feat: safe config parser without source (2.3.0-SAC)

Whitelist-based /etc/ssh-monitor.conf load; validate URLs/enums/CIDR; remove BACKUP_WEBHOOK_URL.
2026-07-08 12:57:36 +10:00
11 changed files with 308 additions and 114 deletions
@@ -1,19 +1,19 @@
 # ssh-monitor
-**Версия:** `2.2.3-SAC`
+**Версия:** `2.3.0-SAC`
 Bash-мониторинг **SSH**, **sudo**, **systemd-logind**: Telegram/email, бан IP (ipset), ежедневный отчёт, heartbeat.
 **Security Alert Center:** модуль **`sac-client.sh`**, режим `UseSAC` (`off` | `exclusive` | `dual` | `fallback`) — [контракт SAC](https://git.kalinamall.ru/PapaTramp/security-alert-center/src/branch/main/docs/agent-integration.md). **Основной способ обновления на Linux** — кнопка **«Обновить ssh-monitor (SSH)»** в SAC: сервер передаёт `REPO_URL` / `GIT_BRANCH`, updater сам подтягивает git, выставляет права на конфиг/spool/state и перезапускает сервис. Cron/systemd timer — опционально.
-**Безопасность (2.1.7+):** агент работает от root; доверяйте только своему git-зеркалу (`REPO_URL`) и `/etc/ssh-monitor.conf` (`chmod 600`). Updater дописывает обязательные ключи (`CONFIG_STRICT_PERMS`, `SAC_TLS_INSECURE`, SAC-*) и **на каждом прогоне** применяет `chmod`/`chown` к конфигу, SAC-spool и state-файлам. Подробнее: [docs/security-roadmap.ru.md](docs/security-roadmap.ru.md).
+**Безопасность (2.1.7+):** агент работает от root; доверяйте только своему git-зеркалу (`REPO_URL`) и `/etc/ssh-monitor.conf` (`chmod 600`). С **2.3.0** конфиг читается **без `source`** (whitelist ключей, без выполнения bash из файла). Updater дописывает обязательные ключи и **на каждом прогоне** применяет `chmod`/`chown` к конфигу, SAC-spool и state-файлам. Подробнее: [docs/security-roadmap.ru.md](docs/security-roadmap.ru.md).
 ## Состав репозитория
 | Файл | Назначение |
 |------|------------|
-| **`ssh-monitor`** | Основной цикл: разбор журналов (**journalctl**: sshd, sudo, «тяжёлые» события, **systemd-logind**), цепочка уведомлений (Telegram, SMTP через **python3**, резервный webhook), при **`ENABLE_IP_BAN=1`** — учёт неудачных попыток, бан в **ipset** и согласование с **iptables**/**ip6tables**, ежедневный отчёт, heartbeat, опционально **Prometheus** textfile и JSON health. Режимы: **`--check-config`**, **`--dry-run`**. |
+| **`ssh-monitor`** | Основной цикл: разбор журналов (**journalctl**: sshd, sudo, «тяжёлые» события, **systemd-logind**), цепочка уведомлений (Telegram, SMTP через **python3**), при **`ENABLE_IP_BAN=1`** — учёт неудачных попыток, бан в **ipset** и согласование с **iptables**/**ip6tables**, ежедневный отчёт, heartbeat, опционально **Prometheus** textfile и JSON health. Режимы: **`--check-config`**, **`--dry-run`**. |
-| **`ssh-monitor-watchdog`** | Отдельный скрипт (обычно по **systemd timer**): проверяет, что сервис монитора активен и файл heartbeat не старше порога; при сбое выполняет **`systemctl restart`** и шлёт уведомление в Telegram или в **`BACKUP_WEBHOOK_URL`**. Читает те же `TELEGRAM_*` / webhook из `/etc/ssh-monitor.conf`. |
+| **`ssh-monitor-watchdog`** | Отдельный скрипт (обычно по **systemd timer**): проверяет, что сервис монитора активен и файл heartbeat не старше порога; при сбое выполняет **`systemctl restart`** и шлёт уведомление в Telegram. Читает `TELEGRAM_*` и watchdog-параметры из `/etc/ssh-monitor.conf`. |
 | `update_ssh_monitor.sh` | Автообновление: git + manifest verify, `sac-client.sh`, перезапуск `ssh-monitor.service`. См. [docs/auto-update.ru.md](docs/auto-update.ru.md). |
 **Системные пакеты и зависимости** (что поставить на сервер до запуска): пошагово в [docs/install-prerequisites.ru.md](docs/install-prerequisites.ru.md).
@@ -22,7 +22,7 @@ Bash-мониторинг **SSH**, **sudo**, **systemd-logind**: Telegram/email,
 > **Закрытый инстанс Gitea:** в доверенном закрытом репозитории допустимо хранить **`ssh-monitor.conf`** с боевыми токенами (файл не в `.gitignore`). В публичном [GitHub](https://git.kalinamall.ru/PapaTramp/ssh-monitor) такой файл игнорируется — используйте только `ssh-monitor.conf.example`.
-Скрипт читает параметры из `/etc/ssh-monitor.conf` в формате `KEY="value"`.
+Скрипт читает параметры из `/etc/ssh-monitor.conf` в формате `KEY="value"` (парсер с whitelist ключей; произвольный bash в файле не выполняется).
 1. Скопируйте пример:
 - `sudo cp ./ssh-monitor.conf.example /etc/ssh-monitor.conf`
@@ -32,14 +32,13 @@ Bash-мониторинг **SSH**, **sudo**, **systemd-logind**: Telegram/email,
 - для **Telegram**: `TELEGRAM_BOT_TOKEN` и `TELEGRAM_CHAT_ID`;
 - или настройте **почту (SMTP)** по переменным ниже при `NOTIFY_ORDER=""` (автовыбор каналов).
-**Обязательное условие:** после загрузки конфигурации в цепочке **`NOTIFY_CHAIN`** должен быть **минимум один** канал (`telegram` или `email`). Если каналов **нет** (пустой `NOTIFY_ORDER` и ни Telegram, ни SMTP не удовлетворяют критериям «настроен», либо в `NOTIFY_ORDER` остались только неизвестные имена), скрипт **не входит** в основной цикл и завершается с кодом **1**, в stderr: **`Не настроен ни один канал отправки оповещений`**. Это же правило действует для **`--check-config`** и **`--dry-run`**. Резервный **`BACKUP_WEBHOOK_URL`** в эту проверку **не входит** — он используется только если **ни один** канал из **`NOTIFY_CHAIN`** не смог доставить сообщение.
+**Обязательное условие:** после загрузки конфигурации в цепочке **`NOTIFY_CHAIN`** должен быть **минимум один** канал (`telegram` или `email`). Если каналов **нет** (пустой `NOTIFY_ORDER` и ни Telegram, ни SMTP не удовлетворяют критериям «настроен», либо в `NOTIFY_ORDER` остались только неизвестные имена), скрипт **не входит** в основной цикл и завершается с кодом **1**, в stderr: **`Не настроен ни один канал отправки оповещений`**. Это же правило действует для **`--check-config`** и **`--dry-run`**.
 Поддерживаемые параметры:
 - `TELEGRAM_BOT_TOKEN`, `TELEGRAM_CHAT_ID`
 - `NOTIFY_ORDER` — список каналов (`telegram`, `email` и сокращения **tg**, **mail**); при каждом оповещении скрипт **пытается отправить во все перечисленные** каналы по порядку (не «первый успешный — и стоп»). Пусто = в цепочку попадают только настроенные каналы (порядок по умолчанию см. в `ssh-monitor.conf.example`). Если итоговая цепочка пуста — скрипт не стартует (см. раздел **«Каналы оповещений и пустой NOTIFY_CHAIN»**).
 - `MAIL_SMTP_HOST`, `MAIL_SMTP_PORT`, `MAIL_SMTP_USER`, `MAIL_SMTP_PASSWORD`, `MAIL_FROM`, `MAIL_TO`, `MAIL_SMTP_STARTTLS`, `MAIL_SMTP_SSL` — отправка почты через **python3** (см. таблицу каналов ниже)
 - `BACKUP_WEBHOOK_URL` — *(deprecated)* резервная доставка JSON, если **все** каналы из **`NOTIFY_CHAIN`** не смогли доставить; удаление в 2.3.x
 - `LOG_FILE`, `LAST_HEARTBEAT_FILE`, `LAST_REPORT_FILE`, `LAST_SSH_CHECK_FILE`, `LAST_SUDO_CHECK_FILE`, `LAST_SECURITY_EVENTS_FILE`, `LAST_LOGIND_CHECK_FILE`, `BAN_LIST_FILE`
 - `ENABLE_LOGIND_MONITOR`, `LOGIND_NOTIFY_NEW`, `LOGIND_NOTIFY_REMOVED`, `LOGIND_NOTIFY_FAILED`, `LOGIND_SKIP_REMOTE` — см. раздел «Мониторинг systemd-logind» ниже
 - `DAILY_REPORT_HOUR` (0..23), `DAILY_REPORT_ENABLED` (1/0 — отчёт с агента; 0 = только SAC), `DAILY_REPORT_TZ` (опционально), `NOTIFY_TZ` (опционально), `SERVER_DISPLAY_NAME` (опционально), `SSH_ACCEPT_NOTIFY_DEDUP_SEC`, `DAILY_REPORT_TOP_IPS`
@@ -59,7 +58,6 @@ Bash-мониторинг **SSH**, **sudo**, **systemd-logind**: Telegram/email,
 - `TELEGRAM_CHAT_ID` — ID чата/пользователя, куда отправляются уведомления.
 - `NOTIFY_ORDER` — CSV имён каналов (`telegram`, `email` или `tg`, `mail`). Для **каждого** оповещения выполняется попытка доставки **во все** перечисленные каналы (при ошибке одного остальные всё равно пробуются; неудачи пишутся в **`LOG_FILE`**). Пустая строка: автоматически собирается цепочка только из реально настроенных каналов (по умолчанию порядок telegram → email; критерии «настроен» — **таблица** в разделе **«Каналы оповещений и пустой NOTIFY_CHAIN»**). Если после сборки цепочки **нет ни одного** канала, скрипт **сразу завершается** с ошибкой: **«Не настроен ни один канал отправки оповещений»** (в том числе режим `--check-config` и `--dry-run`).
 - `MAIL_SMTP_HOST`, `MAIL_SMTP_PORT`, `MAIL_SMTP_USER`, `MAIL_SMTP_PASSWORD`, `MAIL_FROM`, `MAIL_TO`, `MAIL_SMTP_STARTTLS`, `MAIL_SMTP_SSL` — параметры SMTP для канала `email` (отправка через **python3**; см. таблицу «настроен»).
 - `BACKUP_WEBHOOK_URL` — *(deprecated)* URL резервной отправки; только fallback; **не засчитывается** как основной канал
 - `LOG_FILE` — путь к основному лог-файлу скрипта.
 - `LAST_HEARTBEAT_FILE` — файл с timestamp последнего heartbeat-сообщения.
 - `LAST_REPORT_FILE` — дата последнего ежедневного отчёта в формате `YYYY-MM-DD` (старый формат Unix-времени при первом запуске будет автоматически интерпретирован).
@@ -234,7 +232,7 @@ sudo journalctl -u ssh-monitor -f
 ## Watchdog (автоматическое восстановление)
-Watchdog проверяет активность `ssh-monitor.service` и актуальность heartbeat (`LAST_HEARTBEAT_FILE`). При сбое выполняет `systemctl restart` и отправляет уведомление (Telegram и при сбое — `BACKUP_WEBHOOK_URL`, если задан).
+Watchdog проверяет активность `ssh-monitor.service` и актуальность heartbeat (`LAST_HEARTBEAT_FILE`). При сбое выполняет `systemctl restart` и отправляет уведомление в Telegram.
 Пошаговая установка скрипта **ssh-monitor-watchdog** и **timer** в **systemd**: раздел 6 в [docs/install-prerequisites.ru.md](docs/install-prerequisites.ru.md).
@@ -0,0 +1,50 @@
 #!/bin/bash
 # Smoke-test safe config parser (no network). Run from repo root.
 set -euo pipefail
 ROOT="$(cd "$(dirname "${BASH_SOURCE[0]}")/.." && pwd)"
 # shellcheck source=ssh-monitor-perms.sh
 source "$ROOT/ssh-monitor-perms.sh"
 tmpdir="$(mktemp -d)"
 trap 'rm -rf "$tmpdir"' EXIT
 cfg="$tmpdir/test.conf"
 cat >"$cfg" <<'EOF'
 # comment
 TELEGRAM_BOT_TOKEN="tok"
 UseSAC="exclusive"
 SAC_URL="https://sac.example.test"
 WHITELIST_IPS="127.0.0.1,10.0.0.5"
 WHITELIST_SUBNETS="10.0.0.0/24"
 BACKUP_WEBHOOK_URL="https://hooks.example/legacy"
 UNKNOWN_KEY="ignored"
 EOF
 ssh_monitor_config_load_file "$cfg"
 [ "${TELEGRAM_BOT_TOKEN:-}" = "tok" ] || {
 	echo "FAIL: TELEGRAM_BOT_TOKEN" >&2
 	exit 1
 }
 [ "${UseSAC:-}" = "exclusive" ] || {
 	echo "FAIL: UseSAC" >&2
 	exit 1
 }
 ips_csv="${WHITELIST_IPS:-}"
 subs_csv="${WHITELIST_SUBNETS:-}"
 WHITELIST_IPS=()
 WHITELIST_SUBNETS=()
 IFS=',' read -r -a WHITELIST_IPS <<<"$ips_csv"
 IFS=',' read -r -a WHITELIST_SUBNETS <<<"$subs_csv"
 ssh_monitor_validate_config_values || {
 	echo "FAIL: validate_config_values" >&2
 	exit 1
 }
 printf 'EVIL="$(id)"\n' >"$tmpdir/bad.conf"
 if ssh_monitor_config_load_file "$tmpdir/bad.conf" 2>/dev/null; then
 echo "OK: config parser smoke test passed"
@@ -56,7 +56,7 @@ sudo apt install -y ip6tables
 (На многих образах **ip6tables** уже входит в метапакет с iptables.)
-**Шаг 3.** Если включите доставку почты (`MAIL_*` в конфиге) или **BACKUP_WEBHOOK_URL** (через Python):
+**Шаг 3.** Если включите доставку почты (`MAIL_*` в конфиге):
 ```bash
 sudo apt install -y python3
@@ -93,6 +93,5 @@ sudo ssh-monitor --check-config
 ## Каналы доставки
 - **`NOTIFY_CHAIN`**: `telegram`, `email` — при каждом событии попытка **во все** каналы списка.
 - **`BACKUP_WEBHOOK_URL`** *(deprecated, legacy)*: только если **все** каналы цепочки не доставили сообщение. В типовом деплое не используется; удаление в 2.3.x.
 Режим **`--dry-run`**: уведомления не отправляются; в stderr печатается текст **уже с подписью сервера**.
@@ -25,6 +25,7 @@
 | **2.1.7-SAC** | Фаза 1 + выбранное из Фазы 4 | Права, `REPO_URL` обязателен, webhook, docs | ✅ реализовано |
 | **2.1.8-SAC** | Дополнение к 1.1 | SAC-first update: hardening прав на каждом прогоне updater | ✅ реализовано |
 | **2.1.9-SAC** | Дополнение к 1.x | Watchdog: `🖥️ Сервер:` в Telegram (как у агента) | ✅ реализовано |
 | **2.3.0-SAC** | **Фаза 3** | Парсер конфига без `source`, валидация, удаление BACKUP_WEBHOOK | ✅ реализовано |
 | **2.2.3-SAC** | Дополнение к 2.2.x | Подавление sudo TG при SAC bootstrap/update | ✅ реализовано |
 | **2.2.1-SAC** | Дополнение к 2.2.0 | Подавление lifecycle/watchdog TG при SAC-update | ✅ реализовано |
 | **2.2.0-SAC** | **Фаза 2** | Manifest, pinned ref, без слепого `reset --hard` | ✅ реализовано |
@@ -32,8 +33,8 @@
 Bump: `ssh-monitor` (`SSH_MONITOR_VERSION`) + `version.txt` в каждом релизе.
-**Текущий статус (2026-07-08):** фаза 2 закрыта (2.2.0-SAC). **Дальше — фаза 3 → релиз 2.3.0-SAC.**  
+**Текущий статус (2026-07-08):** фаза 3 закрыта (2.3.0-SAC). **Дальше — ingest backlog (SAC) и опционально GPG / GIT_REF=tag на проде.**  
-Backlog по ingest при массовом update (SAC + ops): [ingest-mass-update-backlog.ru.md](https://git.kalinamall.ru/PapaTramp/security-alert-center/src/branch/main/docs/ingest-mass-update-backlog.ru.md) (отдельный ToDo, не блокирует 2.2.0).
+Backlog по ingest при массовом update (SAC + ops): [ingest-mass-update-backlog.ru.md](https://git.kalinamall.ru/PapaTramp/security-alert-center/src/branch/main/docs/ingest-mass-update-backlog.ru.md) (отдельный ToDo).
 ---
@@ -64,8 +65,8 @@ Backlog по ingest при массовом update (SAC + ops): [ingest-mass-upd
 - [x] В `ssh-monitor.conf.example`: закомментировать / убрать из «активного» блока, комментарий `DEPRECATED: не используется в типовом деплое; будет удалён в 2.3.x`
 - [x] В README / `docs/notifications.ru.md`: пометить **legacy / необязательно**
- [x] В `--check-config`: если задан — `WARN: BACKUP_WEBHOOK_URL deprecated`
+- [x] В `--check-config`: если задан — WARN (удалён в 2.3.0)
- [ ] **Удаление кода** — отложить до **2.3.0** или позже, если подтвердим, что нигде не нужен
+- [x] **Удаление кода** — **2.3.0-SAC**
 ---
@@ -178,37 +179,37 @@ Backlog по ingest при массовом update (SAC + ops): [ingest-mass-upd
 ### 3.1 Парсер без `source` (C1) — **утверждено**
- [ ] Whitelist ключей: `TELEGRAM_*`, `SAC_*`, `MAIL_*`, `NOTIFY_*`, числовые лимиты, пути и т.д.
+- [x] Whitelist ключей: `TELEGRAM_*`, `SAC_*`, `MAIL_*`, `NOTIFY_*`, числовые лимиты, пути и т.д.
- [ ] Формат строк: `KEY="value"` / `KEY='value'` / `KEY=value`
+- [x] Формат строк: `KEY="value"` / `KEY='value'` / `KEY=value`
- [ ] Игнор `#` комментариев; неизвестные ключи — WARN (или сохранять в sidecar — не нужно)
+- [x] Игнор `#` комментариев; неизвестные ключи — WARN
-**Файлы:** `ssh-monitor`, `ssh-monitor-watchdog` (если source конфиг)
+**Файлы:** `ssh-monitor-perms.sh` (`ssh_monitor_config_load_file`), `ssh-monitor`, `ssh-monitor-watchdog`
 ---
 ### 3.2 Миграция — **решение агента**
- [ ] **2.3.0:** парсер по умолчанию; `source` **удалить**
+- [x] **2.3.0:** парсер по умолчанию; `source` **удалён**
- [ ] Синтаксис файла **не меняется** для пользователя — те же `KEY="value"`
+- [x] Синтаксис файла **не меняется** для пользователя — те же `KEY="value"`
- [ ] В release notes: «поведение то же, выполнение bash из конфига невозможно»
+- [x] В release notes: «поведение то же, выполнение bash из конфига невозможно»
- [ ] `ssh-monitor --check-config` проверяет неизвестные/битые строки
+- [x] `ssh-monitor --check-config` проверяет неизвестные/битые строки (WARN) и значения (ERROR)
- [ ] Отдельная команда миграции **не нужна** (формат тот же)
+- [x] Отдельная команда миграции **не нужна** (формат тот же)
 ---
 ### 3.3 Валидация значений — **решение агента**
- [ ] URL: `SAC_URL`, `MAIL_SMTP_HOST` — схема https/http, не пустой host
+- [x] URL: `SAC_URL` — http(s)://host
- [ ] Enum: `UseSAC` ∈ `off|exclusive|dual|fallback`
+- [x] Enum: `UseSAC` ∈ `off|exclusive|dual|fallback`; `GIT_VERIFY_MODE` ∈ `off|tag|commit`
- [ ] Числа: существующие `validate_numeric_or_default` расширить
+- [x] Числа: существующие `validate_numeric_or_default`
- [ ] IP/CIDR в `WHITELIST_*` — базовая проверка формата
+- [x] IP/CIDR в `WHITELIST_*` — базовая проверка формата
- [ ] Ошибки валидации → exit 1 на старте и в `--check-config`
+- [x] Ошибки валидации → exit 1 на старте и в `--check-config`
 ---
 ### 3.x Удаление `BACKUP_WEBHOOK` (если утвердили soft-deprecate в 1.3)
- [ ] Удалить код и документацию в **2.3.0** или **2.4.0**, если подтверждено неиспользование
+- [x] Удалить код и документацию в **2.3.0**
 ---
@@ -240,7 +241,7 @@ Backlog по ingest при массовом update (SAC + ops): [ingest-mass-upd
 - [x] **Релиз 2.1.7–2.1.9** — фаза 1 + SAC-first + watchdog server label
 - [x] **Релиз 2.2.0** — scope: 2.1–2.3, 2.5, 4.5, 4.7(M7); **2.4 GPG отложить**
- [ ] **Релиз 2.3.0** — scope: 3.1–3.3, удаление webhook (если A)
+- [x] **Релиз 2.3.0** — scope: 3.1–3.3, удаление webhook
 - [ ] **Дефолт `GIT_REF`** в 2.2.0: тег из `version.txt` vs `main`
 - [x] **Миграция хостов:** SAC-first update, `known_hosts`, `REPO_URL` через SAC
 - [ ] **Ingest mass-update backlog** — см. security-alert-center `docs/ingest-mass-update-backlog.ru.md`
@@ -0,0 +1,11 @@
 {
  "version": "2.3.0-SAC",
  "git_commit": "",
  "files": {
    "ssh-monitor": "sha256:3fd3348b46f444d04155e4b3e52eff6ed22d45587cedaf7584821a66013f8ec1",
    "sac-client.sh": "sha256:4c481effd0e50b3db8cfa3baf3c5f228892530939df6f534a5d3d3d8a79db048",
    "update_ssh_monitor.sh": "sha256:76c610ed229d510c41ddd0d10db2b68d48c08b89eb1c8252341ce85f088bf6cd",
    "ssh-monitor-watchdog": "sha256:c03c50162b552a7790dd0a63eecec08d672ee04955281b5ec434ed92af5e0e2f",
    "ssh-monitor-perms.sh": "sha256:d78349904ea5b0729716f47a65a9ceb531940b6ac92460a7f8e1099738290fd3"
  }
 }
@@ -7,7 +7,7 @@ IFS=$'\n\t'
 # ============================================
 CONFIG_FILE="/etc/ssh-monitor.conf"
-SSH_MONITOR_VERSION="2.2.3-SAC"
+SSH_MONITOR_VERSION="2.3.0-SAC"
 SCRIPT_DIR="$(cd "$(dirname "${BASH_SOURCE[0]}")" && pwd)"
 if [ -f "$SCRIPT_DIR/ssh-monitor-perms.sh" ]; then
@@ -27,7 +27,6 @@ fi
 TELEGRAM_BOT_TOKEN=""
 TELEGRAM_CHAT_ID=""
 BACKUP_WEBHOOK_URL=""
 # Очередь оповещений: CSV из имён telegram, email (или tg, mail).
 # Пусто = авто: только настроенные каналы, порядок telegram → email.
@@ -190,7 +189,6 @@ load_config() {
 local cfg_telegram_bot_token="${TELEGRAM_BOT_TOKEN}"
 local cfg_telegram_chat_id="${TELEGRAM_CHAT_ID}"
 local cfg_backup_webhook_url="${BACKUP_WEBHOOK_URL}"
 local cfg_log_file="${LOG_FILE}"
 local cfg_last_heartbeat_file="${LAST_HEARTBEAT_FILE}"
 local cfg_heartbeat_interval_minutes="${HEARTBEAT_INTERVAL_MINUTES:-240}"
@@ -252,15 +250,15 @@ load_config() {
  if ! ssh_monitor_check_config_file_perms "$CONFIG_FILE" "$_strict_peek"; then
   exit 1
  fi
-  # shellcheck disable=SC1090
+  if ! ssh_monitor_config_load_file "$CONFIG_FILE"; then
-  source "$CONFIG_FILE"
+   exit 1
  fi
 else
 printf 'WARN: Конфиг %s не найден, использую значения по умолчанию\n' "$CONFIG_FILE" >&2
 fi
 TELEGRAM_BOT_TOKEN="${TELEGRAM_BOT_TOKEN:-$cfg_telegram_bot_token}"
 TELEGRAM_CHAT_ID="${TELEGRAM_CHAT_ID:-$cfg_telegram_chat_id}"
 BACKUP_WEBHOOK_URL="${BACKUP_WEBHOOK_URL:-$cfg_backup_webhook_url}"
 LOG_FILE="${LOG_FILE:-$cfg_log_file}"
 LAST_HEARTBEAT_FILE="${LAST_HEARTBEAT_FILE:-$cfg_last_heartbeat_file}"
 HEARTBEAT_INTERVAL_MINUTES="${HEARTBEAT_INTERVAL_MINUTES:-$cfg_heartbeat_interval_minutes}"
@@ -478,8 +476,8 @@ validate_config() {
 printf '%s\n' 'Не настроен ни один канал отправки оповещений' >&2
 exit 1
 fi
- if [ -n "${BACKUP_WEBHOOK_URL:-}" ]; then
+ if ! ssh_monitor_validate_config_values; then
- printf 'WARN: BACKUP_WEBHOOK_URL deprecated (legacy fallback); будет удалён в 2.3.x\n' >&2
+ exit 1
 fi
 if command -v sac_warn_tls_insecure >/dev/null 2>&1; then
 sac_warn_tls_insecure
@@ -651,7 +649,7 @@ message_ensure_server_line() {
 }
 # ============================================
-# УВЕДОМЛЕНИЯ: telegram / email — по NOTIFY_CHAIN во все перечисленные каналы; BACKUP_WEBHOOK только если все неуспешны.
+# УВЕДОМЛЕНИЯ: telegram / email — по NOTIFY_CHAIN во все перечисленные каналы.
 # ============================================
 send_email_raw() {
@@ -771,29 +769,6 @@ send_telegram_raw() {
 return 1
 }
 send_backup_webhook_raw() {
 local message="$1"
 if [ -z "${BACKUP_WEBHOOK_URL:-}" ]; then
 return 1
 fi
 if ! command -v python3 >/dev/null 2>&1; then
 return 1
 fi
 local plain="$message"
 local payload
 payload="$(BACKUP_MSG="$plain" python3 - <<'PY'
 import json, os
 print(json.dumps({"text": os.environ.get("BACKUP_MSG", "")}))
 PY
 )"
 if curl -fsS -m 12 -X POST "$BACKUP_WEBHOOK_URL" \
 -H "Content-Type: application/json" \
 -d "$payload" >/dev/null 2>&1; then
 return 0
 fi
 return 1
 }
 sac_mirror_notify_message() {
 local message="$1"
 local mode
@@ -860,12 +835,7 @@ notify_send() {
 return 0
 fi
- if send_backup_webhook_raw "$message"; then
+ write_log "WARN: не удалось доставить уведомление ни в один канал ($(notify_chain_human))"
 write_log "WARN: все каналы из NOTIFY_CHAIN недоступны, сообщение ушло в BACKUP_WEBHOOK_URL"
 return 0
 fi
 write_log "WARN: не удалось доставить уведомление ни в один канал ($(notify_chain_human); BACKUP_WEBHOOK не задан или недоступен)"
 return 1
 }
@@ -2145,7 +2115,6 @@ run_check_config() {
 printf 'NOTIFY_ORDER=%s (пусто = авто: только настроенные; при событии — отправка во все каналы списка)\n' "${NOTIFY_ORDER:-}"
 printf 'NOTIFY_CHAIN (эффективная очередь)=%s\n' "$(notify_chain_human)"
 printf 'TELEGRAM: %s\n' "$([ -n "$TELEGRAM_BOT_TOKEN" ] && echo настроен || echo НЕ настроен)"
 printf 'BACKUP_WEBHOOK_URL: %s\n' "$([ -n "${BACKUP_WEBHOOK_URL:-}" ] && echo настроен || echo не задан)"
 printf 'LOG_FILE=%s\n' "$LOG_FILE"
 printf 'DAILY_REPORT_HOUR=%s\n' "$DAILY_REPORT_HOUR"
 printf 'DAILY_REPORT_TZ=%s (пусто = зона процесса/date)\n' "${DAILY_REPORT_TZ:-}"
@@ -2169,9 +2138,6 @@ run_check_config() {
 printf 'UseSAC=%s SAC_URL=%s SAC_API_KEY=%s\n' "${UseSAC:-off}" "${SAC_URL:-}" \
  "$([ -n "${SAC_API_KEY:-}" ] && echo задан || echo не задан)"
 printf 'CONFIG_STRICT_PERMS=%s SAC_TLS_INSECURE=%s\n' "${CONFIG_STRICT_PERMS:-0}" "${SAC_TLS_INSECURE:-0}"
 if [ -n "${BACKUP_WEBHOOK_URL:-}" ]; then
 printf 'WARN: BACKUP_WEBHOOK_URL deprecated (legacy fallback); будет удалён в 2.3.x\n'
 fi
 ssh_monitor_audit_state_paths
 if bash -n "$0" 2>/dev/null; then
 printf 'bash -n: OK\n'
@@ -23,6 +23,213 @@ ssh_monitor_config_peek() {
 	printf '%s\n' "$val"
 }
 # --- Безопасная загрузка /etc/ssh-monitor.conf (2.3.0+: без source / выполнения bash) ---
 _ssh_monitor_config_trim() {
 	local v="$1"
 	v="${v#"${v%%[![:space:]]*}"}"
 	v="${v%"${v##*[![:space:]]}"}"
 	printf '%s' "$v"
 }
 ssh_monitor_config_is_known_key() {
 	case "$1" in
 	TELEGRAM_BOT_TOKEN | TELEGRAM_CHAT_ID | NOTIFY_ORDER | \
 	UseSAC | SAC_URL | SAC_API_KEY | SAC_SPOOL_DIR | SAC_FAIL_COUNT_FILE | \
 	SAC_FALLBACK_FAILURES | SAC_TIMEOUT_SEC | SAC_SPOOL_FLUSH_MAX_FILES | \
 	SAC_SPOOL_MAX_AGE_HOURS | SAC_TLS_INSECURE | SAC_SEND_HEARTBEAT | SAC_AGENT_ID_FILE | \
 	CONFIG_STRICT_PERMS | \
 	MAIL_SMTP_HOST | MAIL_SMTP_PORT | MAIL_SMTP_USER | MAIL_SMTP_PASSWORD | \
 	MAIL_FROM | MAIL_TO | MAIL_SMTP_STARTTLS | MAIL_SMTP_SSL | \
 	LOG_FILE | LAST_HEARTBEAT_FILE | HEARTBEAT_INTERVAL_MINUTES | LAST_REPORT_FILE | \
 	LAST_SSH_CHECK_FILE | LAST_SUDO_CHECK_FILE | LAST_SECURITY_EVENTS_FILE | LAST_LOGIND_CHECK_FILE | \
 	DAILY_REPORT_ENABLED | DAILY_REPORT_HOUR | DAILY_REPORT_TZ | DAILY_REPORT_TOP_IPS | \
 	NOTIFY_TZ | SERVER_DISPLAY_NAME | SERVER_IPV4 | SSH_ACCEPT_NOTIFY_DEDUP_SEC | \
 	ENABLE_LOGIND_MONITOR | LOGIND_NOTIFY_NEW | LOGIND_NOTIFY_REMOVED | LOGIND_NOTIFY_FAILED | LOGIND_SKIP_REMOTE | \
 	PROMETHEUS_TEXTFILE_DIR | HEALTHCHECK_STATUS_FILE | \
 	BRUTE_WINDOW_SEC | BRUTE_MIN_FAILS | BRUTE_NOTIFY_COOLDOWN_SEC | \
 	ENABLE_IP_BAN | BAN_TIME | MAX_ATTEMPTS | BAN_CHECK_INTERVAL | MONITOR_INTERVAL | BAN_LIST_FILE | \
 	IPSET_NAME_V4 | IPSET_NAME_V6 | IPSET_MAXELEM | \
 	WHITELIST_IPS | WHITELIST_SUBNETS | \
 	WATCHDOG_MAX_HEARTBEAT_AGE | WATCHDOG_LOG_FILE | WATCHDOG_SERVICE_NAME | WATCHDOG_NOTIFY_ON_RECOVERY | \
 	GIT_REF | GIT_VERIFY_MODE | GIT_ALLOW_RESET | GIT_BRANCH | REPO_URL)
 		return 0
 		;;
 	BACKUP_WEBHOOK_URL)
 		return 2
 		;;
 	esac
 	return 1
 }
 # Разбор строки KEY=value. Устанавливает _CFG_KEY / _CFG_VAL.
 # 0 ok | 1 пусто/комментарий | 2 битая строка | 3 подстановка shell в value
 ssh_monitor_config_parse_line() {
 	local line="$1" raw_val
 	_CFG_KEY="" _CFG_VAL=""
 	line="$(_ssh_monitor_config_trim "$line")"
 	[ -n "$line" ] || return 1
 	[[ "$line" == \#* ]] && return 1
 	if [[ ! "$line" =~ ^([A-Za-z_][A-Za-z0-9_]*)=(.*)$ ]]; then
 		return 2
 	fi
 	_CFG_KEY="${BASH_REMATCH[1]}"
 	raw_val="${BASH_REMATCH[2]}"
 	raw_val="$(_ssh_monitor_config_trim "$raw_val")"
 	if [ -z "$raw_val" ]; then
 		_CFG_VAL=""
 		return 0
 	fi
 	case "$raw_val" in
 	\"*\")
 		_CFG_VAL="${raw_val#\"}"
 		_CFG_VAL="${_CFG_VAL%\"}"
 		;;
 	\'*\')
 		_CFG_VAL="${raw_val#\'}"
 		_CFG_VAL="${_CFG_VAL%\'}"
 		;;
 	*)
 		_CFG_VAL="$raw_val"
 		;;
 	esac
 	if [[ "$_CFG_VAL" == *'$('* || "$_CFG_VAL" == *'`'* ]]; then
 		return 3
 	fi
 	return 0
 }
 ssh_monitor_config_load_file() {
 	local file="$1"
 	local line rc line_no=0
 	[ -f "$file" ] || return 1
 	while IFS= read -r line || [ -n "$line" ]; do
 		line_no=$((line_no + 1))
 		ssh_monitor_config_parse_line "$line"
 		rc=$?
 		if [ "$rc" -eq 1 ]; then
 			continue
 		fi
 		if [ "$rc" -eq 2 ]; then
 			printf 'WARN: конфиг %s:%s: пропуск нераспознанной строки: %s\n' "$file" "$line_no" "$line" >&2
 			continue
 		fi
 		if [ "$rc" -eq 3 ]; then
 			printf 'ERROR: конфиг %s:%s: недопустимая подстановка shell в %s=\n' "$file" "$line_no" "$_CFG_KEY" >&2
 			return 1
 		fi
 		ssh_monitor_config_is_known_key "$_CFG_KEY"
 		rc=$?
 		if [ "$rc" -eq 2 ]; then
 			printf 'WARN: конфиг %s:%s: BACKUP_WEBHOOK_URL удалён в 2.3.0-SAC — игнорируется\n' "$file" "$line_no" >&2
 			continue
 		fi
 		if [ "$rc" -eq 1 ]; then
 			printf 'WARN: конфиг %s:%s: неизвестный ключ %s (игнорируется)\n' "$file" "$line_no" "$_CFG_KEY" >&2
 			continue
 		fi
 		printf -v "$_CFG_KEY" '%s' "$_CFG_VAL"
 	done <"$file"
 	return 0
 }
 ssh_monitor_validate_ipv4() {
 	local ip="$1" o
 	[[ "$ip" =~ ^([0-9]{1,3}\.){3}[0-9]{1,3}$ ]] || return 1
 	for o in ${ip//./ }; do
 		[ "$o" -le 255 ] || return 1
 	done
 	return 0
 }
 ssh_monitor_validate_cidr_v4() {
 	local cidr="$1" net mask
 	[[ "$cidr" == */* ]] || return 1
 	net="${cidr%/*}"
 	mask="${cidr#*/}"
 	[[ "$mask" =~ ^[0-9]+$ ]] && [ "$mask" -ge 0 ] && [ "$mask" -le 32 ] || return 1
 	ssh_monitor_validate_ipv4 "$net"
 }
 ssh_monitor_validate_http_url() {
 	local name="$1" value="$2" optional="${3:-0}"
 	value="$(_ssh_monitor_config_trim "$value")"
 	if [ -z "$value" ]; then
 		[ "$optional" = "1" ] && return 0
 		printf 'ERROR: %s: пустой URL\n' "$name" >&2
 		return 1
 	fi
 	if [[ ! "$value" =~ ^https?://[^/[:space:]]+ ]]; then
 		printf 'ERROR: %s: ожидается http(s)://host…, получено %s\n' "$name" "$value" >&2
 		return 1
 	fi
 	return 0
 }
 ssh_monitor_validate_hostname() {
 	local name="$1" value="$2"
 	value="$(_ssh_monitor_config_trim "$value")"
 	[ -z "$value" ] && return 0
 	if [[ ! "$value" =~ ^[A-Za-z0-9]([A-Za-z0-9._-]*[A-Za-z0-9])?$ ]]; then
 		printf 'ERROR: %s: недопустимый hostname %s\n' "$name" "$value" >&2
 		return 1
 	fi
 	return 0
 }
 # Проверка значений после load_config (exit 1 при ERROR).
 ssh_monitor_validate_config_values() {
 	local err=0 mode item
 	if [ -n "${SAC_URL:-}" ]; then
 		ssh_monitor_validate_http_url "SAC_URL" "${SAC_URL}" 1 || err=1
 	fi
 	if [ -n "${MAIL_SMTP_HOST:-}" ]; then
 		ssh_monitor_validate_hostname "MAIL_SMTP_HOST" "${MAIL_SMTP_HOST}" || err=1
 	fi
 	if [ -n "${SERVER_IPV4:-}" ]; then
 		ssh_monitor_validate_ipv4 "${SERVER_IPV4}" || {
 			printf 'ERROR: SERVER_IPV4: некорректный IPv4 %s\n' "${SERVER_IPV4}" >&2
 			err=1
 		}
 	fi
 	mode="$(printf '%s' "${UseSAC:-off}" | tr '[:upper:]' '[:lower:]')"
 	case "$mode" in
 	off | exclusive | dual | fallback) ;;
 	*)
 		printf 'ERROR: UseSAC="%s" (допустимо: off, exclusive, dual, fallback)\n' "${UseSAC:-}" >&2
 		err=1
 		;;
 	esac
 	mode="$(printf '%s' "${GIT_VERIFY_MODE:-off}" | tr '[:upper:]' '[:lower:]')"
 	case "$mode" in
 	off | tag | commit) ;;
 	*)
 		printf 'ERROR: GIT_VERIFY_MODE="%s" (допустимо: off, tag, commit)\n' "${GIT_VERIFY_MODE:-}" >&2
 		err=1
 		;;
 	esac
 	for item in "${WHITELIST_IPS[@]:-}"; do
 		[ -z "$item" ] && continue
 		if ! ssh_monitor_validate_ipv4 "$item"; then
 			printf 'ERROR: WHITELIST_IPS: некорректный IPv4 %s\n' "$item" >&2
 			err=1
 		fi
 	done
 	for item in "${WHITELIST_SUBNETS[@]:-}"; do
 		[ -z "$item" ] && continue
 		if ! ssh_monitor_validate_cidr_v4 "$item"; then
 			printf 'ERROR: WHITELIST_SUBNETS: некорректный CIDR %s\n' "$item" >&2
 			err=1
 		fi
 	done
 	return "$err"
 }
 ssh_monitor_truthy() {
 	case "${1,,}" in
 	1 | yes | true | on) return 0 ;;
@@ -42,41 +42,10 @@ send_telegram_raw() {
 	return 1
 }
 send_backup_webhook_raw() {
 	local message="$1"
 	if [ -z "${BACKUP_WEBHOOK_URL:-}" ]; then
 		return 1
 	fi
 	if ! command -v python3 >/dev/null 2>&1; then
 		return 1
 	fi
 	local plain="$message"
 	local payload
 	payload="$(BACKUP_MSG="$plain" python3 - <<'PY'
 import json, os
 print(json.dumps({"text": os.environ.get("BACKUP_MSG", "")}))
 PY
 )"
 	if curl -fsS -m 12 -X POST "$BACKUP_WEBHOOK_URL" \
 		-H "Content-Type: application/json" \
 		-d "$payload" >/dev/null 2>&1; then
 		return 0
 	fi
 	return 1
 }
 notify_send() {
 	local message="$1"
 	message="$(ssh_monitor_message_ensure_server_line "$message")"
-	if send_telegram_raw "$message"; then
+	send_telegram_raw "$message"
 		return 0
 	fi
 	if send_backup_webhook_raw "$message"; then
 		write_log "WARN: Telegram недоступен, сообщение watchdog ушло в BACKUP_WEBHOOK_URL"
 		return 0
 	fi
 	write_log "WARN: watchdog: не удалось отправить уведомление"
 	return 1
 }
 load_config() {
@@ -84,11 +53,7 @@ load_config() {
 		local _strict_peek
 		_strict_peek="$(ssh_monitor_config_peek CONFIG_STRICT_PERMS "$CONFIG_FILE" "0")"
 		ssh_monitor_check_config_file_perms "$CONFIG_FILE" "$_strict_peek" || true
-		# shellcheck disable=SC1090
+		ssh_monitor_config_load_file "$CONFIG_FILE" || true
 		source "$CONFIG_FILE"
 	fi
 	if [ -n "${BACKUP_WEBHOOK_URL:-}" ]; then
 		write_log "WARN: BACKUP_WEBHOOK_URL deprecated (legacy fallback); будет удалён в 2.3.x"
 	fi
 }
@@ -2,9 +2,6 @@
 TELEGRAM_BOT_TOKEN="8239219522:AAEyOZX3cwNfgGOMDkf-mgjTIuoaOh5gF7I"
 TELEGRAM_CHAT_ID="2843230"
 # DEPRECATED: legacy fallback webhook (Slack/Discord). Не используется в типовом деплое; удаление в 2.3.x.
 # BACKUP_WEBHOOK_URL=""
 # --- Очередь оповещений (NOTIFY_ORDER) ---
 # CSV: telegram, email (или сокращения tg, mail).
 # При каждом событии скрипт ПЫТАЕТСЯ ОТПРАВИТЬ ВО ВСЕ перечисленные каналы по порядку (не только в первый успешный).
@@ -1 +1 @@
-2.2.3-SAC
+2.3.0-SAC