fix: never chmod 700 system dirs like /var/log (2.3.3-SAC)

Hardening state files under /var/log was applying chmod 700 to the parent
directory, which broke syslog/logrotate and other services after agent update.

.gitattributes

@@ -0,0 +1,4 @@
+# Агентские скрипты — LF в git и на Linux (manifest SHA256 = git blob).
+ssh-monitor text eol=lf
+*.sh text eol=lf
+version.txt text eol=lf

.gitignore

@@ -11,4 +11,6 @@ ssh-monitor-*.tar.gz
 # Локальный загрузчик Rutube / yt-dlp — живёт в другом репозитории
 rutube-download.py
 .ytdl-archive.txt
-.cursorignore
+# Локальные инструменты разработки (не в Gitea/GitHub)
+.local/
+scripts/build-release-manifest.sh

Makefile

@@ -6,7 +6,8 @@ DIST := ssh-monitor-$(VERSION).tar.gz
 dist: $(DIST)
 
 manifest:
-	./scripts/build-release-manifest.sh
+	@test -x .local/build-release-manifest.sh || (echo "Сначала: ./contrib/install-git-hooks.sh" >&2; exit 1)
+	./.local/build-release-manifest.sh
 
 $(DIST): ssh-monitor
 	git archive --format=tar.gz --prefix=ssh-monitor-$(VERSION)/ -o $(DIST) HEAD

README.md

@@ -1,19 +1,19 @@
 # ssh-monitor
 
-**Версия:** `2.2.1-SAC`
+**Версия:** `2.3.3-SAC`
 
 Bash-мониторинг **SSH**, **sudo**, **systemd-logind**: Telegram/email, бан IP (ipset), ежедневный отчёт, heartbeat.
 
-**Security Alert Center:** модуль **`sac-client.sh`**, режим `UseSAC` (`off` | `exclusive` | `dual` | `fallback`) — [контракт SAC](https://git.kalinamall.ru/PapaTramp/security-alert-center/src/branch/main/docs/agent-integration.md). **Основной способ обновления на Linux** — кнопка **«Обновить ssh-monitor (SSH)»** в SAC: сервер передаёт `REPO_URL` / `GIT_BRANCH`, updater сам подтягивает git, выставляет права на конфиг/spool/state и перезапускает сервис. Cron/systemd timer — опционально.
+**Security Alert Center:** модуль **`sac-client.sh`**, режим `UseSAC` (`off` | `exclusive` | `dual` | `fallback`) — [контракт SAC](https://git.kalinamall.ru/PapaTramp/security-alert-center/src/branch/main/docs/agent-integration.md). Ingest / таймауты / fallback: [docs/sac-ingest.ru.md](docs/sac-ingest.ru.md). **Основной способ обновления на Linux** — кнопка **«Обновить ssh-monitor (SSH)»** в SAC: сервер передаёт `REPO_URL` / `GIT_BRANCH`, updater сам подтягивает git, выставляет права на конфиг/spool/state и перезапускает сервис. Cron/systemd timer — опционально.
 
-**Безопасность (2.1.7+):** агент работает от root; доверяйте только своему git-зеркалу (`REPO_URL`) и `/etc/ssh-monitor.conf` (`chmod 600`). Updater дописывает обязательные ключи (`CONFIG_STRICT_PERMS`, `SAC_TLS_INSECURE`, SAC-*) и **на каждом прогоне** применяет `chmod`/`chown` к конфигу, SAC-spool и state-файлам. Подробнее: [docs/security-roadmap.ru.md](docs/security-roadmap.ru.md).
+**Безопасность (2.1.7+):** агент работает от root; доверяйте только своему git-зеркалу (`REPO_URL`) и `/etc/ssh-monitor.conf` (`chmod 600`). С **2.3.0** конфиг читается **без `source`** (whitelist ключей, без выполнения bash из файла). Updater дописывает обязательные ключи и **на каждом прогоне** применяет `chmod`/`chown` к конфигу, SAC-spool и state-файлам. Подробнее: [docs/security-roadmap.ru.md](docs/security-roadmap.ru.md).
 
 ## Состав репозитория
 
 | Файл | Назначение |
 |------|------------|
-| **`ssh-monitor`** | Основной цикл: разбор журналов (**journalctl**: sshd, sudo, «тяжёлые» события, **systemd-logind**), цепочка уведомлений (Telegram, SMTP через **python3**, резервный webhook), при **`ENABLE_IP_BAN=1`** — учёт неудачных попыток, бан в **ipset** и согласование с **iptables**/**ip6tables**, ежедневный отчёт, heartbeat, опционально **Prometheus** textfile и JSON health. Режимы: **`--check-config`**, **`--dry-run`**. |
+| **`ssh-monitor`** | Основной цикл: разбор журналов (**journalctl**: sshd, sudo, «тяжёлые» события, **systemd-logind**), цепочка уведомлений (Telegram, SMTP через **python3**), при **`ENABLE_IP_BAN=1`** — учёт неудачных попыток, бан в **ipset** и согласование с **iptables**/**ip6tables**, ежедневный отчёт, heartbeat, опционально **Prometheus** textfile и JSON health. Режимы: **`--check-config`**, **`--dry-run`**. |
-| **`ssh-monitor-watchdog`** | Отдельный скрипт (обычно по **systemd timer**): проверяет, что сервис монитора активен и файл heartbeat не старше порога; при сбое выполняет **`systemctl restart`** и шлёт уведомление в Telegram или в **`BACKUP_WEBHOOK_URL`**. Читает те же `TELEGRAM_*` / webhook из `/etc/ssh-monitor.conf`. |
+| **`ssh-monitor-watchdog`** | Отдельный скрипт (обычно по **systemd timer**): проверяет, что сервис монитора активен и файл heartbeat не старше порога; при сбое выполняет **`systemctl restart`** и шлёт уведомление в Telegram. Читает `TELEGRAM_*` и watchdog-параметры из `/etc/ssh-monitor.conf`. |
 | `update_ssh_monitor.sh` | Автообновление: git + manifest verify, `sac-client.sh`, перезапуск `ssh-monitor.service`. См. [docs/auto-update.ru.md](docs/auto-update.ru.md). |
 
 **Системные пакеты и зависимости** (что поставить на сервер до запуска): пошагово в [docs/install-prerequisites.ru.md](docs/install-prerequisites.ru.md).
@@ -22,7 +22,7 @@ Bash-мониторинг **SSH**, **sudo**, **systemd-logind**: Telegram/email,
 
 > **Закрытый инстанс Gitea:** в доверенном закрытом репозитории допустимо хранить **`ssh-monitor.conf`** с боевыми токенами (файл не в `.gitignore`). В публичном [GitHub](https://git.kalinamall.ru/PapaTramp/ssh-monitor) такой файл игнорируется — используйте только `ssh-monitor.conf.example`.
 
-Скрипт читает параметры из `/etc/ssh-monitor.conf` в формате `KEY="value"`.
+Скрипт читает параметры из `/etc/ssh-monitor.conf` в формате `KEY="value"` (парсер с whitelist ключей; произвольный bash в файле не выполняется).
 
 1. Скопируйте пример:
  - `sudo cp ./ssh-monitor.conf.example /etc/ssh-monitor.conf`
@@ -32,14 +32,13 @@ Bash-мониторинг **SSH**, **sudo**, **systemd-logind**: Telegram/email,
  - для **Telegram**: `TELEGRAM_BOT_TOKEN` и `TELEGRAM_CHAT_ID`;
  - или настройте **почту (SMTP)** по переменным ниже при `NOTIFY_ORDER=""` (автовыбор каналов).
 
-**Обязательное условие:** после загрузки конфигурации в цепочке **`NOTIFY_CHAIN`** должен быть **минимум один** канал (`telegram` или `email`). Если каналов **нет** (пустой `NOTIFY_ORDER` и ни Telegram, ни SMTP не удовлетворяют критериям «настроен», либо в `NOTIFY_ORDER` остались только неизвестные имена), скрипт **не входит** в основной цикл и завершается с кодом **1**, в stderr: **`Не настроен ни один канал отправки оповещений`**. Это же правило действует для **`--check-config`** и **`--dry-run`**. Резервный **`BACKUP_WEBHOOK_URL`** в эту проверку **не входит** — он используется только если **ни один** канал из **`NOTIFY_CHAIN`** не смог доставить сообщение.
+**Обязательное условие:** после загрузки конфигурации в цепочке **`NOTIFY_CHAIN`** должен быть **минимум один** канал (`telegram` или `email`). Если каналов **нет** (пустой `NOTIFY_ORDER` и ни Telegram, ни SMTP не удовлетворяют критериям «настроен», либо в `NOTIFY_ORDER` остались только неизвестные имена), скрипт **не входит** в основной цикл и завершается с кодом **1**, в stderr: **`Не настроен ни один канал отправки оповещений`**. Это же правило действует для **`--check-config`** и **`--dry-run`**.
 
 Поддерживаемые параметры:
 
 - `TELEGRAM_BOT_TOKEN`, `TELEGRAM_CHAT_ID`
 - `NOTIFY_ORDER` — список каналов (`telegram`, `email` и сокращения **tg**, **mail**); при каждом оповещении скрипт **пытается отправить во все перечисленные** каналы по порядку (не «первый успешный — и стоп»). Пусто = в цепочку попадают только настроенные каналы (порядок по умолчанию см. в `ssh-monitor.conf.example`). Если итоговая цепочка пуста — скрипт не стартует (см. раздел **«Каналы оповещений и пустой NOTIFY_CHAIN»**).
 - `MAIL_SMTP_HOST`, `MAIL_SMTP_PORT`, `MAIL_SMTP_USER`, `MAIL_SMTP_PASSWORD`, `MAIL_FROM`, `MAIL_TO`, `MAIL_SMTP_STARTTLS`, `MAIL_SMTP_SSL` — отправка почты через **python3** (см. таблицу каналов ниже)
-- `BACKUP_WEBHOOK_URL` — *(deprecated)* резервная доставка JSON, если **все** каналы из **`NOTIFY_CHAIN`** не смогли доставить; удаление в 2.3.x
 - `LOG_FILE`, `LAST_HEARTBEAT_FILE`, `LAST_REPORT_FILE`, `LAST_SSH_CHECK_FILE`, `LAST_SUDO_CHECK_FILE`, `LAST_SECURITY_EVENTS_FILE`, `LAST_LOGIND_CHECK_FILE`, `BAN_LIST_FILE`
 - `ENABLE_LOGIND_MONITOR`, `LOGIND_NOTIFY_NEW`, `LOGIND_NOTIFY_REMOVED`, `LOGIND_NOTIFY_FAILED`, `LOGIND_SKIP_REMOTE` — см. раздел «Мониторинг systemd-logind» ниже
 - `DAILY_REPORT_HOUR` (0..23), `DAILY_REPORT_ENABLED` (1/0 — отчёт с агента; 0 = только SAC), `DAILY_REPORT_TZ` (опционально), `NOTIFY_TZ` (опционально), `SERVER_DISPLAY_NAME` (опционально), `SSH_ACCEPT_NOTIFY_DEDUP_SEC`, `DAILY_REPORT_TOP_IPS`
@@ -59,7 +58,6 @@ Bash-мониторинг **SSH**, **sudo**, **systemd-logind**: Telegram/email,
 - `TELEGRAM_CHAT_ID` — ID чата/пользователя, куда отправляются уведомления.
 - `NOTIFY_ORDER` — CSV имён каналов (`telegram`, `email` или `tg`, `mail`). Для **каждого** оповещения выполняется попытка доставки **во все** перечисленные каналы (при ошибке одного остальные всё равно пробуются; неудачи пишутся в **`LOG_FILE`**). Пустая строка: автоматически собирается цепочка только из реально настроенных каналов (по умолчанию порядок telegram → email; критерии «настроен» — **таблица** в разделе **«Каналы оповещений и пустой NOTIFY_CHAIN»**). Если после сборки цепочки **нет ни одного** канала, скрипт **сразу завершается** с ошибкой: **«Не настроен ни один канал отправки оповещений»** (в том числе режим `--check-config` и `--dry-run`).
 - `MAIL_SMTP_HOST`, `MAIL_SMTP_PORT`, `MAIL_SMTP_USER`, `MAIL_SMTP_PASSWORD`, `MAIL_FROM`, `MAIL_TO`, `MAIL_SMTP_STARTTLS`, `MAIL_SMTP_SSL` — параметры SMTP для канала `email` (отправка через **python3**; см. таблицу «настроен»).
-- `BACKUP_WEBHOOK_URL` — *(deprecated)* URL резервной отправки; только fallback; **не засчитывается** как основной канал
 - `LOG_FILE` — путь к основному лог-файлу скрипта.
 - `LAST_HEARTBEAT_FILE` — файл с timestamp последнего heartbeat-сообщения.
 - `LAST_REPORT_FILE` — дата последнего ежедневного отчёта в формате `YYYY-MM-DD` (старый формат Unix-времени при первом запуске будет автоматически интерпретирован).
@@ -165,7 +163,9 @@ bash -n ./ssh-monitor
 
 ## Релизный архив
 
-Версия задаётся в **`SSH_MONITOR_VERSION`** в файле **`ssh-monitor`** и дублируется в **`version.txt`** (та же строка, что в шапке README). Модуль **`sac-client.sh`** использует ту же версию для SAC `product_version`. Сборка tarball из текущего git-дерева:
+Версия задаётся в **`SSH_MONITOR_VERSION`** в файле **`ssh-monitor`** и дублируется в **`version.txt`** (та же строка, что в шапке README). Модуль **`sac-client.sh`** использует ту же версию для SAC `product_version`. **Release manifest** (`release/manifest-*.json`): [docs/release-manifest.ru.md](docs/release-manifest.ru.md) — после clone: `.\contrib\install-git-hooks.ps1` (Windows) или `./contrib/install-git-hooks.sh` (Linux/Git Bash).
+
+Сборка tarball из текущего git-дерева:
 
 ```bash
 make dist
@@ -232,7 +232,7 @@ sudo journalctl -u ssh-monitor -f
 
 ## Watchdog (автоматическое восстановление)
 
-Watchdog проверяет активность `ssh-monitor.service` и актуальность heartbeat (`LAST_HEARTBEAT_FILE`). При сбое выполняет `systemctl restart` и отправляет уведомление (Telegram и при сбое — `BACKUP_WEBHOOK_URL`, если задан).
+Watchdog проверяет активность `ssh-monitor.service` и актуальность heartbeat (`LAST_HEARTBEAT_FILE`). При сбое выполняет `systemctl restart` и отправляет уведомление в Telegram.
 
 Пошаговая установка скрипта **ssh-monitor-watchdog** и **timer** в **systemd**: раздел 6 в [docs/install-prerequisites.ru.md](docs/install-prerequisites.ru.md).
 

contrib/hooks/pre-commit

@@ -0,0 +1,66 @@
+#!/bin/bash
+# Автогенерация release/manifest-VERSION.json при bump версии (version.txt / SSH_MONITOR_VERSION).
+set -euo pipefail
+
+ROOT="$(git rev-parse --show-toplevel)"
+cd "$ROOT"
+
+_staged() {
+	git diff --cached --name-only -- "$@"
+}
+
+_version_bump_staged() {
+	if _staged version.txt | grep -q .; then
+		return 0
+	fi
+	if _staged ssh-monitor | grep -q .; then
+		if git diff --cached -- ssh-monitor | grep -qE '^[+-].*SSH_MONITOR_VERSION='; then
+			return 0
+		fi
+	fi
+	return 1
+}
+
+_agent_files_staged() {
+	local f
+	for f in ssh-monitor sac-client.sh update_ssh_monitor.sh ssh-monitor-watchdog ssh-monitor-perms.sh; do
+		if _staged "$f" | grep -q .; then
+			return 0
+		fi
+	done
+	return 1
+}
+
+_version_bump_staged || _agent_files_staged || exit 0
+
+_find_python() {
+	local c
+	for c in python3 python; do
+		if command -v "$c" >/dev/null 2>&1 && "$c" -c 'import sys' >/dev/null 2>&1; then
+			echo "$c"
+			return 0
+		fi
+	done
+	return 1
+}
+
+PY="$(_find_python)" || {
+	echo "pre-commit: python нужен для manifest (рабочий python/python3 не найден)" >&2
+	exit 1
+}
+
+"$PY" "$ROOT/contrib/manifest/generate.py"
+VER="$(tr -d '\r\n' <"$ROOT/version.txt")"
+[ -n "$VER" ] || {
+	echo "pre-commit: version.txt пуст — не могу добавить manifest" >&2
+	exit 1
+}
+
+MANIFEST="release/manifest-${VER}.json"
+if [ ! -f "$MANIFEST" ]; then
+	echo "pre-commit: не создан $MANIFEST" >&2
+	exit 1
+fi
+
+git add "$MANIFEST"
+echo "pre-commit: обновлён $MANIFEST (версия $VER)"

contrib/install-git-hooks.ps1

@@ -0,0 +1,54 @@
+# Install git hooks + local manifest wrappers (not committed to git).
+# Run from repo root: .\contrib\install-git-hooks.ps1
+$ErrorActionPreference = "Stop"
+
+$Root = (Resolve-Path (Join-Path $PSScriptRoot "..")).Path
+$HookSrc = Join-Path $Root "contrib\hooks\pre-commit"
+$HookDst = Join-Path $Root ".git\hooks\pre-commit"
+$LocalDir = Join-Path $Root ".local"
+$LocalScript = Join-Path $LocalDir "build-release-manifest.ps1"
+$LocalScriptSh = Join-Path $LocalDir "build-release-manifest.sh"
+
+if (-not (Test-Path (Join-Path $Root ".git"))) {
+    throw "Not a git repository: $Root"
+}
+
+if (-not (Test-Path $HookSrc)) {
+    throw "Missing hook file: $HookSrc"
+}
+
+New-Item -ItemType Directory -Force -Path (Split-Path $HookDst) | Out-Null
+Copy-Item -Force $HookSrc $HookDst
+
+New-Item -ItemType Directory -Force -Path $LocalDir | Out-Null
+
+@'
+# Local manifest wrapper (gitignored). Manual generation on Windows.
+$ErrorActionPreference = "Stop"
+$Root = git -C "$PSScriptRoot\.." rev-parse --show-toplevel 2>$null
+if (-not $Root) {
+    $Root = (Resolve-Path (Join-Path $PSScriptRoot "..")).Path
+}
+$py = Get-Command python -ErrorAction SilentlyContinue
+if (-not $py) { $py = Get-Command python3 -ErrorAction SilentlyContinue }
+if (-not $py) { throw "python not found in PATH" }
+& $py.Source (Join-Path $Root "contrib\manifest\generate.py") @args
+if ($LASTEXITCODE -ne 0) { exit $LASTEXITCODE }
+'@ | Set-Content -Path $LocalScript -Encoding UTF8
+
+@'
+#!/bin/bash
+# Local manifest wrapper (gitignored). Git Bash.
+set -euo pipefail
+ROOT="$(git rev-parse --show-toplevel)"
+exec python3 "$ROOT/contrib/manifest/generate.py" "$@"
+'@ | Set-Content -Path $LocalScriptSh -Encoding ASCII -NoNewline
+Add-Content -Path $LocalScriptSh -Value "`n" -NoNewline
+
+Write-Host "OK: pre-commit hook -> $HookDst"
+Write-Host "OK: manual script (PS)  -> $LocalScript"
+Write-Host "OK: manual script (sh)  -> $LocalScriptSh"
+Write-Host ""
+Write-Host "Manual: .\.local\build-release-manifest.ps1"
+Write-Host "        python contrib\manifest\generate.py"
+Write-Host "Pre-commit runs on version bump (python required in PATH)."

contrib/install-git-hooks.sh

@@ -0,0 +1,31 @@
+#!/bin/bash
+# Установка git hooks и локального скрипта ручной генерации manifest (не в git).
+set -euo pipefail
+
+ROOT="$(cd "$(dirname "${BASH_SOURCE[0]}")/.." && pwd)"
+HOOK_SRC="$ROOT/contrib/hooks/pre-commit"
+HOOK_DST="$ROOT/.git/hooks/pre-commit"
+LOCAL_DIR="$ROOT/.local"
+LOCAL_SCRIPT="$LOCAL_DIR/build-release-manifest.sh"
+
+if [ ! -d "$ROOT/.git" ]; then
+	echo "ERROR: не git-репозиторий: $ROOT" >&2
+	exit 1
+fi
+
+mkdir -p "$LOCAL_DIR"
+cat >"$LOCAL_SCRIPT" <<'EOF'
+#!/bin/bash
+# Локальный wrapper (не коммитится). Ручная генерация manifest.
+set -euo pipefail
+ROOT="$(git rev-parse --show-toplevel)"
+exec python3 "$ROOT/contrib/manifest/generate.py" "$@"
+EOF
+chmod +x "$LOCAL_SCRIPT"
+
+cp "$HOOK_SRC" "$HOOK_DST"
+chmod +x "$HOOK_DST"
+
+echo "OK: pre-commit hook → $HOOK_DST"
+echo "OK: ручной скрипт → $LOCAL_SCRIPT (в .gitignore, не уйдёт в Gitea/GitHub)"
+echo "После clone: ./contrib/install-git-hooks.sh  или  .\\contrib\\install-git-hooks.ps1 (Windows)"

contrib/manifest/generate.py

@@ -0,0 +1,117 @@
+#!/usr/bin/env python3
+"""Генерация release/manifest-VERSION.json (SHA256 git blob = checkout на Linux)."""
+
+from __future__ import annotations
+
+import argparse
+import hashlib
+import json
+import os
+import subprocess
+import sys
+from pathlib import Path
+
+MANIFEST_FILES = (
+    "ssh-monitor",
+    "sac-client.sh",
+    "update_ssh_monitor.sh",
+    "ssh-monitor-watchdog",
+    "ssh-monitor-perms.sh",
+)
+
+
+def repo_root() -> Path:
+    return Path(
+        subprocess.check_output(["git", "rev-parse", "--show-toplevel"], text=True).strip()
+    )
+
+
+def read_version(root: Path, explicit: str | None) -> str:
+    if explicit:
+        return explicit.strip()
+    vt = root / "version.txt"
+    if vt.is_file():
+        v = vt.read_text(encoding="utf-8").strip()
+        if v:
+            return v
+    ssh = root / "ssh-monitor"
+    if ssh.is_file():
+        for line in ssh.read_text(encoding="utf-8", errors="replace").splitlines():
+            if line.strip().startswith("SSH_MONITOR_VERSION="):
+                v = line.split("=", 1)[1].strip().strip("\"'")
+                if v:
+                    return v
+    raise SystemExit("ERROR: укажите VERSION или заполните version.txt / SSH_MONITOR_VERSION")
+
+
+def file_bytes_from_git(root: Path, name: str) -> bytes | None:
+    for ref in (f":{name}", f"HEAD:{name}"):
+        try:
+            return subprocess.check_output(["git", "-C", str(root), "show", ref])
+        except subprocess.CalledProcessError:
+            continue
+    return None
+
+
+def sha256_bytes(data: bytes) -> str:
+    return hashlib.sha256(data).hexdigest()
+
+
+def sha256_release_file(root: Path, name: str) -> str:
+    blob = file_bytes_from_git(root, name)
+    if blob is not None:
+        return sha256_bytes(blob)
+    path = root / name
+    if not path.is_file():
+        raise SystemExit(f"ERROR: нет файла {name} (ни в git index/HEAD, ни на диске)")
+    h = hashlib.sha256()
+    with path.open("rb") as f:
+        for chunk in iter(lambda: f.read(1024 * 1024), b""):
+            h.update(chunk)
+    return h.hexdigest()
+
+
+def main() -> None:
+    parser = argparse.ArgumentParser(description="Сгенерировать release/manifest-VERSION.json")
+    parser.add_argument("version", nargs="?", help="Версия (по умолчанию из version.txt)")
+    parser.add_argument(
+        "--pin-commit",
+        action="store_true",
+        help="Записать git_commit=HEAD (после коммита; в pre-commit не используется)",
+    )
+    args = parser.parse_args()
+
+    root = repo_root()
+    version = read_version(root, args.version)
+
+    for name in MANIFEST_FILES:
+        if file_bytes_from_git(root, name) is None and not (root / name).is_file():
+            raise SystemExit(f"ERROR: нет файла {name}")
+
+    git_commit = ""
+    if args.pin_commit:
+        try:
+            git_commit = subprocess.check_output(
+                ["git", "-C", str(root), "rev-parse", "HEAD"], text=True
+            ).strip()
+        except subprocess.CalledProcessError:
+            pass
+
+    manifest = {
+        "version": version,
+        "git_commit": git_commit,
+        "files": {name: f"sha256:{sha256_release_file(root, name)}" for name in MANIFEST_FILES},
+    }
+
+    out = root / "release" / f"manifest-{version}.json"
+    out.parent.mkdir(parents=True, exist_ok=True)
+    with out.open("w", encoding="utf-8") as f:
+        json.dump(manifest, f, indent=2, ensure_ascii=False)
+        f.write("\n")
+
+    pin = git_commit[:12] if git_commit else "(empty)"
+    print(f"Wrote {out.relative_to(root)} git_commit={pin}")
+
+
+if __name__ == "__main__":
+    main()

contrib/test-config-parser.sh

@@ -0,0 +1,50 @@
+#!/bin/bash
+# Smoke-test safe config parser (no network). Run from repo root.
+set -euo pipefail
+
+ROOT="$(cd "$(dirname "${BASH_SOURCE[0]}")/.." && pwd)"
+# shellcheck source=ssh-monitor-perms.sh
+source "$ROOT/ssh-monitor-perms.sh"
+
+tmpdir="$(mktemp -d)"
+trap 'rm -rf "$tmpdir"' EXIT
+cfg="$tmpdir/test.conf"
+
+cat >"$cfg" <<'EOF'
+# comment
+TELEGRAM_BOT_TOKEN="tok"
+UseSAC="exclusive"
+SAC_URL="https://sac.example.test"
+WHITELIST_IPS="127.0.0.1,10.0.0.5"
+WHITELIST_SUBNETS="10.0.0.0/24"
+BACKUP_WEBHOOK_URL="https://hooks.example/legacy"
+UNKNOWN_KEY="ignored"
+EOF
+
+ssh_monitor_config_load_file "$cfg"
+
+[ "${TELEGRAM_BOT_TOKEN:-}" = "tok" ] || {
+	echo "FAIL: TELEGRAM_BOT_TOKEN" >&2
+	exit 1
+}
+[ "${UseSAC:-}" = "exclusive" ] || {
+	echo "FAIL: UseSAC" >&2
+	exit 1
+}
+
+ips_csv="${WHITELIST_IPS:-}"
+subs_csv="${WHITELIST_SUBNETS:-}"
+WHITELIST_IPS=()
+WHITELIST_SUBNETS=()
+IFS=',' read -r -a WHITELIST_IPS <<<"$ips_csv"
+IFS=',' read -r -a WHITELIST_SUBNETS <<<"$subs_csv"
+
+ssh_monitor_validate_config_values || {
+	echo "FAIL: validate_config_values" >&2
+	exit 1
+}
+
+printf 'EVIL="$(id)"\n' >"$tmpdir/bad.conf"
+if ssh_monitor_config_load_file "$tmpdir/bad.conf" 2>/dev/null; then
+
+echo "OK: config parser smoke test passed"

contrib/test-sac-fail-count.sh

@@ -0,0 +1,32 @@
+#!/bin/bash
+# Smoke-test sac-fail.count suppress on shutdown flag. Run from repo root.
+set -euo pipefail
+
+ROOT="$(cd "$(dirname "${BASH_SOURCE[0]}")/.." && pwd)"
+tmpdir="$(mktemp -d)"
+trap 'rm -rf "$tmpdir"' EXIT
+
+write_log() { :; }
+ssh_monitor_secure_file() { :; }
+ssh_monitor_secure_dir() { mkdir -p "$1"; }
+
+# shellcheck source=sac-client.sh
+source "$ROOT/sac-client.sh"
+
+export SAC_FAIL_COUNT_FILE="${tmpdir}/sac-fail.count"
+
+sac_write_fail_count 0
+sac_increment_fail_count
+[ "$(sac_read_fail_count)" = "1" ] || {
+	echo "FAIL: expected count 1 after increment" >&2
+	exit 1
+}
+
+SAC_SUPPRESS_FAIL_COUNT=1
+sac_increment_fail_count || true
+[ "$(sac_read_fail_count)" = "1" ] || {
+	echo "FAIL: count changed under SAC_SUPPRESS_FAIL_COUNT" >&2
+	exit 1
+}
+
+echo "OK sac-fail.count suppress"

contrib/test-system-dir-hardening.sh

@@ -0,0 +1,50 @@
+#!/usr/bin/env bash
+# Smoke-test: hardening must not chmod system dirs like /var/log.
+set -euo pipefail
+ROOT="$(cd "$(dirname "$0")/.." && pwd)"
+# shellcheck source=/dev/null
+source "$ROOT/ssh-monitor-perms.sh"
+
+fail=0
+assert_true() {
+	if "$@"; then
+		return 0
+	fi
+	printf 'FAIL: expected true: %s\n' "$*" >&2
+	fail=1
+}
+assert_false() {
+	if "$@"; then
+		printf 'FAIL: expected false: %s\n' "$*" >&2
+		fail=1
+		return 0
+	fi
+	return 0
+}
+
+assert_true ssh_monitor_is_system_dir /var/log
+assert_true ssh_monitor_is_system_dir /var/log/
+assert_true ssh_monitor_is_system_dir /etc
+assert_true ssh_monitor_is_system_dir /var
+assert_true ssh_monitor_is_system_dir /
+assert_false ssh_monitor_is_system_dir /var/lib/ssh-monitor
+assert_false ssh_monitor_is_system_dir /var/lib/ssh-monitor/sac-spool
+
+tmpdir="$(mktemp -d)"
+trap 'rm -rf "$tmpdir"' EXIT
+# Private dir still gets 700 (на настоящем Linux; в Git Bash/Windows mode может не примениться)
+ssh_monitor_secure_dir "$tmpdir/owned"
+mode="$(stat -c '%a' "$tmpdir/owned" 2>/dev/null || stat -f '%OLp' "$tmpdir/owned" 2>/dev/null || echo "")"
+if [ -n "$mode" ] && [ "$mode" != "700" ] && [ "$mode" != "0700" ]; then
+	if [[ "$(uname -s 2>/dev/null || true)" == Linux ]]; then
+		printf 'FAIL: owned dir mode=%s (want 700)\n' "$mode" >&2
+		fail=1
+	else
+		printf 'WARN: skip mode assert on non-Linux (mode=%s)\n' "$mode" >&2
+	fi
+fi
+
+if [ "$fail" -ne 0 ]; then
+	exit 1
+fi
+printf 'OK: system-dir hardening guards\n'

docs/auto-update.ru.md

@@ -31,7 +31,7 @@ Watchdog и таймеры watchdog **не изменяются** при обы
 5. Ищет **`ssh-monitor`** в клоне (GitLab layout или плоский репозиторий).
 6. Сравнивает **SHA256** с **`LOCAL_SCRIPT_PATH`** (`/usr/local/bin/ssh-monitor`).
 7. **Всегда** синхронизирует **`sac-client.sh`**, **`ssh-monitor-perms.sh`**, watchdog.
-8. Дописывает ключи конфига; **`apply_runtime_security_hardening`**: `chmod 600` конфиг, `700` spool, `600` state/SAC-файлы, whitelist.
+8. Дописывает ключи конфига; **`apply_runtime_security_hardening`**: `chmod 600` конфиг, `700` spool (`/var/lib/ssh-monitor`), `600` state/SAC-файлы (в т.ч. под `/var/log/` **без** `chmod` на сам `/var/log`), whitelist.
 9. При изменении **`ssh-monitor`**, **`sac-client.sh`** или конфига — **`systemctl restart ssh-monitor.service`**.
 10. Лог: **`/var/log/update_script.log`** (блок «Итог обновления», строки `manifest` и `security hardening`).
 
@@ -91,13 +91,12 @@ Updater читает **`GIT_REF`**, **`GIT_VERIFY_MODE`**, **`GIT_ALLOW_RESET`**
 - Файл не найден → WARN, update продолжается (или exit 1 при **`RELEASE_MANIFEST_STRICT=1`**).
 - Копирование **`update_ssh_monitor.sh`** в `/opt/scripts/` и re-exec — только если manifest для версии был и прошёл verify.
 
-Генерация при релизе (после **финального** коммита кода, чтобы `git_commit` в manifest совпал с HEAD):
+Генерация manifest — см. [release-manifest.ru.md](release-manifest.ru.md). После `./contrib/install-git-hooks.sh` manifest обновляется **автоматически** при bump версии в pre-commit. Ручной wrapper: `.local/build-release-manifest.sh` (не в git).
 
 ```bash
-git commit -m "release: 2.2.0-SAC"
+./contrib/install-git-hooks.sh   # один раз после clone
-./scripts/build-release-manifest.sh 2.2.0-SAC
+# bump version.txt + ssh-monitor → git commit (hook добавит manifest)
-git add release/manifest-2.2.0-SAC.json && git commit -m "release: manifest 2.2.0-SAC"
+git tag 2.2.3-SAC
-git tag 2.2.0-SAC
 ```
 
 ### Примеры для прода

docs/install-prerequisites.ru.md

@@ -56,7 +56,7 @@ sudo apt install -y ip6tables
 
 (На многих образах **ip6tables** уже входит в метапакет с iptables.)
 
-**Шаг 3.** Если включите доставку почты (`MAIL_*` в конфиге) или **BACKUP_WEBHOOK_URL** (через Python):
+**Шаг 3.** Если включите доставку почты (`MAIL_*` в конфиге):
 
 ```bash
 sudo apt install -y python3

docs/notifications.ru.md

@@ -93,6 +93,5 @@ sudo ssh-monitor --check-config
 ## Каналы доставки
 
 - **`NOTIFY_CHAIN`**: `telegram`, `email` — при каждом событии попытка **во все** каналы списка.
-- **`BACKUP_WEBHOOK_URL`** *(deprecated, legacy)*: только если **все** каналы цепочки не доставили сообщение. В типовом деплое не используется; удаление в 2.3.x.
 
 Режим **`--dry-run`**: уведомления не отправляются; в stderr печатается текст **уже с подписью сервера**.

docs/release-manifest.ru.md

@@ -0,0 +1,46 @@
+# Release manifest
+
+Файлы `release/manifest-VERSION.json` — SHA256 агентских скриптов **как в git** (после `checkout` на Linux). Updater сверяет их до копирования на хост.
+
+## Автоматически (рекомендуется)
+
+Один раз после clone:
+
+**Linux / Git Bash:**
+```bash
+./contrib/install-git-hooks.sh
+```
+
+**Windows (PowerShell):**
+```powershell
+.\contrib\install-git-hooks.ps1
+```
+
+При коммите, если изменились **`version.txt`**, **`SSH_MONITOR_VERSION`** в `ssh-monitor` или любой из агентских файлов (`ssh-monitor`, `*.sh` из списка manifest), **pre-commit** вызовет `contrib/manifest/generate.py` и добавит `release/manifest-{версия}.json` в коммит.
+
+## Ручная генерация (локально)
+
+Скрипты **`.local/build-release-manifest.ps1`** (Windows) и **`.local/build-release-manifest.sh`** (Git Bash) создаются установщиком и **не коммитятся** (см. `.gitignore`).
+
+```powershell
+.\.local\build-release-manifest.ps1
+.\.local\build-release-manifest.ps1 2.2.3-SAC
+```
+
+```bash
+./.local/build-release-manifest.sh
+```
+
+Ядро генерации в репозитории: `contrib/manifest/generate.py` (используется hook и локальным wrapper).
+
+## Релиз (чек-лист)
+
+1. Bump `SSH_MONITOR_VERSION` + `version.txt`
+2. `git add` изменённые файлы
+3. `git commit` — hook обновит manifest (или вручную `.local/build-release-manifest.sh`)
+4. `git tag X.Y.Z-SAC`
+5. Push в kalinamall (+ GitHub при необходимости)
+
+Поле `git_commit` в manifest по умолчанию **пустое** (проверяются только SHA256 файлов). Опционально после коммита: `python3 contrib/manifest/generate.py --pin-commit`.
+
+См. также [auto-update.ru.md](auto-update.ru.md).

docs/sac-ingest.ru.md

@@ -0,0 +1,40 @@
+# SAC ingest: таймауты и fallback
+
+Документ для эксплуатации **ssh-monitor** с `UseSAC=fallback` или `exclusive` при нагрузке на SAC (массовый update агентов, deploy backend).
+
+См. также: [ingest-mass-update-backlog.ru.md](https://git.kalinamall.ru/PapaTramp/security-alert-center/src/branch/main/docs/ingest-mass-update-backlog.ru.md) (SAC + ops).
+
+## `SAC_TIMEOUT_SEC`
+
+Таймаут **connect** и **max-time** для `curl` к SAC (`/health`, `POST /api/v1/events`).
+
+| Сценарий | Рекомендация |
+|----------|--------------|
+| Обычная нагрузка | **45** (дефолт в `ssh-monitor.conf.example` и при миграции с 12) |
+| Массовый restart агентов, тяжёлый ingest на SAC | **60–90** на время окна обслуживания |
+| SAC на том же хосте перезапускается (`sac-deploy`) | Кратковременные отказы POST — норма; не поднимать таймаут «навсегда» без причины |
+
+На стороне SAC (nginx) для ingest задан `proxy_read_timeout 120s` на `POST /api/v1/events`. Агентский таймаут **не обязан** равняться 120: достаточно, чтобы POST не обрывался раньше типичного ответа API. При `SAC_TIMEOUT_SEC` меньше nginx-лимита агент уйдёт в spool и `sac-fail.count`, а не «висит» минутами.
+
+Проверка после смены:
+
+```bash
+sudo ssh-monitor --check-config
+sudo ssh-monitor --check-sac
+```
+
+## `sac-fail.count` и режим `fallback`
+
+При ошибке POST ingest счётчик в `SAC_FAIL_COUNT_FILE` увеличивается. После **`SAC_FALLBACK_FAILURES`** подряд (по умолчанию 5) агент перестаёт слать в SAC и шлёт только в локальный Telegram, пока `/health` снова не станет OK.
+
+**Сброс счётчика:** любой успешный POST (в т.ч. heartbeat) обнуляет `sac-fail.count`.
+
+**Shutdown / SIGTERM (с 2.3.2-SAC):** при остановке монитора (`systemctl stop`, restart во время SAC-update) неудачный lifecycle POST **не увеличивает** счётчик — иначе после штатного restart пачки хостов агент ложно уходит в Telegram-fallback.
+
+Lifecycle при SAC-update по-прежнему **пропускается**, если существует state-file `agent-update-in-progress` (см. `update_ssh_monitor.sh`).
+
+## Операционные правила
+
+1. Не совмещать `sudo /opt/sac-deploy.sh` и массовое «Обновить ssh-monitor» по многим хостам в одно окно.
+2. Обновлять Linux-хосты **пачками по 2–3**.
+3. На зрелых хостах — **`UseSAC=exclusive`**, если локальный Telegram при fallback не нужен.

docs/security-roadmap.ru.md

@@ -25,14 +25,17 @@
 | **2.1.7-SAC** | Фаза 1 + выбранное из Фазы 4 | Права, `REPO_URL` обязателен, webhook, docs | ✅ реализовано |
 | **2.1.8-SAC** | Дополнение к 1.1 | SAC-first update: hardening прав на каждом прогоне updater | ✅ реализовано |
 | **2.1.9-SAC** | Дополнение к 1.x | Watchdog: `🖥️ Сервер:` в Telegram (как у агента) | ✅ реализовано |
+| **2.3.2-SAC** | **Фаза 4.2** | Shutdown: не крутить `sac-fail.count`; docs `SAC_TIMEOUT_SEC` | ✅ реализовано |
+| **2.3.1-SAC** | Hotfix | `--check-config` + whitelist IPv4 | ✅ реализовано |
+| **2.2.3-SAC** | Дополнение к 2.2.x | Подавление sudo TG при SAC bootstrap/update | ✅ реализовано |
 | **2.2.1-SAC** | Дополнение к 2.2.0 | Подавление lifecycle/watchdog TG при SAC-update | ✅ реализовано |
 | **2.2.0-SAC** | **Фаза 2** | Manifest, pinned ref, без слепого `reset --hard` | ✅ реализовано |
 | **2.3.0-SAC** | Фаза 3 | Парсер конфига без `source` (minor breaking) |
 
 Bump: `ssh-monitor` (`SSH_MONITOR_VERSION`) + `version.txt` в каждом релизе.
 
-**Текущий статус (2026-07-08):** фаза 2 закрыта (2.2.0-SAC). **Дальше — фаза 3 → релиз 2.3.0-SAC.**  
+**Текущий статус (2026-07-08):** фаза **4.2** закрыта (2.3.2-SAC). Дальше — ops (`UseSAC=exclusive`, пачки update) и опционально GPG / `GIT_REF=tag` на проде.  
-Backlog по ingest при массовом update (SAC + ops): [ingest-mass-update-backlog.ru.md](https://git.kalinamall.ru/PapaTramp/security-alert-center/src/branch/main/docs/ingest-mass-update-backlog.ru.md) (отдельный ToDo, не блокирует 2.2.0).
+Backlog по ingest при массовом update (SAC + ops): [ingest-mass-update-backlog.ru.md](https://git.kalinamall.ru/PapaTramp/security-alert-center/src/branch/main/docs/ingest-mass-update-backlog.ru.md) (отдельный ToDo).
 
 ---
 
@@ -41,6 +44,7 @@ Backlog по ingest при массовом update (SAC + ops): [ingest-mass-upd
 ### 1.1 Права на state / spool (M4)
 
 - [x] При создании каталогов и файлов состояния: `chown root:root`, каталоги `chmod 700`, файлы `chmod 600`
+- [x] **2.3.3:** не делать `chmod 700` на системные каталоги (`/var/log`, `/etc`, …) при hardening файлов вроде `/var/log/last_heartbeat.txt`
 - [x] Затронуть: `SAC_SPOOL_DIR`, `SAC_FAIL_COUNT_FILE`, heartbeat / last_* (где создаёт `ssh-monitor` / `sac-client.sh` / deploy)
 - [x] **2.1.8:** `update_ssh_monitor.sh` → `apply_runtime_security_hardening` на **каждом** update (SAC, cron, вручную): retrofit `chmod`/`chown` существующих путей из конфига
 - [x] В `--check-config`: предупреждение, если существующие пути с ослабленными правами
@@ -63,8 +67,8 @@ Backlog по ingest при массовом update (SAC + ops): [ingest-mass-upd
 
 - [x] В `ssh-monitor.conf.example`: закомментировать / убрать из «активного» блока, комментарий `DEPRECATED: не используется в типовом деплое; будет удалён в 2.3.x`
 - [x] В README / `docs/notifications.ru.md`: пометить **legacy / необязательно**
-- [x] В `--check-config`: если задан — `WARN: BACKUP_WEBHOOK_URL deprecated`
+- [x] В `--check-config`: если задан — WARN (удалён в 2.3.0)
-- [ ] **Удаление кода** — отложить до **2.3.0** или позже, если подтвердим, что нигде не нужен
+- [x] **Удаление кода** — **2.3.0-SAC**
 
 ---
 
@@ -142,7 +146,7 @@ Backlog по ingest при массовом update (SAC + ops): [ingest-mass-upd
 - [x] Публиковать manifest при каждом релизе (в git, рядом с тегом)
 - [x] Updater: после checkout сверять SHA256 файлов из клона с manifest **до** копирования в `/usr/local/bin`
 - [x] Несовпадение → exit 1, ничего не перезаписывать
-- [x] Скрипт/цель в `Makefile` или `scripts/build-release-manifest.sh` для генерации
+- [x] Скрипт/цель в `Makefile` + `contrib/manifest/generate.py`; pre-commit hook; ручной `.local/` (не в remote)
 
 **Связь с 2.4:** manifest из **того же** `REPO_URL` защищает от подмены файлов в clone и от «не того» коммита; не защищает от полной компрометации git-сервера (для этого GPG).
 
@@ -177,37 +181,37 @@ Backlog по ingest при массовом update (SAC + ops): [ingest-mass-upd
 
 ### 3.1 Парсер без `source` (C1) — **утверждено**
 
-- [ ] Whitelist ключей: `TELEGRAM_*`, `SAC_*`, `MAIL_*`, `NOTIFY_*`, числовые лимиты, пути и т.д.
+- [x] Whitelist ключей: `TELEGRAM_*`, `SAC_*`, `MAIL_*`, `NOTIFY_*`, числовые лимиты, пути и т.д.
-- [ ] Формат строк: `KEY="value"` / `KEY='value'` / `KEY=value`
+- [x] Формат строк: `KEY="value"` / `KEY='value'` / `KEY=value`
-- [ ] Игнор `#` комментариев; неизвестные ключи — WARN (или сохранять в sidecar — не нужно)
+- [x] Игнор `#` комментариев; неизвестные ключи — WARN
 
-**Файлы:** `ssh-monitor`, `ssh-monitor-watchdog` (если source конфиг)
+**Файлы:** `ssh-monitor-perms.sh` (`ssh_monitor_config_load_file`), `ssh-monitor`, `ssh-monitor-watchdog`
 
 ---
 
 ### 3.2 Миграция — **решение агента**
 
-- [ ] **2.3.0:** парсер по умолчанию; `source` **удалить**
+- [x] **2.3.0:** парсер по умолчанию; `source` **удалён**
-- [ ] Синтаксис файла **не меняется** для пользователя — те же `KEY="value"`
+- [x] Синтаксис файла **не меняется** для пользователя — те же `KEY="value"`
-- [ ] В release notes: «поведение то же, выполнение bash из конфига невозможно»
+- [x] В release notes: «поведение то же, выполнение bash из конфига невозможно»
-- [ ] `ssh-monitor --check-config` проверяет неизвестные/битые строки
+- [x] `ssh-monitor --check-config` проверяет неизвестные/битые строки (WARN) и значения (ERROR)
-- [ ] Отдельная команда миграции **не нужна** (формат тот же)
+- [x] Отдельная команда миграции **не нужна** (формат тот же)
 
 ---
 
 ### 3.3 Валидация значений — **решение агента**
 
-- [ ] URL: `SAC_URL`, `MAIL_SMTP_HOST` — схема https/http, не пустой host
+- [x] URL: `SAC_URL` — http(s)://host
-- [ ] Enum: `UseSAC` ∈ `off|exclusive|dual|fallback`
+- [x] Enum: `UseSAC` ∈ `off|exclusive|dual|fallback`; `GIT_VERIFY_MODE` ∈ `off|tag|commit`
-- [ ] Числа: существующие `validate_numeric_or_default` расширить
+- [x] Числа: существующие `validate_numeric_or_default`
-- [ ] IP/CIDR в `WHITELIST_*` — базовая проверка формата
+- [x] IP/CIDR в `WHITELIST_*` — базовая проверка формата
-- [ ] Ошибки валидации → exit 1 на старте и в `--check-config`
+- [x] Ошибки валидации → exit 1 на старте и в `--check-config`
 
 ---
 
 ### 3.x Удаление `BACKUP_WEBHOOK` (если утвердили soft-deprecate в 1.3)
 
-- [ ] Удалить код и документацию в **2.3.0** или **2.4.0**, если подтверждено неиспользование
+- [x] Удалить код и документацию в **2.3.0**
 
 ---
 
@@ -239,7 +243,7 @@ Backlog по ingest при массовом update (SAC + ops): [ingest-mass-upd
 
 - [x] **Релиз 2.1.7–2.1.9** — фаза 1 + SAC-first + watchdog server label
 - [x] **Релиз 2.2.0** — scope: 2.1–2.3, 2.5, 4.5, 4.7(M7); **2.4 GPG отложить**
-- [ ] **Релиз 2.3.0** — scope: 3.1–3.3, удаление webhook (если A)
+- [x] **Релиз 2.3.0** — scope: 3.1–3.3, удаление webhook
 - [ ] **Дефолт `GIT_REF`** в 2.2.0: тег из `version.txt` vs `main`
 - [x] **Миграция хостов:** SAC-first update, `known_hosts`, `REPO_URL` через SAC
 - [ ] **Ingest mass-update backlog** — см. security-alert-center `docs/ingest-mass-update-backlog.ru.md`

release/manifest-2.2.2-SAC.json

@@ -0,0 +1,11 @@
+{
+  "version": "2.2.2-SAC",
+  "git_commit": "",
+  "files": {
+    "ssh-monitor": "sha256:be35da47fb1cf370628795bfdfe34195a7ba098c666bd8aa092929a168a10ef6",
+    "sac-client.sh": "sha256:4c481effd0e50b3db8cfa3baf3c5f228892530939df6f534a5d3d3d8a79db048",
+    "update_ssh_monitor.sh": "sha256:510d63b43ea02e5aaa4385bcc6c9396ad99637c377c9880125cb2168e9d422cd",
+    "ssh-monitor-watchdog": "sha256:41aa139cab0fb275249780953fceb3f8ebe01c49bf96f901dd3cf4d2fb3a9274",
+    "ssh-monitor-perms.sh": "sha256:53ebf15138d59be1610e5bc14a107b942d9a7fd039683abfd2fdd0aa0b54b933"
+  }
+}

release/manifest-2.2.3-SAC.json

@@ -0,0 +1,11 @@
+{
+  "version": "2.2.3-SAC",
+  "git_commit": "",
+  "files": {
+    "ssh-monitor": "sha256:875252eb23640cbae34bcaaf71d07b091c71e04c29d5d5d5e90851083c5bfc21",
+    "sac-client.sh": "sha256:4c481effd0e50b3db8cfa3baf3c5f228892530939df6f534a5d3d3d8a79db048",
+    "update_ssh_monitor.sh": "sha256:76c610ed229d510c41ddd0d10db2b68d48c08b89eb1c8252341ce85f088bf6cd",
+    "ssh-monitor-watchdog": "sha256:41aa139cab0fb275249780953fceb3f8ebe01c49bf96f901dd3cf4d2fb3a9274",
+    "ssh-monitor-perms.sh": "sha256:a1ca9e72a9bd7162324c308849cfeebd449228c308edb03191171e9d3187658c"
+  }
+}

release/manifest-2.3.0-SAC.json

@@ -0,0 +1,11 @@
+{
+  "version": "2.3.0-SAC",
+  "git_commit": "",
+  "files": {
+    "ssh-monitor": "sha256:3fd3348b46f444d04155e4b3e52eff6ed22d45587cedaf7584821a66013f8ec1",
+    "sac-client.sh": "sha256:4c481effd0e50b3db8cfa3baf3c5f228892530939df6f534a5d3d3d8a79db048",
+    "update_ssh_monitor.sh": "sha256:76c610ed229d510c41ddd0d10db2b68d48c08b89eb1c8252341ce85f088bf6cd",
+    "ssh-monitor-watchdog": "sha256:c03c50162b552a7790dd0a63eecec08d672ee04955281b5ec434ed92af5e0e2f",
+    "ssh-monitor-perms.sh": "sha256:d78349904ea5b0729716f47a65a9ceb531940b6ac92460a7f8e1099738290fd3"
+  }
+}

release/manifest-2.3.1-SAC.json

@@ -0,0 +1,11 @@
+{
+  "version": "2.3.1-SAC",
+  "git_commit": "",
+  "files": {
+    "ssh-monitor": "sha256:0219054a824242ef800410fd17843e0c45e0572608dfa4825168fbcee0d97012",
+    "sac-client.sh": "sha256:4c481effd0e50b3db8cfa3baf3c5f228892530939df6f534a5d3d3d8a79db048",
+    "update_ssh_monitor.sh": "sha256:76c610ed229d510c41ddd0d10db2b68d48c08b89eb1c8252341ce85f088bf6cd",
+    "ssh-monitor-watchdog": "sha256:c03c50162b552a7790dd0a63eecec08d672ee04955281b5ec434ed92af5e0e2f",
+    "ssh-monitor-perms.sh": "sha256:a4e9be8b9d095abf036c1265186863c2e490baf6f05798010dd17c41197a29e4"
+  }
+}

release/manifest-2.3.2-SAC.json

@@ -0,0 +1,11 @@
+{
+  "version": "2.3.2-SAC",
+  "git_commit": "",
+  "files": {
+    "ssh-monitor": "sha256:ca64d1b2cfda29451704e43d6d5995dbdd5cac44f7e4d85f52d8f54429083c0f",
+    "sac-client.sh": "sha256:e3b561280d1c146f565a1fa73e4df29f07b4ffdf149c2b30074fac98722ee9b3",
+    "update_ssh_monitor.sh": "sha256:76c610ed229d510c41ddd0d10db2b68d48c08b89eb1c8252341ce85f088bf6cd",
+    "ssh-monitor-watchdog": "sha256:c03c50162b552a7790dd0a63eecec08d672ee04955281b5ec434ed92af5e0e2f",
+    "ssh-monitor-perms.sh": "sha256:19531b61ebac2e2f9a19fcd9fa40b6fca4651a979dfc6ab9a347a0398ce5e012"
+  }
+}

release/manifest-2.3.3-SAC.json

@@ -0,0 +1,11 @@
+{
+  "version": "2.3.3-SAC",
+  "git_commit": "",
+  "files": {
+    "ssh-monitor": "sha256:589ae92dc0e9656d51ca35f1eace1941ff8e292f8d5f0a4b8d2a72060610414c",
+    "sac-client.sh": "sha256:e3b561280d1c146f565a1fa73e4df29f07b4ffdf149c2b30074fac98722ee9b3",
+    "update_ssh_monitor.sh": "sha256:76c610ed229d510c41ddd0d10db2b68d48c08b89eb1c8252341ce85f088bf6cd",
+    "ssh-monitor-watchdog": "sha256:c03c50162b552a7790dd0a63eecec08d672ee04955281b5ec434ed92af5e0e2f",
+    "ssh-monitor-perms.sh": "sha256:3e411951f25fb8d708c11775925985bc45a861c28eb97932fe04012d3c9ffe5b"
+  }
+}

sac-client.sh

@@ -119,8 +119,20 @@ sac_reset_fail_count() {
  sac_write_fail_count 0
 }
 
+# Внутренний флаг: при shutdown/SIGTERM не крутить счётчик (restart во время SAC-deploy).
+sac_fail_count_increment_suppressed() {
+ case "${SAC_SUPPRESS_FAIL_COUNT:-0}" in
+ 1 | yes | true | on) return 0 ;;
+ esac
+ return 1
+}
+
 sac_increment_fail_count() {
  local n max
+ if sac_fail_count_increment_suppressed; then
+  write_log "SAC: пропуск sac-fail.count (shutdown/maintenance)"
+  return 1
+ fi
  max="${SAC_FALLBACK_FAILURES:-5}"
  n="$(sac_read_fail_count)"
  n=$((n + 1))

scripts/build-release-manifest.sh

@@ -1,82 +0,0 @@
-#!/bin/bash
-# Генерация release/manifest-VERSION.json (SHA256 файлов + git commit HEAD).
-# Запуск из корня репозитория: ./scripts/build-release-manifest.sh [VERSION]
-set -euo pipefail
-
-ROOT="$(cd "$(dirname "${BASH_SOURCE[0]}")/.." && pwd)"
-cd "$ROOT"
-
-version="${1:-}"
-if [ -z "$version" ]; then
-	version="$(tr -d '\r\n' <version.txt 2>/dev/null || true)"
-fi
-if [ -z "$version" ]; then
-	version="$(grep -E '^[[:space:]]*SSH_MONITOR_VERSION=' ssh-monitor 2>/dev/null | head -1 | sed -E 's/^[^=]*=//; s/^["'\'']//; s/["'\'']$//; s/^[[:space:]]+//; s/[[:space:]]+$//')"
-fi
-[ -n "$version" ] || {
-	echo "ERROR: укажите VERSION или заполните version.txt" >&2
-	exit 1
-}
-
-FILES=(
-	ssh-monitor
-	sac-client.sh
-	update_ssh_monitor.sh
-	ssh-monitor-watchdog
-	ssh-monitor-perms.sh
-)
-
-for f in "${FILES[@]}"; do
-	[ -f "$f" ] || {
-		echo "ERROR: нет файла $f" >&2
-		exit 1
-	}
-done
-
-git_commit=""
-if git rev-parse HEAD >/dev/null 2>&1; then
-	git_commit="$(git rev-parse HEAD)"
-fi
-
-out="release/manifest-${version}.json"
-mkdir -p release
-
-export MANIFEST_ROOT="$ROOT"
-export MANIFEST_VERSION="$version"
-export MANIFEST_GIT_COMMIT="$git_commit"
-export MANIFEST_OUT="$out"
-export MANIFEST_FILES="${FILES[*]}"
-
-python3 <<'PY'
-import hashlib
-import json
-import os
-
-root = os.environ["MANIFEST_ROOT"]
-version = os.environ["MANIFEST_VERSION"]
-git_commit = os.environ.get("MANIFEST_GIT_COMMIT", "")
-files = os.environ["MANIFEST_FILES"].split()
-out = os.environ["MANIFEST_OUT"]
-
-def sha256_file(path: str) -> str:
-    h = hashlib.sha256()
-    with open(path, "rb") as f:
-        for chunk in iter(lambda: f.read(1024 * 1024), b""):
-            h.update(chunk)
-    return h.hexdigest()
-
-manifest = {
-    "version": version,
-    "git_commit": git_commit,
-    "files": {},
-}
-for name in files:
-    path = os.path.join(root, name)
-    manifest["files"][name] = f"sha256:{sha256_file(path)}"
-
-with open(out, "w", encoding="utf-8") as f:
-    json.dump(manifest, f, indent=2, ensure_ascii=False)
-    f.write("\n")
-
-print(f"Wrote {out} commit={git_commit[:12] if git_commit else '?'}")
-PY

ssh-monitor

@@ -7,7 +7,7 @@ IFS=$'\n\t'
 # ============================================
 
 CONFIG_FILE="/etc/ssh-monitor.conf"
-SSH_MONITOR_VERSION="2.2.1-SAC"
+SSH_MONITOR_VERSION="2.3.3-SAC"
 
 SCRIPT_DIR="$(cd "$(dirname "${BASH_SOURCE[0]}")" && pwd)"
 if [ -f "$SCRIPT_DIR/ssh-monitor-perms.sh" ]; then
@@ -27,7 +27,6 @@ fi
 
 TELEGRAM_BOT_TOKEN=""
 TELEGRAM_CHAT_ID=""
-BACKUP_WEBHOOK_URL=""
 
 # Очередь оповещений: CSV из имён telegram, email (или tg, mail).
 # Пусто = авто: только настроенные каналы, порядок telegram → email.
@@ -190,7 +189,6 @@ load_config() {
 
  local cfg_telegram_bot_token="${TELEGRAM_BOT_TOKEN}"
  local cfg_telegram_chat_id="${TELEGRAM_CHAT_ID}"
- local cfg_backup_webhook_url="${BACKUP_WEBHOOK_URL}"
  local cfg_log_file="${LOG_FILE}"
  local cfg_last_heartbeat_file="${LAST_HEARTBEAT_FILE}"
  local cfg_heartbeat_interval_minutes="${HEARTBEAT_INTERVAL_MINUTES:-240}"
@@ -252,15 +250,15 @@ load_config() {
   if ! ssh_monitor_check_config_file_perms "$CONFIG_FILE" "$_strict_peek"; then
    exit 1
   fi
-  # shellcheck disable=SC1090
+  if ! ssh_monitor_config_load_file "$CONFIG_FILE"; then
-  source "$CONFIG_FILE"
+   exit 1
+  fi
  else
  printf 'WARN: Конфиг %s не найден, использую значения по умолчанию\n' "$CONFIG_FILE" >&2
  fi
 
  TELEGRAM_BOT_TOKEN="${TELEGRAM_BOT_TOKEN:-$cfg_telegram_bot_token}"
  TELEGRAM_CHAT_ID="${TELEGRAM_CHAT_ID:-$cfg_telegram_chat_id}"
- BACKUP_WEBHOOK_URL="${BACKUP_WEBHOOK_URL:-$cfg_backup_webhook_url}"
  LOG_FILE="${LOG_FILE:-$cfg_log_file}"
  LAST_HEARTBEAT_FILE="${LAST_HEARTBEAT_FILE:-$cfg_last_heartbeat_file}"
  HEARTBEAT_INTERVAL_MINUTES="${HEARTBEAT_INTERVAL_MINUTES:-$cfg_heartbeat_interval_minutes}"
@@ -303,8 +301,18 @@ load_config() {
  BAN_CHECK_INTERVAL="${BAN_CHECK_INTERVAL:-$cfg_ban_check_interval}"
  MONITOR_INTERVAL="${MONITOR_INTERVAL:-$cfg_monitor_interval}"
 
- local whitelist_ips_csv="${WHITELIST_IPS:-$cfg_whitelist_ips_csv}"
+ local whitelist_ips_csv=""
- local whitelist_subnets_csv="${WHITELIST_SUBNETS:-$cfg_whitelist_subnets_csv}"
+ local whitelist_subnets_csv=""
+ if [ -f "$CONFIG_FILE" ]; then
+  whitelist_ips_csv="$(ssh_monitor_config_peek WHITELIST_IPS "$CONFIG_FILE" "$cfg_whitelist_ips_csv")"
+  whitelist_subnets_csv="$(ssh_monitor_config_peek WHITELIST_SUBNETS "$CONFIG_FILE" "$cfg_whitelist_subnets_csv")"
+ else
+  whitelist_ips_csv="$cfg_whitelist_ips_csv"
+  whitelist_subnets_csv="$cfg_whitelist_subnets_csv"
+ fi
+ unset -v WHITELIST_IPS WHITELIST_SUBNETS 2>/dev/null || true
+ WHITELIST_IPS=()
+ WHITELIST_SUBNETS=()
  csv_to_array "$whitelist_ips_csv" WHITELIST_IPS
  csv_to_array "$whitelist_subnets_csv" WHITELIST_SUBNETS
 
@@ -478,8 +486,8 @@ validate_config() {
  printf '%s\n' 'Не настроен ни один канал отправки оповещений' >&2
  exit 1
  fi
- if [ -n "${BACKUP_WEBHOOK_URL:-}" ]; then
+ if ! ssh_monitor_validate_config_values; then
- printf 'WARN: BACKUP_WEBHOOK_URL deprecated (legacy fallback); будет удалён в 2.3.x\n' >&2
+ exit 1
  fi
  if command -v sac_warn_tls_insecure >/dev/null 2>&1; then
  sac_warn_tls_insecure
@@ -651,7 +659,7 @@ message_ensure_server_line() {
 }
 
 # ============================================
-# УВЕДОМЛЕНИЯ: telegram / email — по NOTIFY_CHAIN во все перечисленные каналы; BACKUP_WEBHOOK только если все неуспешны.
+# УВЕДОМЛЕНИЯ: telegram / email — по NOTIFY_CHAIN во все перечисленные каналы.
 # ============================================
 
 send_email_raw() {
@@ -771,29 +779,6 @@ send_telegram_raw() {
  return 1
 }
 
-send_backup_webhook_raw() {
- local message="$1"
- if [ -z "${BACKUP_WEBHOOK_URL:-}" ]; then
- return 1
- fi
- if ! command -v python3 >/dev/null 2>&1; then
- return 1
- fi
- local plain="$message"
- local payload
- payload="$(BACKUP_MSG="$plain" python3 - <<'PY'
-import json, os
-print(json.dumps({"text": os.environ.get("BACKUP_MSG", "")}))
-PY
-)"
- if curl -fsS -m 12 -X POST "$BACKUP_WEBHOOK_URL" \
- -H "Content-Type: application/json" \
- -d "$payload" >/dev/null 2>&1; then
- return 0
- fi
- return 1
-}
-
 sac_mirror_notify_message() {
  local message="$1"
  local mode
@@ -860,12 +845,7 @@ notify_send() {
  return 0
  fi
 
- if send_backup_webhook_raw "$message"; then
+ write_log "WARN: не удалось доставить уведомление ни в один канал ($(notify_chain_human))"
- write_log "WARN: все каналы из NOTIFY_CHAIN недоступны, сообщение ушло в BACKUP_WEBHOOK_URL"
- return 0
- fi
-
- write_log "WARN: не удалось доставить уведомление ни в один канал ($(notify_chain_human); BACKUP_WEBHOOK не задан или недоступен)"
  return 1
 }
 
@@ -1521,6 +1501,10 @@ monitor_sudo() {
  fi
 
  if [ -n "$user" ] && [ -n "${sudo_cmd:-}" ]; then
+ if ssh_monitor_sudo_is_sac_maintenance "$sudo_cmd" 2>/dev/null; then
+  write_log "SUDO: пропуск SAC/update maintenance ($user): ${sudo_cmd:0:80}…"
+  continue
+ fi
  local message=" ⚠️ ИСПОЛЬЗОВАНИЕ SUDO "$'\n'
  message="${message}👤 Пользователь: ${user}"$'\n'
  if [ -n "$run_as" ]; then
@@ -2081,6 +2065,7 @@ send_shutdown_notification() {
   return 0
  fi
  SHUTDOWN_NOTIFIED=1
+ SAC_SUPPRESS_FAIL_COUNT=1
 
  local timestamp
  timestamp=$(notification_date '+%d.%m.%Y %H:%M:%S')
@@ -2141,7 +2126,6 @@ run_check_config() {
  printf 'NOTIFY_ORDER=%s (пусто = авто: только настроенные; при событии — отправка во все каналы списка)\n' "${NOTIFY_ORDER:-}"
  printf 'NOTIFY_CHAIN (эффективная очередь)=%s\n' "$(notify_chain_human)"
  printf 'TELEGRAM: %s\n' "$([ -n "$TELEGRAM_BOT_TOKEN" ] && echo настроен || echo НЕ настроен)"
- printf 'BACKUP_WEBHOOK_URL: %s\n' "$([ -n "${BACKUP_WEBHOOK_URL:-}" ] && echo настроен || echo не задан)"
  printf 'LOG_FILE=%s\n' "$LOG_FILE"
  printf 'DAILY_REPORT_HOUR=%s\n' "$DAILY_REPORT_HOUR"
  printf 'DAILY_REPORT_TZ=%s (пусто = зона процесса/date)\n' "${DAILY_REPORT_TZ:-}"
@@ -2165,9 +2149,6 @@ run_check_config() {
  printf 'UseSAC=%s SAC_URL=%s SAC_API_KEY=%s\n' "${UseSAC:-off}" "${SAC_URL:-}" \
   "$([ -n "${SAC_API_KEY:-}" ] && echo задан || echo не задан)"
  printf 'CONFIG_STRICT_PERMS=%s SAC_TLS_INSECURE=%s\n' "${CONFIG_STRICT_PERMS:-0}" "${SAC_TLS_INSECURE:-0}"
- if [ -n "${BACKUP_WEBHOOK_URL:-}" ]; then
- printf 'WARN: BACKUP_WEBHOOK_URL deprecated (legacy fallback); будет удалён в 2.3.x\n'
- fi
  ssh_monitor_audit_state_paths
  if bash -n "$0" 2>/dev/null; then
  printf 'bash -n: OK\n'

ssh-monitor-perms.sh

@@ -23,6 +23,217 @@ ssh_monitor_config_peek() {
 	printf '%s\n' "$val"
 }
 
+# --- Безопасная загрузка /etc/ssh-monitor.conf (2.3.0+: без source / выполнения bash) ---
+
+_ssh_monitor_config_trim() {
+	local v="$1"
+	v="${v#"${v%%[![:space:]]*}"}"
+	v="${v%"${v##*[![:space:]]}"}"
+	printf '%s' "$v"
+}
+
+ssh_monitor_config_is_known_key() {
+	case "$1" in
+	TELEGRAM_BOT_TOKEN | TELEGRAM_CHAT_ID | NOTIFY_ORDER | \
+	UseSAC | SAC_URL | SAC_API_KEY | SAC_SPOOL_DIR | SAC_FAIL_COUNT_FILE | \
+	SAC_FALLBACK_FAILURES | SAC_TIMEOUT_SEC | SAC_SPOOL_FLUSH_MAX_FILES | \
+	SAC_SPOOL_MAX_AGE_HOURS | SAC_TLS_INSECURE | SAC_SEND_HEARTBEAT | SAC_AGENT_ID_FILE | \
+	CONFIG_STRICT_PERMS | \
+	MAIL_SMTP_HOST | MAIL_SMTP_PORT | MAIL_SMTP_USER | MAIL_SMTP_PASSWORD | \
+	MAIL_FROM | MAIL_TO | MAIL_SMTP_STARTTLS | MAIL_SMTP_SSL | \
+	LOG_FILE | LAST_HEARTBEAT_FILE | HEARTBEAT_INTERVAL_MINUTES | LAST_REPORT_FILE | \
+	LAST_SSH_CHECK_FILE | LAST_SUDO_CHECK_FILE | LAST_SECURITY_EVENTS_FILE | LAST_LOGIND_CHECK_FILE | \
+	DAILY_REPORT_ENABLED | DAILY_REPORT_HOUR | DAILY_REPORT_TZ | DAILY_REPORT_TOP_IPS | \
+	NOTIFY_TZ | SERVER_DISPLAY_NAME | SERVER_IPV4 | SSH_ACCEPT_NOTIFY_DEDUP_SEC | \
+	ENABLE_LOGIND_MONITOR | LOGIND_NOTIFY_NEW | LOGIND_NOTIFY_REMOVED | LOGIND_NOTIFY_FAILED | LOGIND_SKIP_REMOTE | \
+	PROMETHEUS_TEXTFILE_DIR | HEALTHCHECK_STATUS_FILE | \
+	BRUTE_WINDOW_SEC | BRUTE_MIN_FAILS | BRUTE_NOTIFY_COOLDOWN_SEC | \
+	ENABLE_IP_BAN | BAN_TIME | MAX_ATTEMPTS | BAN_CHECK_INTERVAL | MONITOR_INTERVAL | BAN_LIST_FILE | \
+	IPSET_NAME_V4 | IPSET_NAME_V6 | IPSET_MAXELEM | \
+	WHITELIST_IPS | WHITELIST_SUBNETS | \
+	WATCHDOG_MAX_HEARTBEAT_AGE | WATCHDOG_LOG_FILE | WATCHDOG_SERVICE_NAME | WATCHDOG_NOTIFY_ON_RECOVERY | \
+	GIT_REF | GIT_VERIFY_MODE | GIT_ALLOW_RESET | GIT_BRANCH | REPO_URL)
+		return 0
+		;;
+	BACKUP_WEBHOOK_URL)
+		return 2
+		;;
+	esac
+	return 1
+}
+
+# Разбор строки KEY=value. Устанавливает _CFG_KEY / _CFG_VAL.
+# 0 ok | 1 пусто/комментарий | 2 битая строка | 3 подстановка shell в value
+ssh_monitor_config_parse_line() {
+	local line="$1" raw_val
+	_CFG_KEY="" _CFG_VAL=""
+	line="$(_ssh_monitor_config_trim "$line")"
+	[ -n "$line" ] || return 1
+	[[ "$line" == \#* ]] && return 1
+	if [[ ! "$line" =~ ^([A-Za-z_][A-Za-z0-9_]*)=(.*)$ ]]; then
+		return 2
+	fi
+	_CFG_KEY="${BASH_REMATCH[1]}"
+	raw_val="${BASH_REMATCH[2]}"
+	raw_val="$(_ssh_monitor_config_trim "$raw_val")"
+	if [ -z "$raw_val" ]; then
+		_CFG_VAL=""
+		return 0
+	fi
+	case "$raw_val" in
+	\"*\")
+		_CFG_VAL="${raw_val#\"}"
+		_CFG_VAL="${_CFG_VAL%\"}"
+		;;
+	\'*\')
+		_CFG_VAL="${raw_val#\'}"
+		_CFG_VAL="${_CFG_VAL%\'}"
+		;;
+	*)
+		_CFG_VAL="$raw_val"
+		;;
+	esac
+	if [[ "$_CFG_VAL" == *'$('* || "$_CFG_VAL" == *'`'* ]]; then
+		return 3
+	fi
+	return 0
+}
+
+ssh_monitor_config_load_file() {
+	local file="$1"
+	local line rc line_no=0
+	[ -f "$file" ] || return 1
+	while IFS= read -r line || [ -n "$line" ]; do
+		line_no=$((line_no + 1))
+		ssh_monitor_config_parse_line "$line"
+		rc=$?
+		if [ "$rc" -eq 1 ]; then
+			continue
+		fi
+		if [ "$rc" -eq 2 ]; then
+			printf 'WARN: конфиг %s:%s: пропуск нераспознанной строки: %s\n' "$file" "$line_no" "$line" >&2
+			continue
+		fi
+		if [ "$rc" -eq 3 ]; then
+			printf 'ERROR: конфиг %s:%s: недопустимая подстановка shell в %s=\n' "$file" "$line_no" "$_CFG_KEY" >&2
+			return 1
+		fi
+		ssh_monitor_config_is_known_key "$_CFG_KEY"
+		rc=$?
+		if [ "$rc" -eq 2 ]; then
+			printf 'WARN: конфиг %s:%s: BACKUP_WEBHOOK_URL удалён в 2.3.0-SAC — игнорируется\n' "$file" "$line_no" >&2
+			continue
+		fi
+		if [ "$rc" -eq 1 ]; then
+			printf 'WARN: конфиг %s:%s: неизвестный ключ %s (игнорируется)\n' "$file" "$line_no" "$_CFG_KEY" >&2
+			continue
+		fi
+		printf -v "$_CFG_KEY" '%s' "$_CFG_VAL"
+	done <"$file"
+	return 0
+}
+
+ssh_monitor_validate_ipv4() {
+	local ip="$1" o
+	ip="$(_ssh_monitor_config_trim "$ip")"
+	[[ "$ip" =~ ^([0-9]{1,3})\.([0-9]{1,3})\.([0-9]{1,3})\.([0-9]{1,3})$ ]] || return 1
+	for o in "${BASH_REMATCH[1]}" "${BASH_REMATCH[2]}" "${BASH_REMATCH[3]}" "${BASH_REMATCH[4]}"; do
+		((10#$o <= 255)) || return 1
+	done
+	return 0
+}
+
+ssh_monitor_validate_cidr_v4() {
+	local cidr="$1" net mask
+	cidr="$(_ssh_monitor_config_trim "$cidr")"
+	[[ "$cidr" == */* ]] || return 1
+	net="${cidr%/*}"
+	mask="${cidr#*/}"
+	[[ "$mask" =~ ^[0-9]+$ ]] && [ "$mask" -ge 0 ] && [ "$mask" -le 32 ] || return 1
+	ssh_monitor_validate_ipv4 "$net"
+}
+
+ssh_monitor_validate_http_url() {
+	local name="$1" value="$2" optional="${3:-0}"
+	value="$(_ssh_monitor_config_trim "$value")"
+	if [ -z "$value" ]; then
+		[ "$optional" = "1" ] && return 0
+		printf 'ERROR: %s: пустой URL\n' "$name" >&2
+		return 1
+	fi
+	if [[ ! "$value" =~ ^https?://[^/[:space:]]+ ]]; then
+		printf 'ERROR: %s: ожидается http(s)://host…, получено %s\n' "$name" "$value" >&2
+		return 1
+	fi
+	return 0
+}
+
+ssh_monitor_validate_hostname() {
+	local name="$1" value="$2"
+	value="$(_ssh_monitor_config_trim "$value")"
+	[ -z "$value" ] && return 0
+	if [[ ! "$value" =~ ^[A-Za-z0-9]([A-Za-z0-9._-]*[A-Za-z0-9])?$ ]]; then
+		printf 'ERROR: %s: недопустимый hostname %s\n' "$name" "$value" >&2
+		return 1
+	fi
+	return 0
+}
+
+# Проверка значений после load_config (exit 1 при ERROR).
+ssh_monitor_validate_config_values() {
+	local err=0 mode item
+
+	if [ -n "${SAC_URL:-}" ]; then
+		ssh_monitor_validate_http_url "SAC_URL" "${SAC_URL}" 1 || err=1
+	fi
+	if [ -n "${MAIL_SMTP_HOST:-}" ]; then
+		ssh_monitor_validate_hostname "MAIL_SMTP_HOST" "${MAIL_SMTP_HOST}" || err=1
+	fi
+	if [ -n "${SERVER_IPV4:-}" ]; then
+		ssh_monitor_validate_ipv4 "${SERVER_IPV4}" || {
+			printf 'ERROR: SERVER_IPV4: некорректный IPv4 %s\n' "${SERVER_IPV4}" >&2
+			err=1
+		}
+	fi
+
+	mode="$(printf '%s' "${UseSAC:-off}" | tr '[:upper:]' '[:lower:]')"
+	case "$mode" in
+	off | exclusive | dual | fallback) ;;
+	*)
+		printf 'ERROR: UseSAC="%s" (допустимо: off, exclusive, dual, fallback)\n' "${UseSAC:-}" >&2
+		err=1
+		;;
+	esac
+
+	mode="$(printf '%s' "${GIT_VERIFY_MODE:-off}" | tr '[:upper:]' '[:lower:]')"
+	case "$mode" in
+	off | tag | commit) ;;
+	*)
+		printf 'ERROR: GIT_VERIFY_MODE="%s" (допустимо: off, tag, commit)\n' "${GIT_VERIFY_MODE:-}" >&2
+		err=1
+		;;
+	esac
+
+	for item in "${WHITELIST_IPS[@]:-}"; do
+		item="$(_ssh_monitor_config_trim "$item")"
+		[ -z "$item" ] && continue
+		if ! ssh_monitor_validate_ipv4 "$item"; then
+			printf 'ERROR: WHITELIST_IPS: некорректный IPv4 %s\n' "$item" >&2
+			err=1
+		fi
+	done
+	for item in "${WHITELIST_SUBNETS[@]:-}"; do
+		item="$(_ssh_monitor_config_trim "$item")"
+		[ -z "$item" ] && continue
+		if ! ssh_monitor_validate_cidr_v4 "$item"; then
+			printf 'ERROR: WHITELIST_SUBNETS: некорректный CIDR %s\n' "$item" >&2
+			err=1
+		fi
+	done
+
+	return "$err"
+}
+
 ssh_monitor_truthy() {
 	case "${1,,}" in
 	1 | yes | true | on) return 0 ;;
@@ -49,10 +260,33 @@ ssh_monitor_is_root_owned() {
 	[ "$own" = "root:root" ]
 }
 
+# Каталоги ОС: не chmod 700 / chown при hardening файлов вроде /var/log/last_heartbeat.txt.
+# Иначе update ломает /var/log (syslog, logrotate, чужие сервисы).
+ssh_monitor_is_system_dir() {
+	local dir="$1"
+	[ -n "$dir" ] || return 1
+	while [ "$dir" != "/" ] && [[ "$dir" == */ ]]; do
+		dir="${dir%/}"
+	done
+	case "$dir" in
+	/ | /bin | /boot | /dev | /etc | /home | /lib | /lib32 | /lib64 | /libx32 | \
+	/media | /mnt | /opt | /proc | /root | /run | /sbin | /srv | /sys | /tmp | \
+	/usr | /usr/bin | /usr/sbin | /usr/local | /usr/local/bin | /usr/local/sbin | \
+	/var | /var/log | /var/tmp | /var/cache | /var/run | /var/spool)
+		return 0
+		;;
+	esac
+	return 1
+}
+
 ssh_monitor_secure_dir() {
 	local dir="$1"
 	[ -n "$dir" ] || return 1
 	mkdir -p "$dir" 2>/dev/null || return 1
+	# Только «свои» каталоги (spool, /var/lib/ssh-monitor, …). /var/log и т.п. не трогаем.
+	if ssh_monitor_is_system_dir "$dir"; then
+		return 0
+	fi
 	chmod 700 "$dir" 2>/dev/null || true
 	chown root:root "$dir" 2>/dev/null || true
 }
@@ -62,6 +296,7 @@ ssh_monitor_secure_file() {
 	local dir
 	[ -n "$file" ] || return 1
 	dir="$(dirname "$file")"
+	# mkdir родителя; chmod 700 — только если родитель не системный (/var/log, /etc, …).
 	ssh_monitor_secure_dir "$dir" || true
 	if [ ! -f "$file" ]; then
 		: >"$file" 2>/dev/null || touch "$file" 2>/dev/null || return 1
@@ -70,7 +305,8 @@ ssh_monitor_secure_file() {
 	chown root:root "$file" 2>/dev/null || true
 }
 
-# Существующий файл или каталог: 600/700 root:root; для отсутствующего пути — только родительский каталог.
+# Существующий файл или каталог: 600/700 root:root; для отсутствующего пути — только родительский каталог
+# (без chmod 700 на системных родителях вроде /var/log).
 ssh_monitor_harden_path() {
 	local path="$1"
 	[ -n "$path" ] || return 0
@@ -205,3 +441,19 @@ ssh_monitor_update_mark_end() {
 	f="$(ssh_monitor_update_state_file)"
 	rm -f "$f" 2>/dev/null || true
 }
+
+# SAC/cron update: не слать sudo-alert на штатные команды updater/bootstrap.
+ssh_monitor_sudo_is_sac_maintenance() {
+	local cmd="$1"
+	[ -n "$cmd" ] || return 1
+	if ssh_monitor_update_in_progress 2>/dev/null; then
+		return 0
+	fi
+	case "$cmd" in
+	*update_ssh_monitor.sh* | *UPDATE_VIA_SAC* | *update_script.log* | \
+		*"/opt/scripts/update"*"ssh-monitor"* | *agent-update-in-progress*)
+		return 0
+		;;
+	esac
+	return 1
+}

ssh-monitor-watchdog

@@ -42,41 +42,10 @@ send_telegram_raw() {
 	return 1
 }
 
-send_backup_webhook_raw() {
-	local message="$1"
-	if [ -z "${BACKUP_WEBHOOK_URL:-}" ]; then
-		return 1
-	fi
-	if ! command -v python3 >/dev/null 2>&1; then
-		return 1
-	fi
-	local plain="$message"
-	local payload
-	payload="$(BACKUP_MSG="$plain" python3 - <<'PY'
-import json, os
-print(json.dumps({"text": os.environ.get("BACKUP_MSG", "")}))
-PY
-)"
-	if curl -fsS -m 12 -X POST "$BACKUP_WEBHOOK_URL" \
-		-H "Content-Type: application/json" \
-		-d "$payload" >/dev/null 2>&1; then
-		return 0
-	fi
-	return 1
-}
-
 notify_send() {
 	local message="$1"
 	message="$(ssh_monitor_message_ensure_server_line "$message")"
-	if send_telegram_raw "$message"; then
+	send_telegram_raw "$message"
-		return 0
-	fi
-	if send_backup_webhook_raw "$message"; then
-		write_log "WARN: Telegram недоступен, сообщение watchdog ушло в BACKUP_WEBHOOK_URL"
-		return 0
-	fi
-	write_log "WARN: watchdog: не удалось отправить уведомление"
-	return 1
 }
 
 load_config() {
@@ -84,11 +53,7 @@ load_config() {
 		local _strict_peek
 		_strict_peek="$(ssh_monitor_config_peek CONFIG_STRICT_PERMS "$CONFIG_FILE" "0")"
 		ssh_monitor_check_config_file_perms "$CONFIG_FILE" "$_strict_peek" || true
-		# shellcheck disable=SC1090
+		ssh_monitor_config_load_file "$CONFIG_FILE" || true
-		source "$CONFIG_FILE"
-	fi
-	if [ -n "${BACKUP_WEBHOOK_URL:-}" ]; then
-		write_log "WARN: BACKUP_WEBHOOK_URL deprecated (legacy fallback); будет удалён в 2.3.x"
 	fi
 }
 

ssh-monitor.conf.example

@@ -2,9 +2,6 @@
 TELEGRAM_BOT_TOKEN="8239219522:AAEyOZX3cwNfgGOMDkf-mgjTIuoaOh5gF7I"
 TELEGRAM_CHAT_ID="2843230"
 
-# DEPRECATED: legacy fallback webhook (Slack/Discord). Не используется в типовом деплое; удаление в 2.3.x.
-# BACKUP_WEBHOOK_URL=""
-
 # --- Очередь оповещений (NOTIFY_ORDER) ---
 # CSV: telegram, email (или сокращения tg, mail).
 # При каждом событии скрипт ПЫТАЕТСЯ ОТПРАВИТЬ ВО ВСЕ перечисленные каналы по порядку (не только в первый успешный).
@@ -32,6 +29,7 @@ SAC_API_KEY="sac_UkOsAT3UWiQS54KK5OJPBDCSucysQDrKFju28wmYiz8"
 SAC_SPOOL_DIR="/var/lib/ssh-monitor/sac-spool"
 SAC_FAIL_COUNT_FILE="/var/lib/ssh-monitor/sac-fail.count"
 SAC_FALLBACK_FAILURES="5"
+# Таймаут curl к SAC (health + ingest). При burst ingest на сервере — 60–90; см. docs/sac-ingest.ru.md
 SAC_TIMEOUT_SEC="45"
 SAC_SPOOL_FLUSH_MAX_FILES="50"
 SAC_SPOOL_MAX_AGE_HOURS="72"

update_ssh_monitor.sh

@@ -1570,10 +1570,6 @@ update_script() {
 
     load_git_verify_settings
     load_ssh_monitor_perms_lib || true
-    if declare -F ssh_monitor_update_mark_begin >/dev/null 2>&1; then
-        ssh_monitor_update_mark_begin
-        log_action "agent-update: state file установлен (подавление lifecycle/watchdog)"
-    fi
     log_action "Старт обновления (deploy=$DEPLOY_MODE, debug=$DEBUG, git_ref=${GIT_REF:-$GIT_BRANCH})"
     debug_step "Запуск функции обновления скрипта"
 
@@ -1757,6 +1753,11 @@ parse_command_line "$@"
 deploy_require_root
 require_repo_url
 
+load_ssh_monitor_perms_lib || true
+if declare -F ssh_monitor_update_mark_begin >/dev/null 2>&1; then
+    ssh_monitor_update_mark_begin
+fi
+
 if [ "$DEPLOY_MODE" -eq 1 ]; then
     printf '\n=== ssh-monitor: первичная установка (--deploy) ===\n'
     say_step "Репозиторий и файлы"

version.txt

@@ -1 +1 @@
-2.2.1-SAC
+2.3.3-SAC