WEB board

🔴 ФАКТ 05.09: публичные /legal/terms, /privacy, /refunds, /cookies, /dmca, /vendors на sixbyy.com отдают СИНТЕТИЧЕСКИЕ репетиционные документы (src/content/legal/synthetic/*_FINAL.md): баннер «SYNTHETIC REHEARSAL / NOT FOR PUBLICATION / NOT LEGAL ADVICE… fake rehearsal data», бренд «Aster Rehearsal Console», «R14 Synthetic Labs LLC», US-only платные тарифы (USD 12/36/24) — для Stripe и пользователей это хуже отсутствия документов (противоречие описанию бизнеса: Ireland / SIXBYY / free invite-only beta). Приоритет A0 перед витриной: заменить на реальные документы. Источник: программа legal_may23 (docs/reports/legal_may23_*; worktree на M1 ~/Projects/worktrees/release-integration-20260504; zip-ы в ~/Downloads M1 legal_may23_closeout_*.zip) — OWNER_PROVIDER_HANDOFF.md перечисляет RED-пункты, требующие позиции владельца: платежи (сейчас: free beta с €10 temporary authorization, без capture), телефония/SMS/WhatsApp/Telegram/Signal stance, CSAM/NCII, EU mode (=free beta, invite-only), Public Vendor List / Internal Vendor Register с provider-proof. Правила: WEB-449.

[05.09 02:30Z координатор] Разложено по волнам (все ship-dark, включает координатор):
§1 витрина без инвайта + инвайт внутри онбординг-туториала → 1906-publiclanding (M4, luna), тумблер PUBLIC_LANDING_ENABLED.
§2 экран disclosure «€10 temporary authorization, not a charge, no subscription» + фикс webhook 500→400 без ключей → 1907-betadisclosure (M4, luna) = WEB-511 круг 4.
§3 настоящие юр-документы (TOS/Privacy/Refund/Cookie/Beta terms/Vendor list) на базе docs/reports/legal_may23_* → 1908-legalstripe (M4, luna), режим LEGAL_DOC_MODE=real, плейсхолдеры LEGAL_OWNER_NAME/ADDRESS из env.
§5 аудит против Stripe Restricted Businesses + Business description/Statement descriptor → 1909-restrictedaudit (M4, spark, документ).
§4 support@sixbyy.com: факты — MX mail.sixbyy.com → A1, postfix слушает только 127.0.0.1:25, SPF/DMARC есть, RESEND_API_KEY в env, DNS на Cloudflare (fiona/marty.ns). Дешёвый путь = Cloudflare Email Routing (support@ → почта владельца): 2 клика владельца или API-токен Zone:Email Routing. Открывать 25 порт на проде для входящей почты НЕ делаю без решения владельца.
§6 KYC (владелец): PPS, полное имя как в документе, адрес, IBAN на выплаты, телефон, дата рождения — через защищённый канал, не в тикет.
READY-чеклист Live закроется, когда: 1906–1909 приняты и сели (l107/l108), support@ отвечает, документы с реквизитами, KYC в Stripe, sandbox-прогон на проде зелёный, restricted-аудит без needs-approval.
KNOWN ISSUES / ТРАБЛШУТИНГ: /legal/* сейчас = синтетика (LEGAL_DOC_MODE synthetic, src/lib/legal/syntheticFinalDocs.ts) — не показывать Stripe до 1908; / → 307 /login (инвайт-гейт inviteGate.ts) — Stripe-ревьюер не увидит продукт до 1906+флаг; webhook без ключей = 500 до круга 4.

[05.09 02:54Z координатор] §1 витрина (волна 1906 PUBLICLANDING, M4 luna) = GO по автору, коммит 53e60960 поверх 6930c683: ship-dark публичная страница на / под server runtime env PUBLIC_LANDING_ENABLED=true (по умолчанию 307 на /login как сейчас); в онбординге первый шаг «Enter your invite code» через существующий inviteGate. KNOWN ISSUES автора: витрина не видна → проверить именно server env и рестарт; invite-step «Account creation is temporarily unavailable» → миграция 20260810120000_invite_code_gate до INVITE_GATE_ENABLED. Приёмка 1932-accpubliclanding (M4): OFF байт-в-байт 307, ON — disclosure-текст === константа, все /legal/* 200, рантайм-флаг без пересборки, мобилка 390, негатив.

[05.09 07:32Z координатор] §1 витрина: ПРИЁМКА (ACCPUBLICLANDING) = NO-GO по одному месту: PublicLanding.tsx:7-10 ссылки /legal/terms и /legal/cookies vs требование брифа /legal/tos и /legal/cookie — всё остальное принято (54/54, 58/58, 18/18, tsc, eslint, негатив disclosure, OFF=307 байт-в-байт, ON=витрина, рантайм-флаг без пересборки, нет «unlimited/guaranteed»). Круг 2 = 1960-publiclanding2 (M4): выяснить РЕАЛЬНЫЕ маршруты /legal/* и ссылаться только на существующие (тест href→200).

[05.09 07:51Z координатор] §4 support@sixbyy.com (Cloudflare Email Routing, через Chrome владельца): destination fandyy2023@gmail.com добавлен и Verified; правило support@sixbyy.com → destination создано, Active; старая MX sixbyy.com → mail.sixbyy.com (A1, postfix только loopback) удалена. ОСТАЛОСЬ владельцу (2 клика; браузер-агент заблокирован классификатором на вводе в DNS-поля): Email Routing → Settings → «Add missing records» (MX route1/2/3.mx.cloudflare.net, DKIM cf2024-1._domainkey, SPF v=spf1 include:_spf.mx.cloudflare.net ~all); DNS → удалить старый TXT «v=spf1 mx ~all» (иначе два SPF = permerror). send.sixbyy.com (SES/Resend: MX feedback-smtp, SPF include:amazonses.com, resend._domainkey) не тронуты — исходящая почта приложения не меняется. DMARC rua=postmaster@sixbyy.com — маршрута нет (catch-all Drop); при желании добавить правило postmaster@ → владелец.

[05.09 07:52Z координатор] §1 витрина круг 2 (волна 1960 PUBLICLANDING2, M4 luna) = GO, коммит 90a093a1 поверх 53e60960: сверка с реальным /legal/[slug]-роутером и syntheticFinalDocs.ts — канонические href витрины /legal/terms, /legal/privacy, /legal/refund, /legal/cookies были ВЕРНЫ (критерий брифа приёмки с /legal/tos и /legal/cookie был ошибкой координатора); добавлен gate, проверяющий не только статус (в Next dev неизвестный slug даёт 200 с error boundary), а заголовок документа. Координатор принимает без третьего круга: единственный блокер приёмки снят фактом, остальное приёмка 1 уже проверила (54/54, 58/58, 18/18, OFF=307 байт-в-байт, ON=витрина, рантайм-флаг). Кандидат в l109 (ship-dark, PUBLIC_LANDING_ENABLED unset).

[05.09 08:38Z координатор] §4 ЗАКРЫТ: support@sixbyy.com принимает почту — владелец отправил с fandyy2009@gmail.com на support@sixbyy.com и получил на тот же ящик (08:37Z). DNS у Cloudflare: MX route1/2/3.mx.cloudflare.net (52/30/97), DKIM cf2024-1._domainkey, старая MX на A1 удалена. ОСТАТОК (не блокер): корневой SPF отсутствует — старый v=spf1 mx ~all удалён, а «Add missing records» SPF не добавил (статус Misconfigured); нужен ещё один клик владельца или ручная TXT «v=spf1 include:_spf.mx.cloudflare.net ~all». send.sixbyy.com (SES/Resend) не тронут. Тест с A1 через sendmail невозможен: postfix считает sixbyy.com локальным доменом (bounce «unknown user»).
KNOWN ISSUES / ТРАБЛШУТИНГ: письмо на support@ не пришло → Email Routing → Activity Log (dropped/forwarded), destination Verified, правило Active; DMARC rua=postmaster@ без маршрута (catch-all Drop).

[05.09 12:40Z координатор] l109 (135103a33) СЕЛ на прод 12:31Z: оба бэкенда, edge ×8, polling ok, paid ok, воркеры на l109; hetzbk-артефакт опубликован, env-line l109, Pi переключается. §1 витрина (1290352c + b862152e) в линии ТЁМНОЙ: PUBLIC_LANDING_ENABLED не задан → / по-прежнему 307 на /login. Включение — после §3 юр-документов (1908 в hold M4) и решения владельца.

[05.09 12:52Z координатор] §2 экран disclosure с согласием (две галочки 18+/прочитал) принят адверсариальной приёмкой круга 5 WEB-511 (Fable). После посадки l110 (миграция + крон + флаги) — sandbox-ключи и STRIPE_BETA_FREE_MODE на проде для живого sandbox-прогона; §3 юр-документы (1908) и §5 restricted-аудит (1909) выпущены из hold на M4.

[05.09 14:47Z координатор] §3 юр-доки (волна 1908 LEGALSTRIPE, M4): VERDICT=NO-GO, commit d5f91df1 поверх l106, бандл /Users/milamarty/waves/LEGALSTRIPE.bundle, отчёт /Users/milamarty/waves/LEGALSTRIPE-REPORT.md (волна писала отчёт в worktree — скопирован). Сделано: контур LEGAL_DOC_MODE=real с реальными документами SIXBYY (TOS, Privacy, Refund, Beta Terms, Vendor List; Ирландия/ЕС, DPC, support@sixbyy.com, invite-only beta, без подписок и списаний, временная €10-авторизация без capture, PAN/CVC только у Stripe); без переменной — старый synthetic default (publication-safe). NO-GO только из-за отсутствующих серверных LEGAL_OWNER_NAME и LEGAL_OWNER_ADDRESS (runtime показывает «[operator details pending]») — запрошены у владельца 14:48Z. Stripe website checklist: business name PARTIAL (ждёт owner input), description/contact/refund PASS для беты. План: посадка тёмной в l111, включение LEGAL_DOC_MODE=real после заполнения переменных.

[05.09 14:57Z координатор] §5 аудит ограниченного бизнеса (волна 1909 RESTRICTEDAUDIT, M4, luna после падения spark): VERDICT=GO для бесплатной беты при закрытых платёжных поверхностях; в коде l106 нет ставок, cash-out, seller payout, marketplace settlement, adult-монетизации, финпродукта. Две зоны до коммерческого включения: (1) PSTN/DID provisioning, KYC, Telnyx voice/SMS — телеком/VoIP-поверхность, платное включение согласовать со Stripe; (2) wallet credits / будущий top-up / внутриигровые coins — описывать как не-финансовый продукт. Отчёт /Users/milamarty/waves/RESTRICTEDAUDIT-REPORT.md.
§3 юр-доки: данные владельца получены 14:55Z (LEGAL_OWNER_NAME=Berestenko Yaroslav, адрес Collinstown, Co. Westmeath, N91 A032; PPSN намеренно НЕ записан), положены в прод .env.local тёмно (LEGAL_DOC_MODE не выставлен). Коммит d5f91df1 идёт в l111. По вопросу владельца «анкета на 45 вопросов + генератор всех доков»: в репо только следы пакета legal_may23 (docs/reports/legal_may23_runtime_proof_2026-05-23, closeout, synthetic-документы); генератор/анкета жили во внешнем zip на M1 (Downloads/legal_may23_closeout_review_and_next_prompt.zip); волна 1908 генератор не использовала. Майский OWNER_PROVIDER_HANDOFF держит 8 открытых позиций владельца (платёжная позиция, телефония, каналы, CSAM, EU-режим, Vendor List с доказательствами по провайдерам) — они же остаются чек-листом READY.

[05.09 17:31Z координатор] §3 круг 2 (волна 2041 LEGALFOUNDERDOCS, A2, luna; 16:17Z): VERDICT=NO-GO, commit db23b862 поверх l110 + круг 1 (5191cff85). Анкета основателя прочитана целиком (48 строк Q21–Q61, unansweredQuestionIds=[]), машинный источник src/content/legal/real/founder-decisions.json; документы контура real пересобраны. NO-GO из-за 15+2 открытых решений владельца из майского closeout (DMCA-агент, ответственный за abuse, Stripe как live-процессор, EU/UK режим, DPA/субпроцессоры, DPO/представители, DSAR, 72-часовой инцидент, VAT, индикатор записи, A2P/10DLC, WhatsApp opt-in, US state laws, сроки хранения, child-safety орган, внешний юрист) — все 17 отправлены владельцу 17:33Z. Stripe website checklist: business name/terms PARTIAL (env-only оператор, ждёт подтверждения), остальное PASS для беты. Отчёт /home/ubuntu/waves/LEGALFOUNDERDOCS-REPORT.md.

[05.09 18:12Z координатор] РЕШЕНИЯ ВЛАДЕЛЬЦА по 17 вопросам (05.09 ~18:10Z, через внешнего советника + правки владельца/координатора): 1–2 DMCA-агент — да, до открытия США (sole trader, $6, продление 3 года) — ДЕЙСТВИЕ ВЛАДЕЛЬЦА, блокер для US-беты; 3 abuse-очередь — да, abuse@sixbyy.com, ответственный = владелец, журнал received→reviewed→action→closed; 4 Stripe — выбран, sandbox сейчас, Live KYC позже, DPA = часть Services Agreement, налогов нет (capture €0); 5 география — владелец: бета стартует с США (советник предлагал EU-first) + EU; UK — waitlist; 6 публичный DPA — позже, список процессоров/субпроцессоров — да (внутренний + /subprocessors позже); 7 DPO/EU rep — нет, UK rep — позже; 8 DSAR — да, до READY, вручную через privacy@sixbyy.com, 1 месяц; 9 72-часовой инцидент-ранбук — да, до READY; 10 VAT — до первого реального capture; 11 индикатор записи голоса — да, если функция включена (иначе флаг OFF); 12 SMS 10DLC — позже, US SMS OFF; 13 WhatsApp — OFF до opt-in log; 14 US state laws — не «N/A»: Коннектикут (с 1.07.2026 sensitive data включает закон без порога) проверить до US-беты — гео-исключение CT или CT-совместимое уведомление; 15 retention — открыт, взять реальные цифры из инфры; 16 child-safety — 18+/без детских аккаунтов (у нас уже обязательная галочка совершеннолетия по требованию Gemini), NCMEC-контакт в политику для US UGC, орган/юрист позже; 17 внешний юрист — считать «нет».
READY-блокеры сейчас: #3, #8, #9, #15 (+ #1/#2 и #14 из-за US-first). Не блокируют Stripe Live при выключенных функциях: 10DLC, WhatsApp, VAT. Владельцу: добавить abuse@ и privacy@ в Cloudflare Email Routing; зарегистрировать DMCA-агента. Генератор legal_may23 не найден — документы строятся волной из founder-decisions.json (свой генератор в репо). Круг 3: бриф 2060 (luna, A2).

[05.09 18:46Z координатор] §3 круг 3 (волна 2060 LEGALFOUNDERDOCS3, A2, luna): VERDICT=NO-GO по формальному признаку (остались owner-action), но все 17 решений владельца закрыты в founder-decisions.json со статусами decided / owner-action / deferred, документы контура real пересобраны (US-first бета, 18+, реестр процессоров, ранбуки abuse/DSAR/breach, таблица retention с фактами из инфры, Connecticut). Owner-action (не помечены выполненными): регистрация DMCA-агента (до US-беты, продление 3 года), ящики abuse@/privacy@ в Cloudflare Email Routing, утверждение TTL/retention; deferred: публичный DPA, UK representative. Коммиты 44fc7977b/db23b862/a4e7ee74 cherry-pick'нуты в предсборку l112 чистым (тёмно: LEGAL_DOC_MODE не выставлен). Отчёт /home/ubuntu/waves/LEGALFOUNDERDOCS3-REPORT.md.

[05.09 22:47Z координатор] [06.09 02:50Z координатор | DMCA DESIGNATED AGENT — ПОДАНО И ОПЛАЧЕНО] dmca.copyright.gov (аккаунт Login.gov support@sixbyy.com, второй фактор без SMS — ирландские номера Login.gov не верифицирует): Service Provider «Yaroslav Berestenko», 11 Loughstown Holiday Village, Collinstown, Co. Westmeath, N91 A032, Ireland, +353 87 399 6288, support@sixbyy.com; Designated Agent — то же лицо, организация «Sixbyy». **Registration Number DMCA-1079963**, Pay.gov Tracking ID **285OQEQP**, $6 картой, 05.09 18:42 ET (22:42Z), статус «Payment Processing» (верификация карты — минуты; письмо-подтверждение придёт на support@sixbyy.com). Альтернативные имена (Sixbyy, sixbyy.com, app.sixbyy.com, wool2.online, nb.wool2.online) — добавить владельцу в кабинете (Manage My Account) после подтверждения, если ещё не добавлены. ДАЛЬШЕ (продукт): в страницу /legal/dmca (или copyright policy) вписать агента: имя, адрес, e-mail support@sixbyy.com, регистрационный номер DMCA-1079963; процедура notice/counter-notice — уже в legal-пакете WEB-516 (проверить, что там плейсхолдер агента заменён). ЛОВУШКИ формы: кнопки Next/Add в dmca.copyright.gov не срабатывают из невидимого окна автоматизации — только обычные клики владельца; текстовые поля заполняются штатно.

[05.09 22:52Z координатор] [06.09 03:10Z координатор | DMCA: ОПЛАТА ПОДТВЕРЖДЕНА] Письмо Copyright Office (22:50Z, на support@sixbyy.com): «payment in the amount of $6.00 was successfully processed», registration number DMCA-1079963, провайдер и агент Yaroslav Berestenko включены в DMCA Designated Agent Directory (публично всё, кроме телефона/e-mail провайдера). Действие владельца по DMCA закрыто. Остаётся продукт: волна 2112 (A2) вписывает агента и номер в legal-страницы (l113b).

[05.09 22:59Z координатор] [06.09 03:50Z координатор | 2112 DMCAAGENTPAGE = PASS_WITH_KNOWN_ISSUES → l113b] Кандидат `08ed8596a94b10f432040ff52f302dfd77daf1f3` (luna, A2, база l113-candidate 87111a95; бандл `/home/ubuntu/waves/DMCAAGENTPAGE.bundle`, отчёт `DMCAAGENTPAGE-REPORT.md`): в real legal mode `/legal/dmca` (loader `src/app/(full)/legal/dmca/page.tsx`) показывает агента (имя, организация Sixbyy, адрес, телефон, support@sixbyy.com, DMCA-1079963, ссылка на директорию), notice §512(c)(3) и counter-notice §512(g)(3) (`src/content/legal/real/DMCA_POLICY.md:11-67`), реквизиты в TOS.md:84-96 и связка в PRIVACY_POLICY.md:13-16; подстановка через server-only env (`src/lib/legal/syntheticFinalDocs.ts`), тест полной подстановки + pending fallback. ЭЛЕМЕНТ ПОСАДКИ (все web/app сервисы, не NEXT_PUBLIC): LEGAL_DMCA_AGENT_NAME, _ORGANIZATION, _EMAIL, _ADDRESS, _PHONE, _REGISTRATION_NUMBER, _DIRECTORY_URL (значения — `env.production.template:390-399`). Координатор предзаписал их в прод `.env.local` (вступят при следующем flip). Приёмка — вместе с l113b (визуально на проде: /legal/dmca, /legal/terms).

[05.09 22:59Z координатор] [06.09 03:55Z координатор] Уточнение: на проде `LEGAL_DOC_MODE=synthetic` — реальный legal-пакет (17 решений владельца, круг 3 a4e7ee74 в l112) и агент DMCA видны только в `real`. Переключение LEGAL_DOC_MODE=real = отдельное решение владельца (legal go-live: TOS/Privacy/DMCA с реальными реквизитами, 18+ и региональные ограничения) — предложить после посадки l113b одним сообщением с URL-ами для проверки.

[05.09 23:21Z координатор] [06.09 05:35Z координатор | ПРИЁМКА 2117 = NO-GO (один блокер) → 2120] Luna на A2 (`/home/ubuntu/waves/ACCDMCAAGENTPAGE-REPORT.md`) кандидата 08ed8596: diff ограничен, synthetic-регрессия 11/11, real-режим с 7 env показывает агента/регистрацию/директорию, TOS/Privacy ссылаются, pending fallback без `undefined` — PASS; блокер: раздел notice `DMCA_POLICY.md:32-48` не содержит явной цитаты `17 U.S.C. §512(c)(3)`. → волна 2120 (luna): цитаты §512(c)(3), §512(g)(3), окно 10–14 рабочих дней §512(g)(2)(C), repeat-infringer §512(i)(1)(A); затем повторная приёмка → l113b.

[05.09 23:34Z координатор] [06.09 06:40Z координатор | ПОВТОРНАЯ ПРИЁМКА 2123 = GO] Luna на A2 (`/home/ubuntu/waves/ACCDMCAAGENTPAGE2-REPORT.md`) кандидата `520b3a68c970dfe9fa4ea982b9a17802692170ed` (2112 + 2120: цитаты §512(c)(3)/§512(g)(3)/§512(g)(2)(C)/§512(i)(1)(A)) над l113 — GO. → l113b. После посадки l113b страница агента видна только при `LEGAL_DOC_MODE=real` (сейчас synthetic) — переключение = решение владельца (legal go-live), предложу с URL-ами /legal/dmca, /legal/terms, /legal/privacy.

[06.09 00:02Z координатор] [06.09 08:00Z координатор | ЮР-АДРЕСА В CLOUDFLARE EMAIL ROUTING СДЕЛАНЫ] sixbyy.com → destination fandyy2023@gmail.com (verified): support@ (было), + abuse@, privacy@, legal@, dmca@ — все Active; catch-all Drop (disabled). Сделано через дашборд в видимой вкладке владельца. Для legal-пакета: контакты в TOS/Privacy/DMCA могут ссылаться на abuse@/privacy@/legal@/dmca@sixbyy.com (сейчас DMCA-агент = support@sixbyy.com — при желании владельца заменить на dmca@ отдельной правкой + в директории Copyright Office).

[06.09 02:44Z координатор] [2026-09-06T02:44Z координатор] Пакет live-готовности (M1 лёгкая волна, luna): статус §1–§6, список от владельца, остаток команды, риски. Файл M1 ~/waves-m1/WEB516-LIVE-READINESS-PACKAGE.md. Текст ниже.

# WEB-516 — Stripe live readiness (Ирландия)

Срез координатора на 06.09.2026. Приложение: [https://app.sixbyy.com](https://app.sixbyy.com). Режим Stripe пока sandbox: live-ключей на проде нет.

## 1. Статус по §1–§6

| Раздел | Статус | Сделано | Осталось / доказательство |
|---|---|---|---|
| §1 Витрина | **GO, ship-dark** | Публичная витрина и инвайт внутри onboarding; stage B миграции на `app.sixbyy.com` выполнена 06.09. | Включить флаг после готовности legal/live. Доказательство: волны `1906 PUBLICLANDING`, `1960 PUBLICLANDING2`; коммиты `53e60960`, `90a093a1`; WEB-561, комментарий 1771 от 06.09. |
| §2 Disclosure €10 | **GO, ship-dark** | Экран до ввода карты: €10 temporary authorization, не списание и не подписка; две галочки (18+ и прочитал), EU/age/audit-гейты, идемпотентность, release холда. | Посадка/проверка live-пути с ключами, без capture. Доказательство: WEB-511, круг 5 `BETADISCLOSURE2`, коммит `59d7379a`, приёмка `1979-accbetadisclosure2`, GO 05.09 12:52Z; прод тёмный по комментарию 1433 от 05.09. |
| §3 Юр-документы | **Real-пакет смонтирован 06.09; исторически NO-GO дважды** | Опубликованы реальные ToS, Privacy, Cookies, Refund, DMCA, Security, Beta Terms, vendor lists и founder decisions; `/legal/terms`, `/privacy`, `/refund`, `/cookies`, `/legal/dmca` доступны на app. DMCA-агент показан, номер `DMCA-1079963`. | Перед live подтвердить в Stripe точное юрлицо/адрес и финальные публичные реквизиты. Доказательство: `LEGALSTRIPE` (NO-GO 05.09 14:47Z, `d5f91df1`), `LEGALFOUNDERDOCS` (NO-GO 05.09 17:31Z), затем `LEGALFOUNDERDOCS3` и `DMCAAGENTPAGE2` → `l113b`; real включён 06.09 02:26Z, WEB-566 комментарий 1781. |
| §4 Support/contact | **Сделано** | `support@`, `legal@`, `dmca@`, `abuse@`, `privacy@sixbyy.com` заведены через Cloudflare Email Routing; support проверен входящим письмом. | Некритично: добавить корневой SPF `v=spf1 include:_spf.mx.cloudflare.net ~all`; проверить DMARC-адрес `postmaster@` при необходимости. Доказательство: WEB-516 комментарии 1334 (05.09 08:38Z), 1711 (06.09 08:00Z). |
| §5 Restricted business audit | **GO для бесплатной беты** | Нет ставок, cash-out, seller payout, marketplace settlement, adult-монетизации или финпродукта; платёжные поверхности закрыты. | Перед коммерческим включением отдельно согласовать PSTN/DID, KYC, Telnyx voice/SMS и будущие wallet/top-up/coins. Доказательство: волна `1909 RESTRICTEDAUDIT`, отчёт `RESTRICTEDAUDIT-REPORT.md`, GO 05.09 14:57Z. |
| §6 KYC / Live onboarding | **Не закрыто** | Подготовлен список данных и документов, которые должны быть переданы владельцем через защищённый канал. | Заполнить Stripe KYC, подтвердить банковские реквизиты, live webhook и безопасную установку ключей. Доказательство требований: WEB-516, комментарий 1240 от 05.09 02:30Z; связанный owner-процесс — WEB-566. |

## 2. ОТ ВЛАДЕЛЬЦА — что предоставить и сделать

1. **Реквизиты бизнеса:** точное юридическое имя и форма (ИП/sole trader или компания), имя владельца как в документе, страна регистрации/деятельности — Ireland, регистрационный/налоговый номер, если применимо.
2. **Адрес и связь:** полный business address в Ирландии, телефон и рабочий e-mail. В текущем пакете зафиксировано: Yaroslav Berestenko, 11 Loughstown Holiday Village, Collinstown, Co. Westmeath, N91 A032, Ireland, +353 87 399 6288; публичные каналы: `support@`, `legal@`, `dmca@`, `abuse@`, `privacy@sixbyy.com`.
3. **Банковские реквизиты:** IBAN для выплат Stripe и подтверждение владельца счёта — передать только через защищённый канал, не в тикет и не в этот файл.
4. **Сайт и публичные документы:** проверить перед отправкой Stripe: [app.sixbyy.com](https://app.sixbyy.com), [ToS](https://app.sixbyy.com/legal/terms), [Privacy](https://app.sixbyy.com/legal/privacy), [Refund](https://app.sixbyy.com/legal/refund), [Cookies](https://app.sixbyy.com/legal/cookies), [DMCA](https://app.sixbyy.com/legal/dmca). На страницах должны быть публичные ToS, refund policy и contact/support.
5. **Описание бизнеса:** правдивое краткое описание продукта, целевой аудитории, бесплатной invite-only beta и фактических платных/неплатных функций; отдельно подтвердить statement descriptor. Не заявлять функции, которые restricted-аудит не разрешил.
6. **Support-канал:** подтвердить, что `support@sixbyy.com` принимает обращения и используется как основной customer-support контакт. Маршрутизация уже активна.
7. **Disclosure €10:** подтвердить текст и политику: это временная авторизация на €10, не списание, без capture и без подписки; не включать live-флаг до согласия владельца.
8. **KYC-документы:** удостоверение личности, подтверждение адреса, дата рождения, PPS/налоговый идентификатор при запросе Stripe, подтверждение деятельности/регистрации и банковского счёта. PPSN не хранить в репозитории или тикете.
9. **Stripe Dashboard:** завершить business verification, bank verification и включить live mode только после проверки сайта, документов, restricted-категорий и согласия на контрольный прогон.
10. **Live-ключи:** передать publishable/secret key и webhook signing secret по защищённому каналу. Команда размещает их только в отдельном файле с правами `0600` по протоколу координатора M1; ключи не передавать в CLI, коммиты, логи или тикет.
11. **Live webhook:** создать в Stripe endpoint `https://app.sixbyy.com/api/billing/webhook`, включить нужные события и передать signing secret команде тем же защищённым способом.

## 3. ОТ КОМАНДЫ — остаток волн

- Оставить Stripe и бета-флаги в `ship-dark` до явного owner GO.
- Установить live-секреты только в защищённый файл `0600`, проверить конфигурационный контракт и не допустить утечки в процессах/логах.
- Включить флаги по протоколу координатора, затем выполнить контрольный sandbox/live-readiness прогон €10: `requires_capture`, без capture, с корректным release/cancel и вебхуками.
- Проверить live endpoint, подпись webhook, retry/inbox и reconcile-холд без выдачи 5xx на отказных путях.
- Перед включением платных поверхностей повторно проверить restricted-категории: PSTN/DID, KYC, Telnyx voice/SMS, wallet/top-up/coins; всё неразрешённое оставить выключенным.
- После проверки URL и runtime-флагов зафиксировать доказательства в WEB-516; при ошибке откатить флаги и ключи, не меняя публичный ship-dark-контур.

## 4. Риски и блокеры

- **Главный блокер:** Stripe Live не готов к включению без owner KYC, IBAN, подтверждения юрлица/адреса, live keys и webhook secret.
- **Юрический риск:** real-пакет уже опубликован, но две предыдущие волны получили NO-GO из-за owner-action; перед live нужно убедиться, что runtime показывает реальные реквизиты, а не pending/synthetic fallback.
- **Денежный риск:** €10 — только manual authorization; capture, subscription, off-session и top-up не включать.
- **Restricted-риск:** телефония/VoIP, SMS и будущие credits могут потребовать отдельного согласования Stripe; бесплатная beta GO не равна коммерческому GO.
- **Операционный риск:** webhook secret, live keys и IBAN нельзя помещать в тикет, репозиторий, командную строку или логи.
- **DNS-недочёт:** корневой SPF для Email Routing отмечен как некритичный остаток; отсутствие SPF может ухудшить доставляемость, но не блокирует текущую проверку support.

WEB516_PACKAGE_DONE

[06.09 03:07Z координатор] [2026-09-06T03:07Z координатор] §1 ВИТРИНА ВКЛЮЧЕНА на проде (владелец: «час на зелёнку»): PUBLIC_LANDING_ENABLED=true в /home/ubuntu/prod/shared/.env.local (бэкап .bak-landing-*), рестарт nc-a1-b → await → nc-a1 → await. Проверено снаружи: гость на https://sixbyy.com/, https://www.sixbyy.com/, https://app.sixbyy.com/ получает 200 с публичной страницей (title «SIXBYY — AI workspace for documents, video, and voice»), залогиненный — приложение; /login 200; paid ok. Код витрины уже был в линии (l109+, gate src/lib/landing/publicLanding.ts, страница src/app/(light)/page.tsx). Состояние эпика Stripe: WEB-511 done (владелец прошёл бету), легал real, витрина включена, §4 support/§5 audit — done. ОСТАЛОСЬ ТОЛЬКО LIVE (§6): KYC/IBAN/юрлицо в Stripe Dashboard (владелец), live-ключи + live webhook secret через файл на M1 (владелец), переключение ключей и контрольный прогон (координатор). Статус → review.

cont18-wave-2111-web-516 — 2026-09-06T10:11:28.108657+00:00 / IST=2026-09-06T15:41:28.108667+05:30

CONT18 fan-out: 2111 REVIEW, gpt-5.6-sol, priority NORMAL; задачи WEB-516, WEB-564.

BLOCK18 NEW SURFACE, engineering flags/routing/content integrity only. Source static review found publicLanding.ts:8–11 explicit truthy flag, proxy.ts:63–88 public root only and:453–456 authenticated workspace preservation; beta-card remains auth+beta gate. syntheticFinalDocs.ts:162–175 exactLEGAL_DOC_MODE=real and:214–267 committed docs, :311–331 owner substitutions/pending markers. Actual legal/[slug]/page.tsx:139–164 and tests/legal/public-legal-pages.spec.ts:74–83 deliberately retain noindex in real mode. Do not call noindex a defect without a search-indexability policy; public reachability is different.
WEB5161800 already reports PUBLIC_LANDING_ENABLED=true activated; WEB5661781 reports LEGAL_DOC_MODE=real, DMCA-1079963 registered/paid and rendered. Do not request re-registration/payment or blindly re-enable flags. Repo docs/operator/README-READY-CHECKLIST.md:14–17 is stale relative to coordinator DMCA receipt; propose evidence attribution update only. Never inspect actual env values or publish legal advice. Use tiny synthetic configuration and ordinary local route/render tests, no external site/session.

Бриф: /Users/poolpooly/audit/outbox/2111-public-landing-real-legal-boundary-review-brief.md
SHA256 b80984388b709d9a5752a89f0645b3a1c0471cddfb3408c19c52711451ff8595
Статус: выдан в relay; запуск/результат не подтверждены. Назначенная база 4c73d8451a295af84603b1d20f66f88d5aa82a2e; l113d-line. Проверка текущего кода и prior-output dedupe обязательны. Координатор принимает пересекающиеся изменения и посадку.

[06.09 13:05Z координатор] [2026-09-06T13:05Z координатор] QA-учётка для пост-QA заведена штатно (invite через админ-маршрут, регистрация 200, credentials-login 302, сессия есть): qa.c09.browser2@sixbyy.com, креды /home/wave/qa/qa-c09-browser2.json (0600 wave). НАХОДКА: регистрация вернула emailVerification.required=true, sent=false — почтовый транспорт на проде выключен (startup: email.transport.configuration mode=off, provider=none) → новые пользователи не получают письмо подтверждения. Это касается всех регистраций по invite, не только QA. Вопрос владельцу/эпику витрины (WEB-516/566): включать транспорт (SMTP/провайдер) или снимать требование верификации для беты.

block19-wave-2117-web-516 — 2026-09-06T14:06:37.724509+00:00 / IST=2026-09-06T19:36:37.724514+05:30

Правила обогащения: WEB-449. ДЛЯ ТИКЕТА: BLOCK19 FIX, gpt-5.6-luna, URGENT / launch correctness.

RELAY6 PUBLIC-LANDING-REAL-LEGAL-BOUNDARY-REVIEW-REPORT.md NO-GO real routing conflict persists currentg. src/app/legal/cookies/page.tsx:1 static Cookie Notice shadows mode-aware src/app/(full)/legal/[slug]/page.tsx:139 metadata/content loader. tests/legal/public-legal-pages.spec.ts expects full real document; scripts/check-public-landing-legal-links.mjs accepts both headings and masks stale route. Remove shadow or delegate static route to canonical loader+metadata without duplicate Next routes. Tighten checker for real mode. Preserve explicit accepted noindex for real legal pages; do not invent search-index policy or new legal wording. DMCA1079963 already paid/registered, no owner re-registration.

Бриф M1 /Users/poolpooly/audit/outbox/2117-canonical-cookie-document-fix-brief.md; SHA256 8eabb26e057b3e62df672f8f903658f91d4bdc6db1f11fc47f1fa3e5813c711f. База l113g4c322c4606a1695fc896ecd6313842d55679b472. Выдан в outbox, running не подтверждён.

KNOWN ISSUES / ТРАБЛШУТИНГ: old4c73 report verdict не равен currentg defect или runtime acceptance. Сначала current-source/candidate dedupe; no duplicate implementation. Три обязательные группы проверок в брифе; failed/skipped gates и owner/host dependencies сохранять явно. High — приоритет closure, CVSS не повышен. Документы M1 /Users/poolpooly/audit/evidence/block19/fanout-jobs.json; будущий отчёт worker ~/waves/BLOCK19-CANONICAL-COOKIE-DOCUMENT-FIX-REPORT.md

block19-public-landing-real-legal-boundary-review-web-516 — 2026-09-06T14:18:20.930553+00:00 / IST=2026-09-06T19:48:20.930561+05:30

Правила обогащения: WEB-449. ДЛЯ ТИКЕТА / BLOCK19.

Вердикт: NO-GO real route shadow oncurrentg.
Причина и текущая дельта: Static src/app/legal/cookies/page.tsx:1 shadows mode-aware(full)/legal/[slug]/page.tsx:139. Script допускает обе heading и скрывает stalepage.2117 canonicalizes loader/metadata/checker; accepted noindex policy и completedDMCA1079963 сохраняются.
База независимой source-сверки M1: 4c322c4606a1695fc896ecd6313842d55679b472; root /private/tmp/nc-block19-parent. Исходный header VERDICT=NO-GO сохранён без изменения scope.

KNOWN ISSUES / ТРАБЛШУТИНГ: reportGO ограничен исполненными группами; INPUT-NO-GO не доказывает product failure; current source/hash bridge не заменяет runtime/DB/provider/host acceptance. Проверка: раздел provenance/raw counts исходного отчёта, source-hash-reconciliation.json и актуальный fanout-jobs.json. Лечение/следующий шаг: Static src/app/legal/cookies/page.tsx:1 shadows mode-aware(full)/legal/[slug]/page.tsx:139. Script допускает обе heading и скрывает stalepage.2117 canonicalizes loader/metadata/checker; accepted noindex policy и completedDMCA1079963 сохраняются.

КАРТА ДОКУМЕНТОВ: M1 /Users/poolpooly/audit/evidence/block19/intake-originals/CONT18-RELAY-6/PUBLIC-LANDING-REAL-LEGAL-BOUNDARY-REVIEW-REPORT.md
SHA256 5d60e404ed79a3f17aa7475161b705908434d7c3f55d012dd573aa4f3aa2fe8e
M1 /Users/poolpooly/audit/evidence/block19/source-hash-reconciliation.json
M1 /Users/poolpooly/audit/reports/block19-checkpoint.md
M1 /Users/poolpooly/audit/evidence/block19/fanout-jobs.json

Board workflow/чужие поля не менялись. High — срочность сверки закрытия; новая числоваяCVSS не назначалась. Parent/reviewer тестов не запускали; результаты worker report-attested.

[06.09 14:37Z координатор] [2026-09-06T14:37Z координатор] НАГРУЗКА-LITE ПОВТОР (2337, A1, 14:30Z): edge /api/ready p95 20 мс; напрямую 3010 «/» p95 73 мс (бэкенд быстрый), но через edge «/» при 20 RPS: p50 7.5 с, p95 11.4 с, max 14.9 с (200×1200, 0×5xx) — очередь под нагрузкой на публичной витрине (SSR + маленькие пулы БД + 2 бэкенда). Волна 2339-landing-latency (A2, sol xhigh): трасса «/» гостя, локальный репро с пулом 3, фикс — статический/кэшируемый гостевой рендер (Cache-Control s-maxage, bypass по cookie), цель p95 ≤300 мс. Astra блок 19: podcast binding a4a5e133 (WEB-536, второй кандидат рядом с 645fbc57) → 2340; canonical cookie e676f8f4 (WEB-564/516) → 2341; WEB-423 круг 4 отсутствовал в проде → патч 3499dacb (2331) → приёмка 2342 (все M4).

block20-block19-canonical-cookie-document-fix-web-516 — 2026-09-06T15:30:02.197441+00:00 / IST=2026-09-06T21:00:02.197451+05:30

Правила обогащения: WEB-449. ДЛЯ ТИКЕТА / CONT19 relay15:20, BLOCK20.

Вердикт: AUTHOR GO; independent2341 pending.
Причина/действие: e676f8f4e5836a8fc23cce92bc87ffbf748c17de repairs staticcookie shadow/checker on g. FullNextbrowser spec skipped due unrelatedportowner;2341 must close realroute/browser proof, preserve acceptednoindex. No blindportkill or duplicateacceptance.
Report header: VERDICT=GO; metadata {"commit": "e676f8f4e5836a8fc23cce92bc87ffbf748c17de", "base": "4c322c4606a1695fc896ecd6313842d55679b472", "fix_commit": "e676f8f4e5836a8fc23cce92bc87ffbf748c17de", "branch": "agent/2117-canonical-cookie-document-fix-20260906", "root": "/Users/milamarty/waves/.worktrees/2117-canonical-cookie-document-fix"}.

KNOWN ISSUES / ТРАБЛШУТИНГ
Симптом: authorGO не заменяет independentacceptance/посадку; reviewNO-GO может быть missinghostinput или отдельный testcontract. Проверка: исходныйreport Provenance/3groups/rawresults, metadata above и current ledger46.json. Лечение: e676f8f4e5836a8fc23cce92bc87ffbf748c17de repairs staticcookie shadow/checker on g. FullNextbrowser spec skipped due unrelatedportowner;2341 must close realroute/browser proof, preserve acceptednoindex. No blindportkill or duplicateacceptance.

Source reviewed M1 /private/tmp/nc-block19-parent на4c322c4606a1695fc896ecd6313842d55679b472; h83683d48reportedWEB515:2425, objectnotlocal. Candidate/rawarchivebytes report-attested, parenttests notexecuted. КАРТА ДОКУМЕНТОВ: M1 /Users/poolpooly/audit/evidence/block20/intake-originals/CONT19-RELAY-1/BLOCK19-CANONICAL-COOKIE-DOCUMENT-FIX-REPORT.md
SHA256 993d175e823233ed1cd0c79a5df21db5f3c87737c03186d2877ca70478de8afd
M1 /Users/poolpooly/audit/reports/block20-checkpoint.md
M1 /Users/poolpooly/audit/evidence/block20/adjudications.json
M1 /Users/poolpooly/audit/evidence/block20/fanout-jobs.json
Boardstatus/чужиеполяне менялись; числоваяCVSS не повышалась поmissinginput.

block21-accblock19cookie-web-516 — 2026-09-06T18:22:46.401471+00:00 / IST=2026-09-06T23:52:46.401480+05:30

Правила обогащения: WEB-449. ДЛЯ ТИКЕТА / BLOCK21, CONT19-RELAY-6.

Вердикт: GO independent
Scope: e676f8f4 canonical cookies, local cutover controls
Report metadata: {"commit": "e676f8f4e5836a8fc23cce92bc87ffbf748c17de", "base": "4c322c4606a1695fc896ecd6313842d55679b472", "fix_commit": "e676f8f4e5836a8fc23cce92bc87ffbf748c17de", "branch": "DETACHED", "root": "/Users/milamarty/waves/wt-ACCBLOCK19COOKIE"}

Доказательство: Route/content base0/5→candidate5/5; proxy8/8, landing/beta14/14, render2/2; checker1/3→3/3, loader15/15, route6/6. Mock JWT plus Chromium host-only cookie2/2.

KNOWN ISSUES / ТРАБЛШУТИНГ
Current h still has src/app/legal/cookies/page.tsx:1 shadow. Candidate deletes it and tightens checker. Real deployed Set-Cookie/effective scheme/Host not established by local browser proof.
Следующее действие: Coordinator replay/landing e676f8f4e5836a8fc23cce92bc87ffbf748c17de and sanitized cutover receipt; no new implementation.

Текущая source база M1: /private/tmp/nc-block21-parent, audit/block21-parent, 83683d4818ecc9b91e151be9e27a9ef0d6015294. Bundle SHA проверен. Report-attested tests не выполнялись родителем/пятью reviewer GPT5.5; удалённые candidate bundles/rawarchives физически не проверены. AuthorGO не равен independentGO, running2370–2377 не равен accepted. Чужие статусы не изменены, CVSS не повышен.

КАРТА ДОКУМЕНТОВ: /Users/poolpooly/audit/evidence/block21/intake-originals/ACCBLOCK19COOKIE-REPORT.md
SHA256 822d76738c4db68d82c3c6b5afb90bdb3ebaf932a6f8041a29bc296056a07516
M1 /Users/poolpooly/audit/evidence/block21/adjudications.json; ledger46.json; /Users/poolpooly/audit/reports/block21-checkpoint.md.

[06.09 21:54Z координатор] l113i ПОСАЖЕН 21:01Z: cookies e676f8f4 (canonical /legal/cookies loader, noindex) — относится сюда (WEB-516/564), ранее ошибочно отмечен в WEB-541. Также в l113i: beta-card gate 5dc841f5 + NEXT_PUBLIC_STRIPE_PUBLISHABLE_KEY в build-env (test-режим Stripe). Email transport на проде по-прежнему unset (provider=none) — решение владельца по провайдеру/домену; invite502 r2 (57b05296, честные ответы при выключенной почте) принят → l113j.

[06.09 22:51Z координатор] ВЛАДЕЛЕЦ 06.09 22:49Z: (1) DMCA-агент на dmca.copyright.gov ЗАРЕГИСТРИРОВАН владельцем 05.09 — пункт закрыт, не ждёт; (2) «да, меняй заглушки на настоящие» — legal real-режим (LEGAL_DOC_MODE=real + LEGAL_DMCA_*) включать при посадке l113j (env-фаза, координатор); (3) владелец утверждает, что отправка писем работает — проверяю факт транспорта на проде (ERRORSWEEP3/4 видели provider=none в стартовых баннерах 3010/3012/3011).

[06.09 23:01Z координатор] 🛬 ПОСАЖЕН l113j (46393080dd885f6ff25967f18639075564e12737) на прод 06.09 22:56:47Z (nc-a1) / 22:56:54Z (nc-a1-b) без простоя (контроллер по одному бэкенду, edge ×8 = 200, paid enforce_ready на обоих). Артефакт me2-standalone-linux-arm64-46393080d-20260906T225025Z sha 44b32502…; RUN l113j-46393080; откат = l113i 18f13093. Состав (L113JPREP2 GO, 15 коммитов): BARGEINRENDERFIX 28467587 (WEB-463: рендерер знает LIVE_UPSTREAM_ENABLED → 8000 идёт в live-upstream; на шлюз ещё нужен sync-plan --apply + рестарт в окне), ROLES5BREBASE c010b7de (roles 5b: admission ≤2000 + repair карантина, ACC GO), DOCENGINECOMPLETENESSR2 e3558f48 (ACC GO), INVITE502R2 (ACC GO), controller adopt ed2b3bf2 (writer, dormant до бинаря на хосте; r2 1fc3f8a9 → l113k), единый regen activation manifest. Env по решениям владельца: APP_ALLOWED_HOSTS += 127.0.0.1:3012 (SEC-007 F1), EMAIL_TRANSPORT=resend через nc-fence (allowlist += api.resend.com:443; было: транспорт off с 25.08 — старые ключи SMTP_HOST vs новые EMAIL_*), LEGAL_DOC_MODE=real + реквизиты DMCA-1079963. Миграций новых нет (P19 189). hetzbk publish/env-pack — см. следующий комментарий. Далее: батарея ролей на l113j, dry-run репейра карантина (--in-process-repair, --conditions=react-server), SIP фаза 3.

[07.09 01:19Z координатор] БЕТА-ТЕРМИНАЛ ПЕРЕСАЖЕН (волна 2514 BETAREBASE, A2 sol, 01:14Z): GO, commit 471dc38b над ПРОД l113k d00b8f35 (bundle sha a3b230a6…) — цепочка 1c688179→faf17fbd→81dcd097→ec2a718c, пропущенная l113j после UI-конфликта, воспроизведена; приёмка 2519 ACCBETAREBASE (claude-opus xhigh) запущена → l113m.

[07.09 05:48Z координатор] КАНДИДАТ l113m (волна 2529 L113MPREP, 05:46Z): VERDICT=GO, commit dc3c3612 над ПРОД l113l da6799b2 (bundle sha aa16ca7e…): VOICERETRYAFTERGATE R1→R3 (WEB-564 голосовые, ACC GO), BETAREBASE 471dc38b (WEB-511/516, ACC GO), DOCENGINEPANELR2 214fc74f (WEB-086, ACC GO); lock-hash rc 0, migration compatibility 190/190, drift gate rc 0. Досборка 2533 L113MPREP2 добавляет C07 серию R1→R3 (ACC GO) → сборка → посадка.

[07.09 06:39Z координатор] ПОСАЖЕНО: ПРОД = l113m (8f4ba1d9) с 06:32:59Z 07.09 (флип 06:32:03–06:32:59Z, rolling через upstream-controller). Над l113l: VOICERETRYAFTERGATE R1→R3 b266be5a (WEB-564), BETAREBASE 471dc38b (WEB-511/516/543), DOCENGINEPANELR2 214fc74f (WEB-086), C07EARLYEDITS R1→R3 1841ffb1 (WEB-564/086), regen manifest. Артефакт 5078b70a… (243 790 175 байт), attestation fable-a2-l113m, activation подписана владельцем. Миграций нет (190/190). Verify: ready 3010/3012 True 8f4ba1d92, paid enforce_ready ×2, edge ×8 = 200, корни app/sixbyy/www = 200, /login 200, nb → 301, POST {} на /api/messenger/v1/telegram/webhook = 401 (реальный путь вебхука; /api/telegram/webhook даёт 403 origin-lock по замыслу), AttestationError/BACKEND_NAME = 0, nginx errors = 0, LEASE_LOST = 0, Telegram getWebhookInfo без ошибок. hetzbk /home/app-artifact/l113m-8f4ba1d9, env-pack и Pi standby на l113m-8f4ba1d9. Откат = l113l da6799b2. Расписка L113M-RELEASE-RECEIPT.md в очередях A1/A2/M4. Post-QA: волна 2542 L113MPOSTQA (A1 live).

[07.09 07:08Z координатор] POST-QA ЖИВОГО l113m (волна 2542 L113MPOSTQA, A1, sol xhigh, 06:40–07:05Z, только edge app.sixbyy.com): VERDICT=NO-GO по двум пунктам, остальное GO. (1) C07 early edits (WEB-564/086) — FAIL воспроизводимо: hold только Socket.IO у A, ввод A1..A3 в deferred, release → late-join serverVersion=34, но snapshot-applied=false; peer B [false,false,false]; durable без правок → круг 4 = 2555 C07EARLYEDITSR4 (A2). (2) Voice retry after paid gate — пробу нельзя выполнить: у QA-identity Telegram not_linked, paid gate открыт (нужен disposable Telegram-чат координатора либо подписанный synthetic ingress + управляемый paidReady=false) — задача координатору, не дефект. GO: beta rebase (/beta-card со Stripe-формой, canceled PI терминален), doc-engine panel r2 (receipt без 500), периметр (ready/roots/login/webhook 401/paid enforce_ready). Отчёт A1 L113MPOSTQA-REPORT.md (копия в inputs/tickets).

[07.09 10:41Z координатор] **Внешний quick-review юридического пакета (владелец, 10:20Z 07.09): CONDITIONAL NO-GO → волна 2603 LEGALCLEANUPR2 (A2, sol xhigh) над ПРОД l113p 1c850d92.** 11 пунктов: (1) остаточные `{{LEGAL_*}}` плейсхолдеры → loader fail-closed + формулировка «sole trader established in Ireland, trading as SIXBYY»; (2) retention «pending approval» → конкретные сроки из кода/инфры как adopted defaults; (3) внутренние пути src/prisma/infra/docs/operator — вон из публичных документов; (4) PUBLIC_VENDOR_LIST «None confirmed» → реальные процессоры (OCI, Cloudflare, Resend, Sentry, OpenAI/Google AI/OpenRouter/Jina/Tavily, Apple/Google sign-in, Stripe sandbox, Telegram, Hetzner backups, собственная телефония); (5) DMCA «registered» → env-зависимый текст (на проде заданы LEGAL_DMCA_AGENT_REGISTRATION_NUMBER/DIRECTORY_URL; владельцу задан вопрос, реальна ли регистрация); (6) единый переключатель Stripe sandbox|live; (7) Connecticut — убрать «документы/голос = sensitive», beta-gate exclude CT; (8) «2 portability requests/year» вон из GDPR-раздела; (9) €10 hold — «release promptly after verification»; (10) TOS §7 — только free invite-only beta; (11) US UGC/CSAM — не заявлять US READY, owner-action шаги. Плюс: жёсткий public allowlist slug→файл (TERMS-DRAFT, FOUNDER_DECISIONS, INTERNAL_VENDOR_REGISTER → 404), скрипт `scripts/legal/render-public-docs.mjs` для рендера с реальными значениями (координатор запустит на проде, отдаст владельцу в Загрузки и посадит серию в l113q). Полный текст рецензии: A2 `waves/inputs/legal/LEGAL-REVIEW-EXTERNAL-20260907.md`.

ЭВОЛЮЦИЯ ЗА 12 Ч (гигиена 2609, 11:25Z 07.09)

СОСТОЯНИЕ ЭПИКА 11:25Z: формальных children по parentId нет; прогресс ведётся самим тикетом и связанными карточками. Эпик не закрывать.

ХРОНОЛОГИЯ КРУГОВ
- Beta PaymentIntent terminal handling `471dc38b` → ACC GO (`A2 waves/ACCBETAREBASE-REPORT.md`) → semantic replays `1aecc661` + `4ca0722a` в l113m; live paid readiness оставалась enforce_ready. `A1 waves/BLOCK22-SUBSCRIPTION-BETA-LIVE-R3-REPORT.md` = GO.
- Реальные legal docs выданы owner 09:19Z; внешний quick-review 10:20Z = CONDITIONAL NO-GO, 11 пунктов. DMCA registration подтверждена owner: DMCA-1079963.
- 2603 LEGALCLEANUPR2 сейчас на A2: правки 11 пунктов + public allowlist + render script; кандидат ещё не принят и не посажен.
- Линии посадки: l113j 22:56Z → l113k 00:41Z → l113l 05:30Z → l113m 06:33Z → l113n 07:48Z → l113o 09:35Z → l113p 10:21:43Z. Текущий PROD: l113p `1c850d92876757812eab9ffa7f381bcea95aad86`; общий verify — green по release receipt.

ДЛЯ НУЛЕВОГО АГЕНТА
- На проде: Stripe beta terminality и enforce_ready. Legal cleanup r2 не в l113p; реальные документы r2 ещё не отрендерены/не переданы.
- Следующий шаг / владелец: A2 заканчивает 2603 → независимая приёмка → координатор сажает в l113q → рендер на проде → owner получает `~/Downloads/sixbyy-legal-real-r2`. Статус in_progress; закрывать нельзя.

KNOWN ISSUES / ТРАБЛШУТИНГ
- 11 пунктов review: placeholders, retention pending, internal paths, vendor list None, DMCA/FOUNDER consistency, Stripe sandbox/live switch, Connecticut, portability quota, €10 hold, ToS §7, US UGC/CSAM + hard public allowlist. Источник: `M4 waves/OPS-STATUS-HEAD-1120.md`; лечение — 2603, без выдуманных дополнительных требований.

STATUS TRAIL
- `review` → `in_progress` после этого комментария. Основание приведено выше; эпики не переводятся в done.

СВЯЗИ / ИСТОЧНИКИ
- Release: `M4 waves/L113P-RELEASE-RECEIPT.md`; координаторский срез: `M4 waves/OPS-STATUS-HEAD-1120.md`; точные отчёты перечислены в хронологии/KNOWN ISSUES.
- Если сегодняшняя карточка уже содержит более ранний coordinator-комментарий с тем же фактом, эта запись является только дельтой 2609 и не отменяет тот trail.

[08.09 11:16Z координатор] **08.09 легал: круг 6 отдан владельцу, круг 7 в работе.**

r6 закрыл оба пункта предыдущего внешнего разбора (`CONDITIONAL GO`): семь поставщиков с неподтверждённым договором помечены `GATED / NOT ENABLED` (Google, Apple, OpenRouter, Jina AI, Tavily, Telnyx, TwelveLabs) с правилом в шапке списка, что такие строки — НЕ действующие обработчики; экран согласия проверен на самом экране, согласие на сохранение карты явное и автосписание в нём прямо запрещено (тест `BetaAuthorizationScreen.test.tsx:193`, тест списка `publicLegalBoundary.test.ts:82-94` требует по две пометки на строку). Папка `~/Downloads/sixbyy-legal-real-r6-20260908`, плейсхолдеров 0 во всех 18 файлах.

r7 (волна 2802, A1) — по новому разбору: страховочная фраза «The €10 verification amount is not the price of any current or future SIXBYY plan»; единая страница реквизитов `/legal/legal-notice` со ссылками из остальных документов вместо дублирования имени, адреса и телефона; по GDPR — раздел Article 13 «что обязательно и что будет при отказе» и описание пути для особых категорий данных (Article 9). RoPA, скрининг DPIA и договоры с активными обработчиками вынесены как открытые до платного запуска — это не документы пакета.

Легал r9 отдан рецензенту 08.09. Правовое основание €10 разведено на три: удержание — законный интерес Article 6(1)(f) с явной оговоркой, что оно не является объективно необходимым для бесплатного сервиса, и с балансирующим тестом; сохранение карты в Stripe — согласие Article 6(1)(a) только через отдельное, по умолчанию неотмеченное действие, не выводимое из принятия Terms; будущий реальный платёж — договор Article 6(1)(b) плюс обязанность хранить записи Article 6(1)(c). Гейт публичного пакета: 17 проверок, все PASS. Изменены ровно пять публичных документов (сверено пофайлово с r8). Коммит 50734f705.

Легал r9 отдан рецензенту 08.09. Правовое основание €10 разведено на три: удержание — законный интерес Article 6(1)(f) с явной оговоркой, что оно не является объективно необходимым для бесплатного сервиса, и с балансирующим тестом; сохранение карты в Stripe — согласие Article 6(1)(a) только через отдельное, по умолчанию неотмеченное действие, не выводимое из принятия Terms; будущий реальный платёж — договор Article 6(1)(b) плюс обязанность хранить записи Article 6(1)(c). Гейт публичного пакета: 17 проверок, все PASS. Изменены ровно пять публичных документов (сверено пофайлово с r8). Коммит 50734f705.

РАЗДЕЛЕНИЕ ЛИНИЙ 08.09 по решению владельца. Этот тикет остаётся про Stripe и правовые документы (легал r9/r10) и НЕ смешивается с двумя новыми линиями соответствия: WEB-575 — GDPR operational readiness (реестр обработок, оценка воздействия, обработчики ст. 28, согласие ст. 9, доказательства процессов), WEB-576 — Закон ЕС об ИИ ст. 50 (раскрытие при первом взаимодействии, маркировка сгенерированного, классификация действий редактора). У каждой линии СВОЙ вердикт готовности. Ожидающее решение владельца по Oracle (Oracle America, Inc. или Oracle EMEA Limited) остаётся здесь: правка готова отдельным коммитом 3cf642281 и принимается или отбрасывается одной командой.

BOARD-WASH-20260910:WAVE-3340
По поручению владельца 18:43Z назначена исполнительская волна 3340 (external), Codex gpt-5.6-luna xhigh, M4. Полная история карточки и база l115c 1ad52e16b доставлены, brief-guard и проверка Git-базы пройдены. Задача: проверить существующую сдачу, устранить остатки, передать бандл и доказательства. Финальная приёмка и посадка остаются за координатором. Запуск группы подтверждён в журнале диспетчера.
КАРТА ДОКУМЕНТОВ: ноут /Users/annakorin/nc-ops-scripts/board-wash-20260910/3340-wash-external-brief.md; M4 /Users/milamarty/waves/inputs/board-wash-20260910/external-tickets.json; ожидаемый отчёт /Users/milamarty/waves/3340WASHEXTERNAL-REPORT.md. Правила обогащения: WEB-449.

WASH3340-RECEIVED:516
Получена и прочитана сдача 3340. GO относится только к объёму исполнителя. Бандл сохранён на ноуте и SHA256 проверен. Исправление d182e853a (два файла disclosure/тест) ещё НЕ принято координатором и НЕ посажено. Исторические внешние статусы ниже не перепроверены живьём.

Stripe live readiness / public landing / legal

### Критерии

Эпик разбит на concrete criteria:

1. Public guest landing is controlled by `PUBLIC_LANDING_ENABLED`, preserves OFF behavior and exposes only the canonical legal links.
2. The €10 disclosure is exact, separate saved-card consent is explicit/unchecked by default, and no capture/off-session mandate/subscription path is introduced.
3. Public legal routes use the canonical allowlist and real documents without synthetic leakage or loader-detail leakage.
4. Support, DMCA and owner decisions have evidence; Stripe sandbox/live, KYC, webhook and email transport are not inferred from source.
5. WEB-575/WEB-576 and later SEC cards remain separate; they are not included in this ticket’s residue.

### Факты / коммит

Ticket created `2026-09-05T02:01:03.472Z`, status `in_progress`. Evolution was read chronologically:

- `05.09 02:01–07:52`: synthetic legal material and landing/legal routes were split into waves; public landing went through `53e60960` and `90a093a1`; the initial `/legal/tos`/`/legal/cookie` acceptance requirement was corrected after checking the real canonical route.
- `05.09 12:40`: coordinator reported l109 with landing dark and runtime flag unset; disclosure screen and legal work remained staged.
- `05.09 14:47–18:46`: legal real-mode rounds `d5f91df1`, `db23b862`, `a4e7ee74` recorded successive owner-data and owner-action gaps; DMCA registration was then submitted/paid and the agent page went through NO-GO to GO rounds (`08ed8596...`, `520b3a68...`).
- `06.09 02:26–03:07`: coordinator history reports real legal mode and sandbox beta enabled, and public landing enabled on prod. Those are coordinator records, not independently reproduced here.
- `06.09 14:06–22:00`: a real-route review found a static cookies shadow and canonical-cookie fix `e676f8f4`; the history reports it landed in l113i. Current BASE has no `src/app/legal/cookies/page.tsx`; canonical dynamic route is `src/app/(full)/legal/[slug]/page.tsx`, and legal tests passed.
- `07.09`: legal quick review raised 11 conditional issues, including placeholders, retention, vendor gating, Connecticut, portability, and release wording. This drove later cleanup rounds; current BASE includes `50734f705` and `6c5478e5d`, and the local legal boundary/package gates pass.
- `08.09`: legal r9 was handed to review; the owner explicitly split WEB-575/WEB-576 out of WEB-516. Do not absorb those new lines.

New source-side work in this wave is the static disclosure synchronization:

- root: `public/_landing.html:58` was stale against `src/lib/billing/betaAuthorizationDisclosure.ts:52`; its own guard test had the same stale literal at line 113;
- RED: before the fix, `publicLanding.test.ts` failed with `approved disclosure source lost: Stripe may securely store your card for later.`;
- fix: `d182e853ad76d39dab1129d53c646dcf197a1a53`, two-line content/test synchronization;
- GREEN: combined 34/34, disclosure/no-capture 19/19, React disclosure screen 6/6, `git diff --check` exit 0.

Existing relevant source and tests at BASE were not duplicated: `src/lib/landing/publicLanding.ts`, `src/components/landing/PublicLanding.tsx`, `src/lib/legal/publicLegalRegistry.ts`, `src/app/(full)/legal/[slug]/page.tsx`, `src/app/(full)/legal/dmca/page.tsx`, `src/lib/legal/__tests__/publicLegalBoundary.test.ts`, `scripts/legal/__tests__/check-public-package-gate.test.mjs`, `src/lib/billing/__tests__/betaAuthorizationDisclosure.test.ts`, and `src/lib/stripe/__tests__/web511NoCaptureGuard.test.ts`.

### Остаток

Source-side drift is fixed. Remains outside this wave: coordinator/owner live browser validation, current l115c runtime flag/access proof, Stripe mode/keys/prices/webhook proof, KYC/IBAN, actual email transport, formal legal owner review and any unresolved live-readiness owner checklist. No production assertion is made from this report. WEB-575, WEB-576 and SEC-049…076 remain explicitly out of scope.

### KNOWN ISSUES / ТРАБЛШУТИНГ

- Symptom/source reproduction: static guest disclosure differs from canonical billing disclosure. Check with `node --import tsx --test src/lib/landing/__tests__/publicLanding.test.ts`; root was `public/_landing.html:58` plus stale test expectation; treatment is `d182e853a`, now green.
- Symptom/runtime: landing or legal page may not reflect source because runtime flag/env is separate. Coordinator-only two-minute check: open guest roots and `/legal/terms`, `/legal/legal-notice`, `/legal/privacy`, `/legal/refund`, `/legal/cookies`; compare with `PUBLIC_LANDING_ENABLED` and legal mode on both backends. Not run in this wave.
- Symptom/Stripe: sandbox/live or saved-card flow can be misread from source. Run owner-approved browser/sandbox test and inspect exact webhook/event evidence; do not place secrets in command args or report. Not run.
- Root of remaining live readiness is external runtime configuration/owner evidence, not the fixed HTML drift.

### ДЛЯ ТИКЕТА

Full history and paths: ticket source `/Users/milamarty/waves/inputs/board-wash-20260910/external-tickets.json`; canon `/Users/milamarty/waves/inputs/board-wash-20260910/canon.json`; historical readiness package `/Users/milamarty/waves-m1/WEB516-LIVE-READINESS-PACKAGE.md` is missing here; historical legal reports include `/Users/milamarty/waves/LEGALSTRIPE-REPORT.md`, `/Users/milamarty/waves/RESTRICTEDAUDIT-REPORT.md`, and coordinator/A2 reports under paths recorded in ticket history, not re-read as local artifacts. Current source anchors are listed above. The exact delivered patch for this wave is in `d182e853ad76d39dab1129d53c646dcf197a1a53`; verify record is `/Users/milamarty/.agent_runs/WEB-516/verify.json`.

DISPATCH-20260910-3393
На 2026-09-10T21:38:23.260126+00:00: active; A2, волна 3393 acc-landing-disclosure. Exact BASE d182e853ad76d39dab1129d53c646dcf197a1a53. Бриф прошёл brief-guard; входы SHA256 и наличие BASE проверены до постановки. Входы /home/ubuntu/waves/inputs/3393-acc-landing-disclosure. Отчёт ожидается /home/ubuntu/waves/3393ACCLANDINGDISCLOSURE-REPORT.md. Живой процесс модели подтверждён; возраст журнала 18 с. Source/подготовка и независимая проверка — в объёме брифа; это не посадка, не live/capacity GO и не окончательное закрытие security.

FLEET-FINAL-20260910-2140
2026-09-10T21:40:44.490670+00:00: Волна 3393 завершилась; report/bundle/sidecar существуют, report заявляет source GO. Полная координаторская сверка пакета впереди; посадки нет. Полная WEB-516 live readiness не заявляется.

[12.09 22:17Z координатор] МОЙКА 12.09 (3567-wash-g2-telephony-billing): всё, что можно построить командой, готово (витрина, disclosure, real-легал, DMCA, support@, restricted-аудит). Осталось только Live: владелец заполняет Stripe KYC/IBAN и передаёт live-ключи + webhook secret. Парковать до действия владельца; мелкий инженерный хвост (посадить d182e853, legal r10) — в комментарии.
Остаток: §6 Live — владелец: KYC/IBAN/юрлицо/банк в Stripe Dashboard + передача live-ключей и webhook secret (защищённый канал).; Финал legal go-live + внешний review r10 (условный).; Посадить disclosure-фикс d182e853 (wash 3340) и контрольный live-прогон.
Отчёт: /Users/milamarty/waves/3567WASH*-REPORT.md (M4), копия nc-ops-scripts/shift-20260912-resume/wash-20260912/collected/. Проверка по исходнику прода l115g (9c8a9762).
Статус: review → parked (по вердикту мойки PARK).

[13.09 11:01Z координатор] Мойка отложенных, волна 3668. Вердикт: ЖДЁТ-ВЛАДЕЛЬЦА. §1-§5 готовы; §6 Live — owner KYC/IBAN/live-keys + email-провайдер.

[13.09 11:14Z координатор] Волна 3673. OWNER-ACTIONS: два пункта на единой странице владельца (3673-owner-actions-single-page-out/OWNER-ACTIONS.md) — дело №1 (Stripe Live: KYC/IBAN в Dashboard + передача live-ключей и webhook secret координатору защищённым каналом) и дело №9 (название юрлица Oracle для списка поставщиков — Oracle America vs Oracle EMEA; пометка: возможно устарело, не встречается в сводках 12.09/13.09, уточнить актуальность). Также раздел «похоже на твоё, но нет»: переключение sk_test→sk_live и публикация реальных юр-документов делает координатор.

РЕШЕНИЕ=parked
ОСНОВАНИЕ=13.09.2026, волна 3673: OWNER-ACTIONS; волна 2965 дала VERDICT=GO для чекера, commit 60565b833, но board-факт посадки для остатка отсутствует; d182e853a отмечен как не принятый и не посаженный.
ЧТО НУЖНО=Владелец завершает Stripe LIVE KYC/IBAN/live-keys и email/SPF-DKIM-DMARC; координатор сажает принятый фикс и прогоняет чекер с runtime-доказательствами; затем новая приёмка.
triage-m1 4617

[22.09 19:13Z координатор] ## 4620 (A2, GO, 3/3) — остаток действий владельца по коду `ownerCabinets/readiness.ts` (15 проверок) и телу тикета

Открыто за владельцем (Stripe Live):
1. Stripe Dashboard → Live: завершить business/KYC (юрлицо, данные владельца, IBAN/payout). Проверка: `stripe-api-keys` → `done` только при `GET /v1/account livemode=true`.
2. Live → API keys: создать пару и поставить `STRIPE_SECRET_KEY` / `NEXT_PUBLIC_STRIPE_PUBLISHABLE_KEY` в runtime (через защищённый канал, не в тикет).
3. Live → Products/Prices: Voice Pro и Team Voice как active recurring; Price IDs → `NEXT_PUBLIC_STRIPE_PRICE_VOICE_PRO` / `NEXT_PUBLIC_STRIPE_PRICE_TEAM_VOICE`. Проверка `stripe-products-prices`.
4. Live → Developers → Webhooks: `${APP_ORIGIN}/api/billing/webhook`, события из матрицы (или `*`), signing secret → `STRIPE_WEBHOOK_SECRET`. Проверки `stripe-webhook-endpoint`, `stripe-webhook-secret`.
5. Cloudflare Email Routing/DNS: провайдер/домен отправителя, SPF/DKIM/DMARC (вне чекера, проверяется письмом).
После 1–4 координатор переключает приложение на live и делает контрольный прогон; критерий закрытия по телу тикета — первый live-платёж.
Итоговая страница: admin GET `/api/admin/owner-cabinets` (`ready=true` при 15/15). Сухого режима у чекера нет (сразу зовёт API провайдеров).
Полный список: `a2:/home/ubuntu/waves/4620OWNERCABINETSREADINESSCHECKLIST-evidence/checklist.md`, `checks.md`.

[22.09 19:22Z координатор] ## 22.09 19:4xZ координатор — ответ владельцу «начисляет ли песочница кредиты»

- Факт по бою (`.env.local`, значения скрыты): `STRIPE_BETA_FREE_MODE=1`, ключи `sk_test`/`pk_test`, `STRIPE_WEBHOOK_SECRET` задан, `NEXT_PUBLIC_STRIPE_PRICE_*` НЕ заданы.
- Песочницей проверена только бета-авторизация €10 без capture (WEB-511, `capture_method: manual`, PI отменяется). Кредиты она не начисляет по замыслу.
- Пути «пополнение → кредиты кошелька» в коде нет: `POST /api/billing/payment-webhook/[provider]` — заглушка, `isBillingTopupStubEnabled()` → 404 на production при любых секретах.
- Единственный платный путь = подписки `mode:'subscription'` (Voice Pro / Team Voice → тариф), закрыт `betaModeGate.ts`, пока флаг беты включён.
- Предложение: проверить подписку в test-режиме на стенде (флаг беты выкл., тестовые Price ID, карта 4242, вебхук → grant) ДО Live; «кредиты за деньги» = отдельный тикет-функция.

[22.09 20:00Z координатор] ## 22.09 20:2xZ — эволюция по 4622: Live потребует ПЕРЕСБОРКИ артефакта

`NEXT_PUBLIC_STRIPE_PRICE_VOICE_PRO`, `NEXT_PUBLIC_STRIPE_PRICE_TEAM_VOICE`, `NEXT_PUBLIC_STRIPE_PUBLISHABLE_KEY` вшиваются в бандл при `next build` (4622, `NEEDS_REBUILD=ДА`). Значит шаги владельца 2–3 (ключи, Price ID) → сборка нового артефакта с live-значениями в build-env → посадка; runtime-правкой env не обойтись. Секретный `sk_live`/`whsec` — runtime, без пересборки.

РЕШЕНИЕ=parked
ОСНОВАНИЕ=2026-09-22, волна 4620 GO для checker, но live/runtime-доказательства не подтверждены; текущая линия l115j/133fe00c не закрывает owner actions.
ЧТО НУЖНО=владелец: принять решения по Stripe LIVE и email-провайдеру/домену; triage-neo 4713

[25.09 12:14Z координатор] 4989 Stripe sandbox E2E на all9 (879094713e): VERDICT=GO. Пополнение зачислено, идемпотентность ДА, конфликт залогирован, UI ДА, подписка voicePro, отказ честный, RAW_PAN_USED=0, SECRETS_PRINTED=0.

[27.09 13:48Z координатор] 27.09: e-mail провайдер/домен из остатка — СДЕЛАН (Resend, sixbyy.com Verified, EMAIL_FROM прода = notify@sixbyy.com, доставка подтверждена владельцем). Остаток карточки — только Stripe Live: KYC/IBAN (владелец) → live-ключи и вебхук (координатор, секрет сразу на прод без пересылки) → первый live-платёж. Владелец 13:46Z: Stripe «на закуску», пока не трогаем.