WEB board

[BLOCK4-SEC-007-FINAL | 2026-09-05 03:58Z / 09:28 IST | astra-security]
ДЛЯ ТИКЕТА SEC-007 [[WEB-523]], parent [[WEB-515]]. Правила WEB-449.
Состояние: Обход текущей проверенной границы не подтверждён; config assurance / проверка предпосылки топологии.
Условие/file:line: APP_TRUST_EDGE_FORWARDED_HEADERS=1 объявляет forwarded host/proto доверенными без отдельного peer-IP доказательства. Контракт явно требует listener, доступного только через локальный edge: src/lib/auth/verifyOrigin.ts:200–215,314–349; src/proxy.ts:196–217,340–345. Это намеренная настройка, а не найденный сам по себе bypass.
Доказательство: Actual origin+TrustedIdentity/pre-scoped controls12pass; WEB075 helper7pass/proxy5pass. Исходный src/proxy.test.ts после исправления ESM resolution39pass. Source-traced actions.ts:1654–1657,2683–2691,2815–2818 получает session identity и сверяет runtimeUserId; полный Server Action transport не тестировался.
Фикс-предложение: Сделать предпосылку edge trust явной в deploy/config validation: подтверждать изоляцию listener и перезапись forwarding headers либо применять проверяемые proxy peers. Зафиксировать отдельный browserless s2s contract: Host gate сохраняется, provider signature проверяет handler. Не менять рабочие исключения без compatibility matrix.
Severity/CVSS3.1=pending/not assigned. Priority P2 engineering, не severity; для closed hypothesis это review record. High/Critical не установлен.
Что село: audit artifacts,3append-only spec deltas; no product fix/new source commit/deploy. Base /Users/poolpooly/audit/nc, l106-line6930c6832744e273ccad495caba9b31329761650. Все7проверенных source roots clean.
Что осталось: /Users/poolpooly/audit/outbox/1940-origin-topology-assurance-brief.md опубликован с ROUTING:HOLD после старых эпиков; pickup новых пакетов пока не подтверждён. CONT-PROMPT-4 подтвердил1920–1922 HOLD на A2;1900/1901/1912 не трогали.
КАРТА ДОКУМЕНТОВ (M1): /Users/poolpooly/audit/reports/2026-09-05-origin-block4.md; /Users/poolpooly/audit/reports/2026-09-05-boundaries-block4.md; /Users/poolpooly/audit/evidence/block4/origin/; /Users/poolpooly/audit/evidence/block4/parent-validation.json, review-adjudication.md, git-final.json; /Users/poolpooly/Projects/nc-agent-ops/board/specs/SECURITY-FINDINGS-REGISTER.md, SECURITY-THREAT-MODEL.md, SECURITY-ATTACK-SURFACE.md.
TRANSFER: /Users/poolpooly/audit/outbox/1940-1943-boundary-evidence.tar.gz + .sha256; SHA256 9962193e085babff3339d2655f01b43a8169155efba3142a86a4f56842164f04;76members,75file hashes verified. Immutable snapshot before final receipt.
KNOWN ISSUES / ТРАБЛШУТИНГ: Live listener/active env/edge stamping не проверялись. Nginx templates и topology doc не являются deployed readback. WEB387 static assertion остаётся1fail при4pass. Никакого red, нарушающего документированный контракт, не изобреталось.
Общий итог15final invocations125pass/4fail:2invariant reds,1WEB387 static assertion,1wallet stale equality. Это не green product suite. Proxy11fail устранены как ESM harness issue: Node dynamic import игнорировал NODE_PATH; own-worktree dependency symlink → unchanged proxy39/39. Не приписывать исправление продукту.

BLOCK9-CRON-GUARD-ASSURANCE — 2026-09-05T12:45:06.302851+00:00 / IST=2026-09-05T18:15:06.302856+05:30

Правила обогащения WEB-449. Блок9, cron boundary, существующий SEC-007 assurance scope: гипотеза «cron пропускает запрос без секрета» отвергнута для проверенных21 GET и16 POST wrappers на6930. Graph trace+snippets: все GET входят в handleCronRequest до callback с полезной работой,16 POST делегируют GET. verifyCronSecret(auth.ts:80–99) fail-closed на пустом CRON_SECRET и сравнивает x-cron-secret/Bearer; guardCronRequest:115–133 проверяет секрет до loopback; handleCronRequest:135–202 добавляет active/passive DB lease и проверку владения при завершении.

Loopback: auth.ts:234–251 смотрит URL hostname и forwarded/real/cf headers; это не socket remoteAddress. Поэтому network-origin assurance всё ещё зависит от доверенного proxy/listener, как SEC-007; новый дублирующий SEC не создаётся и auth bypass не заявляется. Секрет остаётся обязательным независимо от host/header shape. Действующий cron PIN/edge rollout не менялся.

Следующая независимая приёмка существующей1950 должна сохранить controls: blank/wrong secret→0callback; correct secret + явно non-loopback request metadata→0callback; permitted local synthetic request→1callback underlease, failure/lostlease не становится success. Эти проверки поведения сформулированы, здесь не запущены. Для доказательства реального происхождения нужна attested topology/config, а не изготовленный Request с localhost URL.

KNOWN ISSUES / ТРАБЛШУТИНГ: значение Host не равно peer. Чтение≤2мин /Users/poolpooly/audit/evidence/block9/cron-get-guard-inventory.json и cron-post-delegation.json; отчёт /Users/poolpooly/audit/reports/2026-09-05-cron-pii-block9.md. ДЛЯ ТИКЕТА: missing-auth гипотеза отвергнута в37проверенных handler paths, topology остаётся existing assurance; CVSSpending для assurance, N/A для отвергнутого missing-secret candidate.

[05.09 13:08Z координатор] Волна 1950 ORIGIN-TOPOLOGY-ASSURANCE (Claude opus, A2) = GO: гипотеза обхода границы ЗАКРЫТА (не «не доказана»): APP_TRUST_EDGE_FORWARDED_HEADERS=1 — намеренная топологическая посылка; перебор 216 граничных оценок показал, что клиент, уже достигающий app-порта, не получает ни одной новой возможности (принятое множество host идентично с флагом и без; расширяется только инертное измерение scheme). CVSS=N/A. 139 тестов: 138 pass, 1 pre-existing stale (web387.proxy.test.ts:95-112). Кода не менялось. Тикет можно закрывать как adjudicated/N/A (решение Астры/владельца).

[05.09 13:30Z координатор] Независимая адъюдикация SEC-007 (волна 1950, A2, LABEL=ORIGIN-TOPOLOGY-ASSURANCE): VERDICT=GO. Смысл GO: условие из пакета Астры воспроизведено на пинованной базе 6930c683 на синтетических фикстурах, трактовка подтверждена; это не приёмка релиза и не подтверждение эксплойта. fix_commit=none, роутинг HOLD, High/Critical не установлено. Отчёт: /home/ubuntu/waves/ORIGIN-TOPOLOGY-ASSURANCE-REPORT.md, артефакты /home/ubuntu/waves/artifacts-1950-*. Отчёт передан Астре в ~/audit/inbox (relay 13:29Z).

BLOCK9-ORIGIN-ADJUDICATION — 2026-09-05T13:41:23.257235+00:00 / IST=2026-09-05T19:11:23.257239+05:30

SEC-007 / WEB-523: гипотеза обхода проверенной Origin boundary ЗАКРЫТА на базе 6930c683, CVSS 3.1=N/A. WEB-523 остаётся P2 backlog как config-assurance задача. High/Critical и fix_commit отсутствуют.

APP_TRUST_EDGE_FORWARDED_HEADERS=1 — явная посылка топологии (verifyOrigin.ts:200–211,314–349). Direct Host allowlist до подстановки (:300–312), effective host allowlist (:371–379) и browser Origin/Referer для unsigned mutations (proxy.ts:214–215) сохраняются. Worker сообщает 216 сравнений boundary и 139 тестов: 138 pass, 1 существующий stale source matcher web387.proxy.test.ts:95–112. Это report-owned evidence, удалённый TAP здесь не запускался. 11 доступных хешей из отчёта сверены с локальной базой.

Checked-in systemd задаёт loopback, nginx перезаписывает Host/X-Forwarded-Host/X-Forwarded-Proto. Это текст репозитория, не deployed readback. Effective env/listener и drop-ins не проверены. EnvironmentFile может переопределить HOSTNAME; одного порядка строк недостаточно для доказательства реального bind. Замена на проверку X-Real-IP как peer тоже не эквивалентна: здесь edge пишет end-client адрес.

KNOWN ISSUES / ТРАБЛШУТИНГ: поставленный transfer archive не дошёл до worker. Нужна проверка deploy contract без обращения к live инфраструктуре из этого аудита. Отчёт /Users/poolpooly/audit/inbox/done/ORIGIN-TOPOLOGY-ASSURANCE-REPORT.md, SHA256 2c5d6d1e6f1068b564b9686e54fe28174b545b6575ad0aabb97462a0914577c5. Нового дублирующего SEC/fix пакета нет.

BLOCK9-ORIGIN-ACCEPTANCE — 2026-09-05T13:41:23.260698+00:00 / IST=2026-09-05T19:11:23.260703+05:30

Три группы config assurance для WEB-523 (не новые vulnerability reds):
1. Boot/env contract: при edge-forward trust нужны явный host allowlist и проверяемое объявление изоляции listener; неоднозначный effective HOSTNAME должен диагностироваться. Статическая декларация не доказывает фактический bind; ввод fatal gate требует compatibility review существующего deployment contract.
2. Checked-in topology: каждый app proxy location перезаписывает Host/X-Forwarded-Host/X-Forwarded-Proto, upstream локальный, исключения не ослабляют эти условия. Live конфигурация не подразумевается.
3. Behavior invariants: direct Host allowlist, отказ forwarded host вне allowlist, Origin/Referer для browser mutations, Host gate signed webhooks, secret + loopback contract cron. Не создавать искусственный red для документированной разрешённой конфигурации.
KNOWN ISSUES / ТРАБЛШУТИНГ: нет доказанного attacker-reachable эффекта; CVSS=N/A, runtime topology UNKNOWN. Изменения infra/gateway только по отдельному поручению координатора.

cont18-wave-2088-web-523 — 2026-09-06T10:02:04.002261+00:00 / IST=2026-09-06T15:32:04.002346+05:30

CONT18 fan-out: 2088 REVIEW, gpt-5.6-sol, priority NORMAL; задачи WEB-523, WEB-564.

BLOCK18 NEW SURFACE: review exact l113d app assumptions against a sanitized cutover configuration, not production. WEB564 comment1780 reports Cloudflare real-ip include added after ip_hash used edge addresses and Socket.IO requests split across backends. Actual /etc/nginx/conf.d/cloudflare-real-ip.conf and app vhost are NOT tracked in assigned tree; do not call an absent repo file a proven host defect. WEB563 comments1645/1646 report DNS/cert/vhost setup; WEB5641770 reports stageB cutover and lock/await + JSON URL comparison residuals in external cutover.sh e904cee9. Reconcile owner-supplied exact config/source snapshots before implementation claims; no duplicate cutover fix without current-code evidence.
Current source anchor src/lib/auth/antiBot.ts:99–114 prioritizes x-real-ip then last forwarded address. docs/operator/WEB093-P23-TWO-BACKENDS.md:13–77 is a FUTURE generic example with forwarded headers, websocket upgrade and buffering controls, not deployed sixbyy config. infra/nginx/README.md:27–46 describes controller admission/reload; existing offline controller tests are in infra/nginx/tests. Trace actual app header consumers and realtime transport, distinguish ip_hash client affinity, explicit backend pin and shared-state configuration. Stable client identity and backend isolation must be attested by the edge owner; do not invent trusted CIDRs or use generic docs as live evidence.

Бриф: /Users/poolpooly/audit/outbox/2088-l113d-edge-identity-and-realtime-review-brief.md
SHA256 976af1ef50ef9928d1b4097e90d247e8fcc8693021953f87581326cd3037a095
Статус: выдан в relay; запуск/результат не подтверждены. Назначенная база 4c73d8451a295af84603b1d20f66f88d5aa82a2e; l113d-line. Проверка текущего кода и prior-output dedupe обязательны. Координатор принимает пересекающиеся изменения и посадку.

cont18-relay12-verdict-web-523 — 2026-09-06T11:10:43.677153+00:00 / IST=2026-09-06T16:40:43.677166+05:30

Правила обогащения: WEB-449. ДЛЯ ТИКЕТА / CONT18 intake209x.

Состояние: NO-GO / INPUT.
Причина/доказательство: Отсутствовали exact object/packet на воркере; проверки edge/realtime не выполнены. Это не продуктовый отказ и не приёмка.
Что осталось: Передать sanitized effective nginx real-ip/vhost/upstream/pin и cutover script+hash, затем возобновить существующую2088. Нового FIX нет.

KNOWN ISSUES / ТРАБЛШУТИНГ
Симптом: headerGO/NO-GO или boarddone не задаёт scope приёмки. Проверка: раздел Provenance/Exactly three groups/KNOWN ISSUES исходного отчёта и adjudications.json; source-hash-reconciliation.json содержит локальный byte bridge на4c73. Report-only результаты не объявлены исполненными родителем. Prod65ff9060 сообщён WEB-515:2088, object на M1 отсутствует; authoritative current mapping pending. Лечение/статус: Передать sanitized effective nginx real-ip/vhost/upstream/pin и cutover script+hash, затем возобновить существующую2088. Нового FIX нет.

КАРТА ДОКУМЕНТОВ: M1 /Users/poolpooly/audit/evidence/block18-relay/intake-originals/CONT18-RELAY-1/L113D-EDGE-IDENTITY-AND-REALTIME-REVIEW-REPORT.md
SHA256 3f77c6abea4463e0fa79c4b8210fdf158b34ff499a7497978bc8343d9f119ed2
M1 /Users/poolpooly/audit/reports/block18-relay-1-2-checkpoint.md
M1 /Users/poolpooly/audit/evidence/block18-relay/adjudications.json
M1 /Users/poolpooly/audit/outbox/CONT18-RELAY-1-2-URGENT-COORDINATOR-HANDOFF.md

Board status/чужие поля не менялись. High здесь приоритет closure verification, CVSS не повышен.

block19-wave-2121-web-523 — 2026-09-06T14:11:34.828802+00:00 / IST=2026-09-06T19:41:34.828810+05:30

Правила обогащения: WEB-449. ДЛЯ ТИКЕТА: BLOCK19 REVIEW, gpt-5.6-sol, URGENT / missing closure proof.

RELAY1 L113D-EDGE-IDENTITY-AND-REALTIME-REVIEW-REPORT.md is INPUT-NO-GO and explicitly product finding=none. Currentg source packet now exists; complete current source/inert edge review rather than invent a product FIX. Prior report points to src/lib/auth/antiBot.ts:99–114 and infra/nginx/README.md:27–46/tests; verify current anchors/consumer chain. Exact effective nginx include/vhost/real-ip/trusted-range/upstream/pin and external cutover controller are not versioned app facts. Coordinator attaches sanitized immutable snapshots if available; review available source now and explicitly separate missing host closure. Do not silently substitute repo sample config for effectivehost. If a real remaining defect is found, give minimal file:line FIX delta; no product/host edits in this review.

Бриф M1 /Users/poolpooly/audit/outbox/2121-edge-identity-current-input-review-brief.md; SHA256 65593d0a00c7380ae975e46ceecbf899c07eb1fef08b5792a83c90d313053aa8. База l113g4c322c4606a1695fc896ecd6313842d55679b472. Выдан в outbox, running не подтверждён.

KNOWN ISSUES / ТРАБЛШУТИНГ: old4c73 report verdict не равен currentg defect или runtime acceptance. Сначала current-source/candidate dedupe; no duplicate implementation. Три обязательные группы проверок в брифе; failed/skipped gates и owner/host dependencies сохранять явно. High — приоритет closure, CVSS не повышен. Документы M1 /Users/poolpooly/audit/evidence/block19/fanout-jobs.json; будущий отчёт worker ~/waves/BLOCK19-EDGE-IDENTITY-CURRENT-INPUT-REVIEW-REPORT.md

block19-l113d-edge-identity-and-realtime-review-web-523 — 2026-09-06T14:18:20.785487+00:00 / IST=2026-09-06T19:48:20.785493+05:30

Правила обогащения: WEB-449. ДЛЯ ТИКЕТА / BLOCK19.

Вердикт: INPUT-NO-GO; product finding none.
Причина и текущая дельта: 2088 не имел4c73 и прямо не установил дефект.2121 проверяет доступный currentg код и supplied config; effective nginx/cutover snapshots остаются coordinator input.
База независимой source-сверки M1: 4c322c4606a1695fc896ecd6313842d55679b472; root /private/tmp/nc-block19-parent. Исходный header VERDICT=NO-GO сохранён без изменения scope.

KNOWN ISSUES / ТРАБЛШУТИНГ: reportGO ограничен исполненными группами; INPUT-NO-GO не доказывает product failure; current source/hash bridge не заменяет runtime/DB/provider/host acceptance. Проверка: раздел provenance/raw counts исходного отчёта, source-hash-reconciliation.json и актуальный fanout-jobs.json. Лечение/следующий шаг: 2088 не имел4c73 и прямо не установил дефект.2121 проверяет доступный currentg код и supplied config; effective nginx/cutover snapshots остаются coordinator input.

КАРТА ДОКУМЕНТОВ: M1 /Users/poolpooly/audit/evidence/block19/intake-originals/CONT18-RELAY-1/L113D-EDGE-IDENTITY-AND-REALTIME-REVIEW-REPORT.md
SHA256 3f77c6abea4463e0fa79c4b8210fdf158b34ff499a7497978bc8343d9f119ed2
M1 /Users/poolpooly/audit/evidence/block19/source-hash-reconciliation.json
M1 /Users/poolpooly/audit/reports/block19-checkpoint.md
M1 /Users/poolpooly/audit/evidence/block19/fanout-jobs.json

Board workflow/чужие поля не менялись. High — срочность сверки закрытия; новая числоваяCVSS не назначалась. Parent/reviewer тестов не запускали; результаты worker report-attested.

[06.09 15:17Z координатор] [2026-09-06T15:17Z координатор] WEB-547 (Astra 2114 generated config mode): приёмка 2336 = NO-GO cd9cee08 — контракт http.conf/ari.conf верен, регрессия x64 explicit-root (status/stop считают conf root иначе, чем start) → круг 2 = 2356 (M4). SIP proof-диагноз (2347) = NO-GO: внутренняя причина STOP proof-reload.sh:130-132 не восстановима без защищённого reload-add.raw; статические гипотезы отвергнуты (append верный, include-порядок верный); расхождение 6 vs 7 endpoints — мой grep считал заголовок. Круг 2 = 2347b с добавленным evidence. Фаза 3 (restart для barge-in) ждёт «го» владельца с зарегистрированным Linphone. SEC-007 config assurance → 2355 (A1) с receipts-паком.

block20-block19-edge-identity-current-input-review-web-523 — 2026-09-06T15:30:02.243447+00:00 / IST=2026-09-06T21:00:02.243457+05:30

Правила обогащения: WEB-449. ДЛЯ ТИКЕТА / CONT19 relay15:20, BLOCK20.

Вердикт: NO-GO effective-host closure; no observed code defect.
Причина/действие: App/source checks are green; antiBot99–110/register/rateLimit/proxy chain relies on effectiveedgefacts. Missingimmutable real-ip/vhost/bind/pin/cutover receipts prevent closure. Coordinator2355 alreadyownsreceiptpack; no fabricatedcodeFIX or duplicatehostreview.
Report header: VERDICT=NO-GO; metadata {"commit": "4c322c4606a1695fc896ecd6313842d55679b472", "base": "4c322c4606a1695fc896ecd6313842d55679b472", "fix_commit": "none"}.

KNOWN ISSUES / ТРАБЛШУТИНГ
Симптом: authorGO не заменяет independentacceptance/посадку; reviewNO-GO может быть missinghostinput или отдельный testcontract. Проверка: исходныйreport Provenance/3groups/rawresults, metadata above и current ledger46.json. Лечение: App/source checks are green; antiBot99–110/register/rateLimit/proxy chain relies on effectiveedgefacts. Missingimmutable real-ip/vhost/bind/pin/cutover receipts prevent closure. Coordinator2355 alreadyownsreceiptpack; no fabricatedcodeFIX or duplicatehostreview.

Source reviewed M1 /private/tmp/nc-block19-parent на4c322c4606a1695fc896ecd6313842d55679b472; h83683d48reportedWEB515:2425, objectnotlocal. Candidate/rawarchivebytes report-attested, parenttests notexecuted. КАРТА ДОКУМЕНТОВ: M1 /Users/poolpooly/audit/evidence/block20/intake-originals/CONT19-RELAY-1/BLOCK19-EDGE-IDENTITY-CURRENT-INPUT-REVIEW-REPORT.md
SHA256 84ea02cedca42eb3edd7ea0abe7e25b05f7d98a8155f7fb4cfd9a657077e8e41
M1 /Users/poolpooly/audit/reports/block20-checkpoint.md
M1 /Users/poolpooly/audit/evidence/block20/adjudications.json
M1 /Users/poolpooly/audit/evidence/block20/fanout-jobs.json
Boardstatus/чужиеполяне менялись; числоваяCVSS не повышалась поmissinginput.

block22-wave-2151-web-523 — 2026-09-06T21:37:37.049162+00:00 / IST=2026-09-07T03:07:37.049168+05:30

ДЛЯ ТИКЕТА / BLOCK22 release closure. WEB523 includes073dec1e→29e7f561 F2/F3 on i; F1 allowed3012/config and P1–P3 receipts remain explicit j gates.

Бриф /Users/poolpooly/audit/outbox/2151-edge-host-config-post-l113j-closure-brief.md; SHA256 7501f81c6a057a5149ec3ec19c175acc262bed285d0ba81faa4c74f5868b0cb2. MODEL=gpt-5.6-sol, A2 cap11, M4 cap3 без автоматического переноса. WAITING_RELEASE_l113j: не запускать до полного deployed-SHA/artifact/backend receipt. Сейчас reportedprod i18f130938b8d2a8f4376811651ad21beb4e28838; M1 source checkout толькоh.

Три группы: exactrelease/source mapping; live: Read fresh sanitized both-backend listener/allowed-host/forwarded topology/artifact receipts. At most one ordinary unsupported Host/Origin refusal each through assigned edge probe; do not contact internal destinations or change headers in production config.; companion: Use actual proxy/origin/cron companion suite with inert requests. Edge cron403loopback_required is acceptable; do not require401. Check active-holder controller adoption2450 independently of HTTP readiness; no failover/restart.

KNOWN ISSUES: sent≠running, code/authorGO≠liveclosure. При отсутствующем fix в j — NOT_DEPLOYED. Никаких paid/provider effects, реальных удалений/отказов сервиса. Existing2455/2450/2460/2462/2458 и старые работы не дублируются. Историческиеanchors src/proxy.ts:196–217,340–345; src/lib/auth/verifyOrigin.ts:200–215,314–349; SEC007F2F3 report newline mappings. Fullreport future /home/ubuntu/waves/BLOCK22-EDGE-HOST-CONFIG-POST-L113J-CLOSURE-REPORT.md. Evidence M1 /Users/poolpooly/audit/evidence/block22/fanout-jobs.json; checkpoint /Users/poolpooly/audit/reports/block22-checkpoint.md. Статус тикета не менялся.

block22-cronnegprobes-web-523 — 2026-09-06T21:43:33.668007+00:00 / IST=2026-09-07T03:13:33.668035+05:30

ДЛЯ ТИКЕТА / BLOCK22, CONT19-RELAY-7.

Вердикт: NO-GO literal oracle; fail-closed posture GO
Report header: NO-GO
Report metadata: {}
Связанные темы отчёта: WEB-523

Доказательство: 24boundedGETs,12cases×2 all403loopback_required no-store

KNOWN ISSUES / ТРАБЛШУТИНГ
Public proxy denies before route secret; expecting401 is wronglayer. Coordinator explicitlyacceptedP2, no owner401decisionneeded.
Следующее действие: 2151 accepts expectededge403; localrouteauth separately, no wideningedgeaccess.

Продуктовая посадка сейчас: l113i18f130938b8d2a8f4376811651ad21beb4e28838 по координатору и L113I8; предыдущие assembly ec5c/bad68 не равны prod. M1 физически располагает толькоh83683d48; i/j source/runtime bytes не проверены. Тесты из отчёта не выполнялись родителем/5reviewerGPT5.5. Bundle/rawархивы report-attested. Statusdone и authorGO не заменяют independent/liveGO. Чужие статусы не менялись; числовойCVSS не повышен.

Документ: /Users/poolpooly/audit/evidence/block22/intake-originals/CRONNEGPROBES-REPORT.md
SHA256 d9e54fc2fbc4cca55a4f7ea9182b17cf779ef27c53db4eb1045a850bf888ec10
Реестр: /Users/poolpooly/audit/evidence/block22/ledger46.json
Checkpoint: /Users/poolpooly/audit/reports/block22-checkpoint.md.

block22-perimeter5-web-523 — 2026-09-06T21:43:33.917352+00:00 / IST=2026-09-07T03:13:33.917398+05:30

ДЛЯ ТИКЕТА / BLOCK22, CONT19-RELAY-7.

Вердикт: GO scoped live h perimeter
Report header: GO
Report metadata: {"commit": "83683d4818ecc9b91e151be9e27a9ef0d6015294"}
Связанные темы отчёта: WEB-515, WEB-523

Доказательство: 27pairs401x25+404x1+405x1,static558routes740handlerszerochanges

KNOWN ISSUES / ТРАБЛШУТИНГ
Actuallyfour non401/403 pairs notfive;portal404featuregate/editorPOST405expected;realtime429admissionallowed. TSsuite notstarttsxmissing.
Следующее действие: Usecorrectmethods/expectedcodes inallclosurebriefs, no unwarrantedauth-before-admissionredesign.

Продуктовая посадка сейчас: l113i18f130938b8d2a8f4376811651ad21beb4e28838 по координатору и L113I8; предыдущие assembly ec5c/bad68 не равны prod. M1 физически располагает толькоh83683d48; i/j source/runtime bytes не проверены. Тесты из отчёта не выполнялись родителем/5reviewerGPT5.5. Bundle/rawархивы report-attested. Statusdone и authorGO не заменяют independent/liveGO. Чужие статусы не менялись; числовойCVSS не повышен.

Документ: /Users/poolpooly/audit/evidence/block22/intake-originals/PERIMETER5-REPORT.md
SHA256 d5609ec49bd0c886f116f766115c7bdde0b0d49afb898f6f9433e0afcd08e421
Реестр: /Users/poolpooly/audit/evidence/block22/ledger46.json
Checkpoint: /Users/poolpooly/audit/reports/block22-checkpoint.md.

block22-sec007assurance2-web-523 — 2026-09-06T21:43:33.999622+00:00 / IST=2026-09-07T03:13:33.999645+05:30

ДЛЯ ТИКЕТА / BLOCK22, CONT19-RELAY-7.

Вердикт: GO with conditions
Report header: GO-с-условиями
Report metadata: {"commit": "83683d4818ecc9b91e151be9e27a9ef0d6015294", "base": "83683d4818ecc9b91e151be9e27a9ef0d6015294"}
Связанные темы отчёта: WEB-523

Доказательство: cron22/22,origin/cron45/45,envboundary8/8,sanitizedbootreceipts

KNOWN ISSUES / ТРАБЛШУТИНГ
F1 missing3012allowlist; artifact/listener/nginx/live receipts scoped. LatercoordclaimsP1/P3receipts,F2/F3i; jF1stillgate.
Следующее действие: 2151 exactbothbackendreceipts; sourcecandidate073dec1e alone not hostclosure.

Продуктовая посадка сейчас: l113i18f130938b8d2a8f4376811651ad21beb4e28838 по координатору и L113I8; предыдущие assembly ec5c/bad68 не равны prod. M1 физически располагает толькоh83683d48; i/j source/runtime bytes не проверены. Тесты из отчёта не выполнялись родителем/5reviewerGPT5.5. Bundle/rawархивы report-attested. Statusdone и authorGO не заменяют independent/liveGO. Чужие статусы не менялись; числовойCVSS не повышен.

Документ: /Users/poolpooly/audit/evidence/block22/intake-originals/SEC007ASSURANCE2-REPORT.md
SHA256 26fb8a46bf6ff2aedb9c18b8f7cde4d12f6b3995c4df75f11c0d8721a9ba8c0e
Реестр: /Users/poolpooly/audit/evidence/block22/ledger46.json
Checkpoint: /Users/poolpooly/audit/reports/block22-checkpoint.md.

block22-sec007f2f3-web-523 — 2026-09-06T21:43:34.004999+00:00 / IST=2026-09-07T03:13:34.005030+05:30

ДЛЯ ТИКЕТА / BLOCK22, CONT19-RELAY-7.

Вердикт: GO source; reported landed i
Report header: GO
Report metadata: {"commit": "073dec1ea76c23214dd173e00e29342da83be330", "base": "83683d4818ecc9b91e151be9e27a9ef0d6015294"}
Связанные темы отчёта: WEB-523

Доказательство: base43/45fail→75/75proxycron,105/105origin;lintgreen

KNOWN ISSUES / ТРАБЛШУТИНГ
073dec1ea76c23214dd173e00e29342da83be330→29e7f561 in L113I8. EffectiveF1envnotpartsource.
Следующее действие: 2151; coordinatorF1jactivationreceipt no workerconfigchanges.

Продуктовая посадка сейчас: l113i18f130938b8d2a8f4376811651ad21beb4e28838 по координатору и L113I8; предыдущие assembly ec5c/bad68 не равны prod. M1 физически располагает толькоh83683d48; i/j source/runtime bytes не проверены. Тесты из отчёта не выполнялись родителем/5reviewerGPT5.5. Bundle/rawархивы report-attested. Statusdone и authorGO не заменяют independent/liveGO. Чужие статусы не менялись; числовойCVSS не повышен.

Документ: /Users/poolpooly/audit/evidence/block22/intake-originals/SEC007F2F3-REPORT.md
SHA256 1206c21c001233b8d92c1c78c1b8a77c400b368670c242cc7de3975a2f7dac84
Реестр: /Users/poolpooly/audit/evidence/block22/ledger46.json
Checkpoint: /Users/poolpooly/audit/reports/block22-checkpoint.md.

block22-upstreamctrlreview-web-523 — 2026-09-06T21:43:34.045048+00:00 / IST=2026-09-07T03:13:34.045096+05:30

ДЛЯ ТИКЕТА / BLOCK22, CONT19-RELAY-7.

Вердикт: FAIL/STOP-SHIP current controller; proposal only
Report header: # UPSTREAMCTRLREVIEW — WEB-093 P2.3
Report metadata: {}
Связанные темы отчёта: WEB-515, WEB-523

Доказательство: snapshot5817cfb7...,journalone-memberpool,offlineproposedcontrollerPASS

KNOWN ISSUES / ТРАБЛШУТИНГ
One readiness503 removesactive member; reentryhysteresis notremovalguard; missingfreshholderinvariant.
Следующее действие: Existing2450adoption plus atomic holderwriter required beforej; no repeatincident/failover. URGENThandoff.

Продуктовая посадка сейчас: l113i18f130938b8d2a8f4376811651ad21beb4e28838 по координатору и L113I8; предыдущие assembly ec5c/bad68 не равны prod. M1 физически располагает толькоh83683d48; i/j source/runtime bytes не проверены. Тесты из отчёта не выполнялись родителем/5reviewerGPT5.5. Bundle/rawархивы report-attested. Statusdone и authorGO не заменяют independent/liveGO. Чужие статусы не менялись; числовойCVSS не повышен.

Документ: /Users/poolpooly/audit/evidence/block22/intake-originals/UPSTREAMCTRLREVIEW-REPORT.md
SHA256 1dfdcb17685b498c6c37c8763af2f35c71162c430774438e91382f493b764c6c
Реестр: /Users/poolpooly/audit/evidence/block22/ledger46.json
Checkpoint: /Users/poolpooly/audit/reports/block22-checkpoint.md.

block22-relay8-upstreamctrladopt-web-523 — 2026-09-06T21:57:41.542283+00:00 / IST=2026-09-07T03:27:41.542315+05:30

BLOCK22 RELAY-8 — PASS/MERGE-READY author; independent2467 pending

controller22/24+2hostskips;fakee2e4/4,ready12/12,writer/lease17/17,scopedchecks

KNOWN ISSUES / ТРАБЛШУТИНГ: ed2b3bf2e741d3cc5848274e3c342a721984a7d9 baseh; activeholderwriter added. NoindependentGOoractivation.
Действие: Wait2467; coordinator applies appwriter/env before controllerhostsync. Existingstopshipgate not closed by authorPASS.

Report /Users/poolpooly/audit/evidence/block22-relay8/intake-originals/UPSTREAMCTRLADOPT-REPORT.md
SHA256 94c00c412473859ee7f1bc73fe4b5d1db1fbb79fbb4f585b37c0e0491b5f2e96
Metadata {}

Locali18f13093sourcebundleverified;runtime/live receipt-only. Parent/reviewerproducttestsNOTRUN;newbriefs0;46postjclosureheld. Currentledger evidence/block22/ledger46.json; report reports/block22-relay8-update.md. AuthorGO andrunningacceptance neverequalindependentGO.

block22-relay9-adjudication-web-523 — 2026-09-06T23:52:21.531165+00:00 / IST=2026-09-07T05:22:21.531185+05:30

BLOCK22 RELAY-9: вердикты по доставленному пакету. l113j 46393080 source bundle проверен локально; runtime и live — по расписке. Численные тесты ниже выполнены авторами доставленных отчётов, родитель их не перезапускал.

UPSTREAMCTRLREVIEW-REPORT.md — повтор ранее полученных байтов, не новая приёмка.
Вердикт: NO-GO for current controller logic; patch proposal passes offline but was not applied. This is an actual infrastructure/control-plane defect, not a harness issue: one raw readiness failure can remove the active backend, leaving a passive-only upstream for lease-guarded routes.
Commit/base: No repo commit. Snapshot controller.sh SHA-256 5817cfb7f820798ba77399ffdcd4c1449209b4fb89b27a3704b98d9b34af9911; proposal patch SHA-256 de465540a960760d72938edf6a14c4f58c55b40502e35df965dc30ed8b4c553d. / Input controller snapshot, not deployed l113j source. L113J receipt explicitly says controller adoption ed2b3bf2/1fc3f8a9 was NOT_DEPLOYED in 46393080 and moved to l113k.
Доказательства: bash /home/ubuntu/waves/UPSTREAMCTRLREVIEW-test.sh PASS; bash -n proposed controller PASS; git apply --check on identical snapshot PASS. shellcheck unavailable.
Anchors: /Users/poolpooly/audit/evidence/block22-relay9/intake-originals/a1/UPSTREAMCTRLREVIEW-REPORT.md:3; /Users/poolpooly/audit/evidence/block22-relay9/intake-originals/a1/UPSTREAMCTRLREVIEW-REPORT.md:22; /Users/poolpooly/audit/evidence/block22-relay9/intake-originals/a1/UPSTREAMCTRLREVIEW-REPORT.md:35; /Users/poolpooly/audit/evidence/block22-relay9/intake-originals/a1/UPSTREAMCTRLREVIEW-REPORT.md:53; /Users/poolpooly/audit/evidence/block22-relay9/intake-originals/a1/UPSTREAMCTRLREVIEW-REPORT.md:80; /Users/poolpooly/audit/evidence/block22-relay9/intake-originals/L113J-RELEASE-RECEIPT.md:31
KNOWN ISSUES / ТРАБЛШУТИНГ: Cannot deploy the patch alone. Needs an atomic active-holder sidecar/renewer with generation and expiry; HTTP 200 or ACTIVE_PASSIVE_COPY_ID is not lease proof.
Действие: Consume ACCUPSTREAMCTRLADOPTR2/deploy-gated acceptance before l113k or later deployment. Preserve the holder invariant as the rollout gate.
Report: /Users/poolpooly/audit/evidence/block22-relay9/intake-originals/a1/UPSTREAMCTRLREVIEW-REPORT.md
SHA256: 1dfdcb17685b498c6c37c8763af2f35c71162c430774438e91382f493b764c6c

L113IPOSTQA-REPORT.md — новый отчёт.
Вердикт: NO-GO as reported, but later evidence narrows the reasons. The l113i post-QA PASS items stand; the C07 editor-hydration blocker was partly a harness selector false negative and partly a real early-edit race, while the C4-RU paid refusal is superseded by the later citation-pool fix/acceptance lane.
Commit/base: 18f130938b8d2a8f4376811651ad21beb4e28838 (l113i). Seven of eight l113i changes passed in this report; WEB-564/C07 did not. / Live production l113i through https://app.sixbyy.com, 2026-09-06T21:09Z-21:28Z.
Доказательства: Live browser/API probes: ready x8 200, paid ready enforce, legal cookies 200, iPhone 390 CSS fallback, beta-card setup-intent 200 with PaymentElement, OAuth 302s, SEC-007 negative probes 401/403, health 200, guest realtime 401. One paid chat cost $0.053767.
Anchors: /Users/poolpooly/audit/evidence/block22-relay9/intake-originals/a1/L113IPOSTQA-REPORT.md:7; /Users/poolpooly/audit/evidence/block22-relay9/intake-originals/a1/L113IPOSTQA-REPORT.md:9; /Users/poolpooly/audit/evidence/block22-relay9/intake-originals/a1/L113IPOSTQA-REPORT.md:24; /Users/poolpooly/audit/evidence/block22-relay9/intake-originals/a1/L113IPOSTQA-REPORT.md:32; /Users/poolpooly/audit/evidence/block22-relay9/intake-originals/a1/C07HYDRATIONTRACE-REPORT.md:122; /Users/poolpooly/audit/evidence/block22-relay9/intake-originals/BLOCK22-RELAY9-COVER.md:21
KNOWN ISSUES / ТРАБЛШУТИНГ: C07 acceptance was not executed because the editor did not mount in this run. Negative wallet admission was observed but later classified by owner policy path as BY-DESIGN/funded-overdraft, not a new l113i regression. Cookie label WEB-541 in the historical report is not canonical retention closure; cookies belongs to WEB-516/564.
Действие: Use C07HYDRATIONTRACE plus C07HARNESSFIX for the real C07 follow-up, and use C4RU3CITATIONPOOL/2491 for the C4-RU closure rather than reopening this broad post-QA report.
Report: /Users/poolpooly/audit/evidence/block22-relay9/intake-originals/a1/L113IPOSTQA-REPORT.md
SHA256: 60bf0b811bc9d8cadfafdca7f15c154a4f77eb7bb58e68b3ce66883bae0600e9

NGINXREVIEW-REPORT.md — новый отчёт.
Вердикт: CONDITIONAL-GO for current temporary routing. The report supports leaving the effective nginx state in place, but it does not close controller STOP-SHIP and does not authorize realtime HA/unpin. It also finds non-urgent config cleanup items.
Commit/base: Repo-line referenced as 18f130938b8d2a8f4376811651ad21beb4e28838. No product commit or nginx change was applied. / Effective nginx/controller snapshots after 2026-09-06 A1 changes; l113j receipt later deployed app code 46393080 but not a new nginx cleanup.
Доказательства: No live tests. Review consumed effective nginx-T/sites-enabled/controller-unit hashes. Proposal diff was explicitly not applied.
Anchors: /Users/poolpooly/audit/evidence/block22-relay9/intake-originals/a1/NGINXREVIEW-REPORT.md:7; /Users/poolpooly/audit/evidence/block22-relay9/intake-originals/a1/NGINXREVIEW-REPORT.md:16; /Users/poolpooly/audit/evidence/block22-relay9/intake-originals/a1/NGINXREVIEW-REPORT.md:61; /Users/poolpooly/audit/evidence/block22-relay9/intake-originals/a1/NGINXREVIEW-REPORT.md:72; /Users/poolpooly/audit/evidence/block22-relay9/intake-originals/a1/NGINXREVIEW-REPORT.md:92; /Users/poolpooly/audit/evidence/block22-relay9/intake-originals/a1/NGINXREVIEW-REPORT.md:209; /Users/poolpooly/audit/evidence/block22-relay9/intake-originals/BLOCK22-RELAY9-COVER.md:15
KNOWN ISSUES / ТРАБЛШУТИНГ: Storefront /me2/ redirects before 404, bare /api/me2-bridge is not denied by exact block, nb webhook exception regex/prefix cleanup remains report-only, nc_backend include lifecycle depends on nb vhost, media-auth/dev forwarded headers drift, and realtime remains pinned to 3010 until true multinode smoke. The actual sanitized nginx dump is not in this packet, so no host file:line is asserted beyond report anchors.
Действие: 2498 prepares narrow offline route-matching patch after fresh sanitized config. Coordinator alone applies; remaining include lifecycle, HA and header policies are explicit owner decisions.
Report: /Users/poolpooly/audit/evidence/block22-relay9/intake-originals/a1/NGINXREVIEW-REPORT.md
SHA256: b1a8a86a8a833a832a7c85ab9d9f56763cd281f115a506980477527d68f4912b

ACCUPSTREAMCTRLADOPT-REPORT.md — новый отчёт.
Вердикт: Independent NO-GO for first controller adoption candidate ed2b3bf2; superseded by R2 GO.
Commit/base: ed2b3bf2e741d3cc5848274e3c342a721984a7d9 / 83683d4818ecc9b91e151be9e27a9ef0d6015294; current_prod_base 18f130938b8d2a8f4376811651ad21beb4e28838
Доказательства: identity mismatch fake controller repro rc=8 with physical owner a1; one-shot handoff runtime repro returns active_holder under wrong copy-id split; holder TOCTOU repro: rc=0 with current holder absent from published pool; shellcheck -S style parent exit 0, candidate exit 1 SC2034; focused controller and writer/lease suites otherwise green
Anchors: src/lib/activeHolderAttestation.ts:68; src/lib/activePassiveLease.ts:202; infra/nginx/bin/nc-upstream-controller:418; infra/nginx/bin/nc-upstream-controller:773; infra/nginx/bin/nc-upstream-controller:898
KNOWN ISSUES / ТРАБЛШУТИНГ: Do not merge or deploy ed2b3bf2 alone. Its defects are real: owner/backend identity mismatch, holder TOCTOU, shellcheck regression.
Действие: Use only R2 range through ACCUPSTREAMCTRLADOPTR2 and preserve host activation gate order.
Report: /Users/poolpooly/audit/evidence/block22-relay9/intake-originals/a2/ACCUPSTREAMCTRLADOPT-REPORT.md
SHA256: b06350ed02defa1c7070eed5b5792b1e3b50560d98b0bd052f242c8b079307ed

UPSTREAMCTRLADOPTR2-REPORT.md — новый отчёт.
Вердикт: Author PASS / MERGE-READY, deploy-gated; independently confirmed by ACCUPSTREAMCTRLADOPTR2. Not deployed in l113j.
Commit/base: 1fc3f8a9dd30580e20a7abd61fe27c737dafcc79; full range includes parent ed2b3bf2e741d3cc5848274e3c342a721984a7d9 / 83683d4818ecc9b91e151be9e27a9ef0d6015294; production replay base 18f130938b8d2a8f4376811651ad21beb4e28838
Доказательства: npm run test:web093-upstream-controller: main 22 pass / 2 host-SKIP, focused 6/6, ready verdict 12/12; writer/lease tests: 20/20 pass; shellcheck 0.9.0 -S style exit 0; scoped tsc and ESLint pass; git merge-tree on 18f13093 no conflicts tree 94265602; double cherry-pick on 18f13093 no conflicts
Anchors: src/lib/activeHolderAttestation.ts; src/lib/activePassiveLease.ts; infra/nginx/bin/nc-upstream-controller; infra/nginx/tests/test_nc_upstream_controller_failclosed.sh; docs/operator/WEB093-P23-UPSTREAM-CONTROLLER.md
KNOWN ISSUES / ТРАБЛШУТИНГ: Deploy-gated. Host activation requires application writer and app unit bindings first, sidecar/handoff proof, then controller binary and timer. Real nginx and bash 3.x were host-SKIP on A2.
Действие: Integrate code via l113k, then execute host activation runbook only under release steward controls; do not enable controller timer before sidecar proof.
Report: /Users/poolpooly/audit/evidence/block22-relay9/intake-originals/a2/UPSTREAMCTRLADOPTR2-REPORT.md
SHA256: 10ff6bd839507603a1df260d312dbe215d0b468d2abb39db41ada30b48905317

ACCUPSTREAMCTRLADOPTR2-REPORT.md — новый отчёт.
Вердикт: Independent GO for controller R2, deploy-gated; explicitly reconciles and closes earlier controller NO-GO defects.
Commit/base: 1fc3f8a9dd30580e20a7abd61fe27c737dafcc79 / 83683d4818ecc9b91e151be9e27a9ef0d6015294; verifier worktree replayed onto 18f130938b8d2a8f4376811651ad21beb4e28838
Доказательства: bundle verify rc 0; sha256 matched; merge-tree 18f13093 1fc3f8a9 rc 0 tree 9426560204e5586212ab9ea7668eb1284202cb29; cherry-pick ed2b3bf2 + 1fc3f8a9 on 18f13093 rc 0; shellcheck candidate rc 0; parent ed2b3bf2 rc 1 SC2034; controller main 22 passed / 2 skipped, failclosed 6 passed, ready-verdict 12/12; activeHolderAttestation + activePassiveLease: 20/20 pass; scoped tsc and ESLint exit 0
Anchors: resolveActiveHolderBackendName; writeActiveHolderAttestation; active_holder_snapshot_still_safe; infra/nginx/bin/nc-upstream-controller:882; infra/nginx/bin/nc-upstream-controller:902; src/lib/activePassiveLease.test.ts:246
KNOWN ISSUES / ТРАБЛШУТИНГ: P3 residuals: race window during nginx reload, holder-in-pool implemented as veto on reduction not forced restoration, no direct one-raw-503-active test, missing generation-change-inside-candidate test. These do not reproduce the incident and are not release blockers.
Действие: Keep code deploy-gated: writer+env first, sidecar/handoff proof, then controller binary, manual once runs, host fixture, timer last.
Report: /Users/poolpooly/audit/evidence/block22-relay9/intake-originals/a2/ACCUPSTREAMCTRLADOPTR2-REPORT.md
SHA256: 2dc288fe28cdcc0f5c4ce06ceec1796438a2104ffeda8cba483d9c29dd4ec91c

ДЛЯ ТИКЕТА: workflow backlog сохранён; F2/F3 29e7f561 inherited. F1 APP_ALLOWED_HOSTS includes 127.0.0.1:3012 per j env receipt. Actual listener isolation and host/controller proof remain 2151 gates.
Ожидает: Full controller adoption ed2b3bf2 → 1fc3f8a9 independently GO, deploy-gated; existing 2490 integration.
Closure 2151: DISPATCHED_A2; completion unverified.
2151 assurance; 2498 config proposal; coordinator activates full R2 in correct order after k/acceptance and host proof.

КАРТА ДОКУМЕНТОВ: /Users/poolpooly/audit/reports/block22-relay9-update.md; /Users/poolpooly/audit/evidence/block22/ledger46.json; /Users/poolpooly/audit/evidence/block22-relay9/adjudications.json. Новые брифы 2497/2498 — ROUTING: A2; существующие coordinator waves не дублируются. Правила обогащения: WEB-449.

[07.09 06:09Z координатор] BLOCK 22 — NGINX-ROUTE-CONTRACT R2 (2498-r2, A2, 06:2xZ) по свежему санитизированному `nginx -T` прода (snapshot 05:54Z, sha 90db1ada…, 11 файлов, live l113l): VERDICT=NO-GO для runtime (LIVE/HOST NOT_RUN — по замыслу), PATCH_READY_OFFLINE: патчи к эффективной конфигурации лежат в A2 BLOCK22-NGINX-ROUTE-CONTRACT-R2-EVIDENCE/ (effective-tree + SHA256SUMS). Применение — только координатором в окне (nginx -t → reload → пробы /me2, /me2/, корни ×3, webhook 401). Отчёт A2 BLOCK22-NGINX-ROUTE-CONTRACT-R2-REPORT.md.

BLOCK22-RELAY13-WEB-523 — 2026-09-07T07:38:24.367958+00:00 / IST=2026-09-07T13:08:24.367973+05:30

SEC-007 / WEB-523: NO_GO_FULL_CLOSURE_UNVERIFIED. Workflow backlog сохранён. Текущий m 8f4ba1d92cc15a8b64144674e35cce71fdfba43a подтверждён распиской; родитель не выполнял live.

Полный closure GO не установлен. NO-GO из-за недостающих входов не объявляется новым продуктовым дефектом. Исторический source/companion PASS сохраняется в исходном отчёте.

KNOWN ISSUES / ТРАБЛШУТИНГ
- Nginx R2 PATCH_READY_OFFLINE; host/application unverified
- apply reviewed patch in owned window, nginx -t then approved reload/route receipt

ДЛЯ ТИКЕТА
No new wave / Coordinator: apply reviewed patch in owned window, nginx -t then approved reload/route receipt
No additional release candidate asserted by this delta.
Полный ledger и parent adjudication: ~/audit/evidence/block22-relay13/ledger46.json; ~/audit/reports/block22-relay13-r3-plan.md.
Reports:
/Users/poolpooly/audit/evidence/block22-relay13/intake-originals/CONT19-RELAY-12/a2/BLOCK22-EDGE-HOST-CONFIG-POST-L113J-CLOSURE-REPORT.md
/Users/poolpooly/audit/evidence/block22-relay13/intake-originals/CONT19-RELAY-12/a2/BLOCK22-NGINX-ROUTE-CONTRACT-R2-REPORT.md
/Users/poolpooly/audit/evidence/block22-relay13/intake-originals/CONT19-RELAY-12/a2/BLOCK22-NGINX-ROUTE-CONTRACT-REPORT.md

[07.09 08:52Z координатор] NGINX ROUTE-CONTRACT ПРИМЕНЁН (координатор, 08:52:24Z, graceful reload): PATCH-A (sixbyy.com: /me2/ → 404 вместо 308; мёртвые proxy_set_header после return убраны; exact /api/me2-bridge 404) и PATCH-B (nb.wool2.online: exception-regex webhook заякорен `api/billing/webhook(?:/|$)`) из BLOCK22-NGINX-ROUTE-CONTRACT-R2-EVIDENCE. Бэкап /var/backups/nginx-r2-20260907T085203Z. Пробы после reload: /me2 404, /me2/ 404, /api/me2-bridge{,/x} 404; корни app/sixbyy/www 200; nb webhook POST 401; nb /api/billing/webhookx → 301 (было 404 = обходил редирект); nb/edge ready 200; /login 200. ЛОВУШКА: sites-enabled — симлинки; `patch -p1` без --follow-symlinks отказывает и кладёт .rej ВНУТРЬ sites-enabled → `nginx -t` падает (unknown directive «---») — убрал .rej до reload; применять с `--follow-symlinks`.

[07.09 09:15Z координатор] EDGE FORWARDED TRUST (2586, A2, sol, 09:0xZ) = NO-GO с находками: (1) все 27 nginx-директив ставили X-Forwarded-For через $proxy_add_x_forwarded_for — клиентский префикс сохранялся (X-Real-IP при этом перезаписывался $remote_addr); (2) GET /api/telephony/v1/pstn/route/[e164] брал ПЕРВЫЙ XFF как IP-аутентификацию и допускал 127.0.0.1/::1 по умолчанию → forged XFF через nginx = «локальный» вызов; (3) loopback bind 3010/3012 = доступно только с хоста, но не только nginx; (4) origin-lock WEB075 на текущем env forged X-Forwarded-* отвергает. Listener isolation подтверждена (3010/3012 только 127.0.0.1, 3011 не слушает, firewall default deny). ХОСТ: координатор 09:14Z применил hardening — все `X-Forwarded-For $proxy_add_x_forwarded_for` → `$remote_addr` в sites-available (бэкап /var/backups/nginx-xff-20260907T091437Z), reload, пробы зелёные (корни/ready/login/webhook 401). APP: фикс-кандидат 1c5529bf4 → приёмка 2590 → l113p. KNOWN ISSUES: симптом «локальный» доступ к pstn/route снаружи → проверка `curl -H "X-Forwarded-For: 127.0.0.1"` → причина: первый XFF + loopback allow → лечение: hardening nginx (сделано) + app fix.

[07.09 09:27Z координатор] ПРИЁМКА 2590 ACCEDGEFORWARDEDTRUST (claude-opus, 09:2xZ) app-части 1c5529bf = GO: PSTN route берёт последний (proxy-added) forwarded-адрес, forged первый XFF не даёт «локальный» вызов — не полагаясь на nginx hardening (которое уже применено 09:14Z). CONFIG_ASSURED — за координатором (сделано: XFF=$remote_addr, бэкап nginx-xff-20260907T091437Z). → l113p.

[07.09 10:01Z координатор] КАНДИДАТ l113p (2595 L113PPREP, sol, 09:54Z): VERDICT=GO, commit 1c850d92 над ПРОД l113o (bundle sha 0c5693fe…): Slack fail-closed cba77672 (WEB-544), PSTN forwarded-trust 05df891d (WEB-523), package-link policy A 2e776de4 (WEB-548), council budget 53b26cd8 (WEB-99), battery citations f345b318 (WEB-99), C07 late-join r4 73f5f4e0+2473f390+70f4b22e (WEB-564/086), regen manifest; миграций нет. Сборка на A2 запущена 09:57Z → посадка ~10:45Z.

[07.09 10:41Z координатор] **ПОСАЖЕНО (l113p).** ПРОД = l113p `1c850d92876757812eab9ffa7f381bcea95aad86` (флип 10:21:43Z 07.09; откат l113o df0376cf). Расписка: `waves/queue/L113P-RELEASE-RECEIPT.md` (A1/A2/M4). Verify: ready/paid на обоих бэкендах, edge ×8, корни ×3, webhook 401, 0 AttestationError/nginx err/LEASE_LOST. Hetzner `/home/app-artifact/l113p-1c850d92`, Pi standby на l113p.
Серия: 05df891d8 fix(security): reject spoofed forwarded PSTN peers (EDGEFORWARDEDTRUST 1c5529bf; ACC 2590 GO) + nginx-уровень: все `X-Forwarded-For $proxy_add_x_forwarded_for` → `$remote_addr` на A1 09:14–09:15Z (backup /var/backups/nginx-xff-20260907T091437Z). Пост-QA на живом: волна 2600 (подменённый X-Forwarded-For на telephony-ingress без секрета → отказ). Статус backlog устарел — ждёт пост-QA GO для перевода в review/done.

BLOCK22-RELAY14-WEB-523 — 2026-09-07T10:49:40.816596+00:00 / IST=2026-09-07T16:19:40.816619+05:30

RELAY14: current PROD p1c850d92876757812eab9ffa7f381bcea95aad86 by receipt, flip10:21:43Z. SEC-007 / WEB-523 — NO_GO_CLOSURE_R3P_PENDING. Workflow retained.

05df891d8 / EDGEFORWARDEDTRUST1c5529bf,2590 GO + nginx normalization09:14Z per coordinator
2151p A1 issued via outbox; dispatch/results unconfirmed

KNOWN ISSUES
Current effective nginx/hash/trusted hop and p runtime target mapping required; no active host proof in the three-file relay. Other nginx contract scope remains separate.

ДЛЯ ТИКЕТА
Source/runtime/host proof remains distinct from deploy readiness. No parent live/SSH/product mutation. Evidence: ~/audit/evidence/block22-relay14/ledger46.json; ~/audit/reports/block22-relay14-update.md. Three r3p briefs and exact input/authority handoff in outbox. Holds remain until actual q receipt plus independent acceptance.

[07.09 10:58Z координатор] **Пост-QA l113p (волна 2600, 10:55Z): security PASS, status-contract NOTE.** Живая проба `GET /api/telephony/v1/pstn/route/+15555550123` с подменёнными `X-Forwarded-For: 127.0.0.1` и `Forwarded: for=127.0.0.1` без секрета → allowlist НЕ пройден, тело `{"action":"reject", …}` — подмена отвергнута (звонок не инициировался). Формально ответ HTTP 200 с action=reject (маршрут отдаёт решение шлюзу), а не 401/403 — это контракт маршрута для SIP-шлюза, не дыра; вопрос статуса передан в closure r3p Astra (2151p). Байты 05df891d8 в 1c850d92 подтверждены; nginx XFF→$remote_addr на A1. Остальной пост-QA l113p: WEB-544 PASS (401 generic / 403 generic), WEB-99 C6 PASS (council 200 за 19.5 с, budget_exceeded=false), WEB-564 PASS, WEB-548 bytes PASS, периметр PASS. Отчёт: A1 `waves/L113PPOSTQA-REPORT.md`.

BLOCK22-RELAY14-ADJ-WEB-523 — 2026-09-07T11:29:05.894030+00:00 / IST=2026-09-07T16:59:05.894439+05:30

SEC-007 / WEB-523: GO_SCOPED_APP_PSTN; WHOLE_HOST_CONFIG_PARTIAL on l113p1c850d92876757812eab9ffa7f381bcea95aad86.

2151p previous NO-GO was input-only. Source/runtime and inert companion already GO. Current coordinator nginx proves app normalization, both p upstreams; designated POSTQA proves semantic refusal. User accepts HTTP200 action=reject contract, so old401/403-only FAIL is superseded without code change or extra live probe.

KNOWN ISSUES: actual delivered nginx receipt count14 (nb7+sixbyy7), not0. Scoped app/PSTN GO does not close whole-edge/all-vhost assurance or unrelated nginx contracts. Sites-enabled target self-mapping may explain divergence, not confirmed RCA; no new bypass/impact inferred. Coordinator receipt/config reconciliation requested URGENT.

ДЛЯ ТИКЕТА
Worker report headers retained unchanged; parent adjudication applies only resolved groups. Workflow fields untouched. Outbox BLOCK22-RELAY14-SEC007-SEC031-ADJUDICATION.md and BLOCK22-RELAY14-REUSE-ADDENDUM.md; evidence/block22-relay14-adjudication/adjudications.json +5 immutable inputs. No parent live/SSH/host changes. Eight old n briefs remain archived; no redispatch. WEB546/522 HOLD q+independentGO unchanged.

ЭВОЛЮЦИЯ ЗА 12 Ч (гигиена 2609, 11:25Z 07.09)

ХРОНОЛОГИЯ КРУГОВ
- EDGEFORWARDEDTRUST `1c5529bf` сначала NO-GO на app/config boundary (`A2 waves/EDGEFORWARDEDTRUST-REPORT.md`), затем ACC 2590 GO (`A2 waves/ACCEDGEFORWARDEDTRUST-REPORT.md`); nginx XFF hardening применён 09:14Z.
- Replay `05df891d8` вошёл в l113p `1c850d92876757812eab9ffa7f381bcea95aad86`; release verify зелёный (`M4 waves/L113P-RELEASE-RECEIPT.md`).
- Live post-QA: spoofed XFF/Forwarded не стал trusted, body `action:reject, reason:forbidden_ip`; HTTP 200. Формальный NO-GO по старому ожиданию 401/403 owner трактует как PASS по дизайну Asterisk (`A1 waves/L113PPOSTQA-REPORT.md`).
- Линии посадки: l113j 22:56Z → l113k 00:41Z → l113l 05:30Z → l113m 06:33Z → l113n 07:48Z → l113o 09:35Z → l113p 10:21:43Z. Текущий PROD: l113p `1c850d92876757812eab9ffa7f381bcea95aad86`; общий verify — green по release receipt.

ДЛЯ НУЛЕВОГО АГЕНТА
- На проде: app replay `05df891d8` + edge XFF→`$remote_addr`; защитное свойство live PASS. Незакрытых implementation-кандидатов нет.
- Следующий шаг / владелец: Implementation ticket → done. Astra wave 2151p продолжает реестровую closure-доказательность для WEB-515 и не отменяет owner-policy о 200+reject.

KNOWN ISSUES / ТРАБЛШУТИНГ
- Симптом: проверяющий ожидает 401/403, получает 200 → проверка тела показывает `action:reject`/`forbidden_ip` и отсутствие маршрутизации → причина: Asterisk-compatible contract → лечение: учитывать status+body как единый отказ, не менять route без отдельного решения. `src/app/api/telephony/v1/pstn/route/[e164]/route.ts`; `A1 waves/L113PPOSTQA-REPORT.md`.

STATUS TRAIL
- `backlog` → `done` после этого комментария. Основание приведено выше; эпики не переводятся в done.

СВЯЗИ / ИСТОЧНИКИ
- Release: `M4 waves/L113P-RELEASE-RECEIPT.md`; координаторский срез: `M4 waves/OPS-STATUS-HEAD-1120.md`; точные отчёты перечислены в хронологии/KNOWN ISSUES.
- Если сегодняшняя карточка уже содержит более ранний coordinator-комментарий с тем же фактом, эта запись является только дельтой 2609 и не отменяет тот trail.

[07.09 12:09Z координатор] **Адьюдикация Astra (блок 22, RELAY-14, 11:28–11:59Z 07.09) на ПРОД l113p 1c850d92:** SEC-027/WEB-544 — **GO для закрытия** (source/runtime GO: cba77672f, patch-id c065d73f; live-группа по пост-QA 2600: unsigned command 401 generic, events 403 generic, SHA ответов зафиксированы; инертный proof 6/6 + 3/3); SEC-007/WEB-523 — **GO scoped** (worker source/runtime/companion + расписка nginx effective XFF + наблюдение подменённых заголовков → action=reject; 200+reject принято как контракт маршрута); SEC-031/WEB-548 — **GO scoped** (policy A + exact scripts 2591 + установленные на A1/Pi hetzbk-env-pack/unpack full-hash match). Файлы: M1 `~/audit/outbox/BLOCK22-RELAY14-SEC027-ADJUDICATION.md`, `BLOCK22-RELAY14-SEC007-SEC031-ADJUDICATION.md` (+ inputs tar). Трейл по тикету полный: посадка ∈ l113p + независимая приёмка + пост-QA 2600 + closure worker + адьюдикация ведущего аудита → статус done подтверждён.