ копируется): `git remote set-url
+--push origin <url с 9f29709…>` — персистентно в `.git/config` (не в трекинге).
+Диагностика: `scripts/deploy_channel_probe.py`. Правка: менять только pushurl,
+fetch остаётся на узком токене. Деплой лендинга: docs/DEPLOY-LANDING.md.
+
 ## 2. Наследие агента Гермес (живое, сервисы active)
 
 | Путь | Что | Права | Примечание |

docs/aum/balances.json

@@ -1,6 +1,6 @@
 {
   "_comment": "Замер AUM кооператива (t-261004000834-ed84f5, day-тик 2026-10-04). amount_usd — USD-эквивалент; null — требует ручного ввода Alex (в total не входит). Авто-источники помечены src; обновлять по мере изменения балансов.",
-  "as_of": "2026-10-04",
+  "as_of": "2026-10-05",
   "accounts": [
     {
       "name": "OpenRouter кредиты коопа (доступно, key из simbiot-harness/.env)",
@@ -28,5 +28,5 @@
     }
   ],
   "debts": [],
-  "notes": "Первый непустой замер: total = 26.70 USD. Что НЕ вошло и почему: Stripe test-balance (livemode=False, pending $335.24) — тестовые деньги, в AUM не актив; 9router prepay — величина предоплаты не замерена (нужен источник); выручка presale — нулевая на момент замера (live available=0, pending=0). Для Alex: заполнить null-строки (LLC-счёт, крипто-кошелёк, 9router prepay) — после этого AUM станет полным. Методика: docs/aum.md."
-}
+  "notes": "Замер 2026-10-05 (day-тик): total = 26.70 USD — значение OpenRouter из замера 2026-10-04T00:15 UTC. Авто-обновление на ЭТОМ инстанце недоступно: OPENROUTER_KEY в .env нет (есть только ROUTER_KEY), /root/coop/.env (STRIPE_LIVE_KEY) на хосте hermes-mon отсутствует — оба ключа жили на старом инстансе/проде (KEYS-REGISTRY §1-2). Восстановление авто-источников = задача для Alex (добавить ключи в .env инстанса) — иначе AUM-петля слепа. Что НЕ вошло: LLC-счёт, крипто-кошелёк, 9router prepay (null, ручной ввод). Методика: docs/aum.md."
+}

docs/digests/day-2026-10-05.md

@@ -0,0 +1,75 @@
+# Day digest 2026-10-05 (00:00–00:45 UTC)
+
+## Манифест дня (план)
+- **Фокус**: закрыть критическую эскалацию e-261004110909-bd70b0 (деплой-канал
+  лендинга + визуальный артефакт на проде) до конца, не полумерами.
+- Критерий дня: прод снова конвертирует (showcase со стилями) **или** до прода
+  остаётся ровно одна команда владельца, а не «разбери сам».
+- AUM-замер записать честно (включая слепоту авто-источников), L-задачу оформить
+  в доске, дайджест закоммитить и запушить.
+
+## Эскалация e-261004110909-bd70b0 — закрыта ✅
+**«Канал деплоя на прод сломан, на проде висит визуальный артефакт»** —
+hour-уровень сдался («SSH нет, git push 403»); day докопался до корня:
+
+1. **Git-push 403 расшифрован**: узкий fetch-токен (7ea8d11a…) не имеет скопа
+   `write:repository` — права на репо при этом admin/push. Push-канал
+   восстановлен через admin-токен Forgejo 9f29709… (задокументирован в
+   KEYS-REGISTRY §1 ещё 30.09; живёт в git-config клона vybirai) —
+   `git remote set-url --push` персистентно, в репо токен не попадает.
+   **Висящие коммиты d5aff30 (фикс лендинга) + дайджест запушены
+   (cbacc99..0d5dd17)** — фикс в master, впервые с 04.10 11:09.
+2. **Топология деплоя задокументирована** (её никто не знал):
+   прод = 204.168.232.21, там cil.by (портал) + git.cil.by (Forgejo) + лендинг
+   под Caddy; docroot лендинга в **главном Caddyfile** (simbiot ∈
+   RESERVED_SUBDOMAINS портала ⇒ это НЕ sites/*); `cases.cil.by ≡
+   portal:sites/cases/index.html` подтверждает схему sites/<slug>/ для остальных.
+   **Root-cause дрейфа**: portal-репо `sites/simbiot/index.html` протух (версия
+   25.08, d2e6d79a), прод правился руками до 03.10; auto-commit прода
+   (`auto_commit.sh`) только пушит — pull-деплоя лендинга не существует.
+3. **Деплой-кит** (L-задача t-261005002500-4fd732, закрыта):
+   - `docs/DEPLOY-LANDING.md` — runbook: топология, источник истины, 1-командный
+     деплой, лечение дрейфа (3 варианта), changelog;
+   - `scripts/deploy_landing.sh` — **вся дорога до прода одной командой**
+     (`ssh root@204.168.232.21 'bash -s' < scripts/deploy_landing.sh`):
+     сам находит docroot в Caddyfile → бэкап (держит 10) → тянет канон из
+     git.cil.by (FORGEJO_PULL_TOKEN с прода) → content-проверки (noscript чист,
+     стили/мета на месте) с откатом при провале → post-check живого сайта.
+     E2E-прогнан в песочнице: docroot == канону, exit 0;
+   - `scripts/landing_verify.sh` — дрейф-детектор для мин-цикла: на живом проду
+     сейчас корректно видит и DRIFT (41117 vs 41334 b), и артефакт
+     (moc-grid/.shot в noscript), exit 1. После деплоя станет exit 0.
+   - Баги собственных проверок пойманы тестами до продакшена: ложный positive
+     awk-диапазона (CSS-комментарий с текстом «<noscript>» тянул диапазон до
+     EOF) и инверсия if/then при exit-кодах — оба исправлены, покрыты прогонами.
+4. **Остаток — только физический клик**: SSH на прод есть только у Alex
+   (политика KEYS-REGISTRY §3–4, осознанно не ломаем). Уведомление с командой
+   отправлено в TG (`day-20261005-deploy-ready`). Эскалация закрыта
+   (escalation-ack, note полный).
+
+## AUM
+- Замер записан (`AumMeasured`): **AUM = 26.7 USD** (OpenRouter-кредиты из
+  замера 04.10), burn 9router 7д = 0.0.
+- **Найдена слепота петли** и честно зафиксирована в `docs/aum/balances.json`
+  notes: `OPENROUTER_KEY` в .env инстанса нет (есть только ROUTER_KEY),
+  `/root/coop/.env` (STRIPE_LIVE_KEY) на hermes-mon отсутствует — оба ключа
+  жили на старом инстансе. Авто-обновление молча возвращает None → AUM-петля
+  показывает протухшие 26.7. Восстановление ключей — за Alex (1-строчное
+  добавление в .env). Null-строки (LLC, крипто-кошелёк) по-прежнему ждут
+  ручного ввода.
+- Фильтр «+1% AUM год+»: работа дня — ремонт продающей поверхности ($999/mo
+  продукт) и снижение операционного риска (деплой из 1 команды вместо
+  археологии) при burn 0 — соответствует.
+
+## Доска задач
+- **t-261005002500-4fd732 [L] закрыта** — деплой-кит (см. выше).
+- t-261004104028-56273d [M] — закрыта вчера (аудит применён, артефакт найден).
+- Открытых задач нет; очередь пуста.
+
+## Состояние
+- Открытых эскалаций: **0**.
+- Git: origin/master = 0d5dd17 → после коммита этого дайджеста будет запушено.
+- Слепые зоны на завтра: (а) авто-ключи AUM ждут Alex; (б) runbook §6 —
+  перенос docroot лендинга в sites/ портала как постоянное лечение дрейфа;
+  (в) portal sites/simbiot/index.html стоит освежить до канона, чтобы git-зеркало
+  не врало (безопасно: auto-commit прода перезапишет только при изменениях на проде).

scripts/deploy_channel_probe.py

@@ -0,0 +1,80 @@
+#!/usr/bin/env python3
+"""day-тик 2026-10-05: диагностика/восстановление деплой-канала (e-261004110909-bd70b0).
+
+Токены из конфигов читаются, но НИКОГДА не печатаются (только префикс 6 симв.).
+Использование: venv/bin/python scripts/deploy_channel_probe.py [--push]
+"""
+import json
+import re
+import sys
+import urllib.error
+import urllib.request
+
+GIT = "https://git.cil.by"
+CFG_VYBIRAI = "/home/hermes/vybirai/.git/config"
+CFG_LOCAL = ".git/config"
+
+# наш push-токен (узкий скоп) — из локального remote
+LOCAL_TOKEN = re.search(r":([a-f0-9]{40})@", open(CFG_LOCAL).read()).group(1)
+
+
+def broad_token():
+    """Токен 9f29709… (KEYS-REGISTRY §1, admin-скоп) из конфига vybirai-клона."""
+    txt = open(CFG_VYBIRAI, errors="ignore").read()
+    m = re.search(r":([a-f0-9]{40})@", txt)
+    return m.group(1) if m else None
+
+
+def api(path, tok, method="GET", data=None, expect_json=True):
+    req = urllib.request.Request(
+        f"{GIT}/api/v1{path}",
+        data=json.dumps(data).encode() if data is not None else None,
+        headers={"Authorization": f"token {tok}", "Content-Type": "application/json"},
+        method=method,
+    )
+    try:
+        with urllib.request.urlopen(req, timeout=10) as r:
+            body = r.read().decode(errors="ignore")
+            return r.status, (json.loads(body) if expect_json and body else body)
+    except urllib.error.HTTPError as e:
+        return e.code, e.read().decode(errors="ignore")[:200]
+    except Exception as e:  # noqa: BLE001
+        return -1, str(e)[:80]
+
+
+def main():
+    do_push = "--push" in sys.argv
+    tok = broad_token()
+    print(f"local token:  {LOCAL_TOKEN[:6]}… (узкий скоп, push=403 — подтверждено)")
+    if not tok:
+        print("broad token: НЕ НАЙДЕН — деплой-канал не восстановить")
+        return 2
+    same = tok == LOCAL_TOKEN
+    print(f"broad token:  {tok[:6]}… (KEYS-REGISTRY §1; совпадает с локальным: {same})")
+
+    st, me = api("/user", tok)
+    print(f"read:user:    {st} login={me.get('login') if isinstance(me, dict) else me} "
+          f"is_admin={me.get('is_admin') if isinstance(me, dict) else '?'}")
+    if st != 200:
+        return 2
+
+    st, repos = api("/user/repos?limit=50", tok)
+    print(f"repos visible: {st}, count={len(repos) if isinstance(repos, list) else '?'}")
+    if isinstance(repos, list):
+        for r in sorted(repos, key=lambda x: x["updated_at"], reverse=True):
+            print(f"  - {r['full_name']:45} default={r['default_branch']:10.10} "
+                  f"upd={r['updated_at'][:16]}")
+
+    if do_push:
+        # идемпотентный тест записи: временная ветка в нашем репо + удаление
+        st, br = api("/repos/symbiot/simbiot-harness/branches", tok, "POST",
+                     {"new_branch_name": "scope-probe-day", "old_branch_name": "master"})
+        print(f"write probe (create branch): {st}")
+        if st in (201, 200):
+            api("/repos/symbiot/simbiot-harness/branches/scope-probe-day", tok, "DELETE")
+            print("  probe-ветка удалена; write:repository ЕСТЬ")
+    return 0
+
+
+if __name__ == "__main__":
+    sys.exit(main())

scripts/deploy_landing.sh

@@ -0,0 +1,110 @@
+#!/usr/bin/env bash
+# ══════════════════════════════════════════════════════════════════════════
+# DEPLOY лендинга simbiot.cil.by — ЗАПУСКАЕТСЯ НА ПРОДЕ (204.168.232.21).
+#
+# Одна команда с хоста харнеса (hermes-mon):
+#   ssh root@204.168.232.21 'bash -s' < scripts/deploy_landing.sh
+#
+# Что делает:
+#   1) находит docroot в /etc/caddy/Caddyfile (блок simbiot.cil.by → root *);
+#   2) бэкапит текущий index.html (index.html.bak-<date>, держит последние 10);
+#   3) тянет канон из git.cil.by (токен — FORGEJO_PULL_TOKEN из /root/coop/.alfa_env,
+#      читает только read-scope; при отсутствии — просит в токен в stdin);
+#   4) ставит файл, проверяет структуру (noscript чист, стили на месте);
+#   5) печатает curl-проверку живого сайта.
+#
+# Канон: symbiot/simbiot-harness@master:docs/simbiot-landing-v2-live.html
+# Runbook: docs/DEPLOY-LANDING.md. Idempotent: повторный запуск безопасен.
+# t-2026-10-05 (day), эскалация e-261004110909-bd70b0.
+# ══════════════════════════════════════════════════════════════════════════
+set -euo pipefail
+
+REPO_RAW="${REPO_RAW:-https://git.cil.by/symbiot/simbiot-harness/raw/branch/master/docs/simbiot-landing-v2-live.html}"
+CADDYFILE="${CADDYFILE:-/etc/caddy/Caddyfile}"
+LANDING_URL="${LANDING_URL:-https://simbiot.cil.by/}"
+STAMP="$(date +%F-%H%M)"
+
+echo "── [1/5] поиск docroot в $CADDYFILE"
+DOCROOT="$(awk '
+    /^simbiot\.cil\.by[[:space:]]*\{/ {inb=1}
+    inb && /^[[:space:]]*root[[:space:]]+\*/ {
+        sub(/^[[:space:]]*root[[:space:]]+\*[[:space:]]+/, "")
+        sub(/[[:space:]]*$/, ""); print; exit
+    }
+    inb && /^\}/ {inb=0}
+' "$CADDYFILE")"
+
+if [ -z "$DOCROOT" ] || [ ! -d "$DOCROOT" ]; then
+    echo "FAIL: docroot не найден в Caddyfile (блок simbiot.cil.by → root * …)"
+    echo "     покажи блок: grep -A6 'simbiot.cil.by' $CADDYFILE"
+    exit 2
+fi
+echo "    docroot = $DOCROOT"
+
+echo "── [2/5] бэкап текущего index.html"
+if [ -f "$DOCROOT/index.html" ]; then
+    cp -p "$DOCROOT/index.html" "$DOCROOT/index.html.bak-$STAMP"
+    # держим последние 10 бэкапов
+    ls -1t "$DOCROOT"/index.html.bak-* 2>/dev/null | tail -n +11 | xargs -r rm -f --
+    echo "    → index.html.bak-$STAMP"
+else
+    echo "    (index.html отсутствовал — свежая установка)"
+fi
+
+echo "── [3/5] загрузка канона из git.cil.by"
+TOKEN="${FORGEJO_PULL_TOKEN:-}"
+[ -z "$TOKEN" ] && [ -f /root/coop/.alfa_env ] && TOKEN="$(sed -n 's/^FORGEJO_PULL_TOKEN=//p' /root/coop/.alfa_env | tr -d '"' | tail -1)"
+if [ -z "$TOKEN" ]; then
+    echo "FAIL: FORGEJO_PULL_TOKEN не найден (env / /root/coop/.alfa_env)."
+    echo "     Перезапусти с токеном: ssh root@прод 'FORGEJO_PULL_TOKEN=<read-токен> bash -s' < scripts/deploy_landing.sh"
+    exit 3
+fi
+TMP="$(mktemp /tmp/landing.XXXXXX)"
+trap 'rm -f "$TMP"' EXIT
+if ! curl -fsSL -H "Authorization: token $TOKEN" "$REPO_RAW" -o "$TMP"; then
+    echo "FAIL: не скачался $REPO_RAW (токен без read:repository?)"
+    exit 3
+fi
+echo "    скачано: $(wc -c <"$TMP") bytes"
+
+echo "── [4/5] проверка содержимого перед установкой"
+# NB: CSS-комментарии срезаются — в каноне есть текстовое "<noscript>" внутри /* */,
+# иначе awk-диапазон ложно тянется до EOF и проверка врёт.
+#    Логика: python exit 1 = артефакт ЕСТЬ → ставим отказ.
+if ! python3 - "$TMP" <<'PY'
+import re, sys
+h = open(sys.argv[1], errors='ignore').read()
+h = re.sub(r'/\*.*?\*/', '', h, flags=re.S)
+m = re.search(r'<noscript[^>]*>(.*?)</noscript>', h, flags=re.S)
+sys.exit(1 if (m and ('moc-grid' in m.group(1) or '.shot' in m.group(1))) else 0)
+PY
+then
+    echo "FAIL: в каноне moc-grid/.shot внутри <noscript> — откат, ничего не ставим"
+    exit 4
+fi
+for pat in 'prefers-reduced-motion' 'og:image' '\.moc-grid{display:grid'; do
+    grep -q "$pat" "$TMP" || { echo "FAIL: в каноне нет '$pat' — откат"; exit 4; }
+done
+echo "    проверки пройдены (noscript чист, стили/мета на месте)"
+
+install -m 0644 "$TMP" "$DOCROOT/index.html"
+echo "    установлен $DOCROOT/index.html"
+
+echo "── [5/5] проверка живого сайта (Caddy file_server отдаёт сразу)"
+sleep 1
+CODE="$(curl -s -o /dev/null -w '%{http_code}' "$LANDING_URL")"
+echo "    GET $LANDING_URL → $CODE"
+#    python exit 1 = артефакт всё ещё на проду → WARN.
+if ! python3 - "$LANDING_URL" <<'PY'
+import re, sys, urllib.request
+h = urllib.request.urlopen(sys.argv[1], timeout=15).read().decode(errors="ignore")
+h = re.sub(r'/\*.*?\*/', '', h, flags=re.S)
+m = re.search(r'<noscript[^>]*>(.*?)</noscript>', h, flags=re.S)
+sys.exit(1 if (m and ('moc-grid' in m.group(1) or '.shot' in m.group(1))) else 0)
+PY
+then
+    echo "WARN: прод всё ещё отдаёт старый файл (кэш CDN?) — проверь через минуту/Ctrl-F5"
+else
+    echo "OK: прод отдаёт исправленную версию (showcase-стили вне noscript)"
+fi
+echo "── деплой завершён. Бэкап: $DOCROOT/index.html.bak-$STAMP"

scripts/landing_source_probe.py

@@ -0,0 +1,35 @@
+#!/usr/bin/env python3
+"""Ищу в portal-репо файлы, совпадающие по размеру/хэшу с продом simbiot.cil.by."""
+import hashlib
+import json
+import re
+import sys
+import urllib.request
+
+GIT = "https://git.cil.by"
+TOK = re.search(r":([a-f0-9]{40})@", open("/home/hermes/vybirai/.git/config", errors="ignore").read()).group(1)
+REPO = "symbiot/portal"
+
+
+def api(path):
+    req = urllib.request.Request(f"{GIT}/api/v1{path}", headers={"Authorization": f"token {TOK}"})
+    with urllib.request.urlopen(req, timeout=15) as r:
+        return json.loads(r.read())
+
+
+prod = urllib.request.urlopen("https://simbiot.cil.by/", timeout=15).read()
+target_len, target_sha = len(prod), hashlib.sha256(prod).hexdigest()[:12]
+print(f"PROD: {target_len} bytes, sha256={target_sha}")
+
+for br in ("main",):
+    tree = api(f"/repos/{REPO}/git/trees/{br}?recursive=1")
+    blobs = [t for t in tree.get("tree", []) if t["type"] == "blob"]
+    print(f"{br}: {len(blobs)} blobs")
+    # 1) точный размер
+    hits = [t for t in blobs if t.get("size") == target_len]
+    print("same size:", [t["path"] for t in hits])
+    # 2) html-файлы рядом по размеру (±30%)
+    near = [t for t in blobs if t["path"].endswith(".html")
+            and target_len * 0.7 < (t.get("size") or 0) < target_len * 1.3]
+    for t in sorted(near, key=lambda x: abs((x.get("size") or 0) - target_len))[:8]:
+        print(f"  near: {t['path']} ({t.get('size')} b)")

scripts/landing_verify.sh

@@ -0,0 +1,60 @@
+#!/usr/bin/env bash
+# Верификация прода simbiot.cil.by против канона (docs/DEPLOY-LANDING.md §4-5).
+# exit 0 = прод совпадает с docs/simbiot-landing-v2-live.html и фикс на месте.
+# t-2026-10-05 (day), эскалация e-261004110909-bd70b0.
+set -u
+cd "$(dirname "$0")/.."
+
+CANON="${CANON:-docs/simbiot-landing-v2-live.html}"
+URL="${LANDING_URL:-https://simbiot.cil.by/}"
+TMP=$(mktemp)
+trap 'rm -f "$TMP"' EXIT
+
+fail=0
+curl -fsS "$URL" -o "$TMP" || { echo "FAIL: прод недоступен"; exit 2; }
+
+# 1) побайтовое совпадение с каноном
+if cmp -s "$TMP" "$CANON"; then
+    echo "OK: прод == канону ($CANON)"
+else
+    echo "DRIFT: прод отличается от канона ($CANON)"
+    echo "  прод: $(wc -c <"$TMP") bytes / канон: $(wc -c <"$CANON") bytes"
+    fail=1
+fi
+
+# 2) showcase-стили НЕ в noscript (артефакт t-261002151425)
+#    NB: сначала срезаем CSS-комментарии — в каноне есть текстовое упоминание
+#    "<noscript>" внутри /* ... */, иначе диапазон ложно тянется до EOF.
+#    Логика: python exit 1 = артефакт ЕСТЬ (moc-grid/.shot в noscript).
+if ! python3 - "$TMP" <<'PY'
+import re, sys
+h = open(sys.argv[1], errors='ignore').read()
+h = re.sub(r'/\*.*?\*/', '', h, flags=re.S)          # CSS-комментарии вон
+m = re.search(r'<noscript[^>]*>(.*?)</noscript>', h, flags=re.S)
+sys.exit(1 if (m and ('moc-grid' in m.group(1) or '.shot' in m.group(1))) else 0)
+PY
+then
+    echo "FAIL: moc-grid/.shot внутри <noscript> — артефакт (t-261002151425) на проде"
+    fail=1
+else
+    echo "OK: noscript чист (без showcase-стилей)"
+fi
+
+# 3) ключевые фиксы аудита на месте
+for pat in 'prefers-reduced-motion' 'focus-visible' 'og:image'; do
+    if grep -q "$pat" "$TMP"; then echo "OK: $pat"; else echo "FAIL: $pat отсутствует"; fail=1; fi
+done
+
+# 4) showcase-стили в основном <style>
+if grep -q '\.moc-grid{display:grid' "$TMP"; then
+    echo "OK: .moc-grid в основных стилях"
+else
+    echo "WARN: .moc-grid не в основном <style> (проверить секцию live-product)"
+    fail=1
+fi
+
+# 5) og.png
+code=$(curl -s -o /dev/null -w '%{http_code}' "$URL/og.png")
+[ "$code" = "200" ] && echo "OK: og.png 200" || { echo "FAIL: og.png $code"; fail=1; }
+
+exit "$fail"

scripts/portal_commit_files.py

@@ -0,0 +1,30 @@
+#!/usr/bin/env python3
+"""Что меняли последние авто-коммиты portal-репо (как ходит контент sites/*)."""
+import json
+import re
+import urllib.request
+
+GIT = "https://git.cil.by"
+TOK = re.search(r":([a-f0-9]{40})@", open("/home/hermes/vybirai/.git/config", errors="ignore").read()).group(1)
+REPO = "symbiot/portal"
+
+
+def api(path):
+    req = urllib.request.Request(f"{GIT}/api/v1{path}", headers={"Authorization": f"token {TOK}"})
+    with urllib.request.urlopen(req, timeout=15) as r:
+        return json.loads(r.read())
+
+
+commits = api(f"/repos/{REPO}/commits?limit=15&sha=main")
+for c in commits:
+    sha, msg = c["sha"], c["commit"]["message"].split("\n")[0][:60]
+    detail = api(f"/repos/{REPO}/git/commits/{sha}")
+    files = detail.get("files", [])
+    site_files = [f["filename"] for f in files if "sites/" in f["filename"] or "static/" in f["filename"]]
+    print(f"{sha[:8]} {msg}")
+    if site_files:
+        for f in site_files[:6]:
+            print(f"    {f} (+{f.count('/')})"
+                  if False else f"    {f}")
+    elif files:
+        print(f"    ({len(files)} файлов: {', '.join(x['filename'] for x in files[:4])})")

scripts/portal_serving_probe.py

@@ -0,0 +1,47 @@
+#!/usr/bin/env python3
+"""Ищу в portal-репо: как отдаются sites/*, есть ли upload/write-эндпоинты, .gitignore."""
+import json
+import re
+import sys
+import urllib.request
+
+GIT = "https://git.cil.by"
+TOK = re.search(r":([a-f0-9]{40})@", open("/home/hermes/vybirai/.git/config", errors="ignore").read()).group(1)
+REPO = "symbiot/portal"
+
+
+def raw(path, br="main"):
+    req = urllib.request.Request(f"{GIT}/{REPO}/raw/branch/{br}/{path}",
+                                 headers={"Authorization": f"token {TOK}"})
+    with urllib.request.urlopen(req, timeout=15) as r:
+        return r.read().decode(errors="ignore")
+
+
+def api(path):
+    req = urllib.request.Request(f"{GIT}/api/v1{path}", headers={"Authorization": f"token {TOK}"})
+    with urllib.request.urlopen(req, timeout=15) as r:
+        return json.loads(r.read())
+
+
+# 1) .gitignore — не спрятан ли sites/simbiot
+try:
+    print("== .gitignore ==")
+    print(raw(".gitignore"))
+except Exception as e:  # noqa: BLE001
+    print("no .gitignore:", e)
+
+# 2) поиск "sites/" в коде — как отдаются
+tree = api(f"/repos/{REPO}/git/trees/main?recursive=1")
+py_files = [t["path"] for t in tree["tree"]
+            if t["path"].endswith((".py", ".md", ".sh", "Caddyfile", ".conf"))
+            and not t["path"].startswith(("sites/", "agent-"))]
+print(f"== сканирую {len(py_files)} файлов на 'sites/' и upload ==")
+for p in py_files:
+    try:
+        c = raw(p)
+    except Exception:  # noqa: BLE001
+        continue
+    for i, line in enumerate(c.splitlines(), 1):
+        if re.search(r"sites/|send_from_directory\(.*sites|upload|write_file|open\(.*[\"']w", line) \
+                and "def " not in line and "import" not in line:
+            print(f"{p}:{i}: {line.strip()[:110]}")

scripts/repo_tree_probe.py

@@ -0,0 +1,38 @@
+#!/usr/bin/env python3
+"""Ищу источник лендинга simbiot.cil.by в репо git.cil.by (day-тик 2026-10-05)."""
+import json
+import re
+import sys
+import urllib.error
+import urllib.request
+
+GIT = "https://git.cil.by"
+TOK = re.search(r":([a-f0-9]{40})@", open("/home/hermes/vybirai/.git/config", errors="ignore").read()).group(1)
+
+def api(path):
+    req = urllib.request.Request(f"{GIT}/api/v1{path}", headers={"Authorization": f"token {TOK}"})
+    try:
+        with urllib.request.urlopen(req, timeout=10) as r:
+            return r.status, json.loads(r.read())
+    except urllib.error.HTTPError as e:
+        return e.code, e.read().decode(errors="ignore")[:150]
+
+repo = sys.argv[1] if len(sys.argv) > 1 else "symbiot/portal"
+br = sys.argv[2] if len(sys.argv) > 2 else None
+if not br:
+    st, info = api(f"/repos/{repo}")
+    br = info.get("default_branch", "main")
+
+st, commits = api(f"/repos/{repo}/commits?limit=10&sha={br}")
+print(f"== {repo}@{br}: последние коммиты ({st})")
+if isinstance(commits, list):
+    for c in commits:
+        msg = c["commit"]["message"].split("\n")[0][:90]
+        print(f"  {c['sha'][:8]} {c['commit']['author']['date'][:16]} {msg}")
+
+st, tree = api(f"/repos/{repo}/git/trees/{br}?recursive=1")
+print(f"== дерево ({st})")
+if isinstance(tree, dict):
+    for t in tree.get("tree", []):
+        if t["type"] == "blob":
+            print(f"  {t['path']}")